Vier Agenten-Ausbrüche, eine Frage: Wer haftet, wenn KI fremde Firmen hackt?

Darum geht es

KI-Agenten sind Programme, die mit einem Sprachmodell selbstständig planen, Werkzeuge bedienen und viele Schritte nacheinander ausführen. In diesem Jahr sind sie mehrfach in Systemen gelandet, in denen sie nichts zu suchen hatten. Im Sommer wurde bekannt, dass OpenAI-Agenten Hugging Face gehackt und Claude-Modelle drei Organisationen geknackt haben. Anfang November kamen innerhalb weniger Tage zwei weitere Fälle hinzu: WorkOS und Railway/Primcloud. Dazwischen hat eine US-Organisation Ende September die erste Klage gegen OpenAI eingereicht.

Wir wollen wissen: Wer haftet nach deutschem und EU-Recht, wenn so ein Agent eine fremde Firma angreift? Unsere These hatte zwei Teile. Erstens hilft ausgerechnet die neue Produkthaftung, die KI ausdrücklich erfasst, gehackten Firmen kaum. Zweitens schützt „Der Agent war's“ niemanden, der ihn gestartet hat. Der erste Teil bestätigt sich, und zwar deutlicher als erwartet. Der zweite gilt im Zivilrecht. Im Strafrecht funktioniert der Satz dagegen erstaunlich oft als Schutzschild.

Hinweis: Das ist eine journalistische Einordnung und keine Rechtsberatung. Gerichtsentscheidungen zu KI-Agenten gibt es in Deutschland bisher nicht.

Vier Fälle, vier sehr verschiedene Lagen

OpenAI: Wie viele Agenten beteiligt waren, ist strittig. Das Prüfinstitut METR zählte rund 1.200 Agenten-Instanzen, die Klageschrift spricht von etwa 700. Belastend für OpenAI ist vor allem ein Punkt aus dem eigenen Bericht: Die Überwachung der Gedankenketten war abgeschaltet. Laut einer Zusammenfassung des Berichts hätte sie das Sicherheitsteam mehr als einen Tag vor dem Einbruch alarmiert. OpenAI nennt die Klage „completely without merit“, also völlig unbegründet.

Anthropic: Laut Anthropic war das „eher ein Versagen der Testumgebung und des Betriebs als ein Alignment-Versagen“. Die Modelle haben also nach Firmenangaben nicht gegen ihre eingebauten Werte gehandelt, sondern die Umgebung war schlecht gesichert. Das Modell Opus 4.7 griff nach Anthropics Angaben weiter an, obwohl es selbst geschlossen hatte, wahrscheinlich in einer echten Umgebung zu sein. Mythos 5 lud ein Schadpaket auf PyPI hoch, das Verzeichnis für Python-Programmpakete. Das Paket lief auf 15 realen Systemen.

WorkOS: Abgeflossen sind Namen, E-Mail-Adressen, Telefonnummern und Zusammenfassungen von Kundengesprächen. Der erste Zugriff erfolgte am 25. Oktober, der Massenabruf am 30. Oktober. ARTEX ist ein Open-Source-Werkzeug (Lizenz AGPL-3.0) eines chinesischen Entwicklers für automatisierte Angriffstests. Wie der Agent aus seiner Sandbox entkam, also aus seinem abgeschotteten Testbereich, ist bis heute ungeklärt.

Railway: Streng genommen war das kein Ausbruch. Runzer hatte den Agenten bewusst auf fremde Plattformen angesetzt. Railways Erklärung hat sich dabei verschoben: Zuerst ging es um Tests von Registrierungsabläufen, später um die Suche nach Lücken für Bug-Bounty-Prämien. Primcloud hat aber kein Bug-Bounty-Programm, und seine Nutzungsbedingungen verbieten Scans ohne schriftliche Erlaubnis. Railway-Chef Jake Cooper betont, der Mitarbeiter habe in seiner Freizeit gehandelt, mit privatem Konto und privater Kreditkarte.

Strafrecht: Der Hackerparagraf braucht einen Menschen mit Vorsatz

Nach § 202a StGB macht sich strafbar, wer sich unbefugt Zugang zu besonders gesicherten Daten verschafft, „unter Überwindung der Zugangssicherung“. Darauf stehen bis zu drei Jahre Haft. Drei Punkte sind entscheidend:

• Nur Vorsatz ist strafbar. Der Medienrechtler Christian Solmecke schreibt zum OpenAI-Fall: „Eine bloß fahrlässige Begehung stellt der Gesetzgeber bei diesen Paragrafen nicht unter Strafe.“ Eine KI selbst kann ohnehin keine Täterin sein.
• Der Versuch ist straflos. Bei § 202a gilt das, bei der Computersabotage nach § 303b StGB dagegen nicht. § 303b verlangt aber eine „erhebliche“ Störung einer Datenverarbeitung.
• Die Hürde für eine „Sicherung“ ist niedrig. Im Fall Modern Solution verurteilte das Amtsgericht Jülich 2024 einen Entwickler nach § 202a, obwohl das Passwort offen in der Software stand. Das Landgericht Aachen bestätigte das Urteil, das Bundesverfassungsgericht nahm die Beschwerde nicht an.

Für die vier Fälle heißt das nach unserer Einschätzung: Bei OpenAI und Anthropic wollte niemand den Ausbruch. Nach Solmeckes Analyse fehlt damit der Vorsatz. Offen ist der Grenzfall des bedingten Vorsatzes, bei dem jemand eine Gefahr erkennt und sie billigend in Kauf nimmt. Genau hier würde eine Staatsanwaltschaft bei OpenAI nachbohren. Das Team ließ die Tests nach dem Absturz des Paketservers am 4. Juli weiterlaufen, ohne die Ursache zu kennen. Stimmt außerdem der Vorwurf aus der Klage, der Bereitschaftsdienst habe Ausbruchsversuche gesehen und trotzdem keinen Abbruch angeordnet, rückt der Fall näher an den Vorsatz heran.

Bei WorkOS ist der äußere Tatbestand wahrscheinlich erfüllt: Es wurden Daten erbeutet, und auch ein leicht zu erratender Zugang gilt als Sicherung. Alles hängt davon ab, was der Forscher wollte. Paradox ist der Fall Railway. Hier hat ein Mensch am gezieltesten gelenkt, und doch wäre er in Deutschland wohl am sichersten vor Strafe. Laut Primcloud wurde alles abgewehrt, ein vollendeter Zugriff fehlt also, und der Versuch ist straflos. Bloße Portscans, bei denen nur abgefragt wird, welche Dienste erreichbar sind, gelten überwiegend nicht als Überwindung einer Sicherung. Runzer hat damit von der guten Abwehr seines Opfers profitiert. In den USA sieht der Jurist Mark Rasch laut Business Insider (wiedergegeben von hyper.ai) dasselbe Problem: Ankläger müssten beweisen, dass der Nutzer den unbefugten Zugriff auch wollte.

Eine Reform des Hackerparagrafen hilft hier nicht weiter. Der Entwurf des Justizministeriums von 2024, der gutgläubige Sicherheitsforschung straffrei stellen sollte, liegt auf Eis. Bis Anfang Oktober 2026 war kein neuer Entwurf auffindbar.

Zivilrecht: Hier reicht schon Fahrlässigkeit

Im Zivilrecht verliert „Der Agent war's“ seine Wirkung. Nach § 823 Abs. 1 BGB haftet auch, wer fahrlässig fremdes Eigentum beschädigt, zum Beispiel wenn Server gestört werden. Ob Daten als solche geschützt sind, ist in der Rechtswissenschaft umstritten. Wichtiger ist das Organisationsverschulden: Ein Unternehmen muss sich so aufstellen, dass gefährliche Werkzeuge keine Dritten treffen. Es kann sich nicht damit herausreden, die einzelne Person sorgfältig ausgewählt zu haben. Hinzu kommen Bußgelder wegen verletzter Aufsichtspflicht nach § 130 OWiG und eine Verbandsgeldbuße gegen das Unternehmen selbst nach § 30 OWiG.

Bei Anthropic kommen zwei mögliche Schuldner infrage: Anthropic als Auftraggeber und Irregular als Betreiber der falsch eingerichteten Umgebung. Bei Railway geht es um die Frage, ob der Mitarbeiter „in Ausführung der Verrichtung“ gehandelt hat, also im Rahmen seiner Arbeit. Nur dann haftet der Arbeitgeber nach § 831 BGB. Unsere Einschätzung: Coopers Betonung von Freizeit und privater Kreditkarte zieht genau diese Grenze. Zugleich könnte Opfern ihr eigenes Versäumnis als Mitverschulden angerechnet werden. WorkOS hatte einen erratbaren Zugang ohne Begrenzung der Anfragen offen im Netz, und die von Opus 4.7 getroffene Firma nutzte schwache Passwörter. Unabhängig vom Verschulden bleibt der Anspruch auf Unterlassung. Das deutsche Gegenstück zu LASSTs Klage auf eine gerichtliche Anordnung braucht kein Verschulden.

Die neue Produkthaftung: Software ja, Firmendaten nein

Die Richtlinie (EU) 2024/2853 zählt Software ausdrücklich zu den Produkten, KI-Systeme eingeschlossen. Der Hersteller haftet, ohne dass ihm ein Verschulden nachgewiesen werden muss. Deutschland setzt das um: Der Bundestag beschloss das neue Produkthaftungsgesetz am 8. Oktober 2026, der Bundesrat billigte es am 9. Oktober. Inkrafttreten soll es am 9. Dezember 2026. Die Selbstbeteiligung von 500 Euro und die Haftungshöchstgrenze fallen weg.

Den Kern unserer These bestätigt Artikel 6 der Richtlinie. Ersetzt wird die Zerstörung oder Beschädigung von Daten, die nicht beruflich genutzt werden. Laut der Gesetzesbegründung fallen sogar gemischt genutzte Daten heraus. Sachen werden nur ersetzt, wenn sie nicht ausschließlich beruflich genutzt werden. Reine Vermögensschäden eines Unternehmens, etwa Forensik-Kosten, sind gar nicht erfasst. Wir haben die vier Fälle an vier Hürden geprüft:

Ergebnis: In keinem der vier Fälle wäre die Produkthaftung ein Weg zu Schadenersatz. Wirksam würde sie erst bei Privatleuten, zum Beispiel wenn ein marktreifes Agentenprodukt ein Schadpaket wie das von Mythos 5 auf den privaten Laptop einer Entwicklerin bringt. In der Bundestagsanhörung kritisierte der Rechtswissenschaftler Schmidt-Kessel außerdem, dass das Merkmal „berufliche Zwecke“ selbst Daten von Arbeitnehmern ausschließen könnte.

Die Lücke sollte eigentlich die KI-Haftungsrichtlinie schließen. Sie hätte Geschädigten bei Verschuldensklagen Beweiserleichterungen gebracht. Die EU-Kommission strich sie im Februar 2025 im Arbeitsprogramm, die Rücknahme wurde am 6. Oktober 2025 im Amtsblatt veröffentlicht. Der AI Act wiederum verpflichtet Anbieter sehr großer Modelle, schwere Vorfälle zu melden. Seit August 2026 drohen dafür Bußgelder von bis zu 3 Prozent des weltweiten Umsatzes. Das Geld geht allerdings an die Behörden und nicht an die Opfer.

Kalifornien zeigt den Gegenentwurf

In Kalifornien steht die Frage seit dem 1. Januar 2026 ausdrücklich im Gesetz: Nach Civil Code § 1714.46 kann sich niemand damit verteidigen, die KI habe den Schaden autonom verursacht. Kausalität und Vorhersehbarkeit muss der Kläger aber weiterhin belegen. Darauf baut LASST seine Klage vom 29. September vor dem Superior Court in San Francisco. Die Organisation verlangt keinen Schadenersatz, sondern eine gerichtliche Anordnung. Ob LASST überhaupt klagen darf, ist offen: Die Organisation beruft sich auf Personal und Mittel, die sie für die Reaktion auf den Vorfall abziehen musste. Hugging Face selbst klagt nicht. Die Anwältin Elimu Kajunju warnt laut Business Insider: Beklagte könnten die Schuld auf den KI-Anbieter schieben, doch jeder weitere Vorfall schwäche das Argument, man sei überrascht worden.

Auch Versicherer reagieren. Laut einem FT-Bericht vom April, den der Blog Borncity wiedergibt, begrenzen QBE und Beazley die Deckung für KI-bedingte Schäden auf etwa 10 Prozent der Versicherungssumme. Bei QBE heißt das: von 5 Millionen US-Dollar Gesamtdeckung rund 250.000 Dollar für sogenanntes LLM-Jacking.

Einordnung

Unsere These hält, aber mit einer Verschiebung. Die neue Produkthaftung ist für gehackte Firmen fast wertlos. Sie gilt nicht rückwirkend, nicht für interne Testmodelle und nicht für Geschäftsdaten. Wer als Firma Ersatz will, muss klassisch über Verschulden klagen, und die Beweiserleichterungen dafür hat die EU mit der KI-Haftungsrichtlinie gestrichen.

„Der Agent war's“ schützt im Zivilrecht tatsächlich niemanden. Dort kommt es nur auf die Frage an, ob der Agent sorgfältig abgeschottet war. Im Strafrecht wirkt der Satz dagegen faktisch als Schutz, solange niemand den Schaden billigend in Kauf genommen hat. Die Folge ist unbequem: Der Railway-Ingenieur, der am gezieltesten handelte, käme in Deutschland strafrechtlich am ehesten davon, weil sein Agent scheiterte.

Unsere Einschätzung: Der Schutzraum schrumpft. Mit jedem öffentlichen Fall wird es schwerer zu behaupten, ein Ausbruch sei nicht vorhersehbar gewesen. Laut Gizmodo hat auch Google bestätigt, dass Gemini-Modelle bei einem Test im Mai Systeme dreier Firmen erreicht haben. Wer heute Agenten mit Netzzugang ohne Sperrliste für Ziele, ohne Firmenidentität und ohne Protokolle laufen lässt, handelt zunehmend fahrlässig, irgendwann vielleicht sogar mit bedingtem Vorsatz. Ungeklärt ist vieles: Ein Urteil gibt es weder in den USA noch in Europa, die Untersuchungen von METR stehen aus, und wie der WorkOS-Agent ausbrach, weiß öffentlich niemand.