Spanien meldet ersten Datenschutzvorfall durch autonomen Agenten
Die spanische Aufsichtsbehörde dokumentiert einen Angriff, den ein Agent eigenständig durchspielte. Sie fordert jetzt neue Risikoanalysen.
Die spanische Datenschutzbehörde AEPD hat am 14. September 2026 einen Vorfall veröffentlicht, für den es bisher keine Vorlage gab: Eine betroffene Organisation meldete ihr eine Verletzung des Schutzes personenbezogener Daten, bei der der Angriff nicht von einem Menschen Schritt für Schritt gefahren wurde, sondern von einem KI-Agenten, der auf ein bekanntes Sprachmodell zurückgriff.
Die Behörde nennt weder die betroffene Organisation noch das eingesetzte Modell. Sie stellt aber ausdrücklich klar, was der Fall nicht ist: Dass ein bestimmtes Modell zum Einsatz kam, bedeutet nicht, dass dieses Modell oder die Infrastruktur des Anbieters kompromittiert worden wäre. Ein Dritter hat den Agenten als Werkzeug benutzt.
Was der Agent getan hat
Der von der AEPD beschriebene Ablauf liest sich unspektakulär, und genau das ist der Punkt. Der Agent durchsuchte zunächst automatisiert allgemein zugängliche Dateien nach verwertbaren Informationen. Anschließend meldete er sich mit gültigen Zugangsdaten am System an. Von dort aus suchte er eigenständig weiter, fand Schwachstellen in der Anwendung selbst und nutzte sie, um personenbezogene Daten zu verändern und auf Rechnungsinformationen zuzugreifen.
Jede einzelne dieser Phasen ist aus klassischen Angriffen bekannt. Neu ist, dass sie ohne menschliche Zwischenschritte aneinandergereiht wurden. Die AEPD beschreibt die Fähigkeit eines Agenten so: Er bekommt ein Ziel, plant Zwischenschritte, setzt Werkzeuge ein, führt Code aus, fragt Quellen ab, interpretiert Ergebnisse und passt sein Vorgehen an, wenn etwas nicht funktioniert.
Der qualitative Sprung liegt nicht im Angriffsmuster, sondern im Tempo. Was früher Tage brauchte, läuft in Minuten ab.
Für die Abwehr verschiebt das eine Größe, die in kaum einem Sicherheitskonzept ausdrücklich steht: die verfügbare Reaktionszeit. Ein Prozess, der vorsieht, dass eine Auffälligkeit am Morgen gesichtet und im Tagesverlauf bewertet wird, geht implizit davon aus, dass der Angreifer ebenfalls Pausen macht.
Warum das ein Fall für die Aufsicht ist
Die AEPD führt den Vorfall nicht als Kuriosität, sondern als Anlass für konkrete Erwartungen an Verantwortliche. Sie fordert, Risikoanalysen um Angriffe zu erweitern, die mit KI ausgeführt oder unterstützt werden, die eigenen Reaktionszeiten daraufhin zu überprüfen, Identitäts- und Zugriffsverwaltung als kritischen Punkt zu behandeln und Erkennung sowie Eindämmung zu automatisieren, weil manuelle Reaktion zu langsam ist.
Rechtlich hängt das an Artikel 32 DSGVO, der technische und organisatorische Maßnahmen nach dem Stand der Technik und nach dem Risiko verlangt, und an der Pflicht aus Artikel 32 Absatz 1 Buchstabe d, die Wirksamkeit dieser Maßnahmen regelmäßig zu überprüfen. Eine Risikoanalyse, die 2024 geschrieben wurde, kennt dieses Angriffsmuster nicht. Sie ist damit nicht automatisch falsch, aber sie ist auch nicht mehr aktuell.
Zwei Uhren, die gleichzeitig laufen
Für deutsche Unternehmen ist an dem Fall vor allem die Fristenlage interessant. Nach Artikel 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, sofern sie nicht voraussichtlich zu keinem Risiko führt. Bei hohem Risiko kommt nach Artikel 34 die Benachrichtigung der betroffenen Personen hinzu.
Parallel dazu gilt seit dem 6. Dezember 2025 das NIS2-Umsetzungsgesetz. Wer als besonders wichtige oder wichtige Einrichtung erfasst ist, muss einen erheblichen Sicherheitsvorfall binnen 24 Stunden als Frühwarnung an das BSI melden, binnen 72 Stunden folgt die ausführlichere Meldung. Übergangsfristen gibt es keine. Von den rund 29.500 betroffenen Unternehmen hatten sich bis zum Ablauf der Registrierungsfrist am 6. März 2026 nach Angaben aus der Branche etwa 11.500 beim BSI registriert.
Im spanischen Fall wurden personenbezogene Daten verändert und Rechnungsdaten eingesehen. Beides löst die Meldekette aus. Wer beide Regime gleichzeitig bedienen muss, braucht die Einstufung eines Vorfalls innerhalb weniger Stunden, nicht innerhalb weniger Tage.
Der ungemütliche Teil: der Anfang der Kette
Der Agent kam mit gültigen Zugangsdaten hinein. Woher sie stammten, sagt die AEPD nicht. Das ist trotzdem die Stelle, an der sich der Vorfall am ehesten hätte stoppen lassen, und es ist die Stelle, an der sich die meisten Unternehmen ohne größere Investition verbessern können.
Für Webanwendungen und Kundenportale bedeutet das in der Praxis: Zugänge mit zweitem Faktor absichern, Dienstkonten und API-Schlüssel getrennt von Personenkonten führen und regelmäßig rotieren, Rechte auf das tatsächlich Nötige beschränken. Die Rechteverteilung entscheidet darüber, wie weit ein Angreifer nach dem ersten erfolgreichen Login noch kommt. Im spanischen Fall reichte sie offenbar bis zu Stammdaten und Rechnungen.
Auch die zweite Phase ist eine Bauaufgabe: Der Agent fand Schwachstellen in der Anwendung selbst. Eine Anwendung, deren Abhängigkeiten gepflegt sind und deren Eingaben serverseitig geprüft werden, gibt einem systematisch probierenden Angreifer schlicht weniger Angriffsfläche, unabhängig davon, ob dieser Angreifer ein Mensch oder ein Programm ist.
Was das für Ihr Unternehmen heißt
- Nehmen Sie KI-gestützte Angriffe ausdrücklich in Ihre Risikoanalyse auf. Es genügt nicht, dass das Restrisiko rechnerisch gleich bleibt: Die Aufsicht erwartet, dass das Szenario benannt und bewertet ist.
- Prüfen Sie Ihre Reaktionszeit an einem realistischen Beispiel. Wenn eine Auffälligkeit Freitagabend auftritt, wer sieht sie, wann, und wer darf entscheiden, einen Zugang zu sperren?
- Klären Sie vorab, wer einen Vorfall einstuft. Die 72 Stunden der DSGVO und die 24 Stunden aus NIS2 beginnen mit dem Bekanntwerden, nicht mit dem Abschluss der Analyse.
- Sichern Sie Anmeldungen mit einem zweiten Faktor ab, auch für Dienstkonten und Verwaltungszugänge. Gültige Zugangsdaten waren hier der Türöffner.
- Beschränken Sie Berechtigungen auf das Nötige und trennen Sie Lese- von Schreibrechten, besonders bei Stamm- und Rechnungsdaten.
- Automatisieren Sie wenigstens die Erkennung. Ein Alarm bei ungewöhnlichen Zugriffsmustern oder auffälligen Änderungsraten an Datensätzen ist billiger als die Annahme, dass jemand rechtzeitig hinschaut.
