Lokale KI-Agenten: privat, aber auch sicher?

KI auf dem eigenen Computer auszuführen, hält Ihre Daten von Cloud-Anbietern fern, macht Sie aber nicht sicher. Sobald ein lokaler KI-Agent Ihre Dateien lesen, Ihre E-Mails öffnen und Befehle ausführen kann, kann jeder, der ihm Text vorlegt, versuchen, ihn zu steuern, und das ist ein Sicherheitsproblem, das Datenschutz allein nicht löst.

Dieser Artikel erklärt, warum Menschen und Unternehmen KI auf ihre eigenen Rechner holen, was bei einem beliebten lokalen Agenten schiefging und wie man den Datenschutzvorteil nutzt, ohne eine Hintertür zu öffnen.

Warum betreiben Menschen KI lokal?

Wegen Datenschutz und Kontrolle. Ein Modell auf Ihrem Gerät schickt Ihre Prompts, Dokumente oder Ihren Code nicht an einen Anbieter. Desktop-Apps wie Jan, eine kostenlose Open-Source-Alternative zu ChatGPT, lassen Menschen offene Modelle herunterladen und lokal ausführen.

Es gibt auch einen Grund am Arbeitsplatz. Der Work Trend Index 2024 von Microsoft und LinkedIn ergab, dass 78 % der Menschen, die KI bei der Arbeit nutzen, eigene Werkzeuge mitbringen. Manche Organisationen sehen lokale KI als Weg, Beschäftigten KI zu geben, ohne Firmendaten an externe Dienste zu senden.

Ist lokale KI sicher?

Eine lokale Chat-App, die nur Fragen beantwortet, bietet wenig Angriffsfläche. Ein lokaler Agent ist etwas anderes. Er handelt: Er liest Dateien, surft, verschickt Nachrichten und führt Befehle aus. Das macht zwei bekannte Risiken ernst.

Indirekte Prompt Injection. Forschende beschrieben 2023, wie Anweisungen, die in von der KI gelesenen Inhalten wie einer Webseite oder einem Dokument versteckt sind, ihr Verhalten übernehmen können. OWASP führt Prompt Injection an erster Stelle der Risiken für Anwendungen auf Basis großer Sprachmodelle und weist darauf hin, dass indirekte Injektionen über externe Quellen wie Websites oder Dateien kommen.

Übermäßige Handlungsfähigkeit. OWASPs LLM06 nennt die Grundursachen des Schadens, wenn ein Agent fehlgeleitet wird: übermäßige Funktionalität, übermäßige Berechtigungen und übermäßige Autonomie. Ein Agent mit Vollzugriff auf einen Laptop hat alle drei.

Die Kosten sind real. IBMs Cost of a Data Breach Report 2026 ergab, dass Prompt-Injection-Vorfälle gegen die KI einer Organisation im Schnitt 5,89 Millionen Dollar Verlust verursachten.

Was geschah mit Clawdbot und OpenClaw?

Anfang 2026 ging ein Open-Source-KI-Assistent viral, der nacheinander Clawdbot, Moltbot und OpenClaw hieß, weil er Aufgaben selbstständig auf dem Computer des Nutzers erledigen konnte. Sicherheitsforschende schlugen schnell Alarm. Tenable beschrieb, wie Angreifer, weil das Werkzeug E-Mails, Chatnachrichten und Webseiten liest, Nachrichten schicken konnten, die es zu nicht autorisierten Befehlen verleiten, und wie vom Agenten gespeicherte Schlüssel gestohlen werden konnten, um Konten zu übernehmen.

Tenables Rat war klar: Schlüssel und Tokens des Agenten so begrenzen, dass sie gerade genug Zugriff erlauben und gefährliche Aktionen verbieten; und weil der Agent zu Gruppenkanälen hinzugefügt werden kann, in denen er nicht vertrauenswürdige Nachrichten liest, nur vertrauenswürdigen Personen und Kanälen Zugriff geben.

Analyse: Die Lehre ist nicht, dass ein Werkzeug schlecht gemacht war. Jeder Agent, der nicht vertrauenswürdige Eingaben, private Daten und die Macht zu handeln verbindet, ist auf dieselbe Weise angreifbar, wo immer er läuft.

Datenschutz oder Sicherheit: Muss man wählen?

Nein, aber man muss für beides entwerfen. Lokale Verarbeitung schützt Daten vor dem Anbieter. Isolation und begrenzte Rechte schützen Daten vor dem Agenten. Die Cloud ist nicht automatisch schlechter: Ein gut betriebener Dienst kann Überwachung und Patches bieten, die ein privater Laptop nie bekommt. Die richtige Wahl hängt von den Daten, der Aufgabe und davon ab, wer die Umgebung pflegt.

Wie nutzt man lokale KI-Agenten sicher?

1. Chat und Handeln trennen. Für private Fragen ein einfaches lokales Modell nutzen; Agentenwerkzeuge nur bei Bedarf einschalten.
2. Minimalen Zugriff gewähren. Dem Agenten einen Arbeitsordner geben, nicht die ganze Festplatte, und keine gespeicherten Passwörter oder Schlüssel, die er nicht braucht.
3. Ihn isolieren. Agenten in einem Container oder einer virtuellen Maschine betreiben, damit ein fehlgeleiteter Agent den Rest des Systems nicht erreicht.
4. Einen Menschen einbinden. Eine Freigabe verlangen, bevor er Befehle ausführt, Nachrichten sendet oder ins Internet geht.
5. Nicht vertrauenswürdige Eingaben begrenzen. Einen Agenten mit mächtigen Werkzeugen keine öffentlichen Kanäle oder unbekannten E-Mails lesen lassen.
6. Aktualisieren und beobachten. Sicherheitsupdates zügig einspielen und protokollieren, was der Agent tut.
7. Eine Unternehmensrichtlinie festlegen. Wenn Beschäftigte eigene KI mitbringen, ihnen freigegebene Werkzeuge und klare Regeln geben statt eines Verbots, das sie umgehen.

Wie man KI-Systeme so aufbaut, dass ein kompromittierter Teil nicht alles erreicht, lesen Sie in Ein großes KI-Modell oder viele Agenten?.

Häufige Fragen

Ist lokale KI privater als Cloud-KI?

Meist ja, was die Daten selbst angeht: Ein Modell auf Ihrem Gerät schickt Prompts und Dateien nicht an einen Anbieter. Datenschutz ist aber nicht Sicherheit. Ein Agent mit Zugriff auf Dateien, E-Mail und Kommandozeile kann trotzdem dazu gebracht werden, sie preiszugeben.

Was ist indirekte Prompt Injection?

Ein Angriff, bei dem Anweisungen in Inhalten versteckt werden, die die KI liest, etwa in einer Webseite, E-Mail oder Datei. OWASP führt Prompt Injection als größtes Risiko für Anwendungen auf Basis großer Sprachmodelle.

Was lief bei Clawdbot und OpenClaw schief?

Der Open-Source-Agent, der nacheinander Clawdbot, Moltbot und OpenClaw hieß, löste Anfang 2026 Sicherheitswarnungen aus. Tenable beschrieb indirekte Prompt Injection über E-Mails, Chats und Webseiten sowie gestohlene API-Schlüssel und riet, nur vertrauenswürdigen Personen und Kanälen Zugriff zu geben.

Wie betreibt man einen lokalen KI-Agenten sicher?

Nur die nötigsten Rechte vergeben, ihn in einem isolierten Container oder einer virtuellen Maschine laufen lassen, Ihre Freigabe verlangen, bevor er Befehle ausführt oder Daten sendet, ihn möglichst von nicht vertrauenswürdigen Inhalten fernhalten und aktuell halten.

Quellen

1. Jan, Open-source ChatGPT replacement — Beispiel für eine kostenlose Open-Source-Desktop-App, die KI-Modelle lokal ausführt.
2. Tenable (2026), Agentic AI Security: How to Mitigate Clawdbot, Moltbot, OpenClaw Vulnerabilities — Indirekte Prompt Injection über E-Mails, Chatnachrichten und Webseiten; offengelegte Schlüssel; Rat, Zugriff nur vertrauenswürdigen Personen und Kanälen zu geben.
3. Greshake et al. (2023), Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection — Das Forschungspapier, das indirekte Prompt Injection beschrieben hat.
4. OWASP (2025), LLM01:2025 Prompt Injection — Definiert direkte und indirekte Prompt Injection, einschließlich in Websites oder Dateien versteckter Anweisungen.
5. OWASP (2025), LLM06:2025 Excessive Agency — Grundursachen: übermäßige Funktionalität, übermäßige Berechtigungen und übermäßige Autonomie.
6. IBM (2026), AI-powered adversaries and the enterprise risk challenge (Cost of a Data Breach Report 2026) — Prompt-Injection-Vorfälle verursachten im Schnitt 5,89 Millionen Dollar Verlust.
7. Microsoft and LinkedIn (2024), AI at Work Is Here. Now Comes the Hard Part (Work Trend Index) — 78 % der KI-Nutzenden bringen eigene KI-Werkzeuge mit zur Arbeit.