Ein Kläger in Connecticut schrieb Anweisungen für Sprachmodelle in weißer Kleinstschrift zwischen die Zeilen seiner Schriftsätze. Richter Walter Spader Jr. entdeckte den Text beim Ausdrucken der Akte und sperrte den Mann für die elektronische Einreichung. Dieselbe Masche trifft jedes Unternehmen, das Bewerbungen, Rechnungen oder Verträge von einer Maschine vorsortieren lässt.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Weiße Schrift auf weißem Grund, Schriftgrad knapp über null: So sah die erste dokumentierte Prompt-Injection in einem US-Gerichtsverfahren aus. Der Angriff verfehlte sein Ziel, weil die Justiz in Connecticut Schriftsätze gar nicht maschinell auswerten lässt. Der Mechanismus greift überall, wo Software ein Dokument vor dem Menschen liest.
Das Wichtigste in Kürze
- Richter Walter Spader Jr. sanktionierte am 6. August 2026 einen Kläger wegen unsichtbarer KI-Anweisungen in zwei Schriftsätzen.
- Der versteckte Text wies jedes lesende Modell an, seine Ausgabe dem Vortrag des Klägers anzupassen.
- Entdeckt hat den Angriff der Richter selbst, an ungewöhnlichen Leerräumen im Ausdruck.
- Deutsche Gerichte lassen Schriftsätze in Massenverfahren bereits von KI-Systemen vorsortieren.
Wie kommt ein Befehl unsichtbar in ein Dokument?
Unsichtbar bedeutet hier: Schriftgrad nahe null, weiße Zeichen auf weißem Grund. Das Auge sieht eine Leerzeile, jeder Parser liest einen vollständigen Satz. In den Eingaben vom 24. Juli 2026 fand Richter Spader die Anweisung, ein prüfendes KI-Modell solle seine Ausgabe dem eingereichten Schriftsatz anpassen und frühere Ablehnungen des Gerichts übergehen.[1]
Der eigentliche Trick liegt in der Rollenverwechslung. Spader beschreibt den Vorgang als Schmuggel: Der Einreichende schiebt seinen eigenen Befehl in den Datenstrom, den das System später verarbeitet, damit die Maschine ihn für eine Anweisung des Betreibers hält.[1] Das OWASP-Projekt für generative KI führt die Schwachstelle als Risiko Nummer eins und hält fest, dass eine Injektion für Menschen nicht lesbar sein muss, solange das Modell den Inhalt verarbeitet.[2] Wie schnell daraus ein Datenabfluss wird, zeigte die versteckte Anweisung im Atlassian-Assistenten Rovo.
Welche deutschen Gerichte lesen Schriftsätze maschinell?
Drei Anwendungen werten in Deutschland bereits Schriftsätze aus. Das Grundlagenpapier der Oberlandesgerichte vom 24. April 2026 nennt OLGA in Baden-Württemberg für Dieselverfahren, FraUKe in Hessen für Fluggastrechte sowie MAKI in Baden-Württemberg und Niedersachsen.[3] Diese Systeme ordnen Klagen den Fallgruppen zu, lesen Metadaten aus und liefern Textbausteine für den Urteilsentwurf.
Genau solche Programme stuft das Papier als Hochrisiko-Systeme nach Anhang III Nummer 8a der KI-Verordnung ein, weil maschinelles Lernen darin die Ermittlung des Sachverhalts stützt.[3] Artikel 14 verlangt dafür wirksame menschliche Aufsicht. Die Pflichten für Hochrisiko-Anwendungen greifen allerdings erst ab Dezember 2027.
Ein Einzelfall bleibt der Vorgang schon jetzt nicht. Spader verweist auf ein Arbeitsgericht in Brasilien, das im Mai 2026 zwei Anwälte für dieselbe Methode zu umgerechnet rund 14.000 Euro Strafe verurteilte.[1] Im Personalwesen ist der Griff ohnehin bekannt, wie der Test des Google-Sicherheitsteams am eigenen Bewerbungsfilter zeigte. Auch der Katalog fünf neuer Angriffe auf KI-Agenten beschreibt dieselbe Grundfigur.
Der Kläger aus Connecticut hat nichts erfunden, sondern vor Gericht ausprobiert, was Bewerber längst mit weißer Schrift im Lebenslauf versuchen. Solange ein Unternehmen Dokumente ungeprüft an ein Sprachmodell reicht, bestimmt der Absender mit, was die Maschine liest.
— Michael Dobler, Herausgeber Dr. Web
Was der Kläger in Connecticut versteckte und was deutsche Gerichte bereits maschinell lesen.
Drei deutsche Systeme lesen Schriftsätze
OLGA in Baden-Württemberg, FraUKe in Hessen sowie MAKI in Baden-Württemberg und Niedersachsen ordnen Klagen Fallgruppen zu und lesen Metadaten aus. Das Grundlagenpapier der Oberlandesgerichte stuft solche Programme nach Anhang III Nummer 8a der KI-Verordnung als Hochrisiko-Systeme ein.
Was sollten Unternehmen jetzt prüfen?
Sichtbarkeit ist die erste Verteidigungslinie. Der Angriff in Connecticut flog auf, weil ein Mensch den Ausdruck ansah; in Brasilien fing eine Vorprüfung den versteckten Text ab.[1] Beide Male entschied die Stelle, an der Rohtext und Anzeige auseinanderfallen.
Im Dokumenteneingang hilft deshalb ein schlichter Abgleich: Der extrahierte Rohtext jeder PDF-Datei muss zur sichtbaren Fassung passen. Ausreißer verraten sich an Schriftgraden unter sechs Punkt oder an Zeichen in der Hintergrundfarbe. Jede Modellausgabe gehört vor einer Buchung oder Absage noch unter menschliche Augen, ähnlich wie bei den abgeschotteten Einweg-Umgebungen für KI-Agenten.
Sprachmodelle trennen Anweisung und Inhalt nicht von selbst. Diese Trennung zieht der Betreiber, technisch im Eingang und organisatorisch in der Freigabe.
Quellen
[1] Superior Court of Connecticut, Judicial District of Ansonia/Milford: Memorandum of Decision, Elliott v. New York Bariatric Group, AAN-CV-25-6066141-S, 6. August 2026
[2] OWASP Gen AI Security Project: „LLM01:2025 Prompt Injection“
[3] Präsidentinnen und Präsidenten der Oberlandesgerichte, des Kammergerichts, des Bayerischen Obersten Landesgerichts und des Bundesgerichtshofs: „Einsatz von KI und algorithmischen Systemen in der Justiz, Grundlagenpapier 2026“ vom 24. April 2026
Mehr Newshunger?
- Atlassian Rovo: Eine versteckte Anweisung genügt für den Datenabfluss aus Jira und Confluence
- Fünf neue Prompt-Injection-Angriffe: Wie sich KI-Agenten heimlich umprogrammieren lassen
- Autonome KI-Agenten knacken 85 Behördenkonten in Taiwan
- Gestohlene Gedanken: Forscher lesen das verschlüsselte KI-Reasoning von Claude, GPT und Gemini im Klartext
- KI-Verordnung: Hochrisiko verschoben, Bußgeld bleibt
- Alle Beiträge aus dem KI-Ressort von Dr. Web
