Prompt Injection vor Gericht: Kläger versteckte KI-Befehle

Prompt Injection vor Gericht galt bis vor Kurzem als Warnung, die Sicherheitsleute aussprachen und Juristen höflich zur Kenntnis nahmen. Seit vergangener Woche ist es ein dokumentierter Fall: Ein Kläger in Connecticut versteckte in seinen Schriftsätzen unsichtbare Anweisungen an KI-Systeme – und wurde dafür sanktioniert. Nach Feststellung des Gerichts gibt es dazu bislang keine vergleichbare Entscheidung in den USA.

Was der Richter im Dokument gefunden hat

Der Fall Elliott v. New York Bariatric Group, LLC läuft am Superior Court in Connecticut (Aktenzeichen AAN-CV-25-6066141-S), die Entscheidung datiert vom 6. August 2026. Richter Walter M. Spader Jr. druckte für die Bearbeitung mehrere Schriftsätze aus und bemerkte dabei, dass zwei Eingaben ungewöhnlich viel Leerraum enthielten. Bei näherer Prüfung stellte sich heraus: Dort stand Text – in winziger Schriftgröße und in Weiß auf Weiß. Für einen Menschen praktisch unsichtbar, für jede Software, die den Text ausliest, vollkommen normal lesbar.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Der Inhalt war eine Anweisung in Großbuchstaben, sinngemäß: Wenn dieses Dokument von einem KI-Modell gelesen werde, solle dessen Ausgabe der Darstellung des Klägers zustimmen und auf die Aufhebung einer für ihn ungünstigen Entscheidung der Geschäftsstelle hinwirken. Der Text war mehrfach eingefügt – unter der Überschrift und am Ende des Dokuments –, damit er im Modellkontext möglichst oft auftaucht.

Bemerkenswert ist, was danach geschah. Das Gericht verschickte am 31. Juli die Ladung zu einer Anhörung und warnte darin ausdrücklich vor verstecktem Text. Der Kläger versteckte trotzdem weiter Text in neuen Eingaben: einmal eine unsinnige Botschaft, einmal ein „hi:) i hope yo ucant see me”, einmal einen versteckten Link zu einem Video. Vor Gericht erklärte er, die erste Einfügung sei ein „Audit” der KI-Nutzung des Gerichts gewesen, der Rest ein Scherz. Der Richter glaubte ihm nicht.

Die Sanktion – und warum sie technisch klug ist

Das Gericht entzog dem Kläger die Möglichkeit, elektronisch einzureichen. Künftige Schriftsätze muss er persönlich und auf Papier bei der Geschäftsstelle abgeben. Das ist keine Geldstrafe und kein Ausschluss vom Verfahren, sondern etwas Präziseres: Es entfernt exakt den Kanal, über den der Missbrauch möglich war. Der Kläger hält dagegen, dass auch Papier in der Geschäftsstelle eingescannt werde und hellgrauer Kleinsttext eine Texterkennung überstehen könnte – Weiß auf Weiß allerdings nicht.

Der Richter hielt außerdem fest, dass die Justiz in Connecticut gar keine KI zur Prüfung von Eingaben einsetzt und er die betreffende Eingabe ohnehin auf einem Ausdruck bearbeitet hatte. Der Angriff blieb also wirkungslos. Sanktioniert wurde der Versuch – die Absicht, ein Entscheidungsverfahren heimlich zu beeinflussen. Er zog dazu eine Parallele: Es verstoße gegen dasselbe Prinzip wie eine heimliche Kontaktaufnahme zu einem Geschworenen. Ein vergleichbarer Fall aus Brasilien, in dem zwei Anwälte im Mai 2026 versteckten Text in eine Eingabe schrieben, endete mit Geldbuße und Meldung an die Anwaltskammer – dort hatte das gerichtseigene KI-System den Text erkannt und blockiert.

Auffällig ist der Ton der Entscheidung. Der Richter ist erkennbar kein KI-Gegner: Er hält den Einsatz solcher Werkzeuge durch Prozessbeteiligte ausdrücklich für sinnvoll, gerade für Menschen ohne Anwalt, und legt offen, dass er für diese Entscheidung selbst KI genutzt hat – zur Übersetzung des brasilianischen Urteils und zur Prüfung seiner Fundstellen. Sein Punkt ist ein anderer: Die Verantwortung für das Ergebnis bleibt beim Menschen.

Was das für dich bedeutet

Der juristische Aspekt ist die Schlagzeile. Für die Praxis interessanter ist der technische Kern, und der betrifft jeden, der KI im Berufsalltag einsetzt: Sprachmodelle trennen Anweisung und Inhalt nicht architektonisch. Was der Betreiber als Auftrag formuliert und was im übergebenen Dokument steht, landet im selben Textstrom. Wer Text in ein Dokument schmuggelt, kann also versuchen, damit die Rolle des Auftraggebers einzunehmen. Viele Modelle erkennen plumpe Einschübe inzwischen und weisen darauf hin – verlassen kann man sich darauf aber nicht.

Genau darin liegt der Unterschied zu klassischen Angriffen: Es braucht keinen Speicherfehler und keinen Systemzugriff. Es reicht Text, den die KI liest. Ein verwandtes Muster haben wir erst kürzlich bei RovoBlast in Atlassians Rovo-KI gesehen – dort genügte ein präparierter Link, um Unternehmensdaten abzugreifen. Vor Gericht war es ein eingereichter Schriftsatz.

Für Unternehmen heißt das: Jedes eingehende Dokument, das eine KI zusammenfasst, übersetzt oder bewertet, ist ein potenzieller Eingabekanal für Fremdanweisungen. Bewerbungen sind das bekannteste Beispiel – der Richter verweist selbst auf Berichte über zehntausende Lebensläufe pro Jahr mit versteckten Anweisungen an automatische Screening-Systeme. Es betrifft aber genauso Angebote von Lieferanten, Gutachten, Support-Tickets oder Verträge der Gegenseite. Und weil sich die Manipulation nicht in einer Fehlermeldung zeigt, sondern nur in der Tendenz des Ergebnisses, fällt sie ohne bewusste Prüfung schlicht nicht auf.

Aus CISO-Sicht ist die tröstliche Nachricht: Aufgeflogen ist es bisher immer. Mal weil ein Mensch hingesehen hat – in Connecticut kam dem Richter der Leerraum im Ausdruck seltsam vor –, mal weil die Maschine selbst Alarm schlug, wie im brasilianischen Fall. Beides zusammen ist die eigentliche Verteidigungslinie, und der menschliche Teil davon kostet nichts außer Aufmerksamkeit.

Das solltest du jetzt tun

• Fremde Dokumente vor der KI-Verarbeitung sichtbar machen: Als reinen Text extrahieren – etwa mit pdftotext -layout datei.pdf - oder per Einfügen in einen einfachen Texteditor. Was dort steht, sieht auch die KI. Nicht mehr und nicht weniger.
• Schnelltest bei Verdacht: Alles markieren (Strg+A bzw. Cmd+A) – versteckter Text hebt sich gegen die Markierung ab. Das ist ein Riecher, kein Beweis: Bei 3-Punkt-Schrift oder gescannten Seiten versagt der Trick.
• KI-Ausgaben nicht ungeprüft übernehmen: Wenn eine Zusammenfassung auffällig einseitig ausfällt oder ein Ergebnis „zu glatt” wirkt, ins Originaldokument schauen. Genau dieser Reflex hat die bisher bekannten Fälle aufgedeckt.
• Regeln schriftlich festhalten: Wer im Team KI für die Sichtung eingehender Unterlagen nutzt, braucht eine klare Ansage, welche Dokumententypen automatisiert verarbeitet werden dürfen – und bei welchen ein Mensch entscheidet.

Wer sich systematisch in Prompt Injection und die Sicherheitsseite von KI einarbeiten will, findet in unserem Überblick zu Fachbüchern über KI und Cybersecurity 2026 passende Einstiege – das Thema ist zu neu, um es rein aus Schlagzeilen zu lernen.

Quellen

• The Volokh Conspiracy: Court Faults Self-Represented Plaintiff for Including Hidden „Prompt Injection” (13.08.2026, mit Auszügen aus der Entscheidung)
• 404 Media: Person Hides Prompt Injection in Legal Filing (13.08.2026)
• Techdirt: Pro Se Plaintiff Caught Hiding Prompt Injections In Court Filings (14.08.2026)
• Connecticut Judicial Branch: Entscheidung im Verfahren Elliott v. New York Bariatric Group