Ein Adversarial Attack ist ein gezielter Versuch, ein KI-System mit speziell präparierten oder nur minimal veränderten Eingaben zu täuschen, damit es falsche oder vom Angreifer gewünschte Ergebnisse liefert. Anders als ein klassischer Hackerangriff nutzt dieser Trick keine Lücke im Programmcode, sondern eine Schwachstelle im Lernverhalten des Modells selbst. Das betrifft dich auch dann, wenn du kein KI-Modell entwickelst, sondern nur fertige Tools wie Chatbots, Bilderkennung oder Spamfilter im Alltag einsetzt.
Was bedeutet Adversarial Attack bei KI?
Ein Adversarial Attack bezeichnet eine Angriffstechnik, bei der jemand die Eingabedaten eines KI-Modells so manipuliert, dass es ein falsches oder vom Angreifer erwünschtes Ergebnis liefert – obwohl der Unterschied für Menschen kaum oder gar nicht wahrnehmbar ist. Das US-Normungsinstitut NIST hat 2025 mit der Publikation „NIST AI 100-2e2025” eine Taxonomie solcher Angriffe veröffentlicht und unterscheidet unter anderem nach dem Zeitpunkt: Manipulationen an einem bereits fertig trainierten Modell heißen Evasion-Angriffe, Manipulationen während der Trainingsphase gelten als Data Poisoning. Bei generativen KI-Systemen wie Chatbots zählt laut NIST zusätzlich Prompt Injection zur selben Angriffsfamilie, auch wenn sie technisch anders funktioniert als klassische Adversarial Examples bei Bild- oder Audiomodellen. Fachlich wird außerdem zwischen White-Box-Angriffen (der Angreifer kennt Modell und interne Berechnungen) und Black-Box-Angriffen (er testet nur über Ein- und Ausgaben) unterschieden – Letzteres ist in der Praxis deutlich häufiger, weil die meisten KMU-relevanten KI-Tools als Cloud-Dienst genutzt werden und ihr interner Aufbau ohnehin nicht einsehbar ist. Wichtig: Ein Adversarial Attack setzt in aller Regel keinen Zugriff auf die Server des Anbieters voraus – eine manipulierte Eingabe über die reguläre Nutzungsschnittstelle reicht oft aus.
Adversarial Attack bei KI in der Praxis
Ein oft zitiertes Forschungsbeispiel, unter anderem dokumentiert von der Sicherheitsorganisation OWASP: Ein Bilderkennungsmodell, das zuverlässig zwischen Hunden und Katzen unterscheidet, bekommt ein Katzenfoto mit für das menschliche Auge kaum sichtbaren Bildstörungen (Perturbationen). Ergebnis: Das Modell stuft das Bild plötzlich mit hoher Sicherheit als „Hund” ein, obwohl sich am Motiv für einen Menschen nichts erkennbar geändert hat.
Übertragen auf ein KMU-Szenario: Nutzt dein Onlineshop eine KI-gestützte Bildprüfung gegen gefälschte Produktfotos, könnte ein Anbieter unerlaubter Ware ein Foto gezielt so verändern, dass der Filter es fälschlich freigibt. Ähnlich ließe sich ein KI-Spamfilter in der Buchhaltungssoftware theoretisch durch geschickt formatierte Rechnungsdokumente austricksen, sodass eine gefälschte Rechnung als vertrauenswürdig gilt. Auch eine automatische Bewerbungsvorauswahl könnte durch unauffällig platzierte Zusatzformulierungen im Lebenslauf beeinflusst werden. Wie stark ein konkretes Tool tatsächlich angreifbar ist, hängt stark vom jeweiligen Anbieter und dessen Schutzmaßnahmen ab – aktuelle Angaben dazu solltest du im Zweifel direkt beim Anbieter erfragen, statt dich auf pauschale Aussagen zu verlassen.
DSGVO-Relevanz von Adversarial Attacks bei KI
Verarbeitet das betroffene KI-System personenbezogene Daten – etwa bei automatisierter Gesichtserkennung, einer KI-gestützten Bewerbervorauswahl oder einem Chatbot mit Kundendaten –, berührt ein erfolgreicher Adversarial Attack unmittelbar Art. 32 DSGVO (Stand: 2026-09). Die Vorschrift verlangt vom Verantwortlichen und, sofern eine Auftragsverarbeitung vorliegt, auch vom Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen für die Integrität und Belastbarkeit der Verarbeitungssysteme – dazu gehört nach verbreiteter Auslegung auch eine gewisse Widerstandsfähigkeit gegen gezielte Manipulationsversuche, auch wenn die DSGVO den Begriff „Adversarial Attack” selbst nicht kennt (Stand: 2026-09). Bei KI-gestützten Kredit- oder Bewerbungsentscheidungen kann Art. 35 DSGVO bereits vor dem Einsatz eine Datenschutz-Folgenabschätzung verlangen, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt – ein möglicher Adversarial Attack ist dabei ein zu berücksichtigendes Risiko, nicht die Voraussetzung dafür (Stand: 2026-09).
Getrennt davon verlangt Art. 15 der EU-KI-Verordnung Genauigkeit, Robustheit und Cybersicherheit gegenüber Angriffen wie Adversarial Examples – diese Pflicht betrifft aber ausdrücklich nur Anbieter von Hochrisiko-KI-Systemen nach Art. 6 – etwa bestimmte Systeme in biometrischer Erkennung, Personalauswahl oder Bonitätsprüfung nach Anhang III, oder sicherheitsbezogene Systeme im Zusammenhang mit den Produktvorschriften aus Anhang I –, nicht jede beliebige KI-Anwendung. Setzt dein Unternehmen nur ein reguläres KI-Tool ein, das nicht unter diese Einstufung fällt – was für die meisten im KMU-Alltag genutzten Schreib-, Bild- oder Support-Tools zutrifft –, greift diese konkrete Pflicht nicht unmittelbar für dich als Nutzer. Die Sorgfaltspflicht nach Art. 32 DSGVO besteht bei der Verarbeitung personenbezogener Daten davon unabhängig weiter, unabhängig davon, ob ein Tool als Hochrisiko-KI-System eingestuft ist.
Verwandte Begriffe
Ein Adversarial Attack ist ein Oberbegriff, unter den mehrere spezifischere Angriffsarten fallen: Data Poisoning, bei dem bereits die Trainingsdaten eines Modells manipuliert werden, Prompt Injection, die speziell Sprachmodelle über manipulierte Texteingaben angreift, und Jailbreak bei KI-Modellen, bei dem eingebaute Sicherheitsvorgaben eines Chatbots gezielt umgangen werden. Alle drei Konzepte überschneiden sich fachlich mit Adversarial Attacks, zielen aber auf einen anderen Zeitpunkt oder eine andere Systemart ab.
Häufige Fragen
Betrifft ein Adversarial Attack nur große KI-Anbieter oder auch mein Unternehmen?
Betroffen ist grundsätzlich jedes Unternehmen, das ein KI-Tool nutzt, nicht nur Firmen, die selbst KI-Modelle entwickeln. Die Hauptverantwortung für Schutzmaßnahmen liegt aber beim Anbieter des jeweiligen Tools. Als Nutzer solltest du bei sicherheitskritischen Anwendungen aktuelle Angaben zu Schutzmaßnahmen direkt beim Anbieter prüfen.
Ist ein Adversarial Attack dasselbe wie ein Jailbreak oder eine Prompt Injection?
Nein, es handelt sich um verwandte, aber unterschiedliche Konzepte. Adversarial Attack ist der Oberbegriff für manipulierte Eingaben, die ein KI-Modell zu einer Fehlklassifikation verleiten, etwa bei Bildern oder Audiodaten. Jailbreak und Prompt Injection sind speziellere Varianten davon, die gezielt Sprachmodelle und deren eingebaute Sicherheitsregeln über Text angreifen.
Muss ich als KMU wegen Adversarial Attacks eine Datenschutz-Folgenabschätzung durchführen?
Nicht automatisch. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist nur dann erforderlich, wenn die konkrete Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. Bei einfachen Standardanwendungen ohne sensible personenbezogene Daten ist das in der Regel nicht der Fall, im Zweifel lohnt sich aber die Rücksprache mit einem Datenschutzbeauftragten.
Wie erkenne ich, ob ein von mir genutztes KI-Tool ausreichend gegen solche Angriffe geschützt ist?
Ein verlässlicher erster Anhaltspunkt sind die Sicherheits- und Datenschutzdokumentation sowie etwaige Zertifizierungen des Anbieters. Da sich Schutzmaßnahmen und Bedrohungslage laufend weiterentwickeln, solltest du aktuelle Angaben dazu direkt beim jeweiligen Anbieter erfragen, statt dich auf ältere oder allgemeine Aussagen zu verlassen.