Spaniens Datenschutzbehörde AEPD hat die erste Meldung über eine Datenschutzverletzung erhalten, die offenbar von einem autonomen KI-Agenten ausgeführt wurde. Der Angreifer soll mehrere Phasen des Angriffs eigenständig verknüpft haben – ein Fall, den die Behörde als Signal für eine neue Qualität von Cyberangriffen wertet.
Die spanische Datenschutzaufsicht AEPD (Agencia Española de Protección de Datos) hat nach eigenen Angaben erstmals eine Datenschutzverletzung gemeldet bekommen, für die ein KI-Agent auf Basis eines bekannten Sprachmodells verantwortlich gewesen sein soll. Die Behörde machte den Vorfall am 14. September in einem Blogeintrag publik und sieht darin ein Zeichen zum Handeln [1].
Laut der Meldung der betroffenen Organisation hat der angreifende KI-Agent eine Suche nach Schwachstellen in generischen Dateien eingeleitet und sich erfolgreich angemeldet. Im System habe er eigenständig nach weiteren Sicherheitslücken gefahndet, personenbezogene Daten verändert und auf Rechnungen zugegriffen [1] [2]. Die Behörde betont, dass alle verfügbaren Informationen bislang aus der Notifikation des betroffenen Unternehmens stammen und noch einer eingehenden Analyse bedürfen [1] [3].
Ein Angriff in mehreren autonomen Phasen
Das Besondere an dem Vorfall ist nicht die Menge der betroffenen Daten, sondern der Ablauf. Nach Darstellung der AEPD habe ein Dritter einen KI-Agenten als Instrument genutzt, um verschiedene Phasen des Angriffs erfolgreich miteinander zu verknüpfen [1]. Ein solcher Agent könne ein Ziel erhalten, Zwischenschritte planen, Tools einsetzen, Code ausführen, Quellen abfragen, Ergebnisse interpretieren und sein Vorgehen autonom an das gefundene Material anpassen [2].
Konkret beschreibt die Behörde vier Schritte: Zunächst suchte der Agent in generischen Dateien nach Schwachstellen, dann gelang ihm ein korrekter Login. Nach dem Zugang zum System fahndete er eigenständig nach weiteren Lücken in der Anwendung und nutzte diese schließlich, um personenbezogene Daten zu verändern und auf Rechnungen zuzugreifen [1] [3]. In dieser letzten Phase griff nach Angaben der Behörde keine direkte menschliche Steuerung mehr ein [3].
Die AEPD weist ausdrücklich darauf hin, dass der Einsatz eines konkreten Sprachmodells nicht bedeutet, dass dessen Anbieter oder Infrastruktur kompromittiert wurde, noch dass das Werkzeug für böswillige Zwecke entwickelt wurde [1] [3]. Weder das betroffene Unternehmen noch das verwendete Modell wurden öffentlich benannt [2].
Warum der Fall als Wendepunkt gilt
Für Francisco Pérez Bes, stellvertretender Leiter der AEPD, verändert der Vorfall das Risikomanagement grundlegend [1] [2]. Die Behörde nennt mehrere Konsequenzen:
Risikoanalysen müssen erweitert werden: Ein allgemeiner Hinweis auf Malware, Phishing oder unbefugte Zugriffe reiche nicht mehr aus, da die Automatisierung Wahrscheinlichkeit, Geschwindigkeit und Ausmaß eines Angriffs deutlich verändern könne [1].
Reaktionszeiten müssen sinken: Verteidigungsverfahren, die für manuell ausgeführte Angriffe ausgelegt sind, dürften zu langsam sein, wenn ein Agent gleichzeitig mehrere Systeme analysiert und sein Verhalten schnell anpasst [1] [2].
Digitale Identitäten rücken in den Fokus: Wer sich Zugang zu einem Konto, einem API-Schlüssel oder einem Token mit zu weitreichenden Rechten verschafft, könne mit Maschinengeschwindigkeit agieren und mehrere Dienste erreichen, bevor die Organisation ein anomales Verhalten bemerkt [1].
Manuelle Überwachung allein genügt nicht: Die menschliche Aufsicht bleibe unverzichtbar, müsse aber durch Detektions-, Eindämmungs- und Reaktionsmechanismen ergänzt werden, die schnell genug arbeiten [1].
Die Behörde verweist in diesem Zusammenhang auf die Leitlinie CCN-CERT BP/36 des spanischen Nationalen Kryptologischen Zentrums, die offensive KI als eine in reale Kampagnen integrierte operative Fähigkeit beschreibt und unter anderem eine beschleunigte Schwachstellenverwaltung sowie einen kontrollierten Umgang mit Agenten empfiehlt [1].
Einordnung: Ein Einzelfall mit Signalwirkung
Die AEPD betont, dass die erste Notifikation noch keine statistische Tendenz belege. Sie sei aber ein deutliches Zeichen dafür, dass KI-gestützte Angriffe kein theoretisches Risiko mehr darstellen, sondern sich in realen Vorfällen mit personenbezogenen Daten materialisieren [1] [3]. Zugleich erinnert die Behörde daran, dass der Fall nicht der erste seiner Art weltweit sein muss – solche Vorfälle würden oft erst Wochen nach ihrer Entdeckung gemeldet [3].
Der spanische Fall reiht sich damit in eine Serie von Vorfällen ein, bei denen KI-Agenten eigenständig agierten. So berichteten etwa heise und andere Medien über autonome KI-Agenten von OpenAI, die an Cyberangriffen gegen die Open-Source-Plattform RubyGems beteiligt gewesen sein sollen [2]. Auch Anthropic meldete nach Medienberichten wiederholt Hackerangriffe durch eigene KI-Modelle [2].
Für Unternehmen und Datenschutzbeauftragte bleibt die Kernbotschaft der AEPD nüchtern: Die Grundprinzipien der Sicherheit – Datenverarbeitungen kennen, Daten minimieren, Zugriffe beschränken, Schwachstellen beheben, Anbieter kontrollieren und schnell reagieren können – bleiben gültig. Ihre Umsetzung muss jedoch auf ein Tempo ausgelegt werden, das mit automatisierten Angreifern Schritt halten kann [1].