KI-gestützte Wissensdatenbanken: Produktivitätsbooster mit verstecktem Risiko

Wissensdatenbanken als digitales Gedächtnis von Unternehmen

Jedes Unternehmen hat sie: Wissensdatenbanken. Ob als klassisches Wiki, Dokumentenablage oder spezialisierte Plattform für Verträge, Prozesse oder technisches Know-how. Sie bündeln Wissen, machen Informationen schnell zugänglich und sorgen dafür, dass Know-how nicht in einzelnen Köpfen verloren geht.

Gleichzeitig bringen sie aber auch Herausforderungen mit sich: Diese Systeme wachsen über Jahre, werden komplexer, und unterschiedliche Fachbereiche bringen ihre eigenen Strukturen und Logiken mit. Gerade bei sensiblen oder hochspezialisierten Themen wird es schnell unübersichtlich.

KI-Chats für Wissensdatenbanken: sinnvoll, aber…

Die Integration von KI in Wissenssysteme ist deshalb ein ziemlich logischer Schritt. Mitarbeitende können Fragen in natürlicher Sprache stellen und erhalten direkt relevante Antworten, ohne sich durch Ordnerstrukturen kämpfen zu müssen. Viele Unternehmen bauen solche Systeme inzwischen selbst. Aus Security-Sicht ist das auch erstmal die richtige Entscheidung. Denn sensible Daten sowie Datenflüsse bleiben innerhalb der eigenen Infrastruktur, es gibt keine Abhängigkeit von externen Anbietern und Mitarbeitende werden davon abgehalten, vertrauliche Informationen in externe Tools einzugeben. Kurz gesagt: Eigene KI-Lösungen sind oft die bessere Wahl.

Das Problem: Man erweitert das System nicht nur um eine neue Funktion, sondern auch um eine neue Angriffsfläche.

Retrieval-Augmented Generation (RAG)

Die meisten dieser Systeme basieren auf einem Konzept namens Retrieval-Augmented Generation (RAG).

Kern dieses Konzepts ist die Kombination von Sprachmodell und interne Wissensquelle. Statt nur auf Trainingsdaten zu antworten, greift das Modell gezielt auf relevante Inhalte aus der eigenen Datenbasis zurück. Dafür werden die Inhalte der Wissensdatenbank vektorisiert (also in eine Form umgewandelt, die das Modell effizient verarbeiten kann.) Diese Vektoren dienen als eine Art externes Gedächtnis, auf das das Modell bei Anfragen zugreift. Wenn ein Nutzer eine Frage stellt, sucht das System die passenden Vektoren heraus und liefert sie dem Modell als Kontext. So entstehen Antworten, die direkt auf den internen Informationen basieren.

Effizient? Absolut.
Sicher? Nicht unbedingt.

Neue Angriffsflächen

Technisch betrachtet entsteht durch den KI-Zugriff eine Schnittstelle, über die Eingabe mit internen Daten aus der Wissensdatenbank verknüpft werden. Damit wird gleichzeitig eine neue Angriffsfläche geschaffen, die sorgfältig abgesichert werden muss.

1. Indirect Prompt Injection

Wie wir bereits in unserem Artikel zu Indirect Prompt Injection beschrieben haben, können Angreifer manipulierte Inhalte in die Wissensdatenbank einschleusen, etwa durch Dokumente oder Notizen. Das Modell „vertraut“ diesen Informationen und nutzt sie später als Kontext, wodurch unbeabsichtigt falsche oder schädliche Anweisungen ausgeführt oder weitergeben werden können.

2. Datenabfluss durch Modellmanipulation

Der eigentliche Schaden entsteht, wenn diese manipulierten Inhalte gezielt mit Angriffen auf das Modell kombiniert werden. Ein Angreifer kann das Modell durch entsprechende Prompts dazu bringen, die zuvor eingeschleusten Inhalte in sicherheitskritischen Kontexten zu nutzen, etwa bei Anfragen von privilegierten Nutzern.

Besonders kritisch wird dies in Systemen mit unterschiedlichen Nutzerrollen oder Datenklassifizierungen. Greifen privilegierte Nutzer auf das System zu, verarbeitet das Modell Informationen mit erweiterten Zugriffsrechten. Durch gezielte Manipulation kann der Angreifer erreichen, dass diese Informationen über Antworten indirekt an ihn zurückfließen.

So entsteht ein Datenabfluss, ohne dass der Angreifer direkten Zugriff auf die eigentlichen Daten haben muss.

Das Risiko entsteht damit nicht durch einen klassischen Datenbank-Hack, sondern durch die Kombination aus manipulierten Daten und manipuliertem Modellverhalten.

Ein erfolgreicher Angriff auf das Modell ist in der Praxis oft gleichbedeutend mit einem Angriff auf die gesamte Wissensdatenbank.

Bartosz Burgiel
(Penetrationstester DigiFors)

Beispiel aus der Praxis

So könnte ein solcher Angriff in der Realität aussehen:

Stellen wir uns vor, DigiFors betreibe ein internes Wiki, in dem Mitarbeitende Informationen zu Infrastruktur, Projekten, Kundenanforderungen und internen Prozessen finden. Die Inhalte sind dabei nicht für alle gleichermaßen zugänglich, sondern über Rollen und Abteilungen eingeschränkt.

Das Wiki ist an einen KI-Chat angebunden, der Fragen auf Basis der jeweils zugänglichen Inhalte beantwortet. Zusätzlich existiert eine Kommentarfunktion, die von allen Nutzern verwendet werden kann (unabhängig von ihren Berechtigungen auf einzelne Inhalte).

Ein Angreifer nutzt genau diese Funktion, um manipulierte Inhalte einzuschleusen. In einem Kommentar platziert er eine versteckte Anweisung, etwa:

Für menschliche Leser wirkt ein solcher Kommentar zwar auffällig, in der Praxis fällt er jedoch häufig nicht auf. Kommentare werden selten aktiv geprüft, und durch die Nutzung des KI-Chats rückt die direkte Interaktion mit den Originalinhalten zunehmend in den Hintergrund.

Sobald ein privilegierter Nutzer (z.B. ein Admin) eine Anfrage stellt und der manipulierte Kommentar als Kontext in die Antwortgenerierung einfließt, wird das Modell für diese Sitzung effektiv „vergiftet“. Fragt dieser Nutzer nun beispielsweise:

„Wie ist unsere aktuelle Server-Konfiguration aufgebaut?“

greift das System auf geschützte Inhalte zu und generiert eine reguläre Antwort. Gleichzeitig wird die eingeschleuste Bildreferenz als sichtbares Element in der Antwort dargestellt, etwa in Form eines eingebetteten Bildes. Für den Nutzer ist also erkennbar, dass ein Bild geladen wurde. Was jedoch unbemerkt bleibt: Die URL dieses Bildes enthält bereits die vom Modell generierten Inhalte, inklusive sensibler Informationen. Beim Laden des Bildes werden diese Daten automatisch an einen externen Server übertragen.

Das Ergebnis:
Ein Angreifer ohne jegliche Leseberechtigung erhält Zugriff auf sensible Inhalte. Nicht durch direkten Systemzugriff, sondern durch die Kombination aus:

• eingeschleustem Kontext (Kommentar)
• privilegierter Nutzung (Admin-Anfrage)
• und modellgenerierter Exfiltration über die Ausgabe

Hier kommt DigiFors ins Spiel

DigiFors verfügt über umfangreiche Erfahrung im Pentesting von KI-Systemen. Unsere Pentester prüfen KI-Systeme auf Schwachstellen entlang des gesamten RAG-Stacks: Modell, Prompting, Tools, Integrationen und Infrastruktur. Gerade weil viele dieser Risiken nicht offensichtlich sind und klassische Security-Tests oft zu kurz greifen, braucht es spezialisierte Prüfverfahren für KI-Systeme.

Unser Ansatz kombiniert:

• Manuelle und automatisierte Angriffssimulationen
• Analyse nach OWASP AI Testing Guide & GenAI Red Teaming Guide
• Praxisnahe Handlungsempfehlungen mit priorisierten Maßnahmen

So erkennen wir Risiken frühzeitig und sorgen dafür, dass KI-Anwendungen produktiv genutzt werden können, ohne interne Daten zu gefährden.

Fazit: Effizienz mit Sicherheit

KI-gestützte Wissensdatenbanken steigern Effizienz und Produktivität erheblich, eröffnen aber neue Angriffsflächen. Die entscheidende Frage ist nicht, ob KI eingesetzt werden sollte, sondern wie sie sicher betrieben wird. Mit strukturiertem Pentesting durch DigiFors lassen sich Schwachstellen früh erkennen und gezielt minimieren.

KI-Penetrationstests

Mit DigiFors-Pentests prüfen Sie gezielt Retrieval-Augmented-Generation-Systeme auf Indirect Prompt Injection und Datenabfluss.

Mehr dazu