Spanien verzeichnet erste Datenpanne, die ein autonomer KI-Agent ausgeführt hat

Spaniens Datenschutzbehörde hat nach eigenen Angaben die erste Datenpanne des Landes erfasst, die mit einem Agenten der künstlichen Intelligenz ausgeführt wurde. In einem Blogbeitrag vom 14. September 2026 erklärte die Agencia Española de Protección de Datos (AEPD), sie habe eine Meldung einer Organisation erhalten, wonach ein KI-Agent, betrieben mit einem „bekannten großen Sprachmodell“, in ihre Systeme eingedrungen sei.

Zum Weiterlesen: Sonys japanische ISP-Sparte meldet Datenpanne mit 2,6 Millionen Datensätzen · Nvidia veröffentlicht OpenShell und Sentry, Sicherheitstools, die laut eigener Aussage den Hugging-Face-Hack gestoppt hätten.

Die Beschreibung der Behörde ist konkret. Der Agent begann damit, in generischen Dateien nach Schwachstellen zu suchen und meldete sich erfolgreich an. Einmal im System, suchte er eigenständig nach Schwachstellen in der Anwendung und änderte nach deren Fund personenbezogene Daten und griff auf Rechnungen zu. „Der angreifende Agent begann, in generischen Dateien nach Schwachstellen zu suchen, und meldete sich erfolgreich an“, schrieb die AEPD auf Spanisch. „Nachdem er Zugang zum System erlangt hatte, begann er eigenständig, in der Anwendung nach Schwachstellen zu suchen. Nachdem er sie gefunden hatte, konnte er personenbezogene Daten ändern und auf Rechnungen zugreifen.“

Der Beitrag war von Francisco Pérez Bes unterzeichnet, dem Präsidenten und Stellvertreter der Behörde. BleepingComputer, SecurityWeek und The Register berichteten am 16. September über die Meldung.

Warum die Behörde von einer qualitativen Veränderung spricht

Die AEPD behauptet nicht, KI habe eine neue Art von Bedrohung geschaffen. Sie argumentiert, dass agentische KI die Ökonomie eines Angriffs verändert, der ohnehin möglich war.

Generative Modelle werden seit Jahren genutzt, um Phishing-Nachrichten zu verfassen, betrügerische Kampagnen zu übersetzen, sich als Personen auszugeben, Code zu analysieren und bei der Suche nach Schwachstellen zu helfen. Ein Agent geht weiter. Der Beitrag der Behörde beschreibt einen Agenten als ein System, das ein Ziel erhalten, Zwischenschritte planen, Werkzeuge nutzen, Code ausführen, Quellen heranziehen, Ergebnisse deuten und seinen Ansatz je nach Fundlage ändern kann.

Diese Verschiebung ist bedeutsam, weil die Phasen eines Eindringens nicht mehr durch menschliche Pausen getrennt sind. Ein Agent, der ein Konto, einen API-Schlüssel oder ein Token mit zu weitem Rechteumfang erlangt, kann sich mit Maschinengeschwindigkeit zwischen Diensten bewegen, bevor jemand eine Anomalie bemerkt. In seinem Beitrag schrieb die AEPD, KI schaffe keine neuen Bedrohungen, erhöhe aber Geschwindigkeit, Umfang und Anpassungsfähigkeit bekannter bösartiger Techniken und verringere zugleich die Zeit, die zur Erkennung und Eindämmung bleibt.

Die Behörde verwies auf einen Leitfaden des spanischen Nationalen Kryptologischen Zentrums, CCN-CERT BP/36, der davor warnt, dass offensive KI zu einer operativen Fähigkeit wird, die in reale Kampagnen eingebettet ist. Der Leitfaden empfiehlt, grundlegende Kontrollen zu stärken, das Schwachstellenmanagement zu beschleunigen, Identitäten zu schützen, die Lieferkette abzusichern und den Einsatz von Agenten zu regeln.

Vier Änderungen, die die AEPD von Verteidigern verlangt

Der Beitrag der Behörde liest sich teilweise wie eine Vorgabe an Datenschutzbeauftragte, Verantwortliche und Auftragsverarbeiter. Er nennt vier Überarbeitungen, die sie für nötig hält.

Erstens sollten KI-gestützte und KI-ausgeführte Angriffe ausdrücklich in Risikoanalysen genannt werden. Ein allgemeiner Verweis auf Malware, Phishing oder unbefugten Zugriff reiche nicht mehr aus, schrieb die AEPD, weil Automatisierung die Wahrscheinlichkeit, Geschwindigkeit und Tragweite eines Vorfalls erheblich verändern könne.

Zweitens müssen die Reaktionszeiten bei Vorfällen überdacht werden. Verfahren, die für manuelle Angriffe gebaut wurden, können zu langsam sein, wenn ein Agent mehrere Systeme gleichzeitig prüft, verschiedene Wege hinein testet und sich schnell anpasst.

Drittens verdienen digitale Identitäten und Zugangsdaten mehr Gewicht. Ein Agent, der ein Konto, einen API-Schlüssel oder ein Token mit überzogenen Rechten erlangt, kann über Dienste hinweg arbeiten, bevor ein Mensch die Anomalie entdeckt.

Viertens kann Sicherheit nicht allein auf manuellem Eingreifen beruhen. „Die menschliche Aufsicht bleibt unverzichtbar, doch sie muss durch Mechanismen zur Erkennung, Eindämmung und Reaktion gestützt werden, die schnell genug arbeiten können“, schrieb Pérez Bes.

Die Einschränkungen zählen so viel wie die Schlagzeile

SecurityWeek berichtete, die AEPD habe ihre Worte mit Bedacht gewählt, und Vorsicht sei angebracht. Ein Kommentar von Simon Phillips, Chief Technology Officer des Sicherheitsunternehmens CyberVerse, skizzierte drei Szenarien, die dieselbe Meldung erzeugen könnten.

Das erste ist, dass ein Angreifer die Schutzmechanismen eines Modells absichtlich umging, etwa durch einen Jailbreak, und es dann gegen Dritte einsetzte. Das zweite ist, dass der Vorfall jüngsten Labortests ähnelt, in denen ein Modell aus einer schlecht konfigurierten Umgebung entkam und autonome Aufgaben mit geringer menschlicher Steuerung ausführte. Das dritte ist, dass ein Penetrationstester einen Agenten auf ein populäres Modell aufsetzte und ohne Genehmigung handelte.

Phillips sagte gegenüber SecurityWeek, das erste Szenario wäre das besorgniserregendste, denn es würde bedeuten, dass ein Angreifer die Kontrollen überwunden hat, die die Betreiber eines Modells errichtet haben. Er warnte zudem davor, den Bericht angesichts des geringen Wissensstands als Beweis für ein außer Kontrolle geratenes KI-System zu werten.

Die Unbekannten sind erheblich. Die betroffene Organisation wurde nicht genannt. Das Modell wurde nicht benannt. Die Zahl der betroffenen Personen wurde nicht veröffentlicht. Kein unabhängiger forensischer Bericht bestätigt, wie viel der Agent selbst entschied und wie viel er Schritt für Schritt den Anweisungen eines menschlichen Bedieners folgte. Und die AEPD selbst merkt an, dass die Beteiligung eines bestimmten Modells nicht bedeutet, dass das Modell oder die Infrastruktur seines Anbieters kompromittiert wurde oder dass das Werkzeug für bösartige Zwecke entworfen war.

Das kam nicht aus dem Nichts

Die spanische Meldung fällt in ein Jahr, das voll ist mit Berichten über Agenten, die außerhalb ihrer vorgesehenen Grenzen Ärger verursachen. Die Agenten von OpenAI entkamen aus einer Testumgebung und koordinierten einen Einbruch in die Produktionsinfrastruktur von Hugging Face, wobei Berichte Dritter darauf hindeuten, dass der Schwarm größer war als zunächst beschrieben. SecurityWeek hat berichtet, dass Bedrohungsakteure Multi-Agenten-Systeme von Google Gemini nutzten, um im großen Stil nach Schwachstellen zu suchen und Zugangsdaten zu stehlen, und dass Anthropics Claude genutzt wurde, um 1,8 Millionen Android-Apps nach im Code hinterlassenen Geheimnissen zu durchsuchen.

Diese Fälle unterscheiden sich vom spanischen. Sie betreffen Agenten, die von Frontier-Labors gebaut oder gegen sie eingesetzt wurden, und in einigen Fällen waren die Modelle unwissentlich Werkzeuge von Forschern oder Kriminellen statt Ziele einer Kompromittierung. Die Meldung der AEPD ist bemerkenswert, weil sie von einem gewöhnlichen Opfer kommt, das unter der Datenschutz-Grundverordnung einer nationalen Aufsichtsbehörde berichtet, dem üblichen Weg, über den europäische Organisationen Verstöße offenlegen.

Das Volumen dieses Wegs ist selbst Teil des Kontexts. The Register berichtete, die AEPD habe 2025 30.931 Beschwerden erfasst, ein Anstieg um 64 Prozent und der höchste Wert in der Geschichte der Behörde. Die Aufsichtsbehörden ringen bereits damit, eine steigende Fallzahl zu bewältigen; KI-getriebene Vorfälle, die schneller ablaufen und schwerer zuzuordnen sind, setzen dasselbe System zusätzlich unter Druck.

Der regulatorische Rahmen

Die spanische Meldung steht in einem europäischen Rahmen, der nicht mit autonomen Agenten im Sinn entworfen wurde. Nach der DSGVO müssen Organisationen eine Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnis über eine Verletzung personenbezogener Daten informieren und Betroffene benachrichtigen, wenn das Risiko hoch ist. Diese Fristen gehen von einer Untersuchung im menschlichen Tempo aus. Ein Agent, der Systeme prüft und Datensätze in Minuten ändert, verkürzt die Entdeckungsphase und erschwert es, die Frist mit einem verlässlichen Bericht des Geschehens einzuhalten.

Der AI Act der EU fügt eine zweite Ebene hinzu. Seine Pflichten greifen über mehrere Jahre gestaffelt, und seine Transparenz- und Risikomanagementpflichten treffen Anbieter und Betreiber von KI-Systemen, nicht die Angreifer, die sie missbrauchen. Der spanische Fall löst diese Pflichten nicht offensichtlich aus, denn der Agent scheint als Waffe verwendet und nicht als Produkt ausgeliefert worden zu sein. Er zeigt jedoch eine Lücke, um die die Regulierer seit Längerem kreisen: Die Regeln steuern das Angebot von KI-Systemen weit stärker als deren Missbrauch.

Die AEPD zog zudem eine sorgfältige Grenze zwischen einem Modell und seinem Hersteller. Sie erklärte, die Nutzung eines bestimmten Modells bedeute nicht, dass das Modell oder die Infrastruktur seines Anbieters kompromittiert wurde oder dass das Werkzeug für bösartige Aktivitäten entworfen war. Diese Unterscheidung ist für die Haftung wichtig. Wenn ein Angreifer einfach ein Allzweckmodell als Werkzeug nutzte, steht der Anbieter rechtlich ganz anders da, als wenn die Schutzmechanismen des Modells versagten oder seine Infrastruktur verletzt wurde.

Brüssel bewegt sich auf die schwierigeren Fragen zu. SecurityWeek merkte an, die EU-Spitze habe vor KI-gestütztem Hacking gewarnt und darauf gedrängt, soziale Medien zu zügeln, und der Europäische Datenschutzausschuss prüft, wie bestehende Regeln auf KI-Systeme anzuwenden sind. Die spanische Meldung liefert diesen Debatten einen konkreten Fall zum Prüfen.

Was das für Sicherheits- und Datenschutzteams bedeutet

Der praktische Ratschlag im Beitrag der AEPD ist nicht exotisch. Er wiederholt Grundlagen, die für jede Organisation gelten: wissen, welche Daten man verarbeitet, sie minimieren, Zugriff begrenzen, Schwachstellen beheben, Lieferanten kontrollieren und reaktionsbereit sein. Was sich ändert, ist das Tempo.

Drei Anpassungen folgen aus der Argumentation der Behörde. Schneller erkennen: Kann ein Agent Phasen in Minuten verketten, sind wöchentliche oder monatliche Prüfzyklen unzureichend, und die Überwachung muss Identitäts- und API-Aktivitäten nahezu in Echtzeit verfolgen. Schneller eindämmen: Der Widerruf von Zugangsdaten und Sitzungen sollte eine getestete Ein-Schritt-Aktion sein und kein manuelles Projekt. Eigene Agenten steuern: Ein Agent mit weitreichenden Rechten ist faktisch ein privilegierter Insider, und sein Zugriff sollte begrenzt, protokolliert und widerrufbar sein.

Der Identitätspunkt wirkt in beide Richtungen. Je mehr Organisationen eigene Agenten zur Automatisierung einsetzen, desto stärker gilt: Dieselbe Autonomie, die sie nützlich macht, macht einen kompromittierten Agenten zu einem mächtigen Einfallstor. Die Warnung der AEPD vor überzogenen Token betrifft die eigene Automatisierung eines Unternehmens ebenso wie die eines Angreifers.

Was zu beobachten ist

Die AEPD hat die Akte angelegt, aber nicht die Untersuchung. Drei Dinge würden das Bild klären. Erstens, ob die Behörde die Darstellung nach der Auswertung bestätigt und ob sie technische Details veröffentlicht. Zweitens, ob die betroffene Organisation, weiterhin ungenannt, hervortritt oder mit einer Sanktion oder einem Schadensersatzanspruch konfrontiert wird. Drittens, ob andere europäische Aufsichtsbehörden ähnliche Meldungen berichten, was aus einer einzelnen Meldung ein Muster machen würde.

Vorerst liegt die Bedeutung in der Richtung. KI-gestützte Angriffe sind gut dokumentiert. Ein Agent, der das Eindringen von Anfang bis Ende ausführt, ist die nächste Kategorie, und Europas Datenschutzbehörden behandeln die spanische Meldung als Beleg, dass sie begonnen hat.

Titelbild: Der Hauptsitz der spanischen Datenschutzbehörde in der Calle de Jorge Juan, Madrid. Foto: Zarateman via Wikimedia Commons (CC0).