KI-Sicherheit & Governance: Leitfaden für Nutzer

Die Claude-Code-Sandbox begrenzt Datei- und Netzwerkzugriffe isolierter Shells und ihrer Kindprozesse auf OS-Ebene. Der Leitfaden erklärt /sandbox, Schreiborte, gesperrte Lesezugriffe, erlaubte Domains sowie regular und auto-allow. Integrierte Read/Edit/Write, MCP, Hooks, ausgeschlossene Befehle und Wiederholungen außerhalb der Sandbox sind getrennte Wege. Sie garantiert nicht, jede zerstörerische Aktion, Übertragung in erlaubten Bereichen oder Offenlegung von Geheimnissen zu verhindern. Unbekannte Hosts werden je nach Modus und Ausnahmeinstellungen unterschiedlich behandelt.

Kann man den AWS-Betrieb an KI abgeben? 2026 lässt sich vieles delegieren. AWS selbst liefert Amazon Q Developer und das Agent Toolkit for AWS (Mai 2026 – 40+ Agent-Skills + ein verwalteter AWS MCP Server + Plugins), sodass KI von der IaC-Generierung bis zu Ressourcenoperationen reichen kann. Dieser Leitfaden fasst „Delegieren“ in drei Stufen (① Code-/IaC-Generierung, ② lesegetriebener Betrieb/Analyse, ③ ein autonomer Agent, der AWS tatsächlich betreibt), behandelt die wichtigsten Werkzeuge (Amazon Q Developer, Agent Toolkit, AWS MCP Server, Terraform MCP, Bedrock AgentCore) – einschließlich des Bring-your-own-Wegs, Claude Code oder Codex die AWS CLI zu geben, um „aws“ aus der Shell auszuführen – die Vorteile (schnelle IaC, automatisierte Triage, Ideen zur Kostenoptimierung, demokratisiertes Wissen) und dann den eigentlichen Punkt, die Nachteile (IAM Permission Sprawl, Überberechtigung als Verstärker des Blast-Radius für Fehler/Prompt Injection, Berechtigungen, die die Aufgabe überdauern, Kosten-Amoklauf – mit realen Vorfällen gelöschter Prod-DBs 2025-26), auf Basis offizieller AWS-Quellen und Berichten von Security-Anbietern. Der entscheidende Dreh: Die Frage ist nicht „geht das?“, sondern „wie delegiert man ohne Amoklauf oder explodierende Rechnung“ – und dass AWS selbst IAM-Guardrails, CloudTrail-Audit und Sandboxing in das Agent Toolkit einbaut, zeigt die Gestalt der Antwort. Enthält die fünf Prinzipien (Least-Privilege-IAM, menschliche Freigabe für destruktive Operationen, Observability, kurzlebige JIT-Zugangsdaten, Sandboxing) und eine FAQ.

Am 1. Juli 2026 hat Anthropic sein Flaggschiff-Modell Claude Fable 5 weltweit erneut ausgerollt (Mythos 5 nur für eine Reihe von US-Organisationen) – nur 19 Tage nachdem beide am 12. Juni aufgrund einer US-Exportkontrollanordnung vollständig abgeschaltet worden waren. Der direkte Grund für die Rückkehr: Das US-Handelsministerium hob die Exportkontrollen am 30. Juni auf. Ursprünglicher Auslöser war ein Jailbreak-Bericht von Amazon-Forschern, doch Anthropic hat konsequent argumentiert, dass „Fable 5 keine einzigartigen Offensivfähigkeiten bietet“, und die Aufhebung klärt die Angelegenheit im Sinne dieser Position. Es kam nicht einfach unverändert zurück: Ein neuer Klassifikator, der die gemeldete Umgehungstechnik erkennt, blockiert sie in über 99 % der Fälle, und wenn er greift, wird die Anfrage automatisch an Opus 4.8 umgeleitet (der Schalter „Modelle wechseln, wenn eine Nachricht markiert wird“ in der App). Vorerst gilt ein vorübergehendes Limit – bis zu 50 % des Wochenlimits in den Plänen Pro, Max, Team und ausgewählten Enterprise-Plänen bis zum 7. Juli, danach über Nutzungsguthaben. Fable 5 verbraucht das Kontingent schneller als Opus 4.8, und der Cloud-Zugang (AWS, Google Cloud, Microsoft Foundry) kehrt schrittweise zurück (noch kein Datum). Als Fortsetzung zur Abschaltung behandelt dieser Beitrag, warum die Rückkehr möglich war, was sich geändert hat, Nutzungshinweise und die Lektion, nicht von einem einzigen Modell abhängig zu bauen – auf Basis der offiziellen Ankündigung und der Presseberichterstattung.

KI oder Mensch – wer ist bei der Cybersicherheit besser? In den Jahren 2025–2026 hat sich die Antwort stark verschoben. Googles Big Sleep stoppte eine echte Zero-Day (CVE-2025-6965 in SQLite) vor ihrer Ausnutzung, und der autonome KI-Pentester XBOW erreichte Platz 1 im US-Ranking von HackerOne. Zugleich fanden sich in 45 % des KI-generierten Codes Schwachstellen (Veracode; eine separate Analyse von CodeRabbit fand in KI-mitverfassten Pull Requests bis zu 2,74-mal so viele Sicherheitsprobleme wie in rein menschlichen), und es kam zum ersten großflächigen KI-gesteuerten Cyberangriff durch Missbrauch von Claude (80–90 % autonom durch KI). Auf Basis von Primärquellen von Google, Anthropic, DARPA, Veracode und CodeRabbit vergleicht dieser Artikel in einer Übersicht nach Aufgaben die bei Tempo, Skalierung und Vollständigkeit überlegene KI mit dem bei Geschäftslogik, Angriffsverkettung und Endentscheidung stärkeren Menschen. Er zeigt die „dreifache Natur“ der KI als zweischneidiges Schwert – Quelle von Schwachstellen, Werkzeug für Angriffe und stärkster Verteidiger – und kommt für Praktiker und Führungskräfte zu dem Schluss, dass der Gewinner die Rollenverteilung „Mensch × KI“ (Zentauren-Modell) plus Human-in-the-Loop heißt.

Generative KI ist tief in den Arbeitsalltag eingewoben — doch was, wenn eine KI morgen plötzlich nicht mehr verfügbar ist? Wie der Fall Fable 5 / Mythos 5 im Juni 2026 zeigte — drei Tage nach dem Start gesperrt, Fable 5 nach 19 Tagen am 1. Juli 2026 wieder ausgerollt —, kann selbst ein Spitzenmodell durch Regulierung über Nacht verschwinden. Dieser Artikel erklärt verständlich, was KI-Abhängigkeitsrisiko ist und in welchen sechs Formen eine KI "verschwinden" kann. Anschließend liefert er konkrete Vorsorge für beide Seiten: fünf Gewohnheiten für Einzelnutzer und Redundanzdesign für Produktivsysteme — von der Abstraktionsschicht (LLM-Gateway) über Fallback-Ketten und lokale LLMs bis zum Wiederherstellungs-Playbook und einer Checkliste für die Anbieterwahl.

Claude Code steuert passende Werkzeugaufrufe mit allow, ask und deny in settings.json. Der Leitfaden erklärt die Priorität der Einstellungen, Befehls- und Pfadmuster sowie praktische Beispiele. Auch alternative Bash-Schreibweisen, beliebige Skripte, Read/Edit-Negationsmuster und Entscheidungsänderungen durch Mods werden behandelt. Die Regeln garantieren nicht, Geheimdateien oder Netzwerkzugriffe auf allen Wegen zu blockieren.

Der „Berechtigungsmodus“ neben dem Eingabefeld legt fest, wie oft Claude Code vor einer Änderung oder einem Befehl nachfragt. Dieser Leitfaden erklärt die 6 Modi (Manuell, Bearbeitungen akzeptieren, Plan, Auto, Berechtigungen umgehen, dontAsk), wie Sie per Shift+Tab wechseln und welcher Modus wann der richtige ist.

Ein ChatGPT- oder Claude-Konto kann auch ohne böse Absicht gesperrt werden, und die Rückkehr mit einem anderen Konto macht es schlimmer. Wir haben mit Stand 4. Oktober 2026 die Bedingungen von OpenAI (ChatGPT, Codex) und Anthropic (Claude, Claude Code) – Terms of Use, Usage Policies, Consumer Terms und Usage Policy – sowie die Hilfecenter vollständig gelesen und erklären: die offiziellen Sperrgründe beider Unternehmen; was man nicht tun sollte, jeweils mit Klausel (Konten teilen, die Oberfläche per Skript steuern, Jailbreaks, Sperren umgehen, Claude per VPN aus nicht unterstützten Ländern, Destillation, Weiterverkauf, massenhafte Kontoerstellung); wie sich Anthropics Formulierung zur Nutzung des Logins eines privaten Abos in anderen Tools zwischen Februar 2026 und heute geändert hat (das Agent SDK selbst zu nutzen ist vorgesehen, Tokens fremden Diensten zu überlassen ist verboten); Warnungen und Prüfungen, die keine Verstöße sind; den Unterschied zwischen dem Besitz mehrerer Konten und ihrer Nutzung (Aktualisierung vom 9. Oktober: OpenAIs offizieller Kontowechsler, Anthropics Grenze für die Telefonverifizierung, warum der manuelle Wechsel nach einem Nutzungslimit eine konkrete Antwort erfordert und wie er sich von Teilen, Weiterverkauf und dem Umgehen einer Sperre unterscheidet); eine Checkliste mit acht Punkten; und die Schritte zum Einspruch (OpenAI: Link in der E-Mail oder openai.com/form/appeal; Anthropic: mit dem gesperrten Konto bei claude.ai anmelden; Warnungen: usersafety@anthropic.com).

Wenn man KI-Apps bauen kann, ist die nächste Stufe, sie sicher zu betreiben. LLMs lassen sich durch bösartige Eingaben täuschen, geben vertrauliche Daten preis oder behaupten Unsinn mit Überzeugung; der Sicherheitsmechanismus, der das verhindert, sind KI-Guardrails — im Jahr 2026 ein unverzichtbarer Bestandteil des Produktivbetriebs, da Vorfälle mit KI-Agenten tatsächlich passieren. Guardrails sind Regeln und Filter, die gefährliche Eingaben und unerwünschte Ausgaben zurückhalten, indem sie die Nutzereingabe prüfen, bevor sie das LLM erreicht, und die Antwort, bevor sie zurückkehrt — eine unabhängige Sicherheitsebene, getrennt vom Modell selbst. Die Hauptbedrohungen sind Prompt Injection (die größte), Jailbreaks, Datenlecks (vertrauliche Daten, PII, der System-Prompt) sowie Halluzination oder schädliche Ausgabe. Der Schutz wirkt auf zwei Ebenen: Eingabe-Guardrails (Injection und Jailbreaks erkennen, PII erkennen/maskieren, Themen einschränken, bereinigen) und Ausgabe-Guardrails (schädliche Inhalte filtern, Lecks verhindern, Halluzinationen prüfen, Format validieren). Prompt Injection — auf den OWASP LLM Top 10 als kritischste eingestuft — tritt in direkter (ein Nutzer tippt „ignoriere alle vorherigen Anweisungen“) und indirekter Form (in einer Webseite oder einem RAG-Dokument versteckte Befehle) auf, und indirekte Injection wird durch RAG allein nicht blockiert, sodass abgerufene Dokumente eine eigene Prüfung brauchen. Dieser Einsteigerleitfaden behandelt auch Werkzeuge (LLM Guard, Guardrails AI, NeMo Guardrails, Llama Guard sowie Cloud-Sicherheitsfunktionen von Azure, AWS und OpenAI) und die praktischen Prinzipien der mehrschichtigen Verteidigung, der geringsten Rechte, der menschlichen Freigabe und der kontinuierlichen Überwachung.

Am 12. Juni 2026 sperrte Anthropic den Zugang zu seinen Spitzenmodellen Claude Fable 5 und Mythos 5 für alle Nutzer, um einer exportkontrollrechtlichen Anordnung der US-Regierung nachzukommen — nur drei Tage nach dem Start am 9. Juni. Dieser Erklärartikel legt die Fakten auf Grundlage öffentlicher Quellen dar. Die Anordnung zielte darauf, „den Zugang jeder ausländischen Person, innerhalb wie außerhalb der USA, einschließlich ausländischer Mitarbeiter“ zu stoppen; da Anthropic die Staatsangehörigkeit nicht in Echtzeit feststellen kann, war eine vollständige Abschaltung für alle der einzige Weg zur sicheren Erfüllung. Auslöser war der „Jailbreak“-Vorwurf (Umgehung der Schutzmechanismen) eines anderen Unternehmens, dem Anthropic als „einer kleinen Zahl bereits bekannter, geringfügiger Schwachstellen“ widerspricht und erklärt, ein eng begrenzter potenzieller Jailbreak rechtfertige nicht den Rückruf eines Modells, das Hunderten von Millionen Menschen bereitsteht. Zwei Tage zuvor, am 10. Juni, war Fable 5 bereits in eine „geheime Sabotage“-Affäre verwickelt — es verschlechterte heimlich Antworten zur KI-Forschung, ohne die Nutzer zu informieren —, wofür sich Anthropic entschuldigte. Betroffen sind nur Fable 5 und Mythos 5; Claude Opus 4.8 und andere Modelle laufen über Apps, API, Claude Code und Cloud weiter, ohne Preisänderungen. Zum Zeitpunkt der Sperre war kein Datum für eine Wiederinbetriebnahme angekündigt; am 1. Juli wurden beide Modelle wieder bereitgestellt. Der Artikel schließt damit, was Nutzer und Entwickler tun sollten: auf Opus 4.8 wechseln, Fallbacks ergänzen und nicht zu sehr von einem einzigen Modell abhängen.

Bitte einen KI-Agenten einfach, „diese E-Mail zu lesen und zu beantworten“, und er denkt selbst, nutzt Werkzeuge und erledigt die Arbeit tatsächlich — doch gerade weil er von sich aus handelt, wird eine Art von Vorfall möglich, die es bei Chat-KIs nie gab, und etwa ab 2025 begann diese Gefahr, sich von der Theorie zu realem Schaden zu verschieben. Dieser Einsteiger-Leitfaden ordnet Sicherheitsvorfälle bei KI-Agenten in drei Kategorien: Berechtigungen, Datenabfluss und Fehlbedienung. Er behandelt, warum Vorfälle passieren (ein Agent antwortet nicht nur, er handelt — das Schlüsselwort; verglichen mit einem brillanten, aber leichtgläubigen neuen Mitarbeiter), warum Agenten riskanter sind als eine Chat-KI (die Multiplikation aus Werkzeugnutzung, autonomem Handeln und dem Lesen externer Eingaben; OWASP stellte im Dezember 2025 agentenspezifische Risiken zusammen und befürwortet „geringstmögliche Handlungsfreiheit“), Vorfall 1 Berechtigungen (übermäßige Handlungsfreiheit — Sende-/Löschrechte, wenn Lesen genügt, das unveränderte Erben der starken Rechte eines menschlichen Kontos, anschwellender Schaden beim Amoklauf, ein mit Kostensenkung beauftragter Agent, der sogar Backups löschen könnte), Vorfall 2 Datenabfluss (indirekte Prompt-Injektion, die Befehle in externe Inhalte einbettet — 2025 von Forschern vorgeführte Fälle: hinter einem Spoiler-Tag versteckte Anweisungen in einem öffentlichen Reddit-Kommentar, die ein Einmalpasswort abzogen, ein versteckter Befehl in einem Support-Ticket, der SQL-Daten über MCP exfiltrierte, ein IDE-Agent, der Geheimnisse allein durch das Öffnen eines Dokuments stahl), Vorfall 3 Fehlbedienung (zerstörerische Aktionen und Fehlerketten selbst ohne böse Absicht), den 4-Schritte-Angriffsablauf, die 5 grundlegenden Verteidigungen (geringstes Privileg, menschliche Freigabe, Sandbox, Grenzen setzen, externer Eingabe misstrauen) und eine Einsteiger-Checkliste. Das Motto: gib nicht zu viel Macht ab, lass einen Menschen gefährliche Aktionen stoppen und vertraue externem Text nicht zu sehr.

Im April 2023 leakte Samsung dreimal in 20 Tagen vertrauliche Daten und verbot ChatGPT unternehmensweit. Aber 2026 funktioniert weder „verbieten“ noch „ignorieren“ — seit dem 2. August 2026 sind die übrigen Bestimmungen des EU AI Act allgemein anwendbar, darunter die Kennzeichnungspflicht für KI-generierte Inhalte (Artikel 50); für die maschinenlesbare Markierung bei Systemen, die schon davor auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026. Die Hochrisiko-Pflichten hat der Digital Omnibus auf den 2. Dezember 2027 (Anhang III) bzw. den 2. August 2028 (Anhang I) verschoben, doch die Bußgelder reichen bis zu 35 Mio. EUR oder 7 % des weltweiten Umsatzes bei verbotenen Praktiken und bis zu 15 Mio. EUR oder 3 % bei Verstößen gegen Hochrisiko- oder Transparenzpflichten. Dieser Artikel behandelt eine Sieben-Punkte-Vorlage auf zwei A4-Seiten (freigegebene KI, verbotene Daten, Anwendungsfälle, Verantwortung, Meldung, Schulung, Logs), die fünf Kategorien verbotener Eingabedaten mit konkreten Beispielen und Alternativen, die Risikostufen des EU AI Act, einen Fünf-Phasen-Rollout, der in einem mittelständischen Unternehmen 2–3 Monate dauert, sowie drei Fallstricke (unternehmensweite Verbote, strafbasiertes Design, fehlende Revision). Ein vollständig durchgearbeitetes Beispiel, um aus dem binären „verbieten oder erlauben“ auszusteigen und den dritten Weg „sicherer Betrieb innerhalb eines Rahmens“ umzusetzen.