Das BSI ordnet Indirect Prompt Injections als Schwachstellenklasse ein, die im Februar 2023 erstmals in der Wissenschaft diskutiert wurde; zum Zeitpunkt dieser Einordnung wurden im Internet vermehrt konkrete Proof-of-Concepts zur Ausnutzung dargestellt und diskutiert. Die Eingabe kann absichtlich sein, wenn ein Angreifer einen Prompt gezielt gestaltet, um das Modell auszunutzen, oder unbeabsichtigt, wenn ein Nutzer ahnungslos eine Eingabe macht, die unerwartetes Verhalten ausl\u00f6st. Gezielt gestaltete Eingaben ver\u00e4ndern dabei den urspr\u00fcnglichen Zweck eines Prompts<\/strong> oder einer Anweisungsfolge. Die Schwachstelle richtet sich gegen Large Language Models und wird als neuartig beschrieben.<\/p>\n
Gro\u00dfe Sprachmodelle unterscheiden laut BSI nicht zwischen Anweisungen und sonstigen Texten; Prompt Injection nutzt das aus, wenn Angreifende Anweisungen direkt eingeben oder in Dokumenten verstecken, die etwa ein KI-Assistent in der Schadenbearbeitung eines Versicherers auswertet. Bei einer indirekten Prompt Injection nimmt das Modell Eingaben aus externen Quellen wie Webseiten oder Dateien an. OWASP vergleicht Prompt Injection mit klassischer Command Injection im Bereich der nat\u00fcrlichen Sprache<\/strong>; das britische NCSC h\u00e4lt dagegen, dass sich Prompt Injection anders als SQL-Injection auch k\u00fcnftig wohl nicht auf dieselbe Weise beheben l\u00e4sst.<\/p>\n
Wie funktioniert Prompt Injection?<\/h2>\n
Ein Sprachmodell kann Bestandteile eines anderweitig zu verarbeitenden Texts als Anweisung verstehen, die \u00fcber die urspr\u00fcngliche Anweisung der nutzenden Person hinausgeht. Die Kernschwachstelle liegt nach OWASP in einer semantischen L\u00fccke<\/strong>: Der Systemprompt mit den Anweisungen der Entwickler und die Eingabe des Nutzers teilen dasselbe Grundformat, n\u00e4mlich Zeichenketten in nat\u00fcrlicher Sprache.<\/p>\n
Das britische National Cyber Security Centre (NCSC) beschreibt Prompt Injection so, dass Entwickler ihre eigenen Anweisungen mit nicht vertrauensw\u00fcrdigen Inhalten in einem einzigen Prompt verketten und die Antwort des Modells dann behandeln, als g\u00e4be es eine belastbare Grenze<\/strong> zwischen dem, was die Anwendung angefordert hat, und dem nicht vertrauensw\u00fcrdigen Inhalt. Bei der indirekten Variante k\u00f6nnen Angreifende die Daten in externen Quellen manipulieren und dort unerw\u00fcnschte Anweisungen f\u00fcr Sprachmodelle platzieren.<\/p>\n
Prompt Injection im Vergleich<\/h2>\n
\n\n
\n
Kriterium<\/th>\n
Prompt Injection<\/th>\n
Jailbreak<\/th>\n
SQL-Injection<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Angriffsziel<\/td>\n
Verhalten oder Ausgabe eines Sprachmodells<\/td>\n
Die Sicherheitsvorgaben des Modells<\/td>\n
Der Interpreter einer Datenbank, der Teile der Eingabe als SQL-Befehle ausf\u00fchrt<\/td>\n<\/tr>\n
\n
Gegenma\u00dfnahme<\/td>\n
Laut NCSC besteht eine gute Chance, dass Prompt Injection nie auf dieselbe Weise behoben werden kann<\/td>\n
In den verwendeten Quellen nicht ausgef\u00fchrt<\/td>\n
L\u00e4sst sich laut NCSC mit parametrisierten Abfragen beheben<\/td>\n<\/tr>\n
\n
Einordnung in OWASP-Listen<\/td>\n
LLM01:2025 in der Liste f\u00fcr LLM-Anwendungen<\/td>\n
Siehe Abschnitt H\u00e4ufiger Irrtum<\/td>\n
Geh\u00f6rt zur Kategorie A05:2025 Injection der OWASP Top 10<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Woran erkenne ich Prompt Injection?<\/h2>\n
\n\n
\n
Merkmal<\/th>\n
Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Auswirkung<\/td>\n
Schwere und Art der Auswirkung h\u00e4ngen weitgehend vom gesch\u00e4ftlichen Kontext ab, in dem das Modell arbeitet, und vom Handlungsspielraum, den die Architektur dem Modell einr\u00e4umt.<\/td>\n<\/tr>\n
\n
Ungepr\u00fcfte Daten aus unsicheren Quellen<\/td>\n
Das BSI nennt als Merkmal, dass bei vielen der vorgesehenen Anwendungsf\u00e4lle ungepr\u00fcfte Daten aus unsicheren Quellen verarbeitet werden.<\/td>\n<\/tr>\n
\n
F\u00fcr Menschen nicht sichtbare oder lesbare Eingaben<\/td>\n
Nach OWASP k\u00f6nnen sich solche Eingaben auf das Modell auswirken, auch wenn Menschen sie nicht wahrnehmen k\u00f6nnen; sie m\u00fcssen f\u00fcr Menschen nicht sichtbar oder lesbar sein, solange das Modell den Inhalt verarbeitet.<\/td>\n<\/tr>\n
\n
Versteckte Anweisungen in Bildern (multimodal)<\/td>\n
B\u00f6swillige Akteure k\u00f6nnten Wechselwirkungen zwischen Modalit\u00e4ten ausnutzen, etwa indem sie Anweisungen in Bildern verstecken, die einen harmlosen Text begleiten.<\/td>\n<\/tr>\n
\n
Fehlgeschlagene Tool- und API-Aufrufe<\/td>\n
Nach dem britischen NCSC muss ein Angreifer seinen Angriff wahrscheinlich verfeinern, sodass das Erkennen und Beantworten fehlgeschlagener Tool- oder API-Aufrufe fr\u00fchere Phasen eines Angriffs erkennbar machen k\u00f6nnte.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Nach OWASP ist unklar, ob es l\u00fcckenlos wirksame Verfahren zur Pr\u00e4vention von Prompt Injection gibt; das britische National Cyber Security Centre (NCSC) setzt statt auf eine Behebung darauf, Risiko und Auswirkungen zu verringern.<\/li>\n
Die Zugriffsrechte des Modells auf das f\u00fcr den vorgesehenen Betrieb notwendige Minimum beschr\u00e4nken.<\/li>\n
F\u00fcr privilegierte Vorg\u00e4nge eine menschliche Freigabe (Human-in-the-Loop) vorsehen, als Kontrolle gegen nicht autorisierte Aktionen.<\/li>\n
Nicht vertrauensw\u00fcrdige Inhalte trennen und klar kennzeichnen, um ihren Einfluss auf Nutzer-Prompts zu begrenzen.<\/li>\n<\/ul>\n
KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[425,437,393],"class_list":["post-34250","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-anwendungs-cloud-sicherheit","glossary_intl_topic-ki-llm-sicherheit","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"Prompt Injection: Eingaben, die das Verhalten eines Sprachmodells auf unbeabsichtigte Weise ver\u00e4ndern.","nav_theme":"Anwendungs- & Cloud-Sicherheit","nav_subtheme":"KI- & LLM-Sicherheit","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"KI-Prompt-Injektion"}],"lead_definition":"Prompt Injection bezeichnet eine Schwachstelle von Sprachmodellen (Large Language Models, kurz LLM), bei der absichtliche oder unbeabsichtigte Eingaben das Verhalten oder die Ausgabe des Modells auf unbeabsichtigte Weise manipulieren.","at_a_glance":[{"bullet":"Zwei Wege: Die Eingabe kann direkt erfolgen oder \u00fcber externe Quellen wie Webseiten oder Dateien kommen."},{"bullet":"Abgrenzung: Prompt Injection und Jailbreak sind verwandte Begriffe, die nicht einheitlich abgegrenzt werden."},{"bullet":"Schutz: Nach OWASP ist unklar, ob es l\u00fcckenlose Verfahren zur Pr\u00e4vention gibt; Ma\u00dfnahmen zielen darauf, Zugriffsrechte und Auswirkungen zu begrenzen."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Szenario aus der Beschreibung der Schwachstelle: Ein Angreifer schleust in einen Chatbot f\u00fcr den Kundensupport einen Prompt ein, der ihn anweist, vorherige Richtlinien zu ignorieren, private Datenspeicher abzufragen und E-Mails zu versenden; die Folge sind unbefugter Zugriff und Rechteausweitung."},{"example":"In einem weiteren Szenario nimmt ein Unternehmen in eine Stellenbeschreibung eine Anweisung auf, um KI-generierte Bewerbungen zu erkennen. Ein Bewerber, der davon nichts wei\u00df, optimiert seinen Lebenslauf mit einem Sprachmodell und l\u00f6st dadurch unbeabsichtigt die KI-Erkennung aus."},{"example":"Ein KI-Assistent in der Schadenbearbeitung eines Versicherers k\u00f6nnte ein Dokument auswerten, in dem Anweisungen versteckt sind."}],"misconception":[{"myth":"Prompt Injection und Jailbreak bezeichnen dasselbe.","reality":"Die beiden Begriffe sind verwandt, werden aber unterschiedlich abgegrenzt: OWASP f\u00fchrt Jailbreaking als Form von Prompt Injection, bei der Eingaben das Modell dazu bringen, seine Sicherheitsvorgaben vollst\u00e4ndig zu missachten; laut BSI wird h\u00e4ufig von Jailbreaking gesprochen, wenn Schutzmechanismen im Modell selbst implementiert sind, etwa durch Fine-Tuning, und von Prompt Injection, wenn die Sicherheitsma\u00dfnahmen \u00fcber Instruction-Tuning realisiert sind."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34253],"pillar_link":null,"sources":[{"publisher":"","name":"LLM01:2025 Prompt Injection","url":"https:\/\/genai.owasp.org\/llmrisk\/llm01-prompt-injection\/","doc_type":"","group":"used"},{"publisher":"","name":"Prompt injection is not SQL injection (it may be worse) | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/blog-post\/prompt-injection-is-not-sql-injection","doc_type":"2025","group":"used"},{"publisher":"","name":"Bundesamt f\u00fcr Sicherheit in der Informationstechnik - Indirect Prompt Injections - Intrinsische Schwachstelle in anwendungsintegrierten KI-Sprachmodellen","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2023\/2023-249034-1032_csw.html","doc_type":"2023","group":"used"},{"publisher":"","name":"Prompt Injection","url":"https:\/\/owasp.org\/www-community\/attacks\/PromptInjection","doc_type":"","group":"used"},{"publisher":"","name":"Generative KI-Modelle","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/KI\/Generative_KI-Modelle.pdf?__blob=publicationFile&v=7","doc_type":"2025","group":"used"},{"publisher":"","name":"A05 Injection - OWASP Top 10:2025","url":"https:\/\/owasp.org\/Top10\/2025\/A05_2025-Injection\/","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t