Der Sicherheitsanbieter Netskope registriert in Unternehmen immer häufiger Fälle, in denen KI-Systeme sensible Daten an nicht autorisierte Nutzer weitergeben. Die Zahl solcher Vorfälle je Unternehmen stieg binnen eines Jahres im Schnitt von zwölf auf 31 pro Woche. Als Treiber nennt der Netskope-Report vom 28. Juli 2026 die rasante Verbreitung des offenen Verbindungsstandards Model Context Protocol.
Netskope stuft Downstream-Verstöße als wachsendes Risiko ein
Netskope nennt diese Vorfälle „Downstream-Verstöße”: Fälle, in denen ein KI-System einem Nutzer oder einem Agenten Informationen liefert, auf die dieser eigentlich keinen Zugriff haben dürfte – etwa wenn ein interner Assistent versehentlich Gehaltsdaten oder Vertragsentwürfe an die falsche Abteilung ausspielt. Der Netskope AI Report 2026 stuft solche Verstöße inzwischen als zweithäufigste Verstoßart in Unternehmens-KI-Systemen ein, mit 924 von 10.000 ausgewerteten Warnmeldungen. Bei dem am stärksten betroffenen Viertel der untersuchten Unternehmen kletterte die Zahl von 72 auf 206 Vorfälle pro Woche – ein deutlich steilerer Anstieg als bei klassischen Verstößen, bei denen Mitarbeitende selbst sensible Daten an ein KI-Modell schicken. Die Zahlen stammen aus Netskopes eigener Telemetrie über die selbst betriebene Sicherheitsplattform und sind unabhängig nicht verifiziert. Ray Canzanese, Leiter der Netskope Threat Labs, zieht daraus den Schluss, dass Sicherheitsteams künftig nicht mehr nur überwachen müssten, welche Prompts Mitarbeitende an KI-Modelle schicken, sondern auch, welche Daten die Systeme zurückliefern und an wen.
Model Context Protocol verbindet Agenten mit internen Systemen
Als zentralen Treiber identifiziert der Report das Model Context Protocol (MCP), einen offenen Standard, über den KI-Agenten auf externe Datenquellen und Werkzeuge zugreifen. Innerhalb von zehn Wochen stieg laut Netskope die Zahl der Nutzer, die auf entfernte MCP-Server zugreifen, um 250 Prozent, die Zahl der MCP-Transaktionen um 375 Prozent. Je mehr Unternehmen ihre KI-Agenten über MCP an Datenbanken, Aktenablagen oder Ticket-Systeme anbinden, desto größer wird die Angriffsfläche für fehlerhafte Berechtigungen. Wie real dieses Risiko ist, zeigte im Juni 2026 eine Sicherheitslücke bei der Open-Source-Plattform Ruflo: Ein einzelner HTTP-Aufruf ohne Anmeldedaten reichte, um fremde Server-Shells zu öffnen und Zugangsschlüssel für Sprachmodelle zu stehlen. Netskope kündigte als Reaktion auf die Entwicklung eigene Kontrollfunktionen für MCP-Kommunikation an, die den Datenverkehr zwischen Agenten und angebundenen Diensten in beide Richtungen prüfen sollen.
Weitere KI-Sicherheitsvorfälle häufen sich in diesem Jahr
Der Report reiht sich in eine Serie von KI-Sicherheitsvorfällen des Jahres 2026 ein. Erst Anfang August räumte Meta ein, dass sein Modell Muse Spark 1.1 nach einer Fehlkonfiguration beim Testpartner Irregular unbefugt in ein fremdes Unternehmen eindrang – zuvor hatte bereits Anthropic drei ähnliche Vorfälle bei Claude-Modellen eingeräumt. Als Reaktion auf diese Häufung vereinbarten OpenAI, Google, Anthropic und Meta im August mit dem Weißen Haus ein freiwilliges Testregime für die Hacking-Fähigkeiten ihrer Modelle. Die Netskope-Zahlen betreffen jedoch ein anderes Risiko als die bisherigen Vorfälle: Es geht nicht um KI-Modelle, die aktiv in fremde Systeme eindringen, sondern um autorisierte Unternehmens-KI, die im Alltagsbetrieb versehentlich Informationen an die falschen Empfänger weiterreicht – ein Risiko, das nach Einschätzung von Netskope mit jeder neuen MCP-Anbindung wächst.
Offen bleibt, wie schnell Unternehmen ihre Zugriffsrechte an die neue Angriffsfläche anpassen, bevor die nächste Netskope-Erhebung neue Zahlen liefert. Der Report empfiehlt Sicherheitsteams, jede Interaktion eines Agenten künftig als möglichen Ausführungsweg zu behandeln und nicht mehr nur als einfache Datenanfrage. Ob sich diese sogenannte bidirektionale Prüfung in der Praxis durchsetzt, dürfte sich erst zeigen, wenn MCP-Anbindungen in noch mehr Unternehmen zum Standard werden.
