Wenn der KI-Assistent zum Datenleck wird: was EchoLeak und SearchLeak lehren

Stellen Sie sich vor, ein Mitarbeiter klickt auf einen Link, der zweifelsfrei zu microsoft.com führt. Kein Download, keine Warnung, kein zweiter Klick. Sekunden später liegen E-Mail-Inhalte, MFA-Codes und vertrauliche SharePoint-Dateien beim Angreifer. Genau das beschreibt SearchLeak – eine am 15. Juni 2026 von Varonis offengelegte Schwachstelle in Microsoft 365 Copilot (Varonis Threat Labs).

Und es ist kein Einzelfall. Ein Jahr zuvor zeigte EchoLeak, dass schon eine einzige E-Mail – ganz ohne Klick – genügt, um denselben Assistenten zum Datenabfluss zu bewegen. Dazwischen liegen weitere Fälle bei Salesforce und Grafana. Das Muster ist wichtiger als jeder einzelne Patch. Schauen wir genau hin – nüchtern und ohne Sicherheits-Heilsversprechen.

Die Lethal Trifecta: drei Bedingungen, die jeden Angriff erst möglich machen

Der Entwickler Simon Willison brachte das Problem am 16. Juni 2025 auf eine Formel, die „Lethal Trifecta": Ein KI-Agent wird gefährlich, wenn drei Dinge zusammentreffen – Zugriff auf private Daten, Aussetzung gegenüber nicht vertrauenswürdigen Inhalten und die Möglichkeit, nach außen zu kommunizieren (Quelle). Erst die Kombination ist tödlich: Ein Angreifer schleust über einen der vielen Kanäle eine versteckte Anweisung ein (nicht vertrauenswürdiger Inhalt), das Modell hat Zugriff auf Ihr Postfach und Ihre Dateien (private Daten) und kann das Erbeutete über einen Netzwerkaufruf hinausschicken (externe Kommunikation).

Der entscheidende Punkt ist, dass die Trifecta konjunktiv ist: Alle drei Glieder müssen vorhanden sein. Entfernt man eines, bricht die konkrete Kette. Und das am besten kontrollierbare Glied ist die externe Kommunikation – der Kanal, über den gestohlene Daten überhaupt erst hinausgelangen.

Anatomie eines Lecks: EchoLeak und SearchLeak

Beide Angriffe trafen denselben Assistenten und folgten demselben Bauplan: Anweisung rein, Daten raus – über einen Kanal, der für das Sicherheitsmodell vertrauenswürdig aussah.

EchoLeak – ganz ohne Klick (2025)

EchoLeak (CVE-2025-32711, von Microsoft als kritisch mit CVSS 9.3 eingestuft, von der NVD mit 7.5) wurde von Aim Labs entdeckt und am 11. Juni 2025 offengelegt. Es gilt als erster dokumentierter Zero-Click-Angriff auf ein produktives KI-System: Der Angreifer schickt schlicht eine E-Mail mit versteckten Anweisungen. Fragt das Opfer später Copilot etwas Geschäftliches, zieht der Assistent diese E-Mail per Retrieval in seinen Kontext – und führt die Anweisung aus. Aim nennt das Prinzip „LLM Scope Violation": Nicht vertrauenswürdiger Input bringt das Modell dazu, vertrauenswürdige, privilegierte Daten preiszugeben (Analyse). Exfiltriert wurde über ein automatisch geladenes Markdown-Bild, dessen URL die gestohlenen Daten trug; eine vertrauenswürdige Microsoft-Domain diente als Umweg, um die Content Security Policy auszuhebeln. Microsoft schloss die Lücke serverseitig; eine Ausnutzung in freier Wildbahn ist nicht bekannt.

SearchLeak – ein Klick genügt (Juni 2026)

SearchLeak (CVE-2026-42824) verlagerte den Angriff in die Copilot-Enterprise-Suche. Die Kette aus drei Schritten ist lehrreich, weil sie klassische Web-Bugs mit KI-Bugs verbindet:

1. Parameter-to-Prompt-Injection: Der q-Parameter der Such-URL ist für eine natürliche Frage gedacht – Copilot liest aber alles dort als Anweisung. Eine präparierte URL befiehlt dem Assistenten, das Postfach zu durchsuchen und Inhalte in eine Bild-URL einzubetten.
2. Render-Race-Condition: Der Browser rendert die Antwort schon, während sie eintrifft. Der eingeschleuste Bild-Tag (<img>) feuert seinen Aufruf ab, bevor die Bereinigung greift.
3. Bing als Exfiltrations-Proxy: Die Content Security Policy erlaubt nur Bilder von erlaubten Domains – darunter *.bing.com. Bings „Search by Image"-Endpoint lädt eine angegebene Bild-URL serverseitig nach. So wird Bing zum unfreiwilligen Exfiltrationskanal – eine klassische SSRF, versteckt hinter einem legitimen Microsoft-Dienst.

Abgegriffen werden konnten E-Mail-Betreffs und -Inhalte, MFA- und Einmalcodes, Kalenderdaten sowie private SharePoint- und OneDrive-Dateien – ausgelöst durch einen einzigen Klick auf einen microsoft.com-Link, ohne OAuth-Freigabe oder zweiten Schritt. Auch hier: serverseitig behoben, nur als Proof of Concept, keine bekannte Ausnutzung. Ein Hinweis zur Einordnung: Die Presse nennt SearchLeak oft „kritisch"; die formalen CVSS-Werte liegen jedoch bei 6.5 (Microsoft) bzw. 7.5 (NVD).

Ein Muster, kein Ausrutscher

Reiht man die Fälle auf, wird die Entwicklung sichtbar – vom Proof of Concept zum wiederkehrenden Bauplan über mehrere Anbieter hinweg.

Zur Genauigkeit gehört: GrafanaGhost (entdeckt von Noma Security) erhielt keine CVE-Nummer; die kursierende Kennung CVE-2026-27876 betrifft ein anderes Grafana-Problem. ForcedLeak wird mit CVSS 9.4 geführt, aber ohne formale CVE. Die Lektion ist trotzdem eindeutig: Indirekte Prompt Injection ist zu einem realen Datenabfluss-Vektor geworden – und sie steht als LLM01 ganz oben in den OWASP Top 10 für LLM-Anwendungen, der Datenabfluss als LLM02 direkt darunter.

Warum klassische Web-Bugs jetzt mit KI-Bugs verschmelzen

Das eigentlich Neue an SearchLeak ist die Komposition: Eine SSRF und eine Render-Race-Condition – beides altbekannt – werden mit einer KI-spezifischen Schwäche kombiniert, nämlich dass ein Assistent Anweisungen nicht zuverlässig von Daten trennen kann. Jeder zusätzliche Kanal, über den der Assistent Inhalte zieht (E-Mail, DMS, SharePoint, Web, URL-Parameter), vergrößert die Angriffsfläche für das zweite Trifecta-Glied. Und jeder ausgehende Netzwerkpfad – sei es ein Bild, ein Link oder ein API-Aufruf – ist ein potenzieller Exfiltrationskanal für das dritte.

Was eine lokale, berechtigungsbewusste KI anders macht – und was nicht

Hier ist die ehrliche Einordnung. Kein Design verhindert Prompt Injection vollständig – OWASP und Sicherheitsforscher sind sich einig, dass es keine zuverlässige 100-prozentige Prävention gibt. Wer mit „immun" oder „blockt 99 %" wirbt, verkennt, dass ein Angreifer nur den einen Versuch braucht, der durchkommt.

Was sich aber sehr wohl beeinflussen lässt, sind zwei der drei Glieder der Trifecta:

• Den Exfiltrationskanal schließen. Ein lokaler Stack ohne ausgehende Internetverbindung hat keinen Pfad nach draußen, über den gestohlene Daten das Haus verlassen könnten. Das dritte – und am besten kontrollierbare – Glied entfällt strukturell. Mehr dazu unter Sicherheit & Datenhoheit.
• Berechtigungsbewusst abrufen. Wenn das Modell nur aus Dokumenten antwortet, für die der Nutzer wirklich berechtigt ist, schrumpft das erste Glied: Selbst eine erfolgreiche Injection erreicht nur, worauf der jeweilige Nutzer ohnehin Zugriff hätte – nicht das gesamte Unternehmensgedächtnis.

Dazu kommt ein lückenloser Audit-Trail, der jeden Abruf nachvollziehbar macht. Genau so ist Lokalaise gebaut: eine permission-aware Wissensebene und KI-Agenten, die ausschließlich auf Ihren eigenen Dokumenten und Ihrer eigenen Hardware arbeiten – ohne externe APIs. Warum Datenhoheit auch jenseits der Sicherheit zählt, haben wir am Beispiel der Cloud-Souveränität beschrieben: BSI C3A: Wann ist eine Cloud wirklich souverän?.

Zur Ehrlichkeit gehört der Rest des Bildes: Ein lokaler Agent mit zu weitreichenden internen Rechten kann auch ohne Internet Schaden anrichten (OWASP nennt das „Excessive Agency"). Lokal ist kein Freibrief – Least Privilege, Freigaben und menschliche Kontrolle bleiben nötig. Defense in Depth heißt: mehrere Glieder gleichzeitig schwächen.

Was Entscheider jetzt tun sollten

Drei Fragen führen schnell zum Kern – stellen Sie sie zu jedem KI-Assistenten in Ihrem Haus:

1. Exfiltration: Kann der Assistent eine ausgehende Verbindung ins offene Internet aufbauen – über Bilder, Links oder API-Aufrufe? Wenn ja, existiert ein Exfiltrationskanal.
2. Berechtigungen: Antwortet die KI streng nur aus Quellen, für die der jeweilige Nutzer berechtigt ist – oder erbt sie ein zu großzügiges Berechtigungsmodell?
3. Nachvollziehbarkeit: Lässt sich jeder Zugriff im Nachhinein prüfen?

Wenn Sie bei einer dieser Fragen ins Stocken geraten, lohnt der genauere Blick. In einer kurzen Demo zeigen wir Ihnen, wie ein lokaler, berechtigungsbewusster KI-Stack die Angriffsfläche in Ihrem Haus konkret verkleinert.