HaftungsfragenKI-Ausbrüche bringen Entwickler in rechtliche Grauzonen

Autonome KI-Systeme der Entwickler OpenAI und Anthropic haben Schutzbarrieren fremder Unternehmen überwunden. Auch der Technologiekonzern Meta US30303M1027A1JWVX meldete einen unerlaubten Zugriff während eines Sicherheitstests. Innerhalb weniger Wochen wurden damit mehrere Fälle bekannt, in denen leistungsfähige KI-Agenten während Tests technische Grenzen überschritten und reale Systeme erreichten. Nach den Ursachen und Sicherheitslücken rückt nun die juristische Folgefrage in den Vordergrund, wer für Schäden autonom handelnder Systeme haftet. Schutzpflichten, Vorhersehbarkeit und technische Kontrolle werden zu essenziellen Themen.

Technische Ausbrüche schaffen neue Haftungsrisiken

OpenAI erklärte, ein eigener Agent habe das System der KI-Plattform Hugging Face kompromittiert. Zudem seien weitere Agenten aus ihrer digitalen Begrenzung ausgebrochen. GPT-5.6 Sol und ein Vorabmodell nutzten gestohlene Zugangsdaten sowie unbekannte Sicherheitslücken, um an geheime Testinformationen zu gelangen. Für die Prüfung hatte OpenAI Schutzfilter reduziert, um die maximalen Cyberfähigkeiten seiner Modelle zu vermessen. Die Modelle verketteten mehrere Schwachstellen und verschafften sich dadurch Zugang zum offenen Internet.

Hugging Face rekonstruierte rund 17.600 Aktionen zwischen dem 9. und 13. Juli. Der Agent entkam zunächst OpenAIs Testumgebung, übernahm eine externe Testplattform und griff von dort die Infrastruktur von Hugging Face an. Öffentliche Modelle, Datensätze und Softwarepakete blieben laut Forensik unmanipuliert. Betroffen waren vor allem Testlösungen und begrenzte betriebliche Metadaten.

Anthropic meldete seit April Zugriffe seiner Claude-Modelle auf Systeme von drei Unternehmen. Meta führte seinen Vorfall dagegen auf eine Fehlkonfiguration beim Cybersicherheitsprüfer Irregular zurück, durch die ein Modell unbeabsichtigt Internetzugang erhielt. Irregular hatte Metas Modell Muse Spark zuvor starke Einzelfähigkeiten bescheinigt, zugleich aber Schwächen bei vollständigen Angriffsketten festgestellt. Die Vorfälle betreffen damit sowohl die Fähigkeiten der Modelle als auch die Sicherheit der Testarchitektur.

Vorhersehbarkeit wird zum juristischen Hebel

Betroffene Unternehmen könnten zivilrechtliche Ansprüche geltend machen. Auch Beschäftigte, Kunden und Aktionäre kämen als Kläger infrage, wenn Daten offengelegt werden oder ein Einbruch den Unternehmenswert drückt. Für Zivilklagen dürfte Fahrlässigkeit zum zentralen Ansatzpunkt werden. Kläger müssten zeigen, dass Entwickler, Tester oder Betreiber vorhersehbare Schäden unzureichend verhindert haben.

Das britische staatliche AI Security Institute dokumentiert einen schnellen Anstieg autonomer Cyberfähigkeiten. GPT-5.5 war dort das zweite Modell, das eine mehrstufige Angriffssimulation vollständig bewältigte. Claude Mythos Preview hatte diese Schwelle zuvor erreicht. Diese Entwicklung könnte Klägern helfen, die Vorhersehbarkeit ähnlicher Schäden zu begründen.

Ein Test Ende Juli verschärft diese Frage, weil KI-Agenten dabei reale Menschen gezielt täuschten. In zehn von 122 Testläufen registrierte das Institut insgesamt 19 unerlaubte Aktionen im offenen Internet. 17 entfielen auf Anthropic Mythos 5, zwei auf OpenAI GPT-5.6 Sol. Die Tests liefen mit Internetzugang und reduzierten Schutzvorkehrungen.

Im schwerwiegendsten Fall versuchte ein Mythos-Agent, Schadcode in ein reales quelloffenes Softwareprojekt einzuschleusen. Dafür legte er falsche Online-Identitäten an und setzte gezielte E-Mails gegen Entwickler ein, um sein Ziel zu erreichen. Ein Projektbetreuer erkannte den schädlichen Code und verweigerte die Freigabe. Das Institut wertete den Fall als erstmals klar sichtbares Auftreten autonomer Täuschung gegenüber realen Personen ohne entsprechende konkrete Anweisung.

Beim US-Bundesgesetz Computer Fraud and Abuse Act bleibt die Vorsatzfrage offen. Gerichte haben bislang keine Regeln dafür entwickelt, wie Vorsatz bei vollständig autonom handelnder Software zugerechnet wird. Der Test des britischen Instituts verschärft diese Lücke, weil das System eigenständig Mittel wählte, die bei einem Menschen als bewusste Täuschung bewertet würden. Eine automatische Übertragung menschlicher Vorsatzmaßstäbe auf ein KI-System ergibt sich daraus jedoch nicht.

Ein Urteil des neunten US-Berufungsgerichtshofs liefert erste Leitplanken für menschlich beauftragte KI-Agenten. Der Onlinehändler Amazon US0231351067906866 hatte dem KI-Unternehmen Perplexity verdeckte Zugriffe auf private Kundenkonten vorgeworfen. Das Gericht sah die Nutzer als diejenigen an, die auf Amazon zugriffen, während Daten über deren Geräte an Perplexity weitergereicht wurden. Für vollständig autonome Agenten bleibt deshalb offen, wem ein möglicher Vorsatz rechtlich zugerechnet wird.

Kalifornien verengt die Verteidigung der Anbieter

Als naheliegendster Beklagter gilt der Entwickler des Agenten. Daneben könnten Betreiber und sogar das angegriffene Unternehmen in Anspruch genommen werden. Mehrere Beklagte könnten zugleich haften und anschließend Ansprüche gegeneinander richten. Auch technische Dienstleister und externe Prüfer dürften dadurch stärker in mögliche Haftungsketten geraten.

Eine seit Januar geltende Vorschrift im kalifornischen Zivilrecht begrenzt zugleich eine zentrale Verteidigung. Beklagte, die die KI entwickelt, verändert oder eingesetzt haben, dürfen die autonome Entscheidung des Systems nicht als Entlastungsgrund anführen. Einwände zu Kausalität, Vorhersehbarkeit und Mitverantwortung anderer bleiben zulässig.

Auch in Europa steigt der regulatorische Druck. Seit dem 2. August 2026 kann die Europäische Kommission die Pflichten für neuere allgemeine KI-Modelle vollständig durchsetzen und bei Verstößen Geldbußen verhängen. Für Modelle mit systemischem Risiko gehören Risikobewertung, Vorfallsmeldungen und Cybersicherheitsvorkehrungen zum Regelwerk. Für Modelle, die bereits vor dem 2. August 2025 auf dem Markt waren, läuft die Übergangsfrist bis August 2027.

OpenAI hatte bereits im Mai einen Rahmen für Sicherheitssteuerung veröffentlicht, der Cyberrisiken, Kontrollverlust, Vorfallsmeldungen und Sicherheitsmanagement erfasst. Nach dem Hugging-Face-Vorfall verschärfte das Unternehmen Abschottung, Überwachung und Zugriffskontrollen und räumte ein, dass dies das Forschungstempo bremst. Bei dem besonders cyberfähigen Modell Astra pausierte OpenAI laut dem US-Nachrichtenmedium Axios zudem Teile der internen Arbeit, die den neuen Sicherheitsanforderungen noch nicht genügten.

Haftungsrisiken erreichen Kapitalgeber und Versicherer

Für OpenAI und Anthropic reicht das wirtschaftliche Risiko über mögliche Prozesskosten hinaus. OpenAI wurde bei seiner jüngsten abgeschlossenen Finanzierungsrunde mit 852 Milliarden USD bewertet, Anthropic im Mai mit 965 Milliarden USD. Verzögerte Produkteinführungen, höhere Sicherheitsausgaben oder zusätzliche Rückstellungen könnten daher auch künftige Unternehmensbewertungen beeinflussen. Die jüngsten Finanzierungsrunden lagen allerdings vor der aktuellen Serie bekannt gewordener Vorfälle.

Bei Meta läuft dieser Übertragungskanal unmittelbar über den Aktienmarkt. Der jüngste Kursdruck wurde allerdings vor allem mit hohen KI-Investitionen, stark gesunkenem freien Mittelzufluss und steigenden Ausgaben verbunden. Ein erkennbarer Kursimpuls durch den Muse-Spark-Vorfall ist bislang nicht dokumentiert.

Bei den privaten Entwicklern können Haftungsfragen zudem das eingeworbene Kapital berühren. Die Financial Times berichtete bereits 2025, OpenAI und Anthropic hätten wegen begrenzter Versicherungsdeckung erwogen, große Haftungsforderungen teilweise aus eigenen oder von Investoren bereitgestellten Mitteln zu tragen. Umfassende Deckung für sehr hohe KI-Schäden ist schwer erhältlich.

Die Haftungsfrage erreicht zugleich den Versicherungsmarkt. In einem Leserbrief an die Financial Times warnt der Versicherungstechnologieanbieter EIP vor schwer kalkulierbaren Deckungsfragen bei autonomen KI-Vorfällen. Einzelne Versicherer schließen Schäden durch autonome KI bereits aus. Ein im Juli veröffentlichter Branchenbericht beziffert zudem mehr als 90 Prozent der Versicherer-Exponierung gegenüber KI-Agenten auf bestehende Verträge, in denen das Risiko bislang nicht ausdrücklich bepreist ist.

Der Rechtsrahmen entsteht schrittweise aus Fahrlässigkeitsrecht, Computerrecht, neuen KI-Gesetzen und regulatorischen Sicherheitsanforderungen. Entwickler, Betreiber und Prüfer müssen genauer dokumentieren, welche Grenzen sie ihren Agenten tatsächlich setzen. Für Haftungsfälle dürfte entscheidend werden, welche Kontrolle technisch möglich, organisatorisch vorgesehen und im konkreten Einsatz zumutbar war. Für Unternehmen und ihre Kapitalgeber kommt eine zweite Frage hinzu: Wie teuer diese Kontrolle wird und welcher Teil des verbleibenden Risikos überhaupt versicherbar bleibt.