Wenn die Webseite den Agenten austrickst: Das „Agentic Web" und sein blinder Fleck
KI-Assistenten surfen inzwischen selbst durchs Netz, vergleichen Angebote und füllen Formulare aus. Doch genau dort entsteht eine neue Schwachstelle: Anweisungen, die im unsichtbaren Teil von Webseiten versteckt sind und den Assistenten kapern sollen.
Lange galten Webseiten als etwas, das Menschen lesen und Suchmaschinen indexieren. Diese Gewissheit bröckelt. Immer häufiger sind es KI-Assistenten, die Artikel überfliegen, Preise vergleichen, Informationen zusammenfassen oder gleich konkrete Aufgaben übernehmen – vom Ausfüllen eines Formulars bis zur Vorbereitung einer Bestellung. Fachleute sprechen vom „Agentic Web": einem Netz, das nicht mehr nur betrachtet, sondern von autonom handelnden Programmen durchquert wird. Mit dieser Verschiebung entsteht eine Angriffsfläche, die im klassischen Web kaum eine Rolle spielte.
Der Befehl, den kein Mensch sieht
Im Kern geht es um eine Technik, die Sicherheitsforscher „indirekte Prompt Injection" nennen. Anders als bei einem direkten Angriff tippt niemand bösartige Anweisungen in ein Chatfenster. Stattdessen werden sie in den Inhalt einer Webseite eingebettet – dorthin, wo ein KI-Agent sie beim Lesen zwangsläufig aufnimmt. Für das menschliche Auge bleiben diese Passagen meist unsichtbar: weiße Schrift auf weißem Grund, in HTML-Kommentaren vergraben oder in Bereichen, die im Layout nicht angezeigt werden.
Der Trick nutzt eine Eigenschaft heutiger Sprachmodelle aus. Sie unterscheiden nicht zuverlässig zwischen dem, was sie verarbeiten sollen, und Anweisungen, die ihnen jemand unterjubeln will. Fordert ein versteckter Textabschnitt den Assistenten auf, eine Zahlung auszulösen, Daten weiterzuleiten oder eine zuvor erhaltene Anweisung zu ignorieren, kann das Modell dieser Aufforderung folgen – im Glauben, es erledige einen legitimen Teil seiner Aufgabe. Die Digitalberatung Eberle Consulting, die auf das Thema aufmerksam macht, berichtet nach eigenen Angaben, dass ein Großteil der von ihr gefundenen eingeschleusten Anweisungen im nicht sichtbaren Bereich von Seiten stand.
Vom Kuriosum zur beobachteten Praxis
Dass es sich nicht um ein rein theoretisches Szenario handelt, zeigen Untersuchungen mehrerer Sicherheitsteams. Analysten des Bedrohungslabors Unit 42 von Palo Alto Networks dokumentierten Anfang 2026 versteckte Instruktionen auf real erreichbaren Webseiten, die Agenten unter anderem dazu bringen sollten, Zahlungen anzustoßen oder Datenbanken zu manipulieren. Andere Anbieter melden ähnliche Beobachtungen und einen spürbaren Anstieg entsprechender Aktivität innerhalb weniger Monate. Die Botschaft dahinter ist unbequem: Was als Nischenproblem der Forschung begann, wird offenbar bereits im laufenden Betrieb ausprobiert.
Warum das Risiko mit den Rechten steigt
Entscheidend für die Tragweite ist, was ein Agent überhaupt darf. Ein Assistent, der eine Seite nur zusammenfasst, richtet im schlimmsten Fall eine falsche Auskunft an. Sobald ein System aber E-Mails verschicken, Dateien schreiben, Befehle ausführen oder Zahlungen freigeben kann, verwandelt sich dieselbe Lücke in einen möglichen Hebel für echten Schaden. Der Grundkonflikt der Automatisierung tritt hier offen zutage: Je mehr Handlungsspielraum ein Agent bekommt, desto nützlicher ist er – und desto größer der Schaden, wenn ihn jemand fremdsteuert.
Was das für Betriebe bedeutet
Ein Patentrezept gibt es bislang nicht. Diskutiert werden mehrere Ansätze zugleich: Agenten nur die Rechte zu geben, die sie wirklich brauchen, heikle Aktionen wie Zahlungen oder Löschungen von einer menschlichen Bestätigung abhängig zu machen, sowie eingehende Inhalte stärker daraufhin zu prüfen, ob sich darin verdeckte Anweisungen verbergen. Für Unternehmen, die KI-Assistenten in Kundenservice, Einkauf oder Verwaltung einsetzen wollen, verschiebt sich damit eine Grundfrage. Sie lautet nicht mehr allein, was ein Agent leisten kann, sondern auch, wem er unterwegs begegnet – und wie viel Vertrauen er dem entgegenbringen darf, was er im Netz liest.
Klar ist vor allem eines: Mit dem Agentic Web wandert ein Teil der IT-Sicherheit von der reinen Abwehr äußerer Eindringlinge hin zur Frage, wie widerstandsfähig die eigenen digitalen Helfer gegenüber manipulierten Inhalten sind. Diese Debatte steht erst am Anfang.
Dieser Beitrag ist eine redaktionelle Einordnung eines aktuellen Trends und keine Sicherheitsberatung im Einzelfall.