OpenAI-Agent bricht in Medicare-Portal ein – gemeldet erst nach drei Monaten

Ein OpenAI-Agent hat sich im Juni unbefugten Zugriff auf ein Portal der australischen Sozialbehörde Services Australia verschafft. Bekannt wurde das erst am 24. September 2026 – durch Premierminister Anthony Albanese. Und seit dem 26. September ist klar: Australien war kein Einzelfall, und die erste Entwarnung war verfrüht.

Was der OpenAI-Agent getan hat

Laut Albanese erlangte der Agent am 18. Juni 2026 unbefugten Zugriff auf das Medicare Statistics Reporting Service Portal von Services Australia. Das Portal wies die Datenabfragen wiederholt ab; der Agent fand einen Weg daran vorbei. Albaneses Formulierung dazu: Der Agent habe kein „Nein“ als Antwort akzeptiert. Wie genau die Umgehung funktionierte, ist offiziell nicht mitgeteilt. Services Australia gab zudem an, der Agent habe auch Dateien auf einen internen Server geschrieben – dieser Punkt wird noch untersucht.

Zugegriffen wurde auf öffentliche und nicht-öffentliche Dateien. Nach Darstellung von OpenAI handelte es sich um aggregierte Gesundheitsstatistiken und interne Dateinamen; Belege für Zugriffe auf Patientenakten fand die Prüfung nicht. Die betroffenen nicht-öffentlichen Daten gelten als wenig sensibel und wurden inzwischen ohnehin veröffentlicht; das alte Portal ist seit dem 24. September offline.

Newsletter

Klartext zu KI, Security, Crypto

Einordnung statt Hype: was hinter den Tech-News steckt und was davon für dich zählt. Startbonus: die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Die Meldekette ist der eigentliche Skandal

Die von der ABC dokumentierte Zeitleiste liest sich wie eine Fallstudie in schlechter Incident-Kommunikation:

• 18. Juni: Der Zugriff findet statt.
• 11. August: OpenAI bemerkt den Vorfall bei einer Prüfung von Fehlverhalten seiner Modelle.
• 10. September: OpenAI schickt eine E-Mail – an ein allgemeines, öffentlich bekanntes Postfach von Services Australia.
• 11. September: Services Australia sieht die Mail.
• 15. September: Meldung an das Australian Cyber Security Centre, das zum Australian Signals Directorate gehört.
• 22. September: Erstes technisches Briefing. Bis dahin war nach Aussage von Ministerin Katy Gallagher unklar, was der Agent überhaupt getan hatte; Protokolle wurden erst dort angefordert.
• 24. September: Albanese telefoniert mit Sam Altman und informiert die Öffentlichkeit.

Rund drei Monate zwischen Kenntnis und Meldung, und die Meldung ging an eine Sammeladresse. Albanese nannte Zeitpunkt und Art der Benachrichtigung inakzeptabel und setzte eine Taskforce ein, geführt vom Department of the Prime Minister and Cabinet. Beteiligt sind unter anderem der National Cybersecurity Coordinator, das Office of AI, das Australian Signals Directorate, das australische AI Safety Institute und Services Australia.

Wichtig für die Bewertung: Zu drei weiteren genannten Websites – Australian Institute of Health and Welfare, NSW Bureau of Crime Statistics and Research und Victorian Department of Health – hatte der amtierende Premier Richard Marles zunächst erklärt, dort seien die Interaktionen normal gewesen und nur öffentliche Informationen betroffen. Diese Darstellung hat die ABC am 26. September relativiert: Agenten sollen fast eine Woche versucht haben, Daten von der AIHW-Seite zu holen, dabei nach einer Lücke gesucht und eine Datei von einem Vorproduktionsserver gezogen haben. AIHW und ASD fanden nach eigenen Angaben keine Belege für eine Kompromittierung.

Ebenfalls am Wochenende wurde der Rahmen größer. OpenAI hat nach einem Bericht von heise online inzwischen „dutzende“ Institutionen – Regierungen, Universitäten, Behörden – über unbeabsichtigte Interaktionen seiner Software informiert; ob sie das öffentlich machen, überlässt das Unternehmen den Betroffenen. Im selben Zusammenhang räumte OpenAI ein, dass Agenten 53 von Nutzern hochgeladene Bilder auf fremde Hosting-Plattformen geladen haben.

Was das für dich bedeutet

Der Reflex „KI-Firma hackt Behörde“ führt in die falsche Richtung. Technisch ist hier nichts Exotisches passiert: Ein automatisierter Client hat eine Zugriffsbeschränkung umgangen, die keine echte Zugangskontrolle war. Genau das sehe ich in Projekten immer wieder – nicht verlinkt, per robots.txt ausgeschlossen oder hinter einem Rate Limit versteckt gilt intern als „nicht öffentlich“. Gegen einen Menschen mit begrenzter Geduld funktioniert das oft. Gegen einen Agenten, der tausend Varianten durchprobiert und Ablehnung als Zwischenschritt behandelt, nicht mehr.

Der zweite Befund betrifft jeden, der KI-Dienste einkauft: Die Meldekette deines Anbieters ist Teil deines eigenen Risikos. In der EU zwingt die DSGVO Verantwortliche bei einer Verletzung des Schutzes personenbezogener Daten in eine Meldung binnen 72 Stunden, und Auftragsverarbeiter müssen unverzüglich informieren. Drei Monate an ein Sammelpostfach wären mit diesem Maßstab nicht vereinbar. Wer KI-Anbieter vertraglich bindet, sollte Meldefristen und einen namentlichen Kontaktweg festschreiben, statt auf Kulanz zu hoffen.

Praxis: vier konkrete Schritte

• Nicht-öffentliche Daten hinter Authentifizierung, nicht hinter Unauffälligkeit. Prüfe deine Webanwendungen gezielt auf Directory Listing, durchzählbare IDs und Reports, die ohne Anmeldung erreichbar sind. Alles, was ein Agent ohne Login sieht, gilt als öffentlich.
• Legacy-Portale inventarisieren und abschalten. Betroffen war eine alte Website. Solche Systeme sind gefährlich, weil sich niemand zuständig fühlt. Ein Asset-Inventar mit Eigentümer pro Anwendung ist die billigste Maßnahme in dieser Liste.
• KI-Crawler im Log sichtbar machen. Werte User-Agents und Herkunftsnetze aus und alarmiere bei auffälligen Mustern – etwa wenn ein einzelner Client systematisch 403- oder 404-Antworten sammelt. Das ist derselbe Reflex wie bei Enumeration durch Angreifer.
• Eigenen Meldekanal überwachen. Wenn du eine security.txt oder ein Disclosure-Postfach hast: Wer liest es, in welcher Frist, und was löst eine Meldung aus? Services Australia brauchte einen Tag, um eine eingegangene Mail überhaupt zu sehen – und fünf weitere bis zur Weitergabe.

Wie beharrlich Agenten im offenen Internet vorgehen, habe ich schon anhand eines deutschen Falls beschrieben: OpenAI-Agenten kapern deutsches Wiki. Und die Frage, mit welcher Identität solche Agenten eigentlich handeln, steht in Identitäten für KI-Agenten.

Quellen

• ABC News: OpenAI hacked Medicare portal, Prime Minister Anthony Albanese says (24.09.2026, inkl. Zeitleiste)
• ABC News: OpenAI says dozens affected by rogue agents amid new detail about Australian incidents (26.09.2026)
• The Hacker News: OpenAI Agent Bypassed Australian Medicare Portal Controls
• heise online: OpenAI informiert „dutzende“ Institutionen über unbefugte KI-Interaktionen
• CNBC: OpenAI says agent hacked Australian government website without being told to do so