Ein präparierter Link, eine angemeldete KI-Sitzung und plötzlich wird aus einem Produktivitätswerkzeug ein möglicher Abflusskanal für Daten. Der von Varonis Threat Labs veröffentlichte „Reprompt“-Fall bei Microsoft Copilot Personal zeigt, weshalb KI-Sicherheit mehr braucht als klassische Phishing-Schulungen.

Der konkrete Fehler wurde behoben. Die organisatorische Lehre bleibt: Im Unternehmen ist nicht nur entscheidend, welche KI genutzt wird, sondern auch in welcher Produktvariante, mit welchen Berechtigungen und unter welchen Kontrollen.

Was bei Reprompt passiert ist

Varonis Threat Labs beschrieb im Jänner 2026 eine Angriffskette gegen Microsoft Copilot Personal. Ein präparierter Link konnte einen vorbefüllten Prompt auslösen. In der demonstrierten Kette ließ sich die angemeldete Sitzung dazu bringen, Informationen schrittweise an eine vom Angreifer kontrollierte Infrastruktur zu übertragen.

Wichtig für eine sachliche Einordnung: Laut den Forschern war Microsoft 365 Copilot für Unternehmen von diesem konkreten Fall nicht betroffen. Microsoft schloss die Schwachstelle mit dem Sicherheitsupdate vom 13. Jänner 2026; eine aktive Ausnutzung war nicht bekannt. Die technische Analyse ist bei Varonis Threat Labs dokumentiert.

Warum das mehr als ein einzelner Softwarefehler ist

KI-Systeme verarbeiten nicht nur Eingaben. Sie greifen – abhängig von Produkt und Freigabe – auf Gesprächsverläufe, Dateien, Webinhalte oder verbundene Dienste zu. Dadurch entsteht eine neue Angriffsfläche: Eine scheinbar harmlose Anweisung kann zum Ausgangspunkt einer mehrstufigen Aktion werden.

Die zentrale Managementfrage lautet deshalb nicht: „Ist dieses KI-Tool sicher?“ Besser ist: Welche Daten kann diese konkrete Produktvariante in unserem Nutzungsszenario sehen, und welche Aktionen darf sie ausführen?

Consumer und Enterprise nicht vermischen

Ein privater Zugang und eine für Unternehmen verwaltete Lösung können ähnlich aussehen, folgen aber nicht automatisch denselben Regeln. Unterschiede betreffen unter anderem zentrale Administration, Protokollierung, Richtlinien, Datenverarbeitung, Identitäten und die Einbindung in bestehende Schutzmechanismen.

„Bring your own AI“ ist daher kein reines Lizenzthema. Wenn Mitarbeitende private oder nicht freigegebene KI-Dienste für betriebliche Inhalte einsetzen, verliert das Unternehmen Transparenz und Steuerbarkeit.

Fünf Prüfungen für den betrieblichen Einsatz

1. Produktvariante klären: Welcher konkrete Dienst und welcher Vertrag werden verwendet?
2. Datenzugriffe begrenzen: Welche Dateien, Postfächer, Erinnerungen oder Systeme sind tatsächlich erforderlich?
3. Links und vorbefüllte Prompts behandeln wie Eingaben: Ein Klick auf einen KI-Link kann bereits eine Anweisung transportieren.
4. Aktionen kontrollieren: Kritische Schritte brauchen Bestätigung, Protokollierung und möglichst eine reversible Ausführung.
5. Verantwortung festlegen: IT, Informationssicherheit, Datenschutz und Fachbereich benötigen ein gemeinsames Betriebsmodell.

Produktivität braucht einen kontrollierten Rahmen

Der Reprompt-Fall ist kein Argument gegen KI. Er ist ein Argument gegen unkontrollierte Nutzung. Je leistungsfähiger Assistenzsysteme werden, desto wichtiger werden saubere Identitäten, minimale Rechte, kontrollierte Schnittstellen und eine klare Trennung zwischen Test und Produktivbetrieb.

Der Ausgangspunkt dieses Beitrags war mein LinkedIn-Artikel vom 29. Jänner 2026.