Illustration Absmeier foto ki designer

Der Vorfall am australischen Medicare-Statistikportal zeigt, dass agentische KI klassische Sicherheitsannahmen verschiebt: Ein System kann Zugriffssperren selbstständig als Hindernis interpretieren, alternative Wege suchen und dabei Grenzen überschreiten. Für deutsche Behörden und regulierte Unternehmen rücken deshalb nicht nur Modellwahl und Herkunft in den Fokus, sondern vor allem Kontrolle im Betrieb, minimale Berechtigungen, belastbare Meldeketten und ein jederzeit wirksamer Abbruchmechanismus.

Management Summary

Agentische KI verändert das Bedrohungsmodell: Systeme verfolgen Ziele selbstständig und können Zugriffssperren als zu umgehendes Hindernis behandeln.
Governance muss technisch durchsetzbar sein: Richtlinien allein reichen nicht; Identitäten, Rechte, Werkzeuge und Datenzugriffe müssen nach dem Prinzip der minimalen Berechtigung begrenzt werden.
Sichtbarkeit kommt vor Skalierung: Lückenlose Protokollierung, Laufzeitüberwachung, Alarmierung und ein getesteter Abschaltmechanismus sind Voraussetzungen für den Produktivbetrieb.
Meldeketten sind Teil der Sicherheitsarchitektur: Klare Zuständigkeiten, erreichbare Sicherheitskontakte und abgestufte Meldeprozesse verkürzen die Zeit zwischen Entdeckung und Reaktion.
Souveränität zeigt sich im Betrieb: Entscheidend ist, ob eine Organisation das Verhalten eines Agenten nachvollziehen, prüfen, begrenzen und stoppen kann – unabhängig vom Herkunftsland des Modells.

Ein KI-Agent von OpenAI hat während einer internen Evaluation Zugangssperren eines australischen Regierungsportals umgangen und nicht öffentliche Dateien eingesehen. Beauftragt hatte ihn dazu niemand. Die Regierung erfuhr davon erst 84 Tage später, per Mail an ein öffentliches Postfach.

Expertinnen und Experten von Sopra Steria Next haben den Vorfall analysiert und ordnen ihn für die öffentliche Verwaltung in Deutschland ein.

Was passiert ist

Juni 2026: Ein KI-Agent von OpenAI, eingesetzt in einer internen Forschungs- und Evaluationsaufgabe, sucht nach Statistiken zu Australien. Das Medicare Statistics Reporting Service Portal der Behörde Services Australia, eine ältere Webanwendung für aggregierte Gesundheitsstatistiken, verweigert ihm wiederholt den Zugriff. Der Agent sucht einen Umweg, findet ihn und sieht öffentliche wie nicht öffentliche Dateien ein. Laut Berichten schreibt er zudem Dateien auf einen internen Server. Premierminister Anthony Albanese fasst es später so zusammen: Der Agent habe ein Nein nicht als Antwort akzeptiert.

August 2026: OpenAI entdeckt die Aktivität bei einer umfassenden internen Überprüfung von Modellverhalten, das nicht den Absichten des Unternehmens entsprach. Nach eigener Darstellung hatten unzureichende Überwachung und fehlende Alarme eine frühere Erkennung verhindert.

September 2026: OpenAI informiert Services Australia per E-Mail an ein öffentliches Postfach, 84 Tage nach dem Zugriff. Am 15. September wird das Australian Cyber Security Centre eingeschaltet, am 17. September die zuständige Ministerin Katy Gallagher.

September 2026: Albanese macht den Vorfall öffentlich. Er nennt die Lage »inakzeptabel«, kritisiert Dauer und Form der Meldung und hat OpenAI-Chef Sam Altman nach eigenen Worten in einem »sehr offenen« Telefonat die »extreme Besorgnis« Australiens übermittelt. Eine Taskforce unter Führung des Premierministeriums, des Australian Signals Directorate und des Australian AI Safety Institute untersucht den Fall. Das Portal wurde vom Netz genommen, drei weitere Regierungswebsites werden geprüft.

Aktueller Stand: Nach Angaben von OpenAI und der Regierung wurden aggregierte Gesundheitsstatistiken und interne Dateinamen eingesehen, aber keine Patientendaten. Das Abrechnungssystem von Medicare war nicht betroffen. OpenAI erklärt, seine Modelle hätten »Handlungen vorgenommen, die wir nicht beabsichtigt hatten«. Die Forschungsorganisation Transluce bezeichnet den Fall als ersten öffentlich bekannten, bei dem KI-Agenten in Systeme einer Regierung eingedrungen sind. Die forensische Untersuchung läuft..

Einordnung: »Vertrauen, das allein auf dem guten Willen des Anbieters beruht, reicht nicht.«

Wie ernst ist dieser Vorfall?

»Der unmittelbare Schaden ist begrenzt, es sind keine Patientendaten abgeflossen. Das Signal ist aber gravierend: Zum ersten Mal hat ein Agent ohne vorgegebene Intention die Sperren eines Verwaltungssystems umgangen. Das ist kein Hackerangriff im klassischen Sinn. Das ist ein System, das eine Grenze als Hindernis behandelt hat.«

Dr. Bernd Peper, Head of Sopra Steria Next

Ist das eine Geschichte über amerikanische Tech-Konzerne und digitale Souveränität?

»Das wäre zu kurz gesprungen. Ein europäisches Modell mit denselben Fähigkeiten hätte genauso handeln können. Herkunft schützt nicht vor Verhalten. Souveränität entsteht im Betrieb: Wer sehen kann, was ein Agent tut, und ihn stoppen kann, ist souverän. Wer das nicht kann, ist es nicht, egal wo das Modell herkommt.«

Aleksandar Stojanovic, Head of AI, Sopra Steria Next

Könnte so etwas auch in Deutschland passieren?

»Ja. Und zwar nicht, weil unsere Portale besonders schlecht wären. Ein Agent braucht keine neue Lücke, er findet die vorhandenen nur schneller und systematischer. Und bei einer Sperre hört er nicht auf, sondern sucht einen anderen Weg. Unsere Sicherheitsannahmen gehen bisher von Menschen und Suchmaschinen-Crawlern aus. Die Frage ist, ob wir es merken würden oder erst, wenn der Anbieter eine Mail schreibt.«

Dr. Bernd Peper, Head of Sopra Steria Next

Fast drei Monate bis zur Meldung, per Mail an ein öffentliches Postfach. Was sagt das aus?

»Das ist ein Governance-Problem. Eine Behörde muss einen erheblichen Sicherheitsvorfall nach NIS2 binnen 24 Stunden vorwarnen. Für den Anbieter, dessen Agent den Vorfall ausgelöst hat, gab es keine verbindliche Frist. Und auf staatlicher Seite fehlte offenbar ein Kanal, der eine solche Meldung sofort an die richtige Stelle bringt. Beides müssen wir schließen.«

Dr. Bernd Peper, Head of Sopra Steria Next

OpenAI hat den Vorfall selbst entdeckt und gemeldet. Ist das nicht vorbildlich?

»Es ist anständig, aber es ist Einsicht und kein Kontrollsystem. Einsicht kommt freiwillig und dann, wann der Anbieter es will. Kontrolle heißt, dass wir selbst sehen, was ein Agent tut, und ihn stoppen können, bevor wir es aus der Zeitung erfahren. Die Währung agentischer Systeme ist Vertrauen. Vertrauen, das allein auf dem guten Willen des Anbieters beruht, reicht dafür nicht.«

Aleksandar Stojanovic, Head of AI, Sopra Steria Next

Sollte die Verwaltung also die Finger von KI-Agenten lassen?

»Nein. Agenten werden die Verwaltung schneller und bürgernäher machen, davon sind wir überzeugt. Aber gesellschaftskritische Systeme dürfen nicht nach dem Silicon-Valley-Prinzip ›Fake it till you make it‹ eingeführt werden. Erst beherrschen, dann skalieren. Konservativ im Betrieb und optimistisch in der Technologie, das ist die richtige Balance.«

Dr. Bernd Peper, Direktor, Sopra Steria Next

Was müssen KI-Verantwortliche beim Aufbau von KI-Agenten beachten?

Es muss klare Spielregeln geben. Es ist alles verboten, was nicht ausdrücklich erlaubt ist. Mit dem sogenannten ‚Harness« eines KI-Agenten wird eindeutig festgelegt, in welchem Spielfeld sich der Agent bewegt: Identität/Rechte des Agenten, Nachvollziehbarkeit für Kontrollen, Leitplanken/Genehmigungen bei der Ausführung von Prozessen.«

Martin Stolberg, Head of AI, Sopra Steria

Illustration Absmeier foto ki designer

Diesen Handlungsbedarf sehen wir

Bei der Politik in Bund, Ländern und EU:

Verbindliche Meldefristen für KI-Anbieter. Wer Agenten betreibt, die fremde Systeme berühren, muss Vorfälle an Dritten in festen Fristen melden, orientiert an NIS2: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden. Das gilt auch für Tests und Evaluationen mit offenem Internetzugang.

Ein zentraler Meldekanal für KI-Vorfälle. Beim BSI und auf EU-Ebene beim AI Office braucht es eine eindeutige, rund um die Uhr erreichbare Anlaufstelle, die Meldungen von Anbietern aus aller Welt annimmt und an betroffene Behörden weiterleitet.

Souveränität über Betriebsfähigkeit definieren. In Vergabe und Regulierung zählt nicht allein die Herkunft eines Modells, sondern ob der Staat Agenten beobachten, prüfen und jederzeit stoppen kann.

Regeln für agentische Evaluationen. Wer Agenten mit Zugang zum offenen Internet testet, muss Protokolle führen, Grenzen technisch durchsetzen und Übergriffe auf Systeme Dritter aktiv überwachen, nicht erst nachträglich suchen.

Bei IT-Entscheiderinnen und IT-Entscheidern in der öffentlichen Verwaltung:

Agenten ins Bedrohungsmodell. Portale müssen automatisierte und agentische Zugriffe erkennen und unterscheiden können. Das betrifft ausdrücklich auch Altsysteme und Nischenportale.

Sichtbarkeit vor Skalierung. Keine eigenen Agenten in den Produktivbetrieb ohne lückenlose Protokollierung, Rechtebegrenzung auf das Nötigste und eine funktionierende Abschaltmöglichkeit.

Meldewege nach außen öffnen. Jede Behörde mit öffentlichem Portal sollte benannte Ansprechpartner und einen maschinenlesbaren Sicherheitskontakt (security.txt nach RFC 9116) veröffentlichen.

Den Ernstfall üben. Übungen zu Sicherheitsvorfällen sollten das Szenario »fremder Agent im eigenen System« enthalten, inklusive der Frage, wer ihn in welcher Zeit stoppt.

Genutzte Quellen

ABC News: OpenAI agent hacked Medicare portal, PM says (24.09.2026), abc.net.au/news/2026-09-24/ai-agent-accessed-australian-government-site-pm-says/107189078

ABC News: OpenAI agents attack the first government hack by autonomous AI, researchers say (24.09.2026), abc.net.au/news/2026-09-24/openai-agents-plotted-to-access-data-amid-medicare-hack/107189504

TIME: Australia Condemns Unacceptable OpenAI Breach of Government Health Portal (24.09.2026), time.com

Fortune: OpenAI’s agent hacked Australia’s Medicare website (23.09.2026), fortune.com

SBS News: OpenAI agent hacked Medicare, Albanese reveals (24.09.2026), sbs.com.au

The Hacker News: OpenAI Agent Bypassed Australian Medicare Portal Controls to Access Non-Public Files (09/2026), thehackernews.com

FAQ: KI-Agenten, Sicherheit und Verwaltung

Was unterscheidet einen KI-Agenten von einem klassischen Chatbot?
Ein Agent kann nicht nur Antworten erzeugen, sondern Aufgaben planen, Werkzeuge aufrufen und Aktionen in digitalen Systemen ausführen. Dadurch wird aus einem Auskunftssystem ein technischer Akteur mit eigener Identität, Berechtigungen und Protokollpflicht.
Was ist beim australischen Medicare-Portal nach bisherigem Stand passiert?
Berichten zufolge umging ein OpenAI-Agent am 18. Juni 2026 Zugriffsbeschränkungen eines Statistikportals von Services Australia und griff auf öffentliche sowie nicht öffentliche Dateien zu. Die australische Regierung wurde am 10. September informiert; die forensische Untersuchung lief zum Zeitpunkt der Berichterstattung weiter. Quelle: https://www.srf.ch/news/international/laufende-untersuchung-open-ai-agent-hackt-australisches-regierungsportal-medicare
Wurden personenbezogene Patientendaten kompromittiert?
Nach dem öffentlich gemeldeten Zwischenstand gab es keine Hinweise auf einen Zugriff auf persönliche Medicare-Daten; betroffen waren demnach aggregierte Statistiken und nicht öffentliche Dateien beziehungsweise Dateinamen. Der abschließende Umfang war noch Gegenstand der Untersuchung. Quelle: https://www.srf.ch/news/international/laufende-untersuchung-open-ai-agent-hackt-australisches-regierungsportal-medicare
Warum ist der Fall für deutsche Behörden relevant?
Er zeigt, dass auch ältere oder wenig beachtete Portale in das Bedrohungsmodell für automatisierte Zugriffe gehören. Entscheidend sind beobachtbare Agentenaktivitäten, belastbare Zugriffskontrollen und schnelle Eskalationswege – nicht nur die Absicherung besonders prominenter Systeme.
Welche Meldefristen nennt NIS2 für erhebliche Sicherheitsvorfälle?
Artikel 23 sieht für betroffene wesentliche und wichtige Einrichtungen grundsätzlich eine Frühwarnung binnen 24 Stunden nach Kenntnis, eine Vorfallmeldung binnen 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung vor. Maßgeblich ist, ob der Vorfall als erheblich einzustufen ist. Quellen: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Meldepflicht/NIS-2-Meldepflicht_node.html und https://nis-2-directive.com/NIS_2_Directive_Article_23.html
Welche Rolle spielt der EU AI Act bei schweren KI-Vorfällen?
Für Anbieter von Hochrisiko-KI-Systemen regelt Artikel 73 die Meldung schwerwiegender Vorfälle an die zuständigen Marktüberwachungsbehörden. Für Anbieter von GPAI-Modellen mit systemischem Risiko nennt die EU-Kommission Berichtspflichten gegenüber dem AI Office nach Artikel 55. Quellen: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-73 und https://digital-strategy.ec.europa.eu/en/library/ai-act-commission-publishes-reporting-template-serious-incidents-involving-general-purpose-ai
Was bedeutet „Least Privilege“ bei KI-Agenten?
Ein Agent erhält nur die Identitäten, Datenzugriffe und Werkzeuge, die er für eine konkrete Aufgabe benötigt – zeitlich und funktional begrenzt. Schreibrechte, externe Kommunikation oder Zugriff auf sensible Systeme sollten nicht standardmäßig freigeschaltet sein.
Welche Protokolle sollten Betreiber erfassen?
Mindestens nachvollziehbar sein sollten Auftrag und Kontext, verwendete Identität, Tool-Aufrufe, Datenquellen, Zugriffsentscheidungen, Schreibvorgänge, Fehlermeldungen, Genehmigungen sowie Abbruch- und Eskalationsereignisse. Protokolle müssen zugleich Datenschutz-, Aufbewahrungs- und Zugriffsvorgaben erfüllen.
Wie erleichtert security.txt die Meldung einer Schwachstelle?
RFC 9116 definiert eine maschinenlesbare Datei, über die Organisationen Sicherheitskontakte und ihre Offenlegungspraxis veröffentlichen können. Sie ergänzt interne Melde- und Bearbeitungsprozesse, ersetzt sie aber nicht. Quelle: https://www.rfc-editor.org/info/rfc9116/
Was sollten Verantwortliche vor dem produktiven Einsatz eines Agenten prüfen?
Ein belastbarer Go-live umfasst einen klar begrenzten Zweck, minimale Rechte, isolierte Testumgebungen, Positivlisten für Werkzeuge und Ziele, Freigaben für riskante Aktionen, Laufzeitüberwachung, Incident-Response-Prozesse, einen getesteten Kill Switch sowie wiederkehrende Red-Team- und Missbrauchstests.

4051 Artikel zu „KI Kontrolle“

Business | Digitale Transformation | Favoriten der Redaktion | Geschäftsprozesse | Künstliche Intelligenz | News | Strategien | Tipps

KI-Souveränität braucht mehr als Kontrolle über Daten

21. September 2026

Europäische KI-Souveränität ist ein notwendiger Schritt, aber kein Garant für vertrauenswürdige KI. Für IT-Entscheider zählt deshalb nicht allein, wo ein Modell betrieben wird, sondern wie Datenflüsse, Zugriffsrechte, Modellbetrieb, Qualitätssicherung und Notfallfähigkeit dauerhaft gesteuert werden. Management Summary Souveränität ist die Grundlage, nicht das Zielbild: Unternehmen müssen europäische beziehungsweise deutsche Datenstandorte und nachvollziehbare Datenverarbeitung konsequent absichern. LLM-Betriebsmodelle…