KI-Agenten und Firmendaten: Warum du für das verantwortlich bist, was dein Assistent veröffentlicht

Das Wichtigste in Kürze

Am 29. September 2026 berichtete Glow Security, dass KI-Agenten von Entwicklern bei über 300 Organisationen mehr als 13 000 interne Bilder öffentlich auf GitHub gestellt haben. In 93 Prozent der Fälle lagen sie in einem öffentlichen Repository, das ein Beschäftigter unter seinem eigenen Benutzernamen angelegt hatte, nicht im Konto der Firma.
Ein Angreifer war nicht beteiligt. Die Agenten wollten Vorher-nachher-Bilder an eine Änderung hängen, was GitHub über die Kommandozeile bis Ende August 2026 nicht zuließ. Seit dem 1. September 2026 geht es, veröffentlichte Bilder bleiben aber online, bis jemand sie entfernt.
Agenten handeln mit den Rechten ihres Nutzers. Im September 2026 wurden acht Schwachstellen in sieben verbreiteten Programmier-Agenten bekannt, über die präparierte Projektordner Code ausführen können. Eine Laborstudie zeigt, dass manipulierte Plugin-Updates alle sieben getesteten Agenten übernehmen konnten, mit bis zu 92,5 Prozent Erfolg.
Agenten mit Zugriff auf Mails und Dokumente lassen sich über fremde Inhalte steuern. Das BSI hält am 14. September 2026 fest, dass keine zuverlässige Gegenmaßnahme existiert, die das Problem vollständig beseitigt.
In 8 Prozent der deutschen Unternehmen ab 20 Beschäftigten ist die Nutzung privater KI-Zugänge im Job weit verbreitet, 2024 waren es 4 Prozent. In weiteren 17 Prozent gibt es Einzelfälle (Bitkom).
In Deutschland muss eine Datenpanne binnen 72 Stunden gemeldet werden, außer sie führt voraussichtlich zu keinem Risiko (Art. 33 DSGVO). In der Schweiz nur bei voraussichtlich hohem Risiko, dann „so rasch als möglich“ (Art. 24 DSG). Für Steuerberater, Anwälte und andere Berufsgeheimnisträger kommt das Strafrecht dazu.

Was passiert ist

Der Fall PixelLeak. Entwickler lassen den letzten Schritt ihrer Arbeit oft von einem Agenten erledigen: Änderungen zusammenfassen, Bildschirmfotos anhängen, zur Prüfung einreichen. Auf GitHub lassen sich Bilder im Browser an eine Änderung hängen, ein Agent arbeitet aber über die Kommandozeile. Dort gab es bis Ende August 2026 keinen Weg dafür. Die Agenten fanden einen: Sie legten ein neues, öffentliches Repository an und luden die Bilder dorthin hoch. Glow hat das in einem eigenen Test nachgestellt. Der Agent begründete sein Vorgehen damit, dass GitHub Bilder aus einem privaten Repository nicht anzeigen könne, „so I created a new public repo“, also habe er ein neues, öffentliches Repository angelegt.

Ein Beispiel. Bei einem Hersteller mit über 100 000 Beschäftigten sollte ein Agent eine Korrektur an einer internen Abrechnungsmaske prüfen. Er legte im persönlichen GitHub-Konto des Entwicklers ein öffentliches Repository an und stellte die Bilder dort ein. Sie zeigten Abrechnungsdaten eines Versorgungsunternehmens. Weil die Bilder nicht im Konto der Firma lagen, bemerkte das Sicherheitsteam nichts. Als Glow die Firma informierte, waren sie noch online.

Aus einem Umweg wird eine Gewohnheit. Bei einem Softwareanbieter begannen im Juli die Agenten mehrerer Ingenieure, Bilder so abzulegen. Innerhalb einer Woche hatten über ein Dutzend Agenten den Weg als feste Anweisung für jede Aufgabe übernommen und mehr als tausend Bildschirmfotos und Aufzeichnungen hochgeladen, teils von Funktionen, die erst Wochen später erschienen. Rund ein Drittel der betroffenen Organisationen nutzte dafür ein kleines Werkzeug namens gitshot, das Repositories standardmäßig öffentlich anlegt.

Kein Angreifer. Der Technikchef von Glow, Omer Singer, sagte The Register:

„there was no attacker involved but you still had very sensitive data making its way out into the open“

Es war kein Angreifer beteiligt, und trotzdem gelangten sehr sensible Daten ins Offene. Nach The Register stammen die Fälle von Agenten verschiedener Modelle, nicht von einem einzelnen Anbieter.

Was man über die Zahlen wissen muss. Glow verkauft Software gegen genau solche Risiken. Der Bericht nennt keine Methodik, keinen Datensatz und keine betroffenen Firmen, was als „Fall“ zählt, bleibt offen. Und er erwähnt nicht, dass GitHub die Ursache schon am 1. September 2026 behoben hat: Ab Version 2.99.0 hängt die Kommandozeile Bilder direkt an Änderungen, auch für Agenten, nur nicht bei GitHub Enterprise Server. Wer eine ältere Version nutzt, ist weiter betroffen. Und was schon draußen ist, bleibt draußen, bis es jemand löscht.

Präparierte Projektordner. Am 1. September 2026 veröffentlichte die Sicherheitsfirma Manifold eine zweite Lücke, die sie GitSpawn nennt. Programmier-Agenten rufen im Hintergrund Git-Befehle auf, um sich zu orientieren, bei manchen noch bevor du etwas eingibst. Eine präparierte Einstellung im Projektordner bringt Git dazu, dabei einen beliebigen Befehl auszuführen, mit deinen Rechten, außerhalb der Schutzumgebung des Agenten und ohne Rückfrage. Gefährlich wird das, wenn ein Projekt als ganzer Ordner ankommt, per ZIP-Datei, Stick oder Sync-Ordner. Manifold schreibt dazu: „Colleagues pass projects around this way, consultants hand them to clients.“ Genau so reichen Kollegen Projekte weiter, und Berater geben sie an Kunden. Betroffen waren acht Stellen in sieben Agenten, darunter Claude Code, Codex und Cursor. Bei Veröffentlichung waren vier noch offen. Mehrere sind inzwischen behoben, bei einigen ist der Stand unklar.

Manipulierte Updates. Viele Agenten lassen sich mit Plugins erweitern, die bei bestimmten Ereignissen Befehle ausführen. Eine Studie vom 3. September 2026 zeigt im Labor, dass ein harmloses Plugin durch ein späteres Update unbemerkt bösartig werden kann. Alle sieben getesteten Agenten ließen sich so übernehmen, mit bis zu 92,5 Prozent Erfolg. Die Studie ist noch nicht begutachtet, ein Angriff in der Praxis ist nicht bekannt.

Warum Agenten anders sind als Chatbots. Das britische National Cyber Security Centre (NCSC) beschreibt den Unterschied so:

„Rather than outputting a prediction or new content, agentic systems can access data sources, remember context, make decisions, use tools, and take actions in pursuit of a goal.“

Agenten geben also nicht nur Texte aus, sie greifen auf Daten zu, treffen Entscheidungen, nutzen Werkzeuge und handeln, um ein Ziel zu erreichen.

	Chatbot	Agent
Was er tut	gibt Text aus, du kopierst, was du brauchst	ruft Werkzeuge auf, liest und schreibt Dateien, Mails und Kalender, plant Schritte
Rechte	nur, was du eintippst oder hochlädst	die Rechte des Kontos, unter dem er läuft
Was bleibt	ein Text im Chatfenster	Dateien, Bilder, versendete Mails, Einträge, Freigaben
Wer entscheidet	du, vor jedem Kopieren	der Agent, Rückfragen fangen nur einen Teil ab
Typischer Fehler	eine falsche Antwort	eine Handlung, die niemand wollte

Sechs Cybersicherheitsbehörden, darunter die aus den USA, Großbritannien und Kanada, warnten im Mai 2026 in einer gemeinsamen Leitlinie genau vor dem, was bei PixelLeak geschah:

„They might find shortcuts or loopholes that technically achieve their goals but go against the goal’s intention or create security vulnerabilities.“

Agenten können also Abkürzungen finden, die das Ziel technisch erreichen, aber gegen die Absicht verstoßen oder Sicherheitslücken schaffen.

Drei Fragen des BSI. Gefährlich wird es, wenn drei Dinge zusammenkommen. Das BSI fragt in seinem Leitfaden vom Januar 2026:

„Hat das LLM Zugriff auf privaten Daten? Verarbeitet das LLM nicht vertrauenswürdigen Inhalt? Hat das LLM die Möglichkeit mit Instanzen außerhalb des LLM-Systems zu kommunizieren oder bestimmte Aktionen auszuführen?“

Wo alle drei Fragen mit Ja beantwortet werden, kann ein fremder Inhalt den Agenten dazu bringen, deine Daten nach außen zu geben.

Wer betroffen ist

Es betrifft nicht nur Entwickler. In jedem Büro gibt es drei typische Fälle.

Ein Assistent mit Zugriff auf das Postfach. Er liest Mails, fasst zusammen, antwortet oder legt Aufgaben an. Jede eingehende Mail ist dabei fremder Inhalt, und fremder Inhalt kann Anweisungen enthalten. Das nennt man Prompt Injection. 2025 zeigten Forscher mit EchoLeak, dass eine einzige präparierte Mail genügte, um Daten aus Microsoft 365 Copilot abzuziehen. Im September 2026 zeigte Check Point, wie ChatGPT über ein geteiltes Gespräch Mails aus einem verbundenen Gmail-Konto preisgeben konnte. Beide Lücken sind behoben, es waren Nachweise von Forschern, keine bekannten Angriffe. Das Muster bleibt: Wer einem Assistenten Lese- und Senderechte zugleich gibt, öffnet einen Weg nach draußen.

Ein Assistent in der Dateiablage. Ein Assistent findet alles, was du sehen darfst. Microsoft schreibt über Copilot:

„Microsoft Copilot only surfaces organizational data to which individual users have at least view permissions.“

Copilot zeigt also nur, was der Nutzer ohnehin sehen darf. Das klingt beruhigend, heißt aber: Sind Freigaben in der Firma zu weit, findet der Assistent mehr, als gut ist. Alte Ordner mit Personalakten, Links „für alle in der Organisation“, vergessene Freigaben werden mit einem Mal durchsuchbar.

Private Konten für die Arbeit. Wer einen privaten oder kostenlosen KI-Zugang beruflich nutzt, gibt Daten an einen Anbieter, mit dem die Firma keinen Vertrag hat. Bei privaten Konten behalten sich Anbieter oft vor, mit den Eingaben zu trainieren. OpenAI schreibt für Dienste an Einzelpersonen:

„When you use our services for individuals, such as ChatGPT and Codex, we may use your content to train our models.“

Die Bundessteuerberaterkammer ist deutlich: „Nein, der Einsatz privater KI für dienstliche Zwecke ist unzulässig.“ Die deutschen Datenschutzbehörden empfehlen, dass Arbeitgeber Geräte und Zugänge stellen. Samsung verbot generative KI auf Firmengeräten, nachdem Beschäftigte 2023 Quellcode und eine Besprechungsaufnahme in ChatGPT eingegeben hatten.

Schatten-KI ist Alltag. So nennt man KI, die an den freigegebenen Werkzeugen der Firma vorbei genutzt wird. In einer Bitkom-Umfrage unter 604 Unternehmen ab 20 Beschäftigten sagten 8 Prozent, die Nutzung privater KI-Zugänge sei bei ihnen weit verbreitet, doppelt so viele wie ein Jahr zuvor. Nur 26 Prozent stellen ihren Beschäftigten selbst einen Zugang bereit, 23 Prozent haben Regeln aufgestellt. Für die Schweiz haben wir keine vergleichbare Zahl gefunden.

Schatten-KI in deutschen Unternehmen, Anteil der Unternehmen in Prozent

Nutzung privater KI-Zugänge ist weit verbreitet4

Es gibt Einzelfälle13

Unklar, das Unternehmen geht aber davon aus17

BITKOM RESEARCH, BEFRAGUNG VON 604 UNTERNEHMENUnternehmen ab 20 Beschäftigten in Deutschland, Einschätzung der Unternehmen über ihre Beschäftigten · Umfrage eines Verbands

Wann ein Datenleck gemeldet werden muss

Was eine Datenpanne ist. Das Gesetz fragt nicht, ob jemand angegriffen hat. Die DSGVO definiert in Artikel 4 Nummer 12 eine Verletzung des Schutzes personenbezogener Daten als:

„eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;“

Das Schweizer Datenschutzgesetz sagt in Artikel 5 Buchstabe h fast dasselbe:

„Verletzung der Datensicherheit: eine Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden;“

Stellt ein Agent Bilder mit Namen, Abrechnungen oder Kontodaten öffentlich ins Netz, ist das eine Datenpanne, auch ohne Absicht und ohne Angreifer. Zeigen die Bilder keine Personendaten, ist es keine Datenpanne im Sinne dieser Gesetze, kann aber Geschäftsgeheimnisse verraten. Ob der Arbeitgeber auch dann verantwortlich ist, wenn der Agent im privaten Konto eines Beschäftigten handelt, hat noch kein Gericht und keine Behörde entschieden. Viel spricht dafür, wenn das Werkzeug für die Arbeit genutzt wird. Kläre das im Einzelfall mit deinem Datenschutzberater.

In Deutschland. Artikel 33 Absatz 1 DSGVO lautet:

„Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.“

Gemeldet wird also grundsätzlich immer, außer ein Risiko ist unwahrscheinlich. Bei Daten, die öffentlich im Netz lagen, ist das schwer zu begründen. Die 72 Stunden beginnen, wenn du mit hinreichender Sicherheit weißt, dass Daten betroffen sind; eine kurze erste Prüfung ist erlaubt, muss aber sofort beginnen, so die europäischen Datenschutzbehörden. Jede Panne musst du dokumentieren, auch eine, die nicht gemeldet werden muss (Art. 33 Abs. 5). Besteht ein hohes Risiko, musst du auch die Betroffenen benachrichtigen (Art. 34). Zuständig ist die Datenschutzbehörde deines Bundeslandes. Gut zu wissen: Deine Meldung darf in einem Bußgeldverfahren gegen dich nur mit deiner Zustimmung verwendet werden (§ 43 Abs. 4 BDSG).

Wie oft gemeldet wird. Allein in Baden-Württemberg gingen 2025 bei der Datenschutzbehörde 4059 Meldungen über Datenpannen ein, so viele wie nie.

Meldungen von Datenpannen in Baden-Württemberg, pro Jahr

900

2030

2321

3136

2747

2913

3559

4059

20182019202020212022202320242025

LFDI BADEN-WÜRTTEMBERG, TÄTIGKEITSBERICHT DATENSCHUTZ 2025ein Bundesland, eine bundesweite Zahl der Landesbehörden gibt es nicht · Kalenderjahre

In der Schweiz. Artikel 24 Absatz 1 DSG lautet:

„Der Verantwortliche meldet dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt.“

Die Schwelle liegt also höher als in Deutschland, eine feste Stundenfrist gibt es nicht. Der Eidgenössische Datenschutzbeauftragte (EDÖB) hat in seinem Leitfaden aber klargestellt, dass man im Zweifel nicht abwarten darf:

„In Situationen des Zweifels, der den Eintritt eines hohen Risikos nicht mit hinreichender Wahrscheinlichkeit ausschliesst, dürfen die Verantwortlichen jedoch nicht zuwarten, ihrer Meldepflicht nachzukommen.“

Werden Daten einer breiten Öffentlichkeit zugänglich, spricht das laut EDÖB tendenziell für ein hohes Risiko, egal ob ein Fehler oder ein Angriff dahintersteckt. Waren die Daten wirksam verschlüsselt, entfällt die Meldepflicht. Wer die Meldung unterlässt, macht sich nicht strafbar, der EDÖB kann sie aber verfügen. Dokumentieren musst du die Verletzung und die Unterlagen mindestens zwei Jahre aufbewahren (Art. 15 Abs. 4 DSV). Beim EDÖB gingen 2025/26 484 Meldungen ein, 141 davon freiwillig, im Jahr davor 363.

Deutschland und Schweiz im Vergleich.

	Deutschland	Schweiz
Wann melden?	bei jeder Panne, außer sie führt voraussichtlich zu keinem Risiko	nur bei voraussichtlich hohem Risiko
Frist	unverzüglich, möglichst binnen 72 Stunden	so rasch als möglich
Betroffene informieren	bei hohem Risiko	wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt
Dokumentieren	jede Panne	mindestens zwei Jahre ab Meldung
Meldung gegen den Melder verwenden	nur mit Zustimmung (§ 42, 43 BDSG)	nur mit Zustimmung im Strafverfahren (Art. 24 Abs. 6 DSG)
Wenn nicht gemeldet wird	Bußgeld bis 10 Millionen Euro oder 2 Prozent des Umsatzes möglich	nicht strafbar, der EDÖB kann die Meldung verfügen
Behörde	Datenschutzbehörde des Bundeslandes	EDÖB

Andere Meldepflichten. Für bestimmte Branchen gelten zusätzlich Meldepflichten für Cybervorfälle, in Deutschland nach dem BSI-Gesetz für wichtige und besonders wichtige Einrichtungen, in der Schweiz nach dem Informationssicherheitsgesetz für Betreiber kritischer Infrastrukturen, jeweils binnen 24 Stunden. Die Schweizer Pflicht greift nur bei absichtlichen Angriffen, ein Leck ohne Angreifer wie bei PixelLeak gehört nicht dazu.

Was die Anbieter zusichern und was nicht

Die Zusagen. Die großen Anbieter versprechen für ihre Geschäftskunden, Eingaben nicht zum Training zu verwenden. OpenAI schreibt „We do not train our models on your data by default“, Microsoft, Anthropic und Google sagen dasselbe für ihre Geschäftstarife. OpenAI bietet Geschäftskunden zudem einen Vertrag zur Auftragsverarbeitung an.

Was sie nicht abdecken. Die Zusagen gelten nur für Geschäftstarife, nicht für private oder kostenlose Konten. Sie betreffen das Training, nicht das, was ein Agent tut: PixelLeak war weder ein Training noch ein Fehler beim Anbieter des Modells, sondern eine Handlung im Konto eines Beschäftigten bei einem dritten Dienst. Sie halten sich an deine Berechtigungen, auch an zu weite. Sie stehen unter dem Vorbehalt von Gerichten: 2025 musste OpenAI auf Anordnung eines US-Gerichts Gespräche aus Privat- und kleineren Geschäftskonten auf unbestimmte Zeit aufbewahren, die Pflicht endete am 26. September 2025. Und gegen Prompt Injection gibt es keine vollständige Sicherheit. OpenAI selbst schreibt, sie sei „unlikely to ever be fully ‚solved‘“, also wohl nie ganz gelöst. Die Orientierungshilfe „KI in der Steuerberatung“ fasst es so zusammen:

„Ein Anbieterhinweis ‚DSGVO-konform‘, EU-Hosting oder ‚kein Training‘ beantwortet jeweils nur einen Teil der Prüfung.“

Wann nichts gemeldet werden muss. Keine Meldung braucht es, wenn keine Personendaten betroffen sind, wenn ein Risiko unwahrscheinlich ist (in der Schweiz: kein hohes Risiko) oder wenn die Daten wirksam verschlüsselt waren. In der Schweiz gilt das in der Regel auch für Daten, die vorher schon öffentlich waren. In Deutschland musst du die Panne trotzdem dokumentieren.

Deine Pflichten ab dem ersten Tag

Datensicherheit. In beiden Ländern musst du Daten mit Maßnahmen schützen, die dem Risiko entsprechen (Art. 32 DSGVO, Art. 8 DSG). Die DSGVO verlangt ausdrücklich, dass Personen, die für dich arbeiten, Daten nur nach deiner Anweisung verarbeiten (Art. 32 Abs. 4). Die Schweizer Datenschutzverordnung wird konkreter:

„Um die Vertraulichkeit zu gewährleisten, müssen der Verantwortliche und der Auftragsbearbeiter geeignete Massnahmen treffen, damit: a. berechtigte Personen nur auf diejenigen Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen (Zugriffskontrolle);“

Für Agenten heißt das: so wenige Rechte wie möglich, so kurz wie möglich. Das NCSC formuliert es so: „give agents only the minimum access they need, for the shortest time required.“

Regeln für die Beschäftigten. Der Hamburgische Datenschutzbeauftragte warnt:

„Wer keine internen Regelungen vorgibt, ob und wie generative KI im Arbeitsalltag eingesetzt werden darf, kann davon ausgehen, dass sich Beschäftigte und andere Angehörige der Organisationen eigenmächtig und unkontrolliert der neuartigen Hilfsmittel bedienen. Unter Umständen haftet für diese Handlungen die arbeitgebende Einrichtung.“

Verträge mit Anbietern. Gibst du Personendaten an einen KI-Anbieter, brauchst du einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Private Konten haben keinen. In der Schweiz ist die Auslagerung verboten, wenn eine gesetzliche oder vertragliche Geheimhaltungspflicht sie verbietet (Art. 9 Abs. 1 Bst. b DSG).

Bußgelder in Deutschland. Verstöße gegen die Pflichten zur Datensicherheit, Meldung und Auftragsverarbeitung können bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes kosten, Verstöße gegen die Grundsätze wie die Vertraulichkeit bis zu 20 Millionen Euro oder 4 Prozent (Art. 83 DSGVO). Die Praxis ist meist deutlich niedriger: Die Behörde in Baden-Württemberg erließ 2025 101 Bußgeldbescheide über zusammen rund 308 850 Euro. Bei der Höhe berücksichtigt die Behörde unter anderem, ob du selbst gemeldet, den Schaden gemindert und mit ihr zusammengearbeitet hast (Art. 83 Abs. 2). Dazu kommt Schadensersatz für Betroffene (Art. 82).

Bussen in der Schweiz. Das DSG bestraft keine Firmen, sondern Personen, und nur bei Vorsatz, meist auf Antrag. Mit Busse bis zu 250 000 Franken wird etwa bestraft, wer vorsätzlich die Mindestanforderungen an die Datensicherheit nicht einhält oder Daten einem Auftragsbearbeiter übergibt, ohne dass die Voraussetzungen erfüllt sind (Art. 61 DSG). Die Firma selbst kann nur ausnahmsweise an Stelle der Verantwortlichen verurteilt werden, bei Bussen bis 50 000 Franken (Art. 64 Abs. 2).

So behältst du die Kontrolle

Wissen, was läuft. Liste alle KI-Werkzeuge, Konten, Plugins und Verbindungen auf, die im Betrieb laufen, auch private. Das NCSC schreibt: „You cannot manage what you do not know.“ Was du nicht kennst, kannst du nicht steuern.

Rechte klein halten. Verbinde einen Agenten nur mit den Postfächern, Ordnern und Konten, die er für die Aufgabe braucht. Trenne Lesen und Senden, lass dir Aktionen vorher zeigen und schalte pauschale Dauerfreigaben ab. Beantworte für jeden Agenten die drei Fragen des BSI. Glow rät dasselbe: „No blanket auto-approval“, keine pauschale automatische Freigabe.

Ablageorte festlegen. Lege fest, wohin ein Agent schreiben darf. Neue öffentliche Repositories, öffentliche Links und Ablagen in privaten Konten sollten gesperrt sein oder eine Freigabe brauchen. Prüfe auch, was schon draußen ist: in den persönlichen Konten der Beschäftigten, auch ehemaliger, samt angehängter Dateien. Glow schreibt: „If you find something, remove it everywhere it exists, ask anyone with a copy to do the same, and rotate whatever is legible in the pictures.“ Lösche Gefundenes überall, bitte alle mit einer Kopie, dasselbe zu tun, und ändere alles, was auf den Bildern lesbar ist, etwa Passwörter. Wie viel in öffentlichen Ablagen landet, zeigen die Zahlen zu Zugangsdaten: 2025 kamen 28,65 Millionen neue Passwörter, Schlüssel und Tokens in öffentliche Änderungen auf GitHub. Von den Zugangsdaten, die 2022 gültig im Netz lagen, funktionierten im Januar 2026 noch über 64 Prozent.

Zugangsdaten in öffentlichen GitHub-Commits, neu pro Jahr, in Millionen

12,8

23,8

28,65

2022202320242025

GITGUARDIAN, STATE OF SECRETS SPRAWL 2023 BIS 2026Zahl laut der jeweiligen Jahresausgabe, die Zählweise wurde zwischen den Ausgaben angepasst · Bericht eines Herstellers von Sicherheitssoftware

Fremde Projektordner vorsichtig öffnen. Projekte, die als Ordner per ZIP, Stick oder Sync-Ordner ankommen, öffnest du mit einem Agenten nur in einer abgeschotteten Umgebung, bis geprüft ist, was darin steckt.

Private Konten ersetzen. Stelle betriebliche Zugänge bereit und verbiete private nicht nur. Verbote allein wirken schlecht: In einer weltweiten Befragung von KPMG und der Universität Melbourne gaben 48 Prozent der Beschäftigten, die KI nutzen, an, Firmeninformationen in öffentliche KI-Werkzeuge hochgeladen zu haben. In Betrieben mit KI-Verbot kam solches Verhalten nach eigenen Angaben sogar häufiger vor (67 Prozent) als in Betrieben ohne Regeln (33 Prozent). Bitkom-Präsident Ralf Wintergerst sagt: „Die Unternehmen sollten KI-Wildwuchs vermeiden und der Entwicklung einer Schatten-KI vorbeugen. Dazu müssen sie klare Regeln für den KI-Einsatz aufstellen und ihren Beschäftigten KI-Technologien zur Verfügung stellen.“

Aktuell bleiben, Spuren sichern. Halte Agenten und Werkzeuge aktuell, schalte automatische Updates von Plugins ab, bis geprüft wird, was tatsächlich installiert wird, und ändere regelmäßig die Zugangsschlüssel deiner Agenten; Schadsoftware sucht inzwischen gezielt nach ihnen. Bewahre Protokolle dort auf, wo der Agent sie nicht ändern kann. Für den Aufwand gibt es keine belastbare Zahl, und wir erfinden keine.

Sonderfall: Steuerberater, Treuhänder und andere Berufsgeheimnisträger

In Deutschland. Für Steuerberater, Anwälte, Wirtschaftsprüfer und Ärzte geht es nicht nur um Datenschutz, sondern um das Strafrecht. § 203 Absatz 1 StGB bestraft, wer ein anvertrautes Geheimnis unbefugt offenbart, mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Strafbar ist nur Vorsatz, verfolgt wird nur auf Antrag. Wer Dienstleister einbindet, und dazu gehört ein KI-Anbieter, muss das nach § 62a StBerG regeln: Vertrag in Textform, Verpflichtung zur Verschwiegenheit mit Belehrung über die Strafbarkeit, im Ausland nur bei vergleichbarem Schutz, und bei Leistungen für ein einzelnes Mandat nur mit Einwilligung des Mandanten. Für Anwälte gilt dasselbe nach § 43e BRAO. Die Orientierungshilfe „KI in der Steuerberatung“ ordnet in einer Ampel als Rot ein:

„Mandatsdaten in privaten oder nicht freigegebenen Accounts; Training mit Eingaben aktiviert; unkontrollierte Plugins; Passwörter/ELSTER-Zugänge; ungeprüfte finale Beratung oder autonomer Versand. Nicht einsetzen.“

Agenten und Verbindungen zu anderen Diensten stehen dort auf Gelb: nur nach dokumentierter Prüfung, mit technischen Kontrollen und gegebenenfalls Einwilligung. Ob die unbemerkte Veröffentlichung durch einen Agenten ein strafbares Offenbaren ist, hat noch kein Gericht entschieden. Das Berufsrecht der Kammern greift unabhängig davon.

In der Schweiz. Artikel 321 StGB schützt das Berufsgeheimnis von Anwälten, Notaren, Ärzten, bestimmten Revisoren und ihren Hilfspersonen mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe, auf Antrag. Treuhänder und Steuerberater nennt der Artikel nicht ausdrücklich; ob ein Treuhandbetrieb darunterfällt, hängt von der Tätigkeit ab und ist im Einzelfall zu klären. Für alle Berufe, die die Kenntnis geheimer Personendaten erfordern, gilt aber Artikel 62 DSG:

„Wer geheime Personendaten vorsätzlich offenbart, von denen sie oder er bei der Ausübung ihres oder seines Berufes, der die Kenntnis solcher Daten erfordert, Kenntnis erlangt hat, wird auf Antrag mit Busse bis zu 250 000 Franken bestraft.“

Der Schweizerische Treuhänderverband TREUHAND|SUISSE hält zur Verantwortung fest:

„Ein Treuhänder kann sich deshalb gegenüber seinem Mandanten grundsätzlich nicht damit entlasten, dass eine falsche Auskunft, Berechnung oder Beurteilung von einem KI-System erzeugt wurde. KI ist zunächst ein Werkzeug des Treuhänders – nicht sein Ersatz.“

Die Strafen im Überblick.

Norm	Wer	Strafe
§ 203 StGB (Deutschland)	u. a. Steuerberater, Anwälte, Wirtschaftsprüfer, Ärzte	Freiheitsstrafe bis 1 Jahr oder Geldstrafe, gegen Entgelt oder mit Bereicherungsabsicht bis 2 Jahre
Art. 321 StGB (Schweiz)	u. a. Anwälte, Notare, Ärzte, bestimmte Revisoren und ihre Hilfspersonen	Freiheitsstrafe bis 3 Jahre oder Geldstrafe
Art. 62 DSG (Schweiz)	jeder Beruf, der geheime Personendaten erfordert	Busse bis 250 000 Franken
Berufsrecht (Deutschland)	Mitglieder der Kammern	Maßnahmen der Berufsaufsicht

Unsere Sicht

Dieser Abschnitt ist unsere Meinung, nicht Teil der Rechtslage.

Die Verantwortung bleibt beim Menschen. Ein Agent kann handeln, aber nicht haften. Das NCSC schreibt:

„A system may take an action, but humans remain accountable for: the decision to deploy it; the access it was granted; the safeguards around it; the consequences of its operation.“

Ein System mag handeln, verantwortlich bleiben Menschen: für die Entscheidung, es einzusetzen, für die Rechte, die es bekam, für die Schutzmaßnahmen und für die Folgen. Das ist richtig, und es ist keine Last, die ein Gesetz erst schaffen müsste. Wer ein Werkzeug einsetzt, steht dafür ein.

Die beste Sicherung ist, weniger zu geben. Agenten kehren ein altes Prinzip um. Meredith Whittaker, Präsidentin der Signal-Stiftung, sagte 2025, Agenten bräuchten Zugriff „with something that looks like root permission, accessing every single one of those databases — probably in the clear“, also mit einer Art Generalschlüssel auf alle Daten, vermutlich unverschlüsselt. Die Forscher von Check Point ziehen daraus den richtigen Schluss:

„Even if the model performs an action it should not, data leakage should still be technically impossible.“

Auch wenn das Modell etwas tut, was es nicht soll, darf der Abfluss von Daten technisch gar nicht möglich sein. Sicherheit entsteht nicht durch gutes Zureden an ein Modell, sondern durch das, was man ihm gar nicht erst erlaubt, und durch Daten, die es gar nicht erst sieht.

Was nicht gespeichert wird, kann niemand verlangen. Das gilt für Agenten wie für Behörden. Als ein US-Gericht 2025 anordnete, dass OpenAI Gespräche auf unbestimmte Zeit aufbewahren muss, schrieb das Unternehmen selbst: „This fundamentally conflicts with the privacy commitments we have made to our users.“ Die Konferenz der Schweizerischen Datenschutzbeauftragten weist darauf hin, dass US-Anbieter nach dem CLOUD Act verpflichtet werden können, Daten an US-Behörden herauszugeben, „selbst, wenn diese Daten in Schweizer Rechenzentren gespeichert sind“. Und in der Schweiz gelten Meldungen an den EDÖB grundsätzlich als amtliche Dokumente nach dem Öffentlichkeitsgesetz, die Dritte, vorbehaltlich Ausnahmen, anfordern können. Jede Pflicht, Daten zu sammeln, zu dokumentieren oder zu melden, hat ein ehrenwertes Ziel. Zusammen schaffen sie Bestände, die andere begehren. Die Melde- und Sicherheitspflichten schützen Betroffene, und an ihnen muss man sich messen lassen. Neue Pflichten, die Anbieter zwingen würden, Eingaben auf Vorrat zu speichern, herauszugeben oder Nutzer zu identifizieren, lehnen wir dagegen ab.

Was das für uns heißt. Für uns ist entscheidend, was mit den Daten der Menschen passiert, die uns vertrauen. Ein Agent soll nur sehen, was er für die Aufgabe braucht, und nichts nach außen geben, was niemand freigegeben hat. Was wir nicht speichern müssen, wollen wir nicht speichern, denn was nicht da ist, kann weder ein Agent veröffentlichen noch jemand anderes verlangen. Darum wollen wir so wenige Pflichten wie möglich, die uns zu mehr Daten zwingen.

Das Positive. Das meiste lässt sich ohne neues Gesetz selbst regeln: Konten, Rechte, Ablageorte, Updates. Fachstellen wie das BSI und das NCSC geben dafür kostenlose Anleitungen. GitHub hat die Ursache von PixelLeak geschlossen, und mehrere Hersteller haben ihre Lücken nach den Hinweisen der Forscher behoben. Der Landesbeauftragte für den Datenschutz in Baden-Württemberg, Tobias Keber, sagt: „Datenschutz schützt Menschen und trägt wesentlich dazu bei, dass Menschen neuen Technologien vertrauen.“

Für dich heißt das: Gib deinem Agenten so wenig wie möglich, schau dir an, was er tut, und halte fest, wohin er schreiben darf.

Was du jetzt tun kannst

Eine KI-Übersicht anlegen. Liste alle Werkzeuge, Konten, Verbindungen, Plugins und Browser-Erweiterungen auf, die im Betrieb laufen, auch private, und wer sie nutzt.
Private Konten für die Arbeit beenden. Stelle betriebliche Zugänge mit sicherer Anmeldung bereit, schalte Training und Verlauf nach den Vorgaben des Anbieters ab und gib den Beschäftigten eine erlaubte Alternative statt nur eines Verbots.
Die Rechte der Agenten klein halten. Verbinde nur die Postfächer, Ordner und Konten, die für die Aufgabe nötig sind, trenne Lesen und Senden, lass dir Aktionen vorher zeigen und vergib keine pauschalen Dauerfreigaben. Kein Agent sollte zugleich private Daten sehen, fremde Inhalte lesen und nach außen senden können.
Festlegen, wohin ein Agent schreiben darf. Sperre öffentliche Repositories, öffentliche Links und Ablagen in privaten Konten oder mach sie freigabepflichtig. Prüfe die persönlichen Konten der Beschäftigten, auch ehemaliger, auf öffentliche Ablagen, entferne Gefundenes überall und ändere alle Zugangsdaten, die darauf zu sehen sind.
Berechtigungen aufräumen, bevor ein Assistent sie nutzt. Prüfe alte Freigaben, Links für die ganze Organisation und anonyme Zugriffe. Ein Assistent findet alles, was ein Nutzer sehen darf.
Verträge und Berufsgeheimnis klären. Schließe mit jedem KI-Anbieter einen Vertrag zur Auftragsverarbeitung. Als Berufsgeheimnisträger prüfe zusätzlich § 62a StBerG oder Art. 321 StGB und Art. 9 DSG, hol bei einzelnen Mandaten die Einwilligung ein und anonymisiere, wo das fehlt. Pseudonymisieren reicht nicht.
Einen Plan für den Ernstfall schreiben. Lege fest, wer binnen 72 Stunden in Deutschland oder so rasch als möglich in der Schweiz entscheidet, wer meldet, wer Betroffene und Mandanten informiert, wer Belege sichert und wer Zugangsdaten ändert. Such die Meldewege vorher heraus: die Datenschutzbehörde deines Bundeslandes oder das Meldeportal des EDÖB.
Aktuell bleiben und Spuren sichern. Halte Agenten und die GitHub-Kommandozeile aktuell, schalte automatische Plugin-Updates ab, bis geprüft ist, was installiert wird, öffne fremde Projektordner nur abgeschottet, ändere regelmäßig die Zugangsschlüssel deiner Agenten und bewahre Protokolle dort auf, wo der Agent sie nicht ändern kann. Weise alle ein, die mit Agenten arbeiten.