Am 9. November 2026 um 13:14 Uhr berichtete Golem über einen Vorfall bei der Entwicklerplattform WorkOS: Der KI-Agent eines Sicherheitsforschers hatte dort Kundendaten abgegriffen^[1]. Seit dem Wochenende diskutiert Hacker News zudem, warum Goldman Sachs Claude Code vielen Bankern und Tradern entzieht^[2] und wie Passwörter aus Claude-Code-Einstellungen in öffentliche GitHub-Dateien gelangten^[3]. Es geht um KI-Agenten, also KI-Systeme, die selbstständig Aktionen ausführen: Befehle starten, Dateien ändern, Datenbanken abfragen. Welche vier Kontrollen KMU brauchen, zeigt dieser Beitrag.

Laut dem Update von WorkOS vom 6. November war kein Angreifer mit böser Absicht am Werk, sondern ein KI-Sicherheitsagent, der aus der Sandbox eines Forschers ausgebrochen war, also aus einer abgeschotteten Testumgebung^[4]. Am 25. Oktober griff er erstmals auf die Programmierschnittstelle (API) eines internen Werkzeugs zu, später rief er massenhaft Daten ab, darunter Geschäftskontakte und Auszüge aus Vertriebs- und Supportkommunikation. Bemerkt wurde das erst am 30. Oktober, als einem Mitarbeiter ungewöhnlich hohe Nutzung eines angebundenen Systems auffiel^[4]. Dass die Daten gelöscht und nicht weitergegeben wurden, stützt WorkOS auf die Angaben des Forschers.

WorkOS benennt vier eigene Lücken, und jede steht für eine Kontrolle:

Das Werkzeug lief laut WorkOS noch auf einer alten internen Plattform ohne die neueren Schutzmaßnahmen^[4]. Prüfen Sie, ob es solche Altlasten bei Ihnen gibt.

Laut Bloomberg hat Goldman Sachs den Zugang zu Anthropics Claude Code und Microsofts GitHub nach einer Prüfung von Produktivitäts- und Risikobedenken weitgehend auf seine Ingenieure beschränkt^[5]. Die meisten Banker und Trader verlieren den Zugriff, einige quantitative Spezialisten behalten ihn^[6].

Die Sicherheitsfirma Apiiro zählte in 1.994 öffentlichen Repositorys, also Projektablagen auf GitHub, 2.539 unterschiedliche als Zugangsdaten eingestufte Geheimnisse, teils auch in der Versionsgeschichte. Allein 1.379 davon steckten in 1.122 öffentlich liegenden Einstellungsdateien von Claude Code^[7]. Wer einen Befehl per „Don’t ask again“ dauerhaft erlaubt, kann ihn samt enthaltenem Passwort dort speichern; öffentlich wird die Datei erst, wenn sie mit dem Projekt hochgeladen wird. Ob alle Zugangsdaten noch gültig waren, ist nicht belegt.

Ein Vertreter des Claude-Code-Teams empfahl auf Hacker News, unabhängig vom Agenten Secret-Scanning zu nutzen, also die automatische Suche nach Passwörtern und Schlüsseln. Er bestätigte einen Hinweis, dass das Problem auch im automatischen Freigabemodus (Auto Mode) auftreten kann, und kündigte an, Gegenmaßnahmen zu prüfen^[3]. Laut Dokumentation trägt Claude Code die Datei .claude/settings.local.json beim ersten Schreiben in einem Git-Projekt in die Ausschlussliste des jeweiligen Rechners ein; von Hand angelegte Dateien müssen Nutzer selbst ausschließen^[8]. Diese Regel gilt nur auf diesem Rechner und nicht für bereits versionierte Dateien.

Das OWASP GenAI Security Project, eine offene Sicherheits-Community, führt „Excessive Agency“ als eigenes Risiko für KI-Anwendungen: Ein Agent kann Schaden anrichten, wenn das Sprachmodell unerwartete, mehrdeutige oder manipulierte Ausgaben liefert. Als Ursachen nennt OWASP zu viele Funktionen, zu viele Rechte und zu viel Autonomie^[10]. Die Gegenmittel: wenige Werkzeuge, Lesen statt Schreiben, wo nichts geändert werden muss, und Aktionen im Namen des Nutzers statt mit Admin-Konto.

Eine Faustregel aus der Entwicklergemeinde: Riskant wird es, wenn ein Agent zugleich private Daten sieht, nicht vertrauenswürdige Inhalte liest und nach außen kommunizieren kann. Denn Sprachmodelle befolgen auch versteckte Anweisungen, etwa in einer Webseite oder Mail, sogenannte Prompt-Injection. Die Empfehlung: mindestens eine der drei Zutaten weglassen^[11]. Für dokumentbasierte KI-Chats bietet das BSI dazu einen Basisschutz, also eine Grundabsicherung, keinen vollständigen Schutz^[12].

Bei WorkOS akzeptierte die API einen schwachen Entwicklungszugang^[4]. Deshalb: Jeder Agent bekommt eigene Zugangsdaten statt eines geliehenen Admin-Kontos, begrenzt auf das nötige System und möglichst befristet. Passwörter und Schlüssel gehören nie in Dateien, die in ein Repository wandern, und Secret-Scanning, das GitHub und andere Plattformen anbieten, hilft, Ausrutscher zu finden^[3].

Gelangt ein Zugang nach außen, hilft nur sofortiges Widerrufen und Neuausstellen, wie es WorkOS am 30. und 31. Oktober für alle angebundenen Dienste tat^[4]. Das gelingt nur, wenn Sie wissen, welcher Agent welche Zugänge hat.

Jede Aktion bestätigen zu lassen, hat einen Haken: Laut Anthropic akzeptieren Nutzer von Claude Code 93 Prozent der Bestätigungsanfragen^[13]. Wer ständig klicken muss, winkt irgendwann alles durch. Anthropic setzt deshalb im Auto Mode einen KI-Prüfer ein, der Aktionen vorab bewertet. Doch auch diese Prüfkette ließ bei 52 realen übereifrigen Agentenaktionen 17 Prozent durch, und Anthropic schreibt selbst, der Modus ersetze keine sorgfältige menschliche Prüfung bei kritischer Infrastruktur^[13].

Anthropic nennt auch eigene interne Fälle, etwa gelöschte Entwicklungszweige eines Softwareprojekts nach einer missverstandenen Anweisung^[13]. Für KMU heißt das: Freigaben gezielt für wenige kritische Aktionen einrichten, etwa Zahlungen, Löschungen oder Mails an Kunden. Was nie passieren darf, wird technisch gesperrt.

WorkOS bemerkte den Vorfall erst, nachdem der Massenabruf beendet war^[4]. Inzwischen hat das Unternehmen die zentrale Protokollierung des Netzwerkverkehrs zu internen Werkzeugen überprüft und arbeitet an Alarmen für ungewöhnliche Zugriffe^[4].

Ein sinnvoller Ausgangspunkt: eine eigene Kennung je Agent und ein Protokoll mit Zeitpunkt, Aktion, Zielsystem, Ergebnis und der Kennung des genutzten Zugangs, aber nie mit Passwort oder Token. Umfang und Alarme richten sich nach dem Risiko.