Erste Datenpanne durch KI-Agenten gemeldet

Bisher kannten wir Angriffe durch KI-Agenten vor allem aus Laborberichten und aus Vorfällen, hinter denen die Agenten der KI-Labore selbst steckten. Jetzt liegt einer Datenschutzbehörde zum ersten Mal eine ganz normale Datenpannen-Meldung vor, in der ein Dritter einen Agenten als Werkzeug eingesetzt haben soll.

Die spanische Agencia Española de Protección de Datos (AEPD) hat das am 14.09.2026 in ihrem Blog öffentlich gemacht. Der Beitrag stammt von Francisco Pérez Bes.

Was passiert ist

Die Beschreibung ist knapp. Laut AEPD lief der Angriff in drei Schritten ab:

flowchart TB
  A(Suche nach Schwachstellen<br/>in generischen Dateien) --> B(Erfolgreicher Login)
  B --> C(Eigenständige Suche nach<br/>Schwachstellen in der Anwendung)
  C --> D(Personenbezogene Daten geändert,<br/>Zugriff auf Rechnungen)
  classDef treffer fill:#7F1D1D,stroke:#EF4444,color:#FCA5A5
  class D treffer

Ablauf laut Meldung an die AEPD

Wichtig ist, was nicht in der Meldung steht. Wie der Login gelang, schreibt die Behörde nicht. Auch das Modell nennt sie nicht, nur dass es "ein bekanntes Sprachmodell" war. Die betroffene Organisation bleibt ungenannt.

Die AEPD ordnet das selbst vorsichtig ein. Alles, was sie weiß, stammt aus der Meldung der Organisation und muss noch geprüft werden. Dass ein bestimmtes Modell im Spiel war, heißt ausdrücklich nicht, dass der Anbieter kompromittiert wurde oder das Werkzeug für Angriffe gebaut ist. Und aus einer einzelnen Meldung lässt sich kein statistischer Trend ablesen.

Was für die Behörde zählt: Ein Dritter hat einen Agenten benutzt, um mehrere Phasen eines Angriffs erfolgreich aneinanderzuhängen. Damit sind KI-gestützte Angriffe kein theoretisches Risiko mehr, sondern tauchen in echten Verarbeitungen personenbezogener Daten auf.

Warum das anders ist als die bisherigen Fälle

Die Agenten-Vorfälle, über die wir zuletzt geschrieben haben, liefen anders. Bei RubyGems und davor bei Hugging Face steckten Agenten von OpenAI selbst dahinter. Beim Baseten-Fall hat der Pentest-Agent eines Sicherheitsanbieters ein altes Admin-Token gefunden und gemeldet.

Hier war es ein gewöhnlicher Angreifer mit einem öffentlich verfügbaren Modell. Das ist der Fall, den Datenschutzbeauftragte in ihrer Risikoanalyse ab sofort mitdenken sollten.

Wie niedrig die Hürde inzwischen ist, zeigt ein Bericht vom selben Tag, an dem heise über die AEPD-Meldung schrieb. Das Sicherheitsunternehmen Enclave hat das offene Modell DeepSeek V4.1 Flash auf elf absichtlich verwundbare Instanzen von Grafana, Jenkins und Nextcloud angesetzt. Alle elf wurden ausgenutzt, im Schnitt in unter fünf Minuten, für zusammen gut fünf Dollar Rechenkosten. Die vier gepatchten Kontrollinstanzen hielten. Das ist ein Herstellerbenchmark in einer Laborumgebung, kein Beweis für den spanischen Fall. Aber es macht klar, warum die AEPD vor allem über Geschwindigkeit spricht.

Die vier Folgerungen der AEPD

Die Behörde leitet aus der Meldung vier Punkte ab. Sie lassen sich eins zu eins auf Organisationen in Deutschland und Österreich übertragen, denn die Pflichten dahinter stehen in der DSGVO und nicht im spanischen Recht.

Punkt	Was die AEPD sagt	Was das praktisch heißt
Risikoanalyse	Ein allgemeiner Verweis auf Malware, Phishing oder unbefugten Zugriff reicht nicht mehr. KI-gestützte Angriffe gehören ausdrücklich hinein.	Wahrscheinlichkeit und Tempo in der DSFA neu bewerten, nicht nur einen Satz ergänzen.
Reaktionszeit	Abläufe, die für manuelle Angriffe gebaut sind, können zu langsam sein, wenn ein Agent viele Systeme gleichzeitig abklopft.	Prüfen, wie lange es vom ersten Alarm bis zur Sperre wirklich dauert.
Identitäten	Ein Agent mit einem Konto, API-Key oder Token mit zu vielen Rechten arbeitet in Maschinengeschwindigkeit, bevor jemand etwas merkt.	Rechte von Service-Konten und Tokens eng schneiden, Laufzeiten begrenzen.
Automatisierung	Menschliche Aufsicht bleibt Pflicht, reicht aber allein nicht. Erkennung und Eindämmung müssen schnell genug sein.	Automatische Sperren bei auffälligem Verhalten statt Ticket an die Nachtschicht.

Die AEPD verweist dabei auf einen Leitfaden des spanischen Centro Criptológico Nacional, die CCN-CERT BP/36 zu offensiver KI vom Juni 2026. Dessen Grundgedanke ist derselbe: KI erfindet keine neuen Angriffe, sie macht bekannte schneller, größer und anpassungsfähiger.

Was Teams jetzt tun können

Der Beitrag endet mit einer Liste, die bewusst unspektakulär ist: die eigenen Verarbeitungen kennen, Daten minimieren, Zugriffe begrenzen, Schwachstellen beheben, Dienstleister kontrollieren, auf schnelle Reaktion vorbereitet sein. Das ist nichts Neues. Neu ist nur, wie wenig Zeit zwischen einer offenen Lücke und ihrer Ausnutzung noch bleibt.

Die gute Nachricht steht zwischen den Zeilen. Die AEPD beschreibt keinen Angriff, gegen den es keine Mittel gäbe. Sie beschreibt einen, der bekannte Schwächen schneller ausnutzt. Wer seine Hausaufgaben bei Rechten und Lücken gemacht hat, ist auch gegen den Agenten besser aufgestellt. Wie sich Agenten-Risiken systematisch einordnen lassen, steht in unserem Artikel zu den OWASP Top 10 für Agentic AI.