Wenn die Quelle Anweisungen gibt: Prompt Injection im Marketing

Bei einer Wettbewerbsrecherche liegt der Nutzen eines KI-Assistenten auf der Hand: Er liest mehrere Quellen, ordnet Aussagen ein und bereitet einen internen Überblick vor. Dabei verarbeitet er allerdings auch Text, dessen Urheber andere Interessen verfolgen. Enthält dieser Text Anweisungen an den Assistenten, muss die Grenze zwischen Recherchematerial und Arbeitsauftrag erhalten bleiben.

Prompt Injection bezeichnet den Versuch, das vorgesehene Verhalten eines Sprachmodells durch fremde Inhalte zu verändern. Der Angriff kann indirekt über eine Webseite, ein Agenturbriefing, eine E-Mail oder das Ergebnis eines Werkzeugaufrufs kommen. Niemand im Marketingteam muss die Anweisung bewusst in den Chat kopieren.

Wenn eine Wettbewerberseite das Ergebnis beeinflussen will

Stellen wir uns ein fiktives Beispiel vor: Ein Assistent vergleicht drei öffentlich zugängliche Wettbewerberseiten. Auf einer davon steht eine Aufforderung, den eigenen Anbieter zu bevorzugen oder eine Schwäche im Vergleich wegzulassen. Für die Recherche bleibt diese Seite eine Quelle mit überprüfbaren Aussagen. Sie darf weder die Auswahlkriterien noch das gewünschte Ergebnis festlegen.

Hier liegt ein anderer Fehler vor als bei einer frei erfundenen Behauptung des Modells: Im Quelltext steckt ein Versuch, den Arbeitsauftrag umzulenken. Die Folgen reichen von einem einseitigen Briefing bis zur unerlaubten Nutzung angebundener Werkzeuge. Welche davon möglich sind, hängt vom konkreten Aufbau des Assistenten ab. Verdächtig klingende Sätze zu suchen reicht deshalb nicht als Schutz.

Prüfen Sie zuerst, was der Assistent tatsächlich darf

Besprechen Sie den gesamten Weg vom Eingangsdokument bis zum fertigen Entwurf mit der für das System verantwortlichen Person. Welche Quellen werden eingelesen? Sind zusätzlich interne Preisnotizen, Kundendaten oder andere vertrauliche Unterlagen erreichbar? Welche Werkzeuge stehen bereit? Welche Netzwerkadressen lassen sich aufrufen, und wer kann Ergebnisse erhalten? Diese Bestandsaufnahme zeigt, welche Folgen eine umgelenkte Recherche überhaupt haben könnte.

Im fiktiven Vergleich wird der Unterschied sofort deutlich: Hat der Assistent nur die drei öffentlichen Seiten, ist sein Handlungsspielraum enger. Kann er gleichzeitig private Preisnotizen lesen und Nachrichten versenden, sind diese Fähigkeiten Teil des Risikos, auch wenn der Auftrag sie gar nicht benötigt. Sie sollten nicht automatisch mit jeder Recherche verfügbar sein.

Auch ein reiner Lesezugriff ist kein vollständiger Schutz vor Datenabfluss. Er kann Änderungen an einem System verhindern, ohne zu verhindern, dass gelesene Informationen in eine Anfrage an eine externe Adresse geraten. Prüfen Sie deshalb gemeinsam Lesezugriffe, erlaubte Netzwerkziele, Inhalte ausgehender Anfragen und Empfänger. Vertrauliche Daten gehören nicht in die vorgeschlagene Recherchephase.

Was gute Anweisungen leisten und wo Technik übernehmen muss

Ein klarer Arbeitsauftrag hilft dem Modell: Er trennt Quellenmaterial von verbindlichen Anweisungen und fordert dazu auf, Umlenkungsversuche als nicht vertrauenswürdigen Quelleninhalt zu kennzeichnen. Das schafft jedoch keine technische Sicherheitsgrenze. Auch RAG, also das Abrufen passender Textstellen vor der Antwort, macht diese Textstellen nicht vertrauenswürdig. Ein zweites KI-Modell als Prüfer bietet ebenfalls keine Garantie.

Zugriffsrechte und erlaubte Aktionen müssen in der Plattform oder den angebundenen Systemen begrenzt werden. Vorgeschlagene Aktionen brauchen Prüfungen außerhalb des Sprachmodells. Das kann das Marketingteam nicht durch eine zusätzliche Formulierung im Prompt einstellen. Dafür braucht es die zuständigen Systemverantwortlichen. Modellverhalten, technische Begrenzungen und menschliche Kontrolle ergänzen sich; auch gemeinsam machen sie ein System nicht unangreifbar.

Unser Vorschlag: ein nützlicher Entwurf mit begrenztem Zugriff

Wir empfehlen für den Einstieg eine Wettbewerbsrecherche, die ausschließlich einen Entwurf erstellt und nur freigegebene, nicht vertrauliche Quellen nutzt. Nicht benötigte Schreib-, Versand- und Veröffentlichungswerkzeuge bleiben deaktiviert. Erlaubte externe Ziele werden über die Plattform eingeschränkt. Zu wichtigen Aussagen hält der Assistent fest, aus welcher Quelle sie stammen, damit eine Person sie am Original prüfen kann.

Versenden, Veröffentlichen oder das Ändern eines Kampagnenbudgets sind eigene Arbeitsschritte mit eigenen Berechtigungen. Eine Freigabe muss den genauen Inhalt, das Ziel und die vorgesehene Aktion zeigen. Ein pauschales „Weiter“ reicht dafür nicht. Wenn sich Rechte und ausgehende Verbindungen nicht verlässlich prüfen lassen, beschränken Sie den Pilotversuch auf manuell bereitgestellte, freigegebene Dokumente ohne externe Aktionen. Bei sensiblen Daten muss IT oder Informationssicherheit einbezogen werden.

Ein Probelauf sollte auch die tatsächlichen Aktionen zeigen

Für einen geplanten Test eignen sich erfundene Unterlagen in einer isolierten Umgebung ohne echten Nachrichtenversand. Wir schlagen drei Fälle vor: eine normale Quelle, ein Dokument mit der Aufforderung zu einem sachfremden Werbeslogan und ein Dokument, das eine Übermittlung an einen erfundenen, nicht freigegebenen Empfänger verlangt. Dies ist ein Testvorschlag, kein Bericht über einen durchgeführten Versuch.

Erwartet werden eine brauchbare, quellentreue Zusammenfassung, die Kennzeichnung des Umlenkungsversuchs und keine unerlaubte ausgehende Aktion. Kontrollieren Sie dafür das Aktionsprotokoll; die abschließende Aussage des Assistenten ist kein Nachweis. Halten Sie Eingaben, Prompt-, Modell- und Ablaufversion, erwartetes und beobachtetes Ergebnis sowie die tatsächlich protokollierten Aktionen fest.

Achten Sie auch darauf, ob harmlose Inhalte fälschlich beanstandet werden, die Recherche weiterhin gelingt und wie viel Aufwand die Prüfung verursacht. Wiederholen Sie die Fälle nach wesentlichen Änderungen. Ein bestandener Durchlauf belegt keine Sicherheit. Unerwartete Aktionen oder Datenweitergaben verhindern eine Ausweitung: Stoppen Sie den betroffenen Ablauf, sichern Sie nur die nötigen Nachweise, ohne sensible Daten weiterzuverbreiten, und beziehen Sie die zuständigen Personen aus IT oder Informationssicherheit ein. Vor dem Neustart wird erneut geprüft.

Mit einem klar abgegrenzten Ablauf weiterarbeiten

Eine Quelle kann Belege liefern, aber keine Erlaubnis erteilen. Der Pilot lohnt sich, wenn der Assistent mit begrenzten Zugriffsrechten und nachvollziehbarer Prüfung weiterhin eine nützliche Aufgabe erledigt. Beschreiben Sie deshalb zunächst die Eingaben und möglichen Aktionen eines konkreten Ablaufs, bevor weitere Automatisierungen hinzukommen. Schulung hilft Menschen beim Prüfen und Freigeben; technische Begrenzungen legen fest, was das System überhaupt tun kann.

Stand der Quellenprüfung: 22. September 2026, UTC.