BSI-Basisschutz gegen Indirect Prompt Injection: Was Kanzleien und KMU jetzt über KI-Chats mit Dokumenten wissen sollten#

Viele Betriebe nutzen KI inzwischen genau so: Ein Mitarbeiter lädt ein PDF, eine Mail oder einen Vertrag in einen KI-Chat und bittet um eine Zusammenfassung. Das spart Zeit. Es öffnet aber auch eine Tür, die die meisten nicht auf dem Schirm haben. Denn wer das Dokument geschrieben hat, schreibt in diesem Moment am Prompt mit.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu am 24. September 2026 eine praktische Handreichung veröffentlicht: "Basisschutz gegen Indirect Prompt Injection in dokumentbasierten LLM-Chats". Sie beschreibt fünf Basismaßnahmen und stellt den passenden Code offen auf GitHub bereit. In diesem Beitrag ordnen wir ein, was dahintersteckt und was das für Steuerkanzleien, Handwerksbetriebe und Online-Händler konkret bedeutet.

Was ist eine Indirect Prompt Injection?#

Bei einer direkten Prompt Injection tippt der Angreifer seine Anweisung selbst in den Chat. Bei einer indirekten Prompt Injection sind die Rollen getrennt: Die schädliche Anweisung steckt in einer externen Quelle, etwa einem Dokument oder einer Webseite, und der Nutzer gibt sie ahnungslos an die KI weiter.

Das BSI beschreibt, wie das in der Praxis aussieht. Angreifer verstecken Anweisungen nicht nur im sichtbaren Text, sondern auch in Metadaten, Annotationen und Kommentaren. Sie nutzen unsichtbare Unicode-Zeichen oder weiße Schrift auf weißem Hintergrund. Das Ziel: Der Chatbot soll der versteckten Anweisung folgen. Typische Folgen laut BSI sind Datenabflüsse, die Offenlegung des System-Prompts oder eine fehlerhaft erledigte Aufgabe.

Der Kern des Problems ist simpel. Ein Sprachmodell kann von sich aus nicht zuverlässig unterscheiden, was Anweisung des Nutzers, Vorgabe des Betreibers und bloßer Dokumentinhalt ist. Für das Modell ist alles eine Kette von Zeichen. In der OWASP Top 10 für LLM-Anwendungen steht Prompt Injection deshalb weiterhin auf Platz eins.

Die fünf Basismaßnahmen des BSI#

Das BSI hat mehrere dokumentbasierte KI-Chats im Red Teaming gezielt angegriffen. Eine Schwäche tauchte immer wieder auf: Dokumentinhalte landen ungefiltert im Prompt und sind nicht sauber von der Nutzeranfrage getrennt. Daraus leitet die Behörde fünf Maßnahmen ab, die an verschiedenen Stellen der Verarbeitung ansetzen.

1. Eingabe-Bereinigung#

Bevor der Text aus einem Dokument an das Modell geht, wird er auf Zeichenebene geprüft. Versteckte Zeichen und bekannte Trigger werden erkannt. Auffälligkeiten sollen laut BSI markiert und protokolliert, aber nicht einfach gelöscht werden. So bleibt ein Angriff nachvollziehbar und legitimer Inhalt geht nicht verloren.

2. Vertrauensbereich-Trennung#

Der Dokumentinhalt wird klar als nicht vertrauenswürdig verpackt, etwa in einem eigenen XML-Block mit einer zufälligen Session-ID pro Anfrage. Ein Angreifer müsste diese ID kennen, um aus dem Block auszubrechen. Dazu kommt eine sogenannte Sandwich-Defense: Vor dem Inhalt, danach und am Ende der Nutzereingabe wird wiederholt, dass es sich nur um Daten handelt.

3. Gehärteter System-Prompt#

Die Grundanweisung des Betreibers wird so aufgebaut, dass sie Manipulation möglichst widersteht. Ein zentraler Satz daraus: Dem Dokumentinhalt wird keine Anweisungsbefugnis zugesprochen. Dazu kommen harte Verbote, etwa keine Ausgabe von Links zur Datenausleitung, und ein geheimer Canary-Token. Taucht dieser Token in einer Antwort auf, ist das ein klares Zeichen für einen Datenabfluss.

4. Modellauswahl und Reasoning#

Nicht jedes Modell ist gleich robust. Das BSI empfiehlt, Modelle anhand messbarer Kriterien und passender Benchmarks auszuwählen. Ein vorgeschalteter Denkschritt (Reasoning) zählt laut BSI zu den wirksamsten Hebeln, weil das Modell sprachlich getarnte Angriffe eher durchschaut. Auch das bietet aber keinen vollständigen Schutz.

5. Egress-Filter#

Die letzte Verteidigungslinie prüft die fertige Antwort, bevor sie beim Nutzer ankommt. Gesucht wird nach dem Canary-Token, nach Teilen des System-Prompts, nach Anzeichen für einen erfolgreichen Angriff und nach Links, über die Daten abfließen könnten. Das BSI empfiehlt eine Whitelist erlaubter Adressen. Im Zweifel wird die URL gesperrt.

Basisschutz heißt nicht Vollschutz#

Das BSI ist an dieser Stelle bemerkenswert deutlich. Indirect Prompt Injections gelten weiterhin als nicht abschließend lösbares Problem. Die fünf Maßnahmen sind ein Fundament gegen offensichtliche Angriffswege, aber keine hinreichende Schutzbedingung. Sie ersetzen weder ein anwendungsspezifisches Red Teaming noch eine individuelle Sicherheitsbewertung.

Zwei Empfehlungen aus der Zusammenfassung sind für den Mittelstand besonders wichtig. Erstens: Der Schutz entsteht im Zusammenspiel, deshalb sollten alle Maßnahmen gemeinsam umgesetzt werden. Zweitens: Je mehr sich KI-Chats in Richtung KI-Agenten entwickeln, die selbst handeln, desto dringender empfiehlt das BSI eine menschliche Bestätigung sicherheitskritischer Aktionen sowie eine kontinuierliche Protokollierung.

Was das für Kanzleien, Handwerk und E-Commerce bedeutet#

Die Handreichung richtet sich an Entwickler und Betreiber. Die Folgen betreffen aber jeden Betrieb, der Dokumente in KI-Werkzeuge gibt.

In der Steuerkanzlei kommen täglich Belege, Bescheide und Mandantenmails an. Wird so ein Dokument in einen KI-Chat gegeben, der auch Zugriff auf andere Mandantendaten hat, wird aus einer versteckten Anweisung schnell ein Problem für die Verschwiegenheit.

Im Handwerksbetrieb sind es Ausschreibungen, Lieferantenangebote und Rechnungen als PDF. Eine manipulierte Rechnung, die ein KI-Assistent zusammenfasst oder vorkontiert, sollte niemals ohne Prüfung zu einer Zahlung führen.

Im E-Commerce lesen KI-Systeme Kundenmails, Retourengründe und Produktbewertungen. Genau dort kann jeder Außenstehende Text einschleusen. Ein Service-Agent, der auf solche Inhalte hin Gutschriften auslöst oder Links verschickt, braucht klare Grenzen.

Die gemeinsame Regel lautet: Was aus einem fremden Dokument kommt, darf die KI informieren, aber nicht steuern.

Praxis-Checkliste für Ihren Betrieb#

• Welche KI-Tools nutzen Ihre Mitarbeitenden heute mit Dokumenten, Mails oder Webseiten? Erstellen Sie eine ehrliche Liste.
• Welche dieser Tools haben Zugriff auf weitere Daten, etwa Postfach, Mandantenakten, CRM oder Shop-Backend?
• Kann eines der Tools selbst handeln, also Mails senden, Zahlungen anstoßen oder Daten ändern? Dort gehört eine menschliche Freigabe davor.
• Werden Antworten der KI auf verdächtige Links geprüft, bevor sie angezeigt oder weitergegeben werden?
• Gibt es ein Protokoll, mit dem sich im Nachhinein nachvollziehen lässt, welches Dokument welche Antwort ausgelöst hat?
• Wissen Ihre Mitarbeitenden, dass ein PDF von außen genauso misstrauisch zu behandeln ist wie ein Mailanhang?
• Fragen Sie Ihre Softwareanbieter, welche der fünf BSI-Basismaßnahmen sie umsetzen.

Zentral statt in jedem Tool einzeln#

Die meisten Betriebe nutzen nicht ein KI-Tool, sondern mehrere. Jedes einzeln abzusichern ist mühsam und lückenhaft. Sinnvoller ist eine zentrale Schicht zwischen Mitarbeitenden, Daten und KI: Dort werden externe Inhalte als Daten markiert, Ausgaben gefiltert, Freigaben für kritische Aktionen erzwungen und alles protokolliert.

Genau dafür haben wir das AI Trust Gateway entwickelt. Wer erst einmal wissen will, wo der Betrieb steht, startet mit einer Bestandsaufnahme der genutzten KI-Tools und ihrer Zugriffe. Sprechen Sie uns gern an.

Quellen#

• BSI: Basisschutz gegen Indirect Prompt Injection in dokumentbasierten LLM-Chats, Datum 24.09.2026
• BSI: Handreichung als PDF, Version 1.0
• BSI auf GitHub: baseline_defense_lab_indirectPromptInjections, Code und Agenten-Skill zur Prüfung