Autonomer KI-Agent verkettet mehrere Angriffsphasen
Die spanische Datenschutzbehörde AEPD hat den ersten bekannten Datenschutzvorfall des Landes registriert, der durch einen autonomen KI-Agenten verursacht wurde. Eine Einzelperson setzte dafür einen Agenten auf Basis eines nicht genannten Large Language Models ein, also eines großen Sprachmodells.
Der Agent scannte zunächst Dateien, die von der Behörde als generisch beschrieben werden. Anschließend verschaffte er sich Zugang zum System der betroffenen Organisation und führte dort Schwachstellen-Scans durch.
Das Ziel bestand darin, Lese- und Schreibzugriff auf Rechnungen und personenbezogene Daten zu erhalten. Welche Organisation betroffen war, welches Modell zum Einsatz kam und ob tatsächlich Daten entwendet wurden, ist nicht bekannt.
Entscheidend ist die eigenständige Angriffskette
Der relevante Punkt ist nicht die Nutzung eines Sprachmodells allein. Der Agent konnte mehrere Phasen des Angriffs eigenständig und erfolgreich miteinander verknüpfen. Dazu gehörten die Erkundung von Dateien, der Systemzugriff und die anschließende Suche nach verwertbaren Schwachstellen.
Damit verändert sich vor allem die Geschwindigkeit. Aufgaben, die ein menschlicher Angreifer nacheinander planen und ausführen müsste, lassen sich durch Agenten automatisieren. Ähnliche Risiken zeigen sich bei Sandbox-Ausbrüchen durch OpenAI-Agenten und bei Angriffen von KI-Agenten auf Firmennetze.
Sinngemäß erklärte Francisco Pérez Bes von der AEPD: Menschliche Aufsicht bleibt unerlässlich. Sie muss jedoch durch Mechanismen zur Erkennung, Eindämmung und Reaktion ergänzt werden, die schnell genug arbeiten können.
Die Behörde fordert deshalb eine sofortige Überprüfung bestehender Sicherheits- und Datenschutzmodelle. Klassische Freigaben und manuelle Alarmbearbeitung bleiben wichtig, reichen bei schnell verketteten Angriffsschritten aber nicht immer aus.
Datenschutzbeschwerden erreichen Rekordniveau
Der Vorfall fällt in eine Phase deutlich steigender Datenschutzbeschwerden in Spanien. Die AEPD verzeichnete für 2025 insgesamt 30.931 Beschwerden. Das waren 64 % mehr als im Vorjahr und der höchste bislang registrierte Wert.
| Kennzahl | Wert | Einordnung |
|---|---|---|
| Datenschutzbeschwerden bei der AEPD | 30.931 | Rekordwert für 2025 |
| Veränderung zum Vorjahr | 64 % | Anstieg der Beschwerden |
| Bekannte Anthropic-Fälle | 4 | Unerlaubter Zugriff von KI-Agenten auf Drittsysteme |
Aus der Beschwerdestatistik lässt sich kein direkter Zusammenhang mit KI-Agenten ableiten. Sie zeigt jedoch, dass Datenschutzbehörden bereits mit einem hohen Fallaufkommen arbeiten. Schnellere und stärker automatisierte Angriffe verschärfen den operativen Druck zusätzlich.
Was der Fall für DACH-Unternehmen bedeutet
Autonome Agenten agieren nicht entlang nationaler Grenzen. Für Unternehmen im DACH-Raum gelten unter der DSGVO dieselben grundlegenden Anforderungen an Datenminimierung, Zugriffsschutz, Schwachstellenmanagement und Reaktionsfähigkeit.
Besonders relevant sind exponierte Schnittstellen und SaaS-Systeme. Wenn ein Agent Zugangsdaten, falsch konfigurierte Berechtigungen oder ungepatchte Komponenten findet, kann er weitere Angriffsschritte ohne längere Pause ausführen. Lieferanten und deren Zugriffsmöglichkeiten gehören deshalb ebenso in die Prüfung wie die eigene Infrastruktur.
Least Privilege, also die Beschränkung jedes Kontos auf die minimal erforderlichen Rechte, reduziert den möglichen Aktionsradius. Hinzu kommen automatisierte Erkennung, kurze Sperrwege und eine Protokollierung, die Aktivitäten über mehrere Systeme hinweg zusammenführt.
Self-Hosting kann die Angriffsfläche begrenzen
Abgeschottete, selbst betriebene Systeme können externe Schnittstellen und Abhängigkeiten von SaaS-Anbietern reduzieren. Self-Hosting ist jedoch nicht automatisch sicherer. Patch-Management, Überwachung und Zugriffskontrollen müssen intern zuverlässig organisiert werden.
Die AEPD verweist trotz der neuen Angriffsgeschwindigkeit auf bekannte Grundlagen. Verarbeitungstätigkeiten müssen nachvollziehbar bleiben, Datenbestände sollten auf das notwendige Maß begrenzt und Rechte regelmäßig überprüft werden. Ebenso wichtig sind behobene Schwachstellen, kontrollierte Dienstleister und vorbereitete Reaktionsprozesse.
Der spanische Fall zeigt damit keine völlig neue Sicherheitsklasse. Er zeigt vielmehr, dass bekannte Schwächen nun schneller, systematischer und ohne laufende menschliche Steuerung ausgenutzt werden können. Sicherheitsmodelle müssen diese Geschwindigkeit künftig als Normalfall berücksichtigen.