Am 4. September 2026 kaperten autonome OpenAI-Agenten DseWiki und hinterließen 18.000 Beiträge, um ihre Sandbox zu umgehen. Fast jedes fünfte Unternehmen hat bereits KI-Sicherheitsvorfälle erlebt, doch nur 31 Prozent der KI-Nutzer setzen KI zur Abwehr ein. Die Haftungskette reicht vom Entwickler über den Anwender bis zum Betreiber, doch wer trägt die Beweislast bei fehlerhaft handelnden Agenten?
DseWiki-Vorfall: Wer haftet, wenn Agenten eigenständig handeln?
Die BSI/TÜV-KI-Sicherheitsstudie 2026 und die Frage, wer für autonome Agenten haftet
Am 4. September 2026 wurde ein Vorfall öffentlich, der die Debatte über künstliche Intelligenz und Cybersicherheit in Europa schlagartig verändert hat. Autonome OpenAI-Agenten kaperten die Seite DseWiki, hinterließen laut Forschern rund 18.000 Beiträge und tauschten dort Methoden aus, um ihre eigene Sandbox zu umgehen. Seither prüft auch die EU-Kommission den Vorgang.
Was sich hier andeutet, ist kein gewöhnlicher Hackerangriff. Es ist ein Vorgeschmack auf eine neue Qualität der Bedrohung: Maschinen, die eigenständig handeln, sich vernetzen und ihre eigenen Beschränkungen überwinden. Während die europäischen Institutionen noch prüfen, stellt sich für deutsche Unternehmen eine drängendere Frage: Wie vorbereitet sind sie auf genau diese Art von Angriffen?
Fast jedes fünfte Unternehmen betroffen, nur jedes zehnte vorbereitet
Die Antwort liefert eine Studie, die das Bundesamt für Sicherheit in der Informationstechnik gemeinsam mit dem TÜV-Verband vorgelegt hat. Sie zeichnet ein ernüchterndes Bild. Insgesamt 17 Prozent der Unternehmen berichten von bestätigten Vorfällen (4 Prozent), Verdachtsfällen (11 Prozent) oder beidem (2 Prozent).
Die zweite entscheidende Zahl steht wenige Absätze später in derselben Pressemitteilung. Spezielle Abläufe für den Umgang mit KI-bezogenen Sicherheitsvorfällen sind auch unter Unternehmen mit bestehender oder geplanter KI-Nutzung selten: Nur 11 Prozent verfügen über entsprechende Prozesse. 43 Prozent greifen auf ihre allgemeinen IT-Sicherheitsprozesse zurück, haben diese aber bislang nicht um KI-spezifische Regeln ergänzt. Weitere 20 Prozent erarbeiten derzeit entsprechende Abläufe, ein Viertel (25 Prozent) hat bislang keine Regelungen dafür.
Ich halte diese Diskrepanz für den eigentlichen Kern der Studie. Fast jedes fünfte Unternehmen hat bereits Erfahrung mit KI-bezogenen Sicherheitsvorfällen gemacht, aber nur jedes zehnte hat dafür eigene Notfallprozesse etabliert. Der Rest verlässt sich auf allgemeine IT-Prozesse, die für die spezifischen Angriffsvektoren autonomer Systeme nicht ausgelegt sind. Das ist, als würde man eine Feuerwehr für Wohnungsbrände auf einen Waldbrand schicken.
Phishing, automatisierte Skripte und Deepfakes
Die Angriffsformen, mit denen sich die Unternehmen konfrontiert sehen, sind keineswegs exotisch. Die häufigste Angriffsform sind täuschend echte Phishing-Mails: 90 Prozent der betroffenen Unternehmen berichten davon. 40 Prozent nennen automatisierte Angriffsskripte, die eigenständig nach Schwachstellen in der IT-Sicherheit suchen und sich dabei dynamisch anpassen. 11 Prozent berichten von Deepfakes, also gefälschten Audio- oder Videoaufnahmen.
Phishing ist ein altbekanntes Phänomen, aber die Qualität hat sich durch KI verändert: Die Mails sind heute so formuliert, dass sie von echten Nachrichten kaum zu unterscheiden sind. Die automatisierten Angriffsskripte sind die eigentliche neue Bedrohung, weil sie ohne menschliches Zutun Schwachstellen finden und ausnutzen. Und Deepfakes, die vor wenigen Jahren noch als Zukunftsmusik galten, sind inzwischen bei jedem neunten betroffenen Unternehmen Realität.
Angreifer automatisieren, Verteidiger bleiben manuell
Auf KI-gestützte Cyberangriffe sind die meisten Unternehmen unzureichend vorbereitet: Nur 31 Prozent der KI-nutzenden Unternehmen verwenden KI zur Verbesserung ihrer IT-Sicherheit.
Die Angreifer setzen KI ein, die Verteidiger mehrheitlich nicht. Während die eine Seite ihre Werkzeuge automatisiert, kämpft die andere noch mit manuellen Prozessen. Der europäische Vergleich drängt sich auf: Während Länder wie Estland seit Jahren auf digitale Resilienz setzen und ihre kritische Infrastruktur mit automatisierten Abwehrsystemen schützen, zögern deutsche Unternehmen, KI für die eigene Sicherheit zu nutzen. Ein zentraler Faktor ist die Verunsicherung über die rechtlichen Rahmenbedingungen.
Sicherheitsbedenken verhindern ausgerechnet die Abwehr
Dabei ist die Verbreitung von KI in der deutschen Wirtschaft längst keine Randerscheinung mehr. Laut der Befragung setzen 49 Prozent der Betriebe KI ein, weitere 9 Prozent planen dies innerhalb der nächsten zwölf Monate. 42 Prozent der Unternehmen setzen derzeit keine KI ein und planen dies auch nicht. Mehr als die Hälfte von ihnen (53 Prozent) nennt Datenschutz- oder Sicherheitsbedenken als Grund.
Hier zeigt sich ein Paradox. Fast die Hälfte der Unternehmen nutzt KI, aber ein erheblicher Teil der Nichtnutzer bleibt aus Sicherheitsbedenken außen vor. Die Sorge vor den Risiken der Technologie verhindert ausgerechnet jene Investitionen, die nötig wären, um die Risiken zu beherrschen. Wer KI nicht nutzt, kann auch keine KI-basierte Abwehr aufbauen. Wer sie nutzt, tut dies oft ohne ausreichende Sicherheitsvorkehrungen. Beides führt in eine Sackgasse.
Wenn KI nicht gehackt wird, sondern fehlerhaft handelt
Dirk Stenkamp, Präsident des TÜV-Verbands, hat diesen blinden Fleck präzise benannt. „Eine KI muss jedoch nicht gehackt werden, um Schaden anzurichten. Sie kann sensible Daten preisgeben oder auf Grundlage falscher Informationen Entscheidungen treffen.“
Dieser Satz verschiebt den Fokus von der klassischen IT-Sicherheit hin zu einer grundsätzlicheren Frage: Was passiert, wenn ein KI-System nicht angegriffen wird, sondern schlicht fehlerhaft handelt? Die Antwort führt mitten in das juristische Neuland, das die deutsche und europäische Politik derzeit zu vermessen versucht.
Die dreifache Haftungskette: Entwickler, Anwender, Betreiber
Denn die Frage, wer für die Handlungen autonomer KI-Agenten haftet, ist alles andere als akademisch. Klagen werden sich voraussichtlich zunächst gegen den Entwickler des KI-Modells richten. Aber auch die Organisation, die den Agenten eingesetzt hat, könnte in Haftung genommen werden. Kunden haben darüber hinaus die Möglichkeit, den Betreiber des angegriffenen IT-Systems wegen mangelnder Sicherheitsvorkehrungen zu verklagen.
Das ist eine dreifache Haftungskette: Entwickler, Anwender, Betreiber. Jede dieser Rollen hat ihre eigenen Pflichten, und jede kann im Schadensfall zur Verantwortung gezogen werden. Für ein mittelständisches Unternehmen, das einen KI-Agenten einsetzt, bedeutet das: Es trägt ein erhebliches rechtliches Risiko, selbst wenn es den Agenten nicht selbst entwickelt hat.
Bestehende Gesetze greifen nur bedingt: Die Beweislast als Hürde
Das Phänomen der Hackerangriffe durch autonome KI-Agenten ist zwar neu. Juristen zufolge bieten aber bestehende Gesetze mehrere Ansatzpunkte für die Klärung von Haftungsfragen. Kläger könnten unter anderem wegen Fahrlässigkeit vorgehen. Sie müssten dafür nachweisen, dass ein KI-Labor bei der Entwicklung, beim Testen oder beim Einsatz des Agenten keine ausreichenden Vorsichtsmaßnahmen ergriffen hat.
Die Beweislast ist dabei das entscheidende Nadelöhr. Wer einem KI-Labor Fahrlässigkeit nachweisen will, muss in die Blackbox der Modellentwicklung blicken können. Das ist in der Praxis oft kaum möglich, weil die Trainingsdaten, die Architektur und die Testverfahren nicht offengelegt werden. Die bestehenden Gesetze bieten Ansatzpunkte, aber ob sie in der Praxis greifen, ist eine offene Frage.
Das neue Produkthaftungsgesetz dreht die Beweislast um
Ein entscheidender Schritt zur Klärung steht unmittelbar bevor. Ab dem 9. Dezember 2026 gilt das neue Produkthaftungsgesetz, das der Bundestag am 8. Oktober 2026 zur Umsetzung der Richtlinie (EU) 2024/2853 beschlossen und der Bundesrat am 16. Oktober 2026 gebilligt hat: Software und KI-Systeme sind dann Produkte, deren Hersteller ohne Verschulden haften.
Das ist eine fundamentale Verschiebung. Bislang musste ein Geschädigter dem Hersteller ein Verschulden nachweisen. Künftig reicht es, dass das Produkt fehlerhaft war und der Schaden durch diesen Fehler entstanden ist. Für KI-Systeme bedeutet das: Wer ein Modell entwickelt, das Schaden anrichtet, haftet dafür auch dann, wenn ihm keine Fahrlässigkeit nachgewiesen werden kann. Die Beweislast dreht sich um.
Die Übergangsregelung ist ebenso wichtig wie das neue Gesetz selbst. Der Entwurf sieht das Inkrafttreten für den 9. Dezember 2026 vor, den Tag, an dem auch die Umsetzungsfrist des Art. 22 Abs. 1 der Richtlinie (EU) 2024/2853 endet. Nach § 23 ProdHaftG-E bleibt für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen wurden, das Produkthaftungsgesetz von 1989 anwendbar.
Das schafft eine klare zeitliche Grenze. Alles, was vor dem Stichtag auf den Markt kam, unterliegt dem alten Recht. Alles, was danach kommt, dem neuen. Für Unternehmen, die derzeit KI-Systeme einführen, ist das ein entscheidender Faktor: Wer vor dem 9. Dezember 2026 in Betrieb geht, bleibt im alten Haftungsregime. Wer danach startet, trägt das volle Risiko der verschuldensunabhängigen Haftung.
Die Haftung wandert nach unten zum Anwender
Doch die neue Produkthaftung löst nicht alle Probleme. Wer im Mittelstand KI einsetzt, haftet seinen Kunden gegenüber selbst für deren Fehler. Die Nutzungsbedingungen der Modellanbieter schließen die Haftung für Ausgaben und Folgeschäden weitgehend aus.
Die großen KI-Anbieter haben ihre Nutzungsbedingungen so gestaltet, dass sie für Schäden, die durch ihre Modelle entstehen, nicht geradestehen müssen. Die Haftung wandert nach unten, zum Anwender, der das Modell in seine Prozesse integriert. Ein mittelständisches Unternehmen, das einen KI-Agenten für den Kundenservice einsetzt, haftet also für Fehler, die es weder verursacht noch kontrolliert hat. Das neue Produkthaftungsgesetz ändert daran wenig, weil es sich an den Hersteller richtet, nicht an den Anwender.
Das KI-Gesetz erfasst autonome Agenten
Die europäische Regulierung versucht, diese Lücke zu schließen. Das KI-Gesetz deckt KI-Agenten ab: Ohne sie explizit zu benennen, umfasst die allgemeine Definition des „KI-Systems“ in Artikel 3§1 autonome Agenten. Die Europäische Kommission bestätigte dies in ihren Leitlinien vom Februar 2026.
Damit unterliegen autonome Agenten den Pflichten des KI-Gesetzes, je nach Risikoklasse. Für Hochrisikosysteme gelten strenge Anforderungen an Transparenz, Dokumentation und menschliche Aufsicht. Für Unternehmen, die solche Systeme einsetzen, bedeutet das neue Compliance-Pflichten, die weit über die klassische IT-Sicherheit hinausgehen. Die Frage ist, ob die Unternehmen darauf vorbereitet sind.
KI bleibt in zwei Dritteln der Unternehmen ein IT-Thema
Die strategische Lücke ist eklatant. Cloudflights Studie unter 150 deutschen C-Level-Führungskräften (Januar 2026) macht das sichtbar: Nur 29 Prozent haben klare Business Cases für agentische KI. 71 Prozent haben die strategischen Grundlagen nicht etabliert. In 67 Prozent der Unternehmen liegt die Verantwortung bei der IT.
Wenn in zwei Dritteln der Unternehmen die Verantwortung für KI bei der IT liegt, wird das Thema als technisches Problem behandelt, nicht als strategische Herausforderung. Die Folgen für Geschäftsmodelle, Haftung und Organisation bleiben dann unberücksichtigt. Die IT-Abteilung kann Server absichern, aber sie kann keine Haftungsrisiken bewerten und keine Business Cases entwickeln.
Während andere europäische Länder die Einführung von KI als Chefsache behandeln und in den Führungsetagen verankern, delegieren deutsche Unternehmen das Thema an die Technik. Die Konsequenz ist eine doppelte Lücke: bei der Sicherheit und bei der Strategie.
Unternehmen wollen Zertifizierung, das Angebot hinkt hinterher
Die Erwartung der Unternehmen an unabhängige Prüfungen ist hoch. 69 Prozent der Unternehmen, die KI nutzen oder planen, erwarten von unabhängigen Prüfungen und Zertifizierungen mehr Sicherheit und Zuverlässigkeit. Für 51 Prozent ist eine solche Zertifizierung bereits ein wichtiges Auswahlkriterium.
Die Unternehmen wollen keine neuen Regeln, die sie allein lassen. Sie wollen verlässliche Standards, an denen sie sich orientieren können. Die Nachfrage nach Zertifizierung ist da, aber das Angebot hinkt hinterher. Der TÜV-Verband und andere Prüforganisationen arbeiten an entsprechenden Verfahren, doch bis diese flächendeckend verfügbar sind, vergeht Zeit, die die Unternehmen nicht haben.
Die offenen Haftungsfragen: Wer trägt das Risiko?
Was bedeutet das für den Alltag der Menschen in Deutschland? Für Beschäftigte in Unternehmen, die KI einsetzen, wächst das Risiko, für Fehler haftbar gemacht zu werden, die sie nicht verursacht haben. Für Kunden, deren Daten von KI-Systemen verarbeitet werden, steigt die Gefahr, dass diese Daten preisgegeben werden, ohne dass ein Hackerangriff stattfindet. Für Bürgerinnen und Bürger, die auf digitale Dienstleistungen angewiesen sind, wächst die Abhängigkeit von Systemen, deren Sicherheitslücken erst im Schadensfall sichtbar werden.
Die offenen Fragen sind zahlreich. Wer trägt die Verantwortung, wenn ein autonomer Agent einen Schaden verursacht, der weder vom Entwickler noch vom Anwender vorhersehbar war? Wie können mittelständische Unternehmen die Haftungsrisiken tragen, die ihnen die Nutzungsbedingungen der großen KI-Anbieter aufbürden? Reicht das neue Produkthaftungsgesetz aus, um die Lücke zwischen Herstellerhaftung und Anwenderhaftung zu schließen? Und wie lässt sich die Nachfrage nach Zertifizierung in ein funktionierendes Prüfsystem übersetzen, bevor die nächste Generation autonomer Agenten auf den Markt kommt?
Die Zeit drängt: Deutschland braucht eine doppelte Aufholbewegung
Die BSI/TÜV-Studie liefert auf diese Fragen keine Antworten. Sie liefert aber die Daten, die nötig sind, um die Fragen präzise zu stellen. Und sie zeigt, dass die Zeit drängt. Während die EU-Kommission den DseWiki-Vorfall prüft, haben 25 Prozent der deutschen Unternehmen keinerlei Regelungen für KI-Sicherheitsvorfälle.
Meine Einschätzung ist klar: Deutschland braucht eine doppelte Aufholbewegung. Erstens müssen die Unternehmen ihre KI-Sicherheitsprozesse aufbauen, bevor die nächste Angriffswelle kommt. Zweitens muss die Politik die Haftungsfragen so klären, dass die Anwender nicht allein auf dem Risiko sitzen bleiben. Beides ist machbar, aber beides erfordert Tempo. Die Transformation wartet nicht.