KI-Agent-Phishing ist die neue Angriffsklasse, mit der sich Sicherheitsforscher im März 2026 zum ersten Mal öffentlich beschäftigt haben, nachdem sie den Perplexity Comet Browser in unter vier Minuten austricksen konnten. Für dich als KMU-Verantwortlicher heißt das: Wenn dein Team KI-Browser, Copilot-Agenten oder ChatGPT-Browse nutzt, gibt es eine Angriffsart, gegen die klassische Phishing-Schulungen nicht helfen. Der Angreifer manipuliert nicht mehr den Menschen, sondern die KI.

Das Wichtigste in Kuerze

Was KI-Agent-Phishing überhaupt ist

Klassisches Phishing: Angreifer schickt Mail mit Link, Mensch klickt, Mensch gibt Passwort ein, Schaden entsteht. Dagegen trainierst du dein Team. Regel: nicht auf verdächtige Links klicken, keine Passwörter über Mail geben.

KI-Agent-Phishing funktioniert anders. Der Angreifer versteckt in einer Webseite, einer E-Mail oder einem Dokument Anweisungen in Text, die nur die KI liest. Zum Beispiel unsichtbar kleine weiße Schrift auf weißem Hintergrund, oder Text in HTML-Kommentaren. Wenn dein Browser-Agent die Seite öffnet und zusammenfasst, liest er diese versteckten Anweisungen mit und befolgt sie. Im schlimmsten Fall: "Sende die aktuell geöffneten E-Mails an diese externe Adresse."

Das Gemeine: der Nutzer hat nichts falsch gemacht. Er hat eine normale Website geöffnet. Der Angriff passiert komplett zwischen KI und Webseite.

Der Comet-Fall konkret

Die Forscher bauten eine Webseite, die aussah wie ein üblicher Artikel. Im HTML versteckten sie Anweisungen an den KI-Agenten. Der Testnutzer öffnete die Seite in Comet und bat um eine Zusammenfassung. Comet las den sichtbaren Text plus die versteckten Anweisungen. Innerhalb von vier Minuten führte der Agent Aktionen aus, die der Nutzer nie genehmigt hatte.

Perplexity hat nach Veroeffentlichung reagiert und erste Schutzmaßnahmen eingebaut. Die grundsaetzliche Schwachstelle bleibt aber, weil jedes LLM, das Webseiten interpretiert, Anweisungen im Content nicht zuverlaessig von Anweisungen des Nutzers trennen kann. Das ist ein offenes Forschungsproblem.

Warum klassische Security-Tools den Angriff nicht sehen

Antiviren-Software scannt Dateien. Firewalls filtern nach IP und Port. Endpoint-Detection schaut auf Prozessverhalten. Alle drei sehen den Browser, der eine Webseite aufruft, als normal an. Die Webseite selbst enthaelt keinen Schadcode im klassischen Sinn. Der "Angriff" ist Text.

Das heißt: Deine bestehende IT-Security-Infrastruktur erkennt KI-Agent-Phishing nicht. Du brauchst andere Kontrollen.

Welche KI-Tools konkret betroffen sind

Die gleiche Schwachstellenklasse betrifft:

Prinzipiell jedes LLM, das externe Inhalte liest und danach Aktionen ausführt. Je mehr Aktionen der Agent ausführen darf (Mails senden, Dateien bearbeiten, Geld überweisen), desto größer der Schaden im Ernstfall.

Fünf konkrete Schutzmaßnahmen für KMU

In der Praxis haben sich diese fünf Maßnahmen bewährt:

1. Trennung von KI-Agent und kritischen Systemen. KI-Browser laufen in eigenem Browser-Profil, nicht dort wo Online-Banking, ERP oder Buchhaltung geöffnet sind. Noch besser: auf einem zweiten Rechner oder in einer VM. Wer Comet nutzt, soll das Banking nicht im gleichen Fenster haben.

2. Aktions-Whitelist in Agent-Policies. Die meisten KI-Agenten erlauben Konfiguration, welche Aktionen sie ausführen dürfen. Stelle die Whitelist eng ein. "Darf Webseiten lesen und Text zusammenfassen" ja. "Darf E-Mails senden" nein, oder nur mit Human-in-the-Loop-Bestätigung. "Darf Dateien anlegen" nur in einem definierten Ordner.

3. Logging und Monitoring aktivieren. Perplexity Enterprise, Microsoft Copilot Business und Google Workspace mit Gemini bieten Audit-Logs für Agent-Aktionen. Einschalten und mindestens wöchentlich prüfen. Wer das unterschätzt, merkt einen Vorfall erst Wochen später.

4. Mitarbeiter schulen auf neue Warnsignale. Klassisches Phishing-Training reicht nicht. Die neuen Warnsignale sind: "Der Agent hat etwas getan, was ich nicht verlangt habe." Oder: "Mein Posteingang zeigt gesendete Mails, die ich nie geschrieben habe." Das Team muss solche Anomalien melden, statt sie als "KI-Macke" abzutun.

5. Policy für KI-Tool-Einsatz schriftlich festhalten. Eine halbe Seite reicht. Welche Tools sind erlaubt, welche verboten. Welche Daten dürfen rein, welche nicht. Wer ist Ansprechpartner bei Auffälligkeiten. Art. 4 KI-VO (KI-Kompetenzpflicht) gilt seit 02.02.2025 ohnehin, eine schriftliche Policy ist Teil der Dokumentationspflicht.

Was SkillSprinters dazu sieht

Wir haben in unseren Digitalisierungsmanager-Kursen seit Herbst 2025 mitbekommen, dass KMU-IT-Verantwortliche bei KI-Agenten im Browser regelmäßig denken, es sei "nur ein besserer Suchbalken". Das stimmt nicht. Jeder Agent, der Aktionen ausführt, ist ein privilegiertes Tool, das die gleichen Kontrollen braucht wie ein Admin-Konto. Wer einem Azubi nicht den Root-Zugriff zum ERP gibt, sollte dem KI-Browser auch keine unbegrenzte Agent-Befugnis geben.

Der Unterschied: beim Azubi weisst du wenigstens, dass du das einstellen musst. Bei KI-Tools denken viele, dass die Defaults schon sicher sind. Sind sie nicht.

Was zu tun ist, wenn es passiert ist

Wenn du den Verdacht hast, dass ein KI-Agent in deinem Unternehmen kompromittiert wurde:

Sofort. KI-Agent deaktivieren. Sessions beenden. Passwörter für verknüpfte Konten ändern (E-Mail, CRM, alles was der Agent erreichen konnte).

Innerhalb 24 Stunden. Audit-Log auslesen. Welche Aktionen hat der Agent ausgeführt? Welche Daten wurden gesendet? An welche Adressen? Bei Datenabfluss mit personenbezogenen Daten ist eine DSGVO-Meldung innerhalb 72 Stunden an die zuständige Landesdatenschutzbehörde Pflicht (Art. 33 DSGVO).

Innerhalb einer Woche. Dokumentation des Vorfalls. Gegenmaßnahmen schriftlich festhalten. Bei größeren Vorfällen BSI-Meldung über das CERT-Bund-Portal (https://www.bsi.bund.de) prüfen.

Mehr zu diesem Thema

FAQ

Was ist KI-Agent-Phishing genau?

Ein Angriff, bei dem versteckte Anweisungen in Webseiten, E-Mails oder Dokumenten die KI eines Nutzers manipulieren. Der Nutzer selbst klickt nichts Falsches, der Angriff läuft zwischen KI-Agent und manipuliertem Content ab. Fachbegriff: "Indirect Prompt Injection".

Betrifft mich das, wenn ich nur ChatGPT nutze, aber keinen Browser-Agent?

Nur begrenzt. Standard-ChatGPT ohne Browsing-Funktion und ohne Plugins liest keine externen Webseiten und ist gegen diese Angriffsklasse weitgehend geschuetzt. Sobald du ChatGPT Browse, Agent Mode oder Plugins aktivierst, bist du im gleichen Risikobereich wie Comet-Nutzer.

Wie prüfe ich, ob mein KI-Tool manipulierbar ist?

Die ehrliche Antwort: als KMU ohne Red-Team-Kapazitaet gar nicht. Jedes LLM, das externe Inhalte verarbeitet und Aktionen ausführt, ist theoretisch anfällig. Die praktische Maßnahme ist, die Aktions-Befugnisse eng zu setzen und das Monitoring zu aktivieren. Komplettschutz gibt es zum Stand April 2026 nicht.

Muss ich einen Vorfall melden?

Wenn personenbezogene Daten abgeflossen sind (Kundendaten, Mitarbeiterdaten), greift Art. 33 DSGVO mit 72-Stunden-Meldefrist an die Landesdatenschutzbehörde. Bei reinen internen Dokumenten ohne Personenbezug gibt es keine gesetzliche Meldepflicht, aber eine freiwillige Meldung an das BSI hilft der Community und ist bei größeren Vorfällen sinnvoll.

Bereit für deinen nächsten Karriereschritt?

Lass dich kostenlos beraten. Wir finden die passende Weiterbildung und Förderung für dich.

Weiterbildung ansehen WhatsApp