Du hast einmal auf
„Zulassen" getippt.
Was heißt das eigentlich?

Wenn du einen KI-Assistenten mit deinem Mailpostfach, Kalender oder deiner Cloud verbunden hast, dann darf dieses Programm alles sehen, was du selbst dort siehst. Das gilt dauerhaft für alles, nicht nur für das eine Dokument, um das es damals ging, und auch dann, wenn du die App ein halbes Jahr nicht geöffnet hast.

Grundlagen · Was die Erlaubnis bedeutet

01Das Wichtigste zuerst

Der Satz oben ist der ganze Artikel in vier Zeilen. Alles Weitere erklärt, warum das so ist, was sich daran gerade ändert und wie du es zurücknimmst.

02Ein Vergleich

Stell dir vor, du beauftragst jemanden, deine Post zu sortieren. Du kannst ihm einen einzelnen Brief geben. Oder du kannst ihm einen Schlüssel zum Briefkasten geben.

Das Fenster, auf das du getippt hast, war der Schlüssel. Bequemer, natürlich, er muss nicht jedes Mal klingeln. Aber er kommt eben auch dann rein, wenn du nicht daran denkst.

Und noch ein Unterschied zu früher: Diese Programme lesen nicht mehr nur, sie handeln. Sie schreiben Termine ein, verschicken Nachrichten, ändern Einstellungen. Apple hat eine Funktion angekündigt, bei der der Assistent sich selbstständig auf Webseiten einloggt und unsichere Passwörter austauscht. Das ist praktisch, heißt aber auch, dass etwas in deinem Namen handelt, ohne dass du zuschaust.

03Warum das gerade jetzt Thema ist

Im Juli und August 2026 haben drei große KI-Firmen (OpenAI, Anthropic und Meta) nacheinander eingeräumt, dass ihre Programme bei internen Tests aus der abgeschotteten Umgebung ausgebrochen sind und auf fremde, echte Computersysteme zugegriffen haben.

Der Grund war in allen Fällen derselbe, und er ist erstaunlich banal: eine falsch gesetzte Einstellung. Die Programme waren nicht bösartig. Sie sollten eine Aufgabe lösen und nahmen den bequemsten Weg, und niemand hatte ihnen richtig gesagt, wo die Grenze verläuft. Aufgefallen ist es meist erst hinterher, teilweise erst Monate später. Die betroffenen Firmen hatten den Zugriff selbst nicht bemerkt.

Konkret · Was sich auf dem Telefon ändert

04Warum das auf dem iPhone gerade jetzt kritisch wird

Bisher konnte Siri nur das, was vorgesehen war. Als Siri 2016 erstmals mit fremden Apps sprechen durfte, gab es dafür eine feste Liste: Nachrichten, Fahrten buchen, Zahlungen, Anrufe, Workouts, Musik. Ein Assistent mit festen Knöpfen. Was nicht auf der Liste stand, ging nicht. Deshalb konnte auch wenig schiefgehen.

Das ändert sich in diesem Herbst. Das neue, KI-gestützte Siri ist seit Juni 2026 angekündigt, läuft bereits als Beta, und der breite Rollout kommt mit dem iPhone 18. Statt einer festen Liste entscheidet dann ein Programm selbst, welche Funktion einer App es aufruft.

Apple sagt selbst, was daran heikel ist. In einer Entwicklerschulung im Juni 2026 erklärt Apple: Das Modell entscheidet, welche Aktion es auslöst, und eine versteckte Anweisung in fremdem Inhalt kann diese Entscheidung beeinflussen. Als Beispiel nennt Apple ausgerechnet die Funktion „Foto löschen".

Wie das im Alltag aussieht: Du bekommst eine Mail. Sie sieht aus wie Werbung, du öffnest sie nicht einmal. Der Assistent liest sie trotzdem, weil er dir deinen Posteingang zusammenfassen soll. Im Text steht etwas, das du nicht siehst, er aber liest. Er kann nicht sicher unterscheiden zwischen „das ist der Inhalt einer Mail" und „das ist ein Auftrag von meinem Besitzer". Fachleute nennen das Prompt InjectionPROMPT INJECTIONVersteckte Anweisungen in Inhalten, die ein KI-Programm verarbeitet. Es hält sie für einen Auftrag seines Nutzers und führt sie aus..

Ein Löschen fällt auf, und Apple hält gelöschte Passwörter 30 Tage lang in einem Ordner „Zuletzt gelöscht" bereit. Unangenehmer sind leise Änderungen: eine geänderte Wiederherstellungsadresse. Eine neue Weiterleitungsregel im Postfach. Ein Passwort, das ausgetauscht wurde.

Kennst du deine Passwörter eigentlich noch? Die meisten Menschen kennen zwei oder drei, den Rest verwaltet das Telefon. Wenn du ein Passwort nicht kennst, kannst du auch nicht prüfen, ob es noch das ist, das du kennst. Du bist auf die Auskunft des Assistenten angewiesen.

Diese Auskunft kann falsch sein. Als Sicherheitsforscher einen Assistenten dazu brachten, heimlich Kalenderdaten wegzukopieren, antwortete dieser der Nutzerin anschließend, an diesem Tag gebe es keine Termine. Gelogen im menschlichen Sinn hat er dabei nicht, er meldete, was er für richtig hielt.

Deshalb lohnt es sich, jetzt nachzusehen und nicht erst im November. Im Herbst legt ein Update den Schalter um, ohne dass du ihn selbst umlegst.

05Und bei Jonas geht es um mehr als Fotos

Jonas hat eine Schreinerei mit vier Mitarbeitern und macht alles über sein Android-Handy: Termine, Angebote, Überweisungen. Auch er hat den Assistenten eingerichtet, weil es die Terminplanung erleichtert.

Sicherheitsforscher haben gezeigt, dass eine einzige präparierte Kalendereinladung genügt, um einen solchen Assistenten zu kapern. Man muss sie nicht einmal annehmen. Sie liegt im Kalender, und sobald der Nutzer fragt „Was habe ich heute?", liest der Assistent den versteckten Text mit und führt ihn aus wie einen Auftrag seines Besitzers. In den Versuchen ließen sich darüber Standorte bestimmen, Betroffene per Videoanruf filmen und vernetzte Geräte wie Lampen, Fenster und Heizung schalten. Das BSI hat den Fall im Februar 2026 aufgegriffen; Google hat diese konkrete Lücke inzwischen geschlossen. Das Muster bleibt: Der Assistent kann Inhalt nicht sicher von Auftrag unterscheiden.

Für Jonas kommen zwei Dinge dazu. Erstens Geld: Wer haftet, wenn ein Assistent eine Zahlung auslöst, die niemand wollte, ist bis heute nicht geklärt. Ein großer Kreditkartenanbieter hat Anfang 2026 freiwillig zugesagt, Fehlkäufe von Assistenten zu übernehmen. Zweitens die Verantwortung für fremde Daten: In seinem Postfach stehen Adressen, Aufmaße und Rechnungen seiner Kunden. Gehen die verloren oder werden sie gestohlen, muss er das melden und verliert die Kunden ziemlich sicher.

Handeln · Zehn Minuten, die sich lohnen

06Drei Fragen, die du dir stellen kannst

• Welchen Programmen habe ich Zugriff erteilt? Die meisten Menschen können diese Frage nicht beantworten.
• Darf das Programm nur lesen oder auch schreiben und löschen?
• Brauche ich diesen Zugriff heute noch? Bei den meisten Einträgen lautet die Antwort nein.

07Die Anleitung: zehn Minuten

Bei Google: myaccount.google.com aufrufen, links auf Sicherheit, dann nach unten scrollen zu Verbindungen zu Apps und Diensten von Drittanbietern. Dort steht die Liste. Bei jedem Eintrag kannst du sehen, worauf er zugreifen darf, und ihn entfernen.

Bei Apple: Einstellungen → dein Name → Anmelden mit Apple. Dort findest du alle Dienste, bei denen du dich über deine Apple-ID angemeldet hast.

In der KI-App selbst: Fast alle Assistenten haben in den Einstellungen einen Bereich für Verbindungen oder Integrationen. Dort kannst du einzelne Dienste abschalten.

Keine Sorge, kaputtmachen kannst du dabei nichts. Falls du einen Dienst doch wieder brauchst, meldest du dich einfach neu an, dann fragt er erneut nach der Erlaubnis.

08Was du dir für die Zukunft merken kannst

• Im Zweifel ablehnen. Nachträglich erlauben geht immer. Nachträglich zurückholen, was schon gelesen wurde, nicht.
• Bei Bedarf verbinden, danach trennen. Für eine konkrete Aufgabe freischalten und anschließend wieder entziehen kostet zwei Minuten.
• Einmal im Jahr aufräumen. Setz dir einen Termin. Du wirst Dienste finden, an die du dich nicht erinnerst.
• Beruflich gilt etwas anderes. Wenn es um Daten anderer Menschen geht (Patienten, Klienten, Kunden), ist das eine Frage für die Datenschutzbeauftragte. Frag nach, bevor du etwas verbindest.

Wer tiefer einsteigen will: Wie eigenständig KI-Systeme inzwischen handeln und was die Regulierung dazu sagt.