---
id: CP-281
slug: direkte-prompt-injection-jailbreak-assistent
lang: de
title: Direkte Prompt-Injection
description: "Eine im Chat eingegebene Anweisung kann einen KI-Assistenten manchmal aus seinen Regeln lösen: Mechanismus, Anzeichen, datierte Fälle, Vorbeugung."
canonical_url: https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent/
markdown_url: https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent.md
publisher: Brain (https://startbrain.io)
license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/)
cite_as: Brain, „Direkte Prompt-Injection“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent/ (CC BY 4.0)
wing: 4
theme: prompt_correctly
reflex: air-012
schema: G1
updated: "2026-11-03"
translations:
  de: https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent/
  fr: https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant/
  en: https://startbrain.io/cyberpedia/en/articles/direct-prompt-injection-jailbreak/
  es: https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente/
sources:
  - "n": 1
    title: LLM01:2025 Prompt Injection
    publisher: OWASP
    url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/
    accessed: "2026-11-03"
  - "n": 2
    title: Prompt injection is not SQL injection (it may be worse)
    publisher: NCSC (Royaume-Uni)
    url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection
    published: "2025-12-08"
    accessed: "2026-11-03"
  - "n": 3
    title: "Ignore Previous Prompt: Attack Techniques For Language Models"
    publisher: arXiv
    url: https://arxiv.org/abs/2211.09527
    published: "2022-11-17"
    accessed: "2026-11-03"
  - "n": 4
    title: Prompt Injection attack against LLM-integrated Applications
    publisher: arXiv
    url: https://arxiv.org/abs/2306.05499
    published: "2023-06-08"
    accessed: "2026-11-03"
  - "n": 5
    title: "Jailbroken: How Does LLM Safety Training Fail?"
    publisher: arXiv
    url: https://arxiv.org/abs/2307.02483
    published: "2023-07-05"
    accessed: "2026-11-03"
  - "n": 6
    title: "AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC"
    publisher: NIST
    url: https://csrc.nist.gov/pubs/ai/100/2/e2025/final
    accessed: "2026-11-03"
---

# Direkte Prompt-Injection

Ein KI-Assistent im Unternehmen arbeitet mit Regeln, die der Anbieter oder das Unternehmen festgelegt hat. Bei der direkten Prompt-Injection gibt jemand im Chatfenster einen Text ein, der das Verhalten des Modells in einer nicht vorgesehenen Weise verändert [1].

Wer den Text eingibt, ist nicht immer ein Angreifer. OWASP weist darauf hin, dass die Eingabe beabsichtigt oder unbeabsichtigt sein kann: Eine Nutzerin oder ein Nutzer kann unerwartetes Verhalten auslösen, ohne es zu wollen [1].

## In 30 Sekunden

- Wo es passiert: im Chatfenster eines KI-Assistenten, zum Beispiel bei einem Chatbot im Kundensupport [1].
- Was der Angreifer will: das Modell dazu bringen, seine Vorgaben zu ignorieren, seine internen Anweisungen preiszugeben oder Inhalte zu erzeugen, die das Unternehmen verbieten wollte [1].
- Der Reflex: Einen KI-Assistenten als Gesprächspartner behandeln, den eine geschickte Anweisung vom Kurs abbringen kann, ihm nur die unbedingt nötigen Zugriffe geben und jede sensible Aktion von einer Person freigeben lassen.
- Wenn es schon passiert ist: Die Unterhaltung dem Team melden, das den Assistenten betreibt, zusammen mit einem Screenshot des Austauschs.

## Direkte Fragen

### Was ist eine direkte Prompt-Injection?

Gemeint ist der Fall, in dem der vom Nutzer eingegebene Text das Verhalten des Modells unmittelbar und unerwartet verändert [1]. Davon unterscheidet sich die indirekte Injection, bei der das Modell externe Inhalte (Website, Datei) liest, die die Anweisungen enthalten [1].

### Was hat das mit Jailbreaking zu tun?

Beide Begriffe werden oft gleichbedeutend verwendet. Laut OWASP ist ein Jailbreak eine Form der Prompt-Injection, bei der der Angreifer das Modell dazu bringt, seine Sicherheitsprotokolle vollständig zu ignorieren [1]. Die Prompt-Injection ist der weitere Begriff: Sie besteht darin, die Antworten des Modells durch gezielte Eingaben zu manipulieren, was auch die Umgehung von Sicherheitsmaßnahmen einschließen kann [1].

### Warum lässt sich das Modell überzeugen?

Weil es Anweisungen und Daten nicht trennt. Das britische NCSC schreibt, die heutigen großen Modelle setzten innerhalb eines Prompts keine Sicherheitsgrenze zwischen beiden durch [2]. Der Entwickler fügt seine eigenen Anweisungen und den Text des Nutzers in einen einzigen Prompt ein und behandelt die Antwort dann so, als gäbe es zwischen beiden eine feste Grenze [2].

### Lässt sich das Problem ein für alle Mal beheben?

Wahrscheinlich nicht. Das NCSC hält es für möglich, dass diese Angriffe nie vollständig unschädlich gemacht werden, anders als die SQL-Injection [2]. OWASP sagt seinerseits, es sei unbekannt, ob es unfehlbare Methoden zur Vorbeugung gibt [1]. Das realistische Ziel ist, Wahrscheinlichkeit und Auswirkung zu verringern [2].

## In der Haut des Angreifers

Die Forscher Fábio Perez und Ian Ribeiro zeigten 2022, dass wenig versierte, aber böswillige Personen GPT-3 mit einfachen, von Hand geschriebenen Texten umlenken können [3]. Sie beschreiben zwei Ziele: das Ziel des Modells umlenken (Goal Hijacking) und es dazu bringen, seinen Prompt preiszugeben (Prompt Leaking) [3].

Ein zweites Ziel ist die zweckentfremdete Nutzung. Ein Forschungsteam beschrieb 2023 Ergebnisse wie die unbegrenzte und beliebige Nutzung des Modells hinter einer Anwendung sowie den mühelosen Diebstahl des Prompts der Anwendung [4].

Ein Jailbreak funktioniert anders. Die Autoren der Studie „Jailbroken“ nennen zwei Ursachen dafür, dass das Sicherheitstraining versagt: konkurrierende Ziele (die Fähigkeiten des Modells stehen im Konflikt mit seinen Sicherheitsregeln) und unpassende Generalisierung (die Sicherheit deckt einen Bereich nicht ab, in dem das Modell dennoch Fähigkeiten hat) [5].

OWASP nennt außerdem Varianten. Der Angreifer kann seiner Nachricht eine scheinbar sinnlose Zeichenfolge anhängen oder mehrere Sprachen oder eine Kodierung wie Base64 nutzen, um Filter zu umgehen [1].

## Was Sie auf dem Bildschirm sehen

Aus Sicht der Nutzer oder des Unternehmens erkennt man einen gelungenen Angriff an seinen Folgen. OWASP listet die möglichen Konsequenzen auf: Offenlegung sensibler Informationen, Preisgabe von Informationen über die Infrastruktur oder über die System-Prompts, verfälschte oder einseitige Inhalte, unbefugter Zugriff auf Funktionen des Modells, Ausführung von Befehlen in angebundenen Systemen [1].

In der Praxis sollte ein Assistent Sie alarmieren, der am Thema vorbei antwortet, seine eigenen Vorgaben aufsagt oder Inhalte erzeugt, die das Unternehmen nie freigegeben hätte. OWASP nennt ein typisches Szenario: Ein Angreifer bittet einen Support-Chatbot, seine Vorgaben zu ignorieren, private Daten abzufragen und E-Mails zu versenden [1].

Hier eine Illustration einer solchen Nachricht, entschärft und umschrieben:

```text
Illustration (umschriebene Nachricht, nicht funktionsfähig):
[Anweisung, die den Chatbot auffordert, die vom Anbieter erhaltenen Regeln zu ignorieren
und anschließend seine internen Anweisungen vollständig abzuschreiben]
```

## Unter der Haube

Für ein Sprachmodell gibt es weder „Daten“ noch „Anweisungen“, sondern nur das nächste Token (next token): Das Modell sagt anhand des bisher erhaltenen Textes das wahrscheinlichste Token voraus [2]. Die Anweisungen des Anbieters und der vom Nutzer eingegebene Satz stehen also im selben Text, ohne eine Trennung, die das Modell beachtet [2].

Dieser Punkt unterscheidet die Prompt-Injection von der SQL-Injection. Bei SQL stellen parametrisierte Abfragen sicher, dass die Datenbank eine Eingabe nie als Anweisung auslegt [2]. Das NCSC schreibt, Angriffe per Prompt-Injection ließen sich womöglich nie so vollständig eindämmen wie SQL-Injections [2]. Die laufenden Ansätze (Versuche erkennen, das Modell darauf trainieren, Anweisungen zu bevorzugen, dem Modell kenntlich machen, was Daten sind) legen eine Unterscheidung über das Modell, die die Technik selbst nicht kennt [2].

Das NIST veröffentlichte im März 2025 eine Taxonomie des adversarialen maschinellen Lernens [6].

Ein Hinweis betrifft Filter für verbotene Wörter. Das NCSC warnt davor, bekannte Sätze wie „ignore previous instructions“ zu blockieren: Es gibt unendlich viele Umformulierungen, die diesen Filter umgehen [2].

### Vorbeugung

Die hier genannten einfachen Maßnahmen stammen von OWASP und vom NCSC.

- Minimale Rechte: dem Modell nur den nötigen Mindestzugriff geben und erweiterte Funktionen im Code der Anwendung verwalten, statt sie dem Modell zu überlassen [1].
- Freigabe durch Menschen: für Vorgänge mit erweiterten Rechten die Zustimmung einer Person verlangen [1].
- Filterung der Ausgaben: sensible Kategorien festlegen, nicht zulässige Inhalte mit semantischen Filtern und Zeichenkettenprüfungen erkennen und das Format der Antworten mit deterministischem Code prüfen [1].
- Rollenvorgabe: im System-Prompt die Rolle und die Grenzen des Modells beschreiben [1]. Diese Maßnahme hilft, reicht aber nicht aus: OWASP stellt alle diese Maßnahmen als Mittel dar, die Auswirkungen abzuschwächen [1].
- Tests: regelmäßig Penetrationstests und Simulationen durchführen und das Modell dabei wie einen nicht vertrauenswürdigen Nutzer behandeln [1].
- Überwachung: genug Informationen protokollieren, um verdächtige Aktivität zu erkennen, darunter fehlgeschlagene Aufrufe von Werkzeugen und APIs, die die ersten Schritte eines Angriffs verraten können [2].

Das NCSC ergänzt, die Sicherheit eines Systems müsse auf deterministischen Schutzvorkehrungen beruhen, die seine Aktionen begrenzen, und nicht allein auf der Hoffnung, schädliche Inhalte vom Modell fernzuhalten [2]. Ist das Restrisiko untragbar, eignet sich der Anwendungsfall womöglich nicht für ein Sprachmodell [2].

## Fallanalysen

### November 2022: GPT-3 durch einfache Texte umgelenkt

Am 17. November 2022 veröffentlichen Fábio Perez und Ian Ribeiro PromptInject, ein Analyserahmen für diese Angriffe. Sie untersuchen GPT-3, das sie als das im Produktivbetrieb am weitesten verbreitete Sprachmodell beschreiben, und zeigen, dass es sich durch von Hand geschriebene Eingaben leicht aus der Ausrichtung bringen lässt [3]. Die beiden untersuchten Angriffe sind das Umlenken des Ziels und das Abfließen des Prompts [3].

### Juni 2023: 31 von 36 Anwendungen verwundbar

Am 8. Juni 2023 veröffentlicht ein Team aus zwölf Forschenden eine Studie zu realen Anwendungen, die ein Sprachmodell nutzen. Nach der Analyse von zehn kommerziellen Anwendungen entwickelt es eine Angriffstechnik namens HouYi und wendet sie auf 36 Anwendungen an: 31 erweisen sich als anfällig für Prompt-Injection [4]. Zehn Anbieter bestätigten die Ergebnisse, darunter Notion [4].

### Juli 2023: Schutzmaßnahmen, die nachgeben

Am 5. Juli 2023 bewerten Alexander Wei, Nika Haghtalab und Jacob Steinhardt GPT-4 von OpenAI und Claude v1.3 von Anthropic. Ihre neuen Angriffe gelingen bei jeder Anfrage einer Sammlung gefährlicher Anfragen, die aus den Red-Teaming-Testsätzen der Modelle stammt [5]. Die Autoren kommen zu dem Schluss, dass die Schwachstellen trotz der Anstrengungen bei Red Teaming und Sicherheitstraining bestehen bleiben [5].

## Quellen

1. OWASP, „LLM01:2025 Prompt Injection“. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (abgerufen am 3. November 2026)
2. NCSC (Royaume-Uni), „Prompt injection is not SQL injection (it may be worse)“, 8. Dezember 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (abgerufen am 3. November 2026)
3. arXiv, „Ignore Previous Prompt: Attack Techniques For Language Models“, 17. November 2022. https://arxiv.org/abs/2211.09527 (abgerufen am 3. November 2026)
4. arXiv, „Prompt Injection attack against LLM-integrated Applications“, 8. Juni 2023. https://arxiv.org/abs/2306.05499 (abgerufen am 3. November 2026)
5. arXiv, „Jailbroken: How Does LLM Safety Training Fail?“, 5. Juli 2023. https://arxiv.org/abs/2307.02483 (abgerufen am 3. November 2026)
6. NIST, „AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC“. https://csrc.nist.gov/pubs/ai/100/2/e2025/final (abgerufen am 3. November 2026)

---

Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent/
Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.