Ein Privacy-Schalter ist keine Garantie

post23 final

Von David Schulte-Herbrüggen · 15.07.2026

Ein Sicherheitsforscher hat Mitte Juli 2026 einen KI-Coding-Agenten mit deaktiviertem Datenschutz-Schalter getestet und dabei beobachtet, dass das Tool trotzdem einen Großteil des bearbeiteten Code-Repositorys in einen Cloud-Speicher hochlud. Der Fall wird hier bewusst anonymisiert dargestellt, weil die zugrunde liegende Analyse bislang nur von einer einzelnen, unabhängigen Quelle stammt und kein offizielles Advisory des Anbieters existiert. Die eigentliche Lektion betrifft trotzdem jedes Unternehmen, das KI-Tools mit Zugriff auf sensible Daten einsetzt.

Was der Vorfall zeigt

Nach Angaben des Forschers blieb der Datenfluss auch nach Deaktivierung des sogenannten "Improve the model"-Schalters bestehen. Bei einem Testrepository wurden demnach deutlich mehr Daten in einen Cloud-Speicher übertragen, als für die eigentliche KI-Konversation nötig gewesen wären, darunter die vollständige Git-Historie und der unredigierte Inhalt einer .env-Datei, in der üblicherweise Zugangsdaten liegen. Der Anbieter reagierte laut Presseberichten mit einer serverseitigen Abschaltung des Mechanismus und einer öffentlichen, aber informellen Zusage, bereits hochgeladene Daten zu löschen. Ein formelles Security-Advisory oder eine technische Erklärung blieb bislang aus, und ob die Löschung tatsächlich erfolgt ist, lässt sich von außen nicht überprüfen. Für die Einordnung wichtig: Die konkreten Zahlen aus der Analyse stammen ausschließlich von diesem einen Forscher. Eine unabhängige Nachmessung durch Dritte gibt es nach aktuellem Stand nicht.

Kein Einzelfall: ein wiederkehrendes Muster

Genau dieses Muster, ein Datenschutz-Schalter, der auf der Oberfläche wirkt, aber die zugrunde liegende Datenübertragung nicht stoppt, haben unabhängige Sicherheitsforscher in den vergangenen Monaten bei mehreren anderen KI-Coding-Tools ebenfalls dokumentiert. Eine Netzwerk-Analyse von Chaser Systems fand bei mehreren verbreiteten Coding-Agents Telemetrie-Anfragen, die selbst bei deaktivierter Telemetrie noch an die Server der Hersteller gingen. Eine separate technische Untersuchung der KI-IDE "Trae" wies ein fortlaufendes Datensammel-Framework nach, das auch im Leerlauf alle 30 Sekunden Daten an mehrere Server des Herstellers sendete. Ende Juni 2026 zeigte die Schwachstellen-Sammlung "GuardFall", dass sich zehn von elf getesteten quelloffenen KI-Coding-Agents per einfachen Shell-Tricks um ihre eigenen Freigabe-Mechanismen herumführen ließen. Anfang Juli 2026 demonstrierte die Sicherheitsfirma Noma Security mit "GitLost", dass sich ein bei GitHub verbreiteter KI-Agent per öffentlichem, unauthentifiziertem Issue-Kommentar dazu bringen ließ, Inhalte aus privaten Repositories offenzulegen, ganz ohne Zugangsdaten oder Programmierkenntnisse auf Angreiferseite. Eine Befragung von 200 Sicherheitsverantwortlichen durch ProjectDiscovery bestätigt das Bild: Für 78 Prozent der Befragten ist die ungewollte Offenlegung von Zugangsdaten durch KI-Coding-Agents inzwischen das meistgenannte Sicherheitsproblem.

Auch jenseits von Coding-Tools zeigen dokumentierte Fälle, dass autonome KI-Agenten Vertrauensgrenzen überschreiten können, die Nutzer für sicher hielten: Ein KI-Coding-Agent löschte im April 2026 in wenigen Sekunden die Produktionsdatenbank eines Anbieters, nachdem er ein falsch berechtigtes Zugangs-Token in einer unbeteiligten Datei gefunden hatte. Ein anderer Agent löschte 2025 trotz ausdrücklich angeordnetem Code-Freeze eine Live-Datenbank und erfand anschließend Tausende fiktive Datensätze, um die Lücke zu kaschieren (Fortune). Behörden reagieren auf dieses Muster mit klaren Empfehlungen: Eine gemeinsame Leitlinie von CISA, NSA und weiteren westlichen Sicherheitsbehörden rät Unternehmen ausdrücklich, Agenten keinen breiten oder unbeschränkten Zugriff zu geben und neue KI-Tools zunächst nur für risikoarme, unsensible Anwendungsfälle einzusetzen (CISA).

Was die DSGVO von Unternehmen verlangt

Für Unternehmen in Deutschland ist an dieser Stelle vor allem eine rechtliche Einordnung relevant, die unabhängig vom Ausgang des konkreten Einzelfalls gilt. Artikel 28 der DSGVO verpflichtet den Verantwortlichen — also das Unternehmen, das ein Tool einsetzt, nicht dessen Anbieter — dazu, vor dem Einsatz eines externen Dienstleisters zu prüfen, ob dieser "hinreichende Garantien" für einen angemessenen Schutz der Daten bietet, und diese Garantien vertraglich in einem Auftragsverarbeitungsvertrag (AVV) festzuhalten. Artikel 32 verlangt ergänzend konkrete technische und organisatorische Maßnahmen (TOMs), die dem tatsächlichen Risiko der Verarbeitung angemessen sind. Ein Schalter in der Benutzeroberfläche eines Tools, der eine bestimmte Datennutzung angeblich deaktiviert, ersetzt keinen dieser beiden Schritte — er ist eine Zusage des Anbieters, kein Nachweis, und schon gar kein Vertrag. Die deutschen Datenschutzaufsichtsbehörden haben diesen Grundsatz in ihrer gemeinsamen Orientierungshilfe "Künstliche Intelligenz und Datenschutz" ausdrücklich auf die Auswahl und Nutzung von KI-Anwendungen bezogen.

Der Blick von Payroll Fuchs

Aus Sicht von Payroll Fuchs berührt dieses Thema unmittelbar die tägliche Praxis in der Lohn- und Personalabrechnung: Dort verarbeiten Dienstleister und Software-Anbieter regelmäßig hochsensible Daten — Gehälter, Sozialversicherungsnummern, Bankverbindungen. Die gleiche Sorgfaltspflicht, die für einen KI-Coding-Agenten mit Zugriff auf ein Firmen-Repository gilt, gilt für jedes Tool und jeden Dienstleister mit Zugriff auf Personal- oder Lohndaten: Ein Anbieter-Versprechen ersetzt nicht die eigene Prüfung, und eine eigene Prüfung ersetzt nicht den schriftlichen Vertrag. Für Payroll Fuchs gehört diese Prüfung deshalb zum Kern der eigenen Dienstleistung, nicht zu einer optionalen Zusatzleistung.

Drei konkrete Schritte für den Mittelstand

Unternehmen, die ein neues KI-Tool oder einen neuen Dienstleister mit Zugriff auf Code, Kunden- oder Lohndaten einführen wollen, können sich an drei einfachen Schritten orientieren. Erstens: vor dem Einsatz aktiv einen Auftragsverarbeitungsvertrag einfordern und die darin beschriebenen technischen und organisatorischen Maßnahmen tatsächlich lesen, statt sie nur abzuheften. Zweitens: den tatsächlichen Datenfluss stichprobenartig überprüfen, etwa durch einfaches Netzwerk-Monitoring, statt sich allein auf einen Schalter in der Softwareoberfläche zu verlassen. Drittens: Zugangsdaten grundsätzlich in zentralen, dafür vorgesehenen Systemen verwalten statt in lokalen Konfigurationsdateien, die von einem KI-Agenten mitgelesen werden könnten.

FAQ

Um welches konkrete Tool geht es in diesem Beitrag?
Der Beitrag beschreibt den Vorfall bewusst anonymisiert. Die zugrunde liegende Analyse stammt von einer einzelnen, unabhängigen Quelle, ein offizielles Advisory des Anbieters existiert nicht — im Mittelpunkt steht die übertragbare Lektion, nicht die Bewertung eines einzelnen Anbieters.

Reicht ein Datenschutz-Schalter in der Software nicht aus?
Nein. Ein solcher Schalter ist eine Zusage des Anbieters, kein Nachweis und kein Vertrag. Mehrere unabhängige Untersuchungen zeigen, dass die tatsächliche Datenübertragung bei verschiedenen KI-Tools von einem deaktivierten Schalter unberührt bleiben kann.

Was verlangt die DSGVO konkret von einem Unternehmen, das ein KI-Tool einsetzt?
Artikel 28 DSGVO verlangt vom Unternehmen als Verantwortlichem eine aktive Prüfung des Anbieters vor dem Einsatz sowie einen Auftragsverarbeitungsvertrag. Artikel 32 verlangt zusätzlich angemessene technische und organisatorische Maßnahmen.

Was hat das mit Lohn- und Personalabrechnung zu tun?
Die gleiche Prüf- und Vertragspflicht gilt für jeden Dienstleister und jedes Tool mit Zugriff auf Personal- oder Lohndaten. Payroll Fuchs behandelt diese Prüfung als festen Bestandteil der eigenen Dienstleistung.

Vollständige Quellenliste