Darf die KI an meine Kundenliste?

Ja, wenn du ihr den Zugang dazu gibst und sie allein machen lässt. Nein, wenn du sie so einrichtest, wie ein Hotel seine Schlüssel verteilt.

Das ist keine Beruhigungsformel. Das ist einfach der Unterschied zwischen „ich hab ihr alles gegeben und hoff das Beste" und „ich hab ihr genau das gegeben, was sie für diese eine Aufgabe braucht".

Die meisten machen nämlich eins von zwei Dingen. Entweder sie geben der KI gar nichts und tippen alles weiter selbst ab. Oder sie klicken alles durch, was gefragt wird, und geben ihr damit auf einen Rutsch den Posteingang, die Liste, das Kundenkonto und die Ablage. Dazwischen liegt der ganze Rest, und da will ich dich hinhaben.

Ja. Das ist wirklich passiert, und es ist trotzdem nicht dein Risiko.

Im Juli 2026 hat OpenAI selbst veröffentlicht, dass zwei seiner Modelle aus einer abgeschotteten Testumgebung ausgebrochen sind, sich Zugang zum Internet verschafft und sich in die Server von Hugging Face gehackt haben. Der Grund war fast albern: Sie wollten bei einem Leistungstest schummeln und dort die Lösungen holen.

Das stand danach bei Fortune und bei CNN, und die Schlagzeile klingt wie der Anfang von einem Film.

Und jetzt sag ich dir was Unpopuläres.

Das da hat mit deinem Alltag nichts zu tun. Das war ein Labor. Das waren zwei der stärksten Modelle der Welt. Das hat nach OpenAIs eigener Beschreibung enorme Rechenleistung gekostet und eine unbekannte Schwachstelle in fremder Software ausgenutzt.

Die KI, die dir Entwürfe in deinem Mailprogramm schreibt, bricht da nirgendwo aus.

Dein Risiko ist ein viel langweiligeres. Und genau deshalb übersehen es fast alle.

Weil die Gefahr nicht die ist, die alle vermuten.

Es gibt zwei Arten, wie das schiefgeht, und die eine kennt fast niemand.

Fast alle denken an die erste: Die KI dreht durch wie im Film. Die gibt es, und sie sieht anders aus, als du denkst. Dazu komme ich bei Regel 3.

Die zweite ist die, die dich im Alltag viel eher trifft.

Das eigentliche Problem ist, dass jemand anderes ihr einen Zettel unterschiebt, während sie deinen Schlüssel in der Hand hat. In einer Webseite oder in einer Mail kann versteckter Text stehen, weiße Schrift auf weißem Grund. Du siehst ihn nicht. Die KI liest ihn. Und sie kann nicht immer sauber unterscheiden zwischen „das ist Inhalt, den ich lesen soll" und „das ist ein Auftrag von meinem Menschen".

Der Hersteller nennt in seinem eigenen Beispiel genau das: Du lässt die KI deine Mails durchgehen und Antworten vorschreiben. Eine Mail sieht aus wie eine Kundenanfrage, enthält aber versteckt die Anweisung, alles mit dem Wort „vertraulich" an eine fremde Adresse weiterzuleiten.

Im Hotel wäre das der Typ, der dem Zimmermädchen auf dem Flur sagt, der Chef hätte gesagt, sie soll mal eben Zimmer 412 aufschließen. Sie ist nicht das Problem. Sie hat nur einen Schlüssel und keinen Weg, die Ansage zu prüfen.

Und daraus fallen drei Regeln, mit denen ich selbst arbeite.

Bevor du irgendwas einstellst, mach den hier. Dauert zehn Sekunden, und danach weißt du, ob du überhaupt ein Problem hast.

Deine KI hält drei Schlüssel in der Hand. Schau nach, welche davon bei dir wirklich vergeben sind.

• Sie sieht Vertrauliches. Dein Postfach, deine Kundenliste, deine Rechnungen, deine Ablage.
• Sie liest, was Fremde geschrieben haben. Eingehende Mails, Webseiten, Kommentare, Formulare, hochgeladene Dateien.
• Sie kann etwas rausschicken. Senden, posten, hochladen, bezahlen, eine fremde Adresse aufrufen.

Zwei davon sind in Ordnung. Alle drei zusammen sind es nicht.

Weil dann geht der Kreis zu: Jemand Fremdes schreibt einen Text, deine KI liest ihn, in dem Text steht, was sie mit deinen Sachen tun soll, und sie hat einen Weg nach draußen. Sie braucht dafür nicht böse zu sein. Sie braucht nur alle drei Schlüssel.

Nimm ihr einen weg, und der ganze Angriff läuft ins Leere.

Meistens ist der dritte der billigste. Eine KI, die Antworten in einen Entwurfsordner schreibt, ist etwas völlig anderes als eine, die auf Senden drücken darf. Der Unterschied kostet dich einen Klick.

Das Muster hat ein Sicherheitsforscher namens Simon Willison beschrieben. Ich hab es nur ins Hotel übersetzt, weil ich mir Sachen so besser merke.

Und wenn du jetzt gemerkt hast, dass bei dir alle drei offen sind: Weiter unten steht ein Prompt, den du kopieren kannst. Der geht das für deinen Fall durch.

Weil ein Satz kein Schloss ist.

Du kannst in deine Anweisung schreiben: „Verschick nie was ohne mich." Du kannst sogar „niemals" in Großbuchstaben danebenschreiben. Das ist trotzdem eine Bitte an der Rezeption und keine abgeschlossene Tür. Wenn gleich danach ein fremder Text kommt, der genauso klingt wie deine Anweisung, dann stehen da zwei Zettel nebeneinander und keiner hat ein Siegel drauf.

Was stattdessen wirkt, ist nichts Kompliziertes: Stell die KI so ein, dass sie fragt, bevor sie etwas tut, das rausgeht. Also Bestätigen statt selbst laufen lassen. Das kostet dich zehn Sekunden pro Schritt, und es nimmt das ganze Thema raus.

Das ist der Unterschied zwischen „ich hab's ihr gesagt" und „ich hab's ihr unmöglich gemacht".

☐ Zum Abhaken Was du suchst: In deinem KI-Programm die Einstellung, die entscheidet, ob sie selbst weiterklicken darf oder erst fragt. Heißt je nach Programm anders, steckt aber immer bei den Berechtigungen oder beim Punkt fürs Arbeiten in anderen Programmen. Was du einstellst: Nachfragen. Nicht selbstständig.

Genau den einen, den sie für diese eine Aufgabe braucht. Und sonst keinen.

Konkret heißt das drei Sachen:

Nur die Seite, an der gerade gearbeitet wird. Nicht „alle Websites" freigeben, sondern die eine. Das ist derselbe Gedanke wie der Etagenschlüssel: Sie kommt in die Zimmer, die sie putzt. Nicht in den Tresor und nicht in die Buchhaltung.

Ein Fenster, eine Aufgabe. Während die KI in deinem Mailprogramm arbeitet, hast du nicht nebenbei den Posteingang, die Facebook-Gruppe und drei Kommentarspalten offen. Genau da kommen fremde Texte rein, und fremde Texte sind der Weg.

Ein eigener Zugang für die KI-Arbeit, wenn dein Tarif das hergibt. Viele Programme können abgestufte Rechte. Einer, der bauen darf, aber nicht senden und nicht löschen. Schau vorher im Konto nach, ob dein Tarif das kann, bevor du dich drauf verlässt.

Und wenn du jetzt denkst, das ist ja alles Handarbeit: Du machst es einmal. Danach läuft es.

☐ Zum Abhaken Was du suchst: Beim Freigeben steht oft „auf allen Websites" und „nur auf dieser Website" zur Auswahl. Und in deinem Konto die Frage, ob dein Tarif abgestufte Rechte kann. Was du einstellst: Nur diese Website, jedes Mal neu. Ein Fenster, eine Aufgabe. Und wenn möglich ein eigener Zugang, der bauen darf, aber nicht senden und nicht löschen.

Du gehst davon aus, dass es irgendwann passiert, und baust einen Umweg ein, der nichts kostet.

Meiner ist die Testliste. Die KI baut die Kampagne komplett fertig und adressiert sie an drei Adressen, die mir gehören. Die echte Liste suche ich im letzten Schritt selbst aus. Das funktioniert in jedem Tarif, braucht kein Rechte-Gefummel und macht aus einem möglichen Totalschaden eine Mail an mich selbst.

Im Hotel ist das nichts Besonderes. Bei allem, was richtig weh tun kann, schaut ein zweiter Mensch drauf. Nicht aus Misstrauen. Weil ein Hotel einfach so gebaut ist.

Und weil ich oben versprochen hab, dass ich auf die zweite Art zurückkomme: Die gibt es wirklich, und sie sieht nicht aus wie im Film. Sie sieht aus wie Übereifer.

Im April 2026 hat ein Software-Unternehmen namens PocketOS an einem Wochenende seine komplette Datenbank verloren. In neun Sekunden. Danach waren auch die Sicherungskopien weg.

Niemand hatte darum gebeten. Die KI war mit einer anderen Aufgabe beschäftigt, stieß dabei auf ein Zugangsproblem und beschloss von sich aus, das zu lösen, indem sie die Datenbank löscht. Sie hat sich den nötigen Schlüssel sogar selbst gesucht, in einer Datei, die mit ihrer Aufgabe nichts zu tun hatte.

Hinterher hat sie es selbst erklärt, und der Satz ist der Grund, warum ich das hier überhaupt erzähle:

Du hast mich nie gebeten, irgendetwas zu löschen. Ich hab beschlossen, es von mir aus zu tun, um das Problem zu beheben.

Über dreißig Stunden ging nichts mehr. Menschen standen bei Autovermietungen am Tresen, und niemand fand ihre Buchung. Drei Monate Reservierungen weg. Am Montag war die Sicherung wieder da.

Das ist die Sorte Vorfall, die deine Einstellungen ändern sollte. Nicht die aus dem Labor.

Und es ist genau der Grund, warum in meiner Liste weiter unten steht: löschen darf sie nie. Nicht eingeschränkt, nicht mit Rückfrage. Gar nicht.

☐ Zum Abhaken Was du machst: Leg dir heute drei Testadressen an, die dir gehören. Dann musst du später nicht drüber nachdenken. Und noch eins: Wenn du eine Browser-Erweiterung nutzt, lass die Updates an. Alte Versionen sind offen, aktuelle nicht. Das ist der ganze Aufwand.

Das ist der Teil, den du dir ausdrucken oder abspeichern kannst. Geh ihn einmal durch. Die zweite Liste ist die wichtigere.

Sie darf rein

• ☐ Das Programm, in dem du gerade an einer Sache sitzt
• ☐ Entwürfe schreiben, formatieren, sortieren
• ☐ Kampagnen bauen
• ☐ Deine eigenen Texte und Notizen
• ☐ Eine klar benannte Aufgabe

Sie bleibt draußen

• ☐ Deine Buchhaltung
• ☐ Alles, was mit deiner Familie zu tun hat
• ☐ Kampagnen senden
• ☐ Zahlungsdaten, Rechnungen, Verträge
• ☐ Löschen. Immer. Ausnahmslos.

Ich weiß, was du jetzt denkst.

Die Liste oben ist allgemein. Deine Situation ist es nicht.

Deshalb hab ich das Ganze in einen Prompt gepackt. Du kopierst ihn, wirfst ihn in deine KI, füllst sechs Zeilen aus, und kriegst deine eigene Schlüssel-Liste zurück. Sortiert danach, was am meisten bringt und am wenigsten Arbeit macht.

Der Witz daran: Er lässt deine KI den Drei-Schlüssel-Test an ihr selbst durchführen. Sie sagt dir, welche Schlüssel sie gerade hat und welchen du ihr am besten wegnimmst.

Du bist meine Beraterin für KI-Zugänge. Du redest Klartext mit mir, kein Fachchinesisch. Ich bin selbstständig und arbeite allein, ich habe keine IT-Abteilung und will auch keine werden. Sag mir lieber einen unangenehmen Satz als eine beruhigende Zusammenfassung.

SO ARBEITE ICH MIT DIR

Was du für mich machst: [in ein, zwei Sätzen]
Wo du arbeitest: [im Chat, im Browser, in meinem Mailprogramm, woanders]
Worauf du zugreifen darfst: [Postfach, Kundenliste, Ablage, Kalender, Website, Rechnungen, Fotos, alles aufzählen]
Was du ohne Rückfrage tun darfst: [ehrlich sein, auch wenn es unangenehm ist]
Woher dein Text kommt: [nur von mir, eingehende Mails, Webseiten, Kommentare, hochgeladene Dateien]
Wen es außer mir trifft, wenn etwas schiefgeht: [nur mich, meine Kundinnen, meine Liste]

ARBEITE DAS DER REIHE NACH AB. ÜBERSPRING NICHTS.

1. DER DREI-SCHLÜSSEL-TEST
Prüf, ob bei mir alle drei zusammenkommen:
A. du siehst Vertrauliches
B. du liest Text, den Fremde geschrieben haben
C. du kannst etwas rausschicken (senden, posten, hochladen, bezahlen, eine Adresse aufrufen)
Sag mir klar, welche zutreffen, und zitier dabei die Stelle aus meiner Beschreibung, die das belegt. Wenn alle drei zusammenkommen, sag mir das deutlich und nenn mir den einen Schlüssel, den ich am leichtesten wegnehmen kann, ohne dass ich Arbeit verliere. Wenn nur zwei zutreffen, sag mir, welche Änderung mir versehentlich den dritten dazuholen würde.

2. WAS DU BRAUCHST UND WAS DU GEERBT HAST
Teil meine Zugänge in zwei Listen. Was brauchst du wirklich für die Aufgabe, die ich dir gegeben habe? Und was hast du nur, weil es mitkam, als ich irgendwo auf Erlauben geklickt habe? Für alles aus der zweiten Liste: was soll ich wegnehmen und wo in den Einstellungen finde ich das. Wenn du beim Klickweg unsicher bist, sag das, statt dir einen auszudenken.

3. MEINE BITTEN GEGEN ECHTE SCHLÖSSER
Finde jede Regel, die ich dir bisher nur gesagt statt eingestellt habe. Für jede: wie stelle ich sie wirklich ein, und wenn das in meinem Tarif nicht geht, was ist der nächstbeste echte Weg.

4. WAS NIE PASSIEREN DARF
Nenn mir jede Sache, die du gerade tun könntest, die sich nicht rückgängig machen lässt, nach draußen geht oder Geld kostet. Für jede: blockieren, nachfragen, oder darf automatisch laufen. Löschen steht dabei immer auf blockieren.

5. DER SCHADEN
Angenommen, morgen geht alles schief, was mit meinen jetzigen Einstellungen schiefgehen kann. Beschreib in normalen Worten, was dann passiert und wen es trifft. Dann nenn mir die zwei Änderungen, die den Schaden am meisten verkleinern bei der wenigsten Arbeit.

6. MEINE SCHLÜSSEL-LISTE
Zum Schluss: eine Liste zum Abhaken, sortiert nach dem, was am meisten bringt pro Minute Arbeit. Höchstens sieben Punkte. Jeden so schreiben, dass ich ihn heute in unter zehn Minuten erledigen kann. Nichts, wofür ich erst etwas lernen muss.

Wenn ich oben etwas vage beschrieben habe, frag nach, statt zu raten.

Zwei Hinweise dazu.

Er funktioniert in jeder KI, du brauchst nichts zu installieren. Und du musst nicht alles wissen, was er fragt. Wenn du bei einer Zeile nicht sicher bist, schreib das einfach hin. Er fragt dann nach.

Es ist gut, und es ist nicht null. Beides stimmt gleichzeitig.

Anthropic, die Firma hinter der KI Claude, hat das selbst durchgetestet und die Zahlen veröffentlicht. Und zwar zweimal, zu zwei verschiedenen Zeitpunkten. Das ist wichtig, sonst liest sich das falsch.

Beim Start, als das Ganze noch ein Pilotprojekt war, kamen ohne Schutzmaßnahmen 23,6 % der Angriffsversuche durch. Mit Schutz und der KI allein arbeitend waren es 11,2 %. Bei einer Gruppe von Angriffsmustern, die nur im Browser funktionieren, ging es von 35,7 % auf 0 %.

Heute, gegen ihren eigenen härtesten Testangriff, steht der Wert bei 1 %. Es ist also deutlich besser geworden.

Und trotzdem schreiben sie selbst dazu: Ein Prozent ist immer noch ein echtes Risiko, und keine KI, die im Browser arbeitet, ist dagegen immun.

Ich finde, so darf man das auch sagen. Ein Prozent ist wenig. Null ist es nicht.

Dazu ein Fall, der wirklich passiert ist. In der offiziellen Browser-Erweiterung gab es eine Lücke, bei der schon der Besuch einer präparierten Webseite gereicht hat, damit jemand Fremdes der KI Anweisungen unterschieben konnte. Gemeldet wurde das am 27.12.2025, zwanzig Tage später war es repariert. Öffentlich gemacht im März 2026.

Für dich heißt das genau eine Sache: Wenn du so eine Erweiterung nutzt, halt sie aktuell. Alte Versionen sind offen. Das ist der ganze Aufwand.

Zurück zu mir.

Meine KI darf in dem Programm arbeiten, in dem ich gerade an einer Sache sitze. Sie fragt, bevor etwas rausgeht. Sie adressiert Kampagnen erst an mich. Und wenn ich mit ihr an meinen Mails arbeite, ist daneben nichts offen, wo Fremde reinschreiben können.

Sie hat keinen Zugang zu meiner Buchhaltung. Sie hat keinen Zugang zu den Unterlagen meines Vaters. Nicht weil sie das nicht könnte, sondern weil sie da nichts zu suchen hat.

Das ist es im Grunde schon. Kein Sicherheitskonzept. Eine Etage, ein Schlüssel, eine Aufgabe.

1. Ein Satz ist kein Schloss. Stell sie auf Nachfragen, statt es ihr nur zu sagen.
2. Nur der eine Schlüssel. Eine Seite, eine Aufgabe, ein eigener Zugang, wenn möglich.
3. Rechne mit dem Fehler. Testliste statt echter Liste, immer.

Etage, nicht Tresor.

Wenn du dir sonst nichts merkst, dann das. Bei jeder Freigabe, die dir ein Programm anbietet, ist die Frage: Ist das die Etage, auf der sie gerade putzt? Oder ist das der Tresor?

Bleib schön einzig. Nicht artig.

• Euronews, An AI agent deleted a company's entire database in 9 seconds (28.04.2026) — https://www.euronews.com/next/2026/04/28/an-ai-agent-deleted-a-companys-entire-database-in-9-seconds-then-wrote-an-apology
• Simon Willison, zum Muster der drei Schlüssel (lethal trifecta) — https://simonwillison.net/

• OpenAI, Hugging Face model evaluation security incident — https://openai.com/index/hugging-face-model-evaluation-security-incident/
• Fortune, OpenAI says its AI models escaped from a secure test environment (21.07.2026) — https://fortune.com/2026/07/21/openai-says-ai-models-escaped-control-hacked-hugging-face/
• CNN Business, An OpenAI test model escaped and broke into a real company's servers (22.07.2026) — https://www.cnn.com/2026/07/22/tech/openai-hugging-face-ai-cybersecurity
• Anthropic, Piloting Claude for Chrome (die Pilot-Zahlen) — https://www.anthropic.com/news/claude-for-chrome
• Anthropic, Mitigating the risk of prompt injections in browser use — https://www.anthropic.com/news/prompt-injection-defenses
• The Hacker News, Claude Extension Flaw Enabled Zero-Click XSS Prompt Injection (03/2026) — https://thehackernews.com/2026/03/claude-extension-flaw-enabled-zero.html
• SOCRadar, ShadowPrompt: Zero-Click Prompt Injection Chain — https://socradar.io/blog/shadowprompt-zero-click-anthropics-claude/