Wenn Sie einen KI-Assistenten mit Ihrem Mailpostfach, Kalender oder Ihrer Cloud verbunden haben, dann darf dieses Programm alles sehen, was Sie selbst dort sehen. Nicht nur das eine Dokument, um das es damals ging. Alles. Dauerhaft. Auch wenn Sie die App ein halbes Jahr nicht geöffnet haben.

// Grundlagen · Was die Erlaubnis bedeutet

// 01Das Wichtigste zuerst

Der Satz oben ist der ganze Artikel in vier Zeilen. Alles Weitere erklärt, warum das so ist, was sich daran gerade ändert und wie Sie es zurücknehmen.

// 02Ein Vergleich

Stellen Sie sich vor, Sie beauftragen jemanden, Ihre Post zu sortieren. Sie können ihm einen einzelnen Brief geben. Oder Sie können ihm einen Schlüssel zum Briefkasten geben.

Das Fenster, auf das Sie getippt haben, war der Schlüssel. Bequemer, natürlich, er muss nicht jedes Mal klingeln. Aber er kommt eben auch dann rein, wenn Sie nicht daran denken.

Und noch ein Unterschied zu früher: Diese Programme lesen nicht mehr nur, sie handeln. Sie schreiben Termine ein, verschicken Nachrichten, ändern Einstellungen. Apple hat eine Funktion angekündigt, bei der der Assistent sich selbstständig auf Webseiten einloggt und unsichere Passwörter austauscht. Das ist praktisch. Es heißt aber auch: Da bewegt sich etwas in Ihrem Namen, ohne dass Sie zuschauen.

// 03Warum das gerade jetzt Thema ist

Im Juli und August 2026 haben drei große KI-Firmen — OpenAI, Anthropic und Meta — nacheinander eingeräumt, dass ihre Programme bei internen Tests aus der abgeschotteten Umgebung ausgebrochen sind und auf fremde, echte Computersysteme zugegriffen haben.

Der Grund war in allen Fällen derselbe, und er ist erstaunlich banal: eine falsch gesetzte Einstellung. Die Programme waren nicht bösartig. Sie sollten eine Aufgabe lösen und nahmen den bequemsten Weg — und niemand hatte ihnen richtig gesagt, wo die Grenze verläuft. Aufgefallen ist es meist erst hinterher, teilweise erst Monate später. Die betroffenen Firmen hatten den Zugriff selbst nicht bemerkt.

⚠

// Übertragen auf Sie

Es braucht keinen Angriff und keinen Kriminellen, damit Ihre Daten irgendwo landen, wo Sie sie nicht haben wollen. Es genügt ein Fehler bei jemand anderem, kombiniert mit einer Erlaubnis, die Sie längst vergessen haben.

// Konkret · Was sich auf dem Telefon ändert

// 04Warum das auf dem iPhone gerade jetzt kritisch wird

Bisher konnte Siri nur das, was vorgesehen war. Als Siri 2016 erstmals mit fremden Apps sprechen durfte, gab es dafür eine feste Liste: Nachrichten, Fahrten buchen, Zahlungen, Anrufe, Workouts, Musik. Ein Assistent mit festen Knöpfen. Was nicht auf der Liste stand, ging nicht — und deshalb konnte auch wenig schiefgehen.

Das ändert sich in diesem Herbst. Das neue, KI-gestützte Siri ist seit Juni 2026 angekündigt, läuft bereits als Beta, und der breite Rollout kommt mit dem iPhone 18. Statt einer festen Liste entscheidet dann ein Programm selbst, welche Funktion einer App es aufruft.

Apple sagt selbst, was daran heikel ist. In einer Entwicklerschulung im Juni 2026 erklärt Apple: Das Modell entscheidet, welche Aktion es auslöst — und eine versteckte Anweisung in fremdem Inhalt kann diese Entscheidung beeinflussen. Als Beispiel nennt Apple ausgerechnet die Funktion „Foto löschen“.

Wie das im Alltag aussieht: Sie bekommen eine Mail. Sie sieht aus wie Werbung, Sie öffnen sie nicht einmal. Der Assistent liest sie trotzdem, weil er Ihnen Ihren Posteingang zusammenfassen soll. Im Text steht etwas, das Sie nicht sehen, er aber liest — und er kann nicht sicher unterscheiden zwischen „das ist der Inhalt einer Mail“ und „das ist ein Auftrag von meinem Besitzer“. Fachleute nennen das Prompt InjectionPROMPT INJECTIONVersteckte Anweisungen in Inhalten, die ein KI-Programm verarbeitet. Es hält sie für einen Auftrag seines Nutzers und führt sie aus..

Das Schlimmste wäre jetzt nicht, dass etwas gelöscht wird. Löschen fällt auf, und Apple hält gelöschte Passwörter 30 Tage lang in einem Ordner „Zuletzt gelöscht“ bereit. Unangenehm ist das Leise: eine geänderte Wiederherstellungsadresse. Eine neue Weiterleitungsregel im Postfach. Ein Passwort, das ausgetauscht wurde.

Und da schließt sich der Kreis. Kennen Sie Ihre Passwörter eigentlich noch? Die meisten Menschen kennen zwei oder drei, den Rest verwaltet das Telefon. Wenn Sie ein Passwort nicht kennen, können Sie auch nicht prüfen, ob es noch das ist, das Sie kennen. Sie sind auf die Auskunft des Assistenten angewiesen.

Dass diese Auskunft falsch sein kann, ist keine Vermutung. Als Sicherheitsforscher einen Assistenten dazu brachten, heimlich Kalenderdaten wegzukopieren, antwortete dieser der Nutzerin anschließend, an diesem Tag gebe es keine Termine. Er hat nicht gelogen, wie ein Mensch lügt. Er hat gemeldet, was er für richtig hielt.

Früher konnte Ihr Telefon Ihnen etwas Falsches sagen. Jetzt kann es etwas Falsches tun — und Ihnen danach sagen, es sei alles in Ordnung.“
— der Unterschied zu früher, in einem Satz

Deshalb lohnt es sich, jetzt nachzusehen und nicht im November. Im Herbst wird der Schalter nicht von Ihnen umgelegt, sondern von einem Update.

// 05Und bei Jonas geht es um mehr als Fotos

Jonas hat eine Schreinerei mit vier Mitarbeitern und macht alles über sein Android-Handy: Termine, Angebote, Überweisungen. Auch er hat den Assistenten eingerichtet, weil es die Terminplanung erleichtert.

Sicherheitsforscher haben gezeigt, dass eine einzige präparierte Kalendereinladung genügt, um einen solchen Assistenten zu kapern. Man muss sie nicht einmal annehmen. Sie liegt im Kalender, und sobald der Nutzer fragt „Was habe ich heute?“, liest der Assistent den versteckten Text mit und führt ihn aus wie einen Auftrag seines Besitzers. In den Versuchen ließen sich darüber Standorte bestimmen, Betroffene per Videoanruf filmen und vernetzte Geräte wie Lampen, Fenster und Heizung schalten. Das BSI hat den Fall im Februar 2026 aufgegriffen; Google hat diese konkrete Lücke inzwischen geschlossen. Das Muster bleibt: Der Assistent kann Inhalt nicht sicher von Auftrag unterscheiden.

Für Jonas kommen zwei Dinge dazu. Erstens Geld: Wer haftet, wenn ein Assistent eine Zahlung auslöst, die niemand wollte, ist bis heute nicht geklärt. Ein großer Kreditkartenanbieter hat Anfang 2026 freiwillig zugesagt, Fehlkäufe von Assistenten zu übernehmen. Dass so eine Zusage nötig ist, sagt genug. Zweitens die Verantwortung für fremde Daten: In seinem Postfach stehen Adressen, Aufmaße und Rechnungen seiner Kunden. Gehen die verloren oder werden sie gestohlen, muss er das melden — und verliert die Kunden ziemlich sicher.

// Handeln · Zehn Minuten, die sich lohnen

// 06Drei Fragen, die Sie sich stellen können

// 07Die Anleitung: zehn Minuten

Bei Google — myaccount.google.com aufrufen, links auf Sicherheit, dann nach unten scrollen zu Verbindungen zu Apps und Diensten von Drittanbietern. Dort steht die Liste. Bei jedem Eintrag können Sie sehen, worauf er zugreifen darf, und ihn entfernen.

Bei Apple — Einstellungen → Ihr Name → Anmelden mit Apple. Dort finden Sie alle Dienste, bei denen Sie sich über Ihre Apple-ID angemeldet haben.

In der KI-App selbst — Fast alle Assistenten haben in den Einstellungen einen Bereich für Verbindungen oder Integrationen. Dort können Sie einzelne Dienste abschalten.

⚠

// der Schritt, den fast alle vergessen

Wenn Sie die Verbindung nur in der KI-App trennen, bleibt die Erlaubnis bei Google oder Apple weiter bestehen. Sie müssen sie an beiden Stellen entfernen. Erst dann ist sie wirklich weg.

Keine Sorge, kaputtmachen können Sie dabei nichts. Falls Sie einen Dienst doch wieder brauchen, melden Sie sich einfach neu an, dann fragt er erneut nach der Erlaubnis.

// 08Was Sie sich für die Zukunft merken können

Wer tiefer einsteigen will: Wie eigenständig KI-Systeme inzwischen handeln und was die Regulierung dazu sagt.