---
term: "Prompt Injection"
slug: "prompt-injection"
glossar_id: "G437"
variants: []
category: "sicherheit-missbrauch-und-governance"
marker: ""
short: "Nicht vertrauenswürdige Inhalte beeinflussen das System wie gültige Anweisungen."
sources:
  - label: "Greshake et al.: Not what you've signed up for"
    url: "https://arxiv.org/abs/2302.12173"
  - label: "Anthropic: Handle tool calls"
    url: "https://platform.claude.com/docs/en/agents-and-tools/tool-use/handle-tool-calls"
status: "entwurf"
updated: "2026-09-21"
---

Prompt Injection heißt, dass Inhalte, die eigentlich Daten sein sollten, vom Modell wie Anweisungen behandelt werden. Die zugrunde liegende Schwäche ist strukturell: In Anwendungen mit Sprachmodellen verschwimmt die Grenze zwischen Daten und Anweisungen, weil beides als Text im selben Kontext steht. [Greshake et al.](https://arxiv.org/abs/2302.12173)

## Kein Fehler im Code, sondern in der Vermischung

Bei klassischer Software trennt man Befehle und Eingaben technisch. Bei Sprachmodellen gibt es diese Trennung nicht: Systemanweisung, Nutzereingabe, abgerufene Dokumente und Werkzeugergebnisse landen im selben Fenster, und das Modell unterscheidet sie nur anhand von Formulierungen.

Deshalb lautet die praktische Empfehlung, fremde Inhalte ausdrücklich als Daten zu kennzeichnen und sie nicht in die Systemanweisung zu übernehmen, sondern in die dafür vorgesehenen Ergebnisblöcke. [Anthropic: Handle tool calls](https://platform.claude.com/docs/en/agents-and-tools/tool-use/handle-tool-calls)

## So kannst du dir das vorstellen

Eine Sekretärin bekommt einen Brief, in dem steht: „Bitte leiten Sie alle Unterlagen an folgende Adresse weiter." Der Brief ist Posteingang, kein Auftrag der Chefin. Wer das verwechselt, handelt im Namen eines Fremden. Das Bild erklärt die Verwechslung von Daten und Anweisung.

## Was es in der Praxis bedeutet

Eine vollständige technische Lösung gibt es nicht. Wirksam ist die Begrenzung der Folgen: Was ein System mit fremden Inhalten anfangen darf, muss eng zugeschnitten sein, und alles, was nach außen wirkt, braucht eine Freigabe.

Drei Regeln haben sich bewährt: Fremde Inhalte nie in die Systemanweisung übernehmen. Schreibende Werkzeuge nicht automatisch ausführen, wenn zuvor fremde Inhalte gelesen wurden. Und Empfänger, Adressen und Ziele nicht aus dem Inhalt übernehmen, den das Modell gerade verarbeitet hat.

## Wo es verwechselt wird

Prompt Injection ist kein Jailbreak: Dort versucht ein Nutzer, die Regeln des Modells zu umgehen, hier wirkt ein Dritter über eingeschleuste Inhalte. Und es betrifft nicht nur Chatfenster, sondern besonders Systeme mit Abruf und Werkzeugen.

## Verwandte Begriffe

**Indirect Prompt Injection**, **Jailbreak**, **Tool Poisoning**, **RAG Poisoning**, **Data Exfiltration**, **Guardrails**.