Die spanische Datenschutzbehörde AEPD veröffentlichte am 14. September 2026 die erste bei ihr gemeldete Datenschutzverletzung, bei der ein Angriff laut Meldung durch einen AI-Agenten ausgeführt wurde. Der Agent nutzte ein bekanntes Sprachmodell und soll mehrere Phasen des Angriffs weitgehend selbstständig verkettet haben.
Grundlage ist die Breach Notification der betroffenen Organisation. Die AEPD prüft den Vorgang noch. Aus der Meldung folgt weder, dass das verwendete Modell kompromittiert war, noch dass dessen Anbieter den Angriff ermöglicht oder beabsichtigt hat.
Nach Darstellung der Behörde unterstützte die AI nicht nur einzelne technische Schritte. Der Agent führte nacheinander mehrere Aktionen aus, bis personenbezogene Daten verändert und Rechnungen eingesehen werden konnten.
Der Agent verkettete mehrere Angriffsschritte
Die AEPD beschreibt den Ablauf auf einer bewusst hohen Ebene. Der Agent begann demnach mit der Suche nach Schwachstellen in allgemein zugänglichen Dateien. Anschließend gelang ein Login. Danach untersuchte das System die Anwendung selbstständig weiter. Am Ende wurden personenbezogene Daten verändert und Rechnungen aufgerufen.
Welche Software betroffen war, welches Sprachmodell verwendet wurde und welche konkrete Schwachstelle den Zugriff ermöglichte, nennt die Behörde nicht. Auch zum Umfang der betroffenen Daten veröffentlicht sie bislang keine Zahl.
Bestätigt ist damit bislang nur der von der betroffenen Organisation gemeldete Kern: Ein Dritter setzte einen AI-Agenten als Angriffswerkzeug ein, und dieser soll mehrere Phasen des Angriffs autonom ausgeführt haben.
Reuters berichtete am 15. September ebenfalls über den Fall. Auch dort bleibt die Zuordnung eng: Die Prüfung läuft, und die AEPD sieht in der Meldung keinen Beleg dafür, dass das Modell oder die Infrastruktur des Modellanbieters kompromittiert waren.
Autonomie verkürzt die Schleife zwischen Beobachtung und Aktion
Automatisierte Angriffe sind älter als heutige Sprachmodelle. Scanner können Systeme prüfen, Bots Zugangsdaten testen und Skripte auf vorher definierte Ergebnisse reagieren.
Ein Agent kann zusätzlich einen Zwischenzustand bewerten und innerhalb seiner verfügbaren Werkzeuge den nächsten Schritt auswählen. Im AEPD-Fall soll diese Verkettung stattgefunden haben: suchen, Zugang erhalten, die Anwendung erneut untersuchen und anschließend auf Daten zugreifen.
Für Verteidiger kann damit die Zeit zwischen einzelnen Phasen sinken. Ein manueller Angreifer muss Ergebnisse prüfen, Werkzeuge anpassen und den nächsten Schritt starten. Ein agentischer Workflow kann Teile dieser Schleife ohne dieselbe menschliche Wartezeit abarbeiten.
Aus einer bekannten Schwachstelle wird dadurch keine neue Klasse von Sicherheitslücke. Ein erster Zugriff kann aber schneller in weitere Aktionen übergehen.
Für SaaS-Systeme zählt der Rechteumfang nach dem ersten Zugriff
Wenn eine kompromittierte Identität in einem SaaS-System gleichzeitig Rechnungen lesen, personenbezogene Daten verändern und weitere interne Bereiche erreichen kann, bleibt dieser Rechteumfang auch gegenüber einem AI-Agenten bestehen. Der Agent kann dann schneller ausnutzen, was die Anwendung bereits erlaubt.
Die technischen Gegenmaßnahmen bleiben deshalb überwiegend bekannt: getrennte Rollen, möglichst kleine Berechtigungsbereiche, kurzlebige Sessions, nachvollziehbare Änderungen und automatische Reaktionen auf ungewöhnliche Zugriffsmuster.
Bei agentischen Systemen kommt die Trennung zwischen Modellentscheidung und Autorisierung hinzu. Eine Aktion sollte nicht allein deshalb erlaubt werden, weil ein Modell sie als nächsten Schritt auswählt. Ein Tool-Aufruf zum Lesen einer Rechnung und eine Änderung an personenbezogenen Stammdaten sind unterschiedliche Operationen und sollten technisch unterschiedliche Rechte benötigen.
Quavon hat diese Richtung zuletzt bei Claude Code, Vercel und API-Gateways betrachtet: Sicherheitsgrenzen rücken näher an einzelne Aktionen. Der AEPD-Fall zeigt die Angreiferseite. Ein externer Akteur kann Agenten nutzen, um vorhandene Lücken und zu breite Rechte schneller nacheinander auszunutzen.
Eine einzelne Meldung belegt noch keine Angriffswelle
Die AEPD schreibt ausdrücklich, dass eine einzige Meldung keine statistische Entwicklung belegt. Aus „erste gemeldete Breach dieser Art“ lässt sich deshalb nicht ableiten, dass AI-Agenten bereits massenhaft Unternehmen angreifen.
Für Threat Models reicht der Fall trotzdem für eine konkrete Annahme: Ein Angreifer muss nicht mehr jeden Schritt eines mehrstufigen Angriffs selbst steuern. Systeme sollten deshalb nicht davon abhängen, dass zwischen zwei auffälligen Aktionen genügend Zeit für eine manuelle Reaktion bleibt.
Für ein SaaS-Team ergibt sich daraus eine praktische Prüffrage: Wenn ein gültiger Account kompromittiert wird, wie viele weitere sensible Aktionen kann dieselbe Identität ausführen, bevor eine zusätzliche Autorisierung oder automatische Begrenzung greift?
Die AEPD hat den Vorgang noch nicht abschließend bewertet. Bis diese Prüfung vorliegt, lässt sich weder das beteiligte Modell noch dessen Anbieter zum Verursacher erklären.
Quellen
AEPD, 14. September 2026: https://www.aepd.es/prensa-y-comunicacion/blog/primera-notiviacion-brecha-datos-personales-causada-por-ataque-ejecutado-mediante-agente-ia
Reuters, 15. September 2026: https://www.reuters.com/business/spanish-data-watchdog-publicises-first-ai-agent-linked-data-breach-report-2026-09-15/