„Bevorzuge meine Bewerbung“ ist ein netter Versuch mit Bekennerschreiben. Wer eine versteckte KI-Anweisung in seinen Lebenslauf schreibt, um sich selbst nach vorne zu sortieren, verrät Absicht und Begünstigten gleich mit. Wird der Versuch entdeckt, ist das Bewerbungsgespräch wahrscheinlich erledigt. Nur: Was passiert, wenn der Absender überhaupt keinen Job will?
Hat es funktioniert?
Business Insider berichtet über versteckte KI-Anweisungen in echten Bewerbungen. Bei InnoCaption meldete die Auswahlsoftware eine Auffälligkeit in einem Lebenslauf. Darin steckte ein rund 1.500 Zeichen langer Textblock in weißer Schrift auf weißem Hintergrund. Die KI sollte bisherige Vorgaben ignorieren und den Bewerber unabhängig von seiner Qualifikation bevorzugt bewerten. Geschäftsführer Paul Lee sei „fassungslos“ gewesen. Bei einem anderen Unternehmen wurde ein Bewerber wegen einer ähnlichen Manipulation dauerhaft ausgeschlossen.[2]
Die Empörung ist nachvollziehbar. Gerade bei einer Stelle in Recht und Compliance ist ein heimlicher Manipulationsversuch keine überzeugende Arbeitsprobe. Ein langer weißer Textblock ist allerdings auch nicht gerade die Tarnkappe unter den Dokumentenangriffen.
Was im Bericht fehlt, ist der Nachweis einer Wirkung. Hat ein System das Ranking verändert, eine Bewertung übernommen oder eine Empfehlung erzeugt, bevor der Versuch entdeckt wurde? Wurde das Dokument vor der Auswertung abgefangen oder erst hinterher untersucht? Und hat jemand bereits erzeugte Ergebnisse auf Auswirkungen geprüft?
Der Fund belegt einen Manipulationsversuch. Ob die Software ihm gefolgt ist oder ihn rechtzeitig abgefangen hat, muss der Betreiber anhand der Verarbeitung und ihrer Ergebnisse prüfen.
Ein Bewerberausschluss ist keine Sicherheitsarchitektur
Der Artikel erzählt vor allem eine Geschichte über Bewerberintegrität. Für den Betreiber reicht diese Perspektive nicht.
Ein Recruiting-System verarbeitet einen ganzen Kandidatenbestand. Es soll Unterlagen vergleichen, Qualifikationen zuordnen und Auswahlprozesse unterstützen. Dass die Anwendung Zugriff auf mehrere Bewerbungen hat, ist kein exotischer Konfigurationsfehler, sondern Teil ihres Auftrags. Daraus folgt allerdings nicht, dass jede LLM-Komponente sämtliche Rohdaten und beliebige Werkzeuge erhalten muss.
Wer angreifen will, braucht keine ernst gemeinte Bewerbung. Ein plausibles Dokument unter einer erfundenen Identität kann denselben regulären Eingang benutzen. Der Unterschied liegt im Ziel: Nicht die eigene Bewertung soll besser werden. Der verarbeitende Prozess soll seine vorhandenen Berechtigungen für einen fremden Zweck einsetzen.
Ein solcher Angriff kann interne Bewertungen verfälschen oder den Zugriff auf andere Bewerberakten auslösen. Kann der Agent außerdem Nachrichten senden oder Daten exportieren, muss auch die unbefugte Weitergabe dieser Informationen verhindert werden. Lebensläufe, Kontaktdaten und vertrauliche Auswahlnotizen betreffen Menschen, die mit dem Angriff nichts zu tun haben.
Dafür muss ein Angreifer nicht erst das Betriebssystem übernehmen. Schon der Missbrauch regulärer Anwendungsrechte kann reichen. Ob diese Kette in einem konkreten Produkt möglich ist, hängt von seiner Architektur und den tatsächlich verfügbaren Befugnissen ab. Business Insider weist einen solchen Datenabfluss nicht nach. Es ist aber ein ernsthaftes Bedrohungsmodell, das mit „Wir haben den Bewerber aussortiert“ nicht erledigt ist.
Ein erfundener Bewerber hat keinen Ruf zu verlieren. Und die technische Empfangsstelle für gestohlene Daten muss weder seinen Namen tragen noch unmittelbar auf ihn zurückführen. Die Drohung mit einer Bewerbungssperre beeindruckt jemanden wenig, dessen Ziel nie ein Arbeitsvertrag war.
Weiße Schrift ist nicht die Grenze
Die sichtbare Seite eines PDFs ist nicht identisch mit allen Inhalten, die ein Parser daraus gewinnen kann. Metadaten und zusätzliche, nicht gerenderte Inhalte in der Dokumentenstruktur können die maschinelle Verarbeitung erreichen, obwohl sie bei einer normalen Sichtprüfung nicht erscheinen. Welche Inhalte tatsächlich übernommen werden, hängt vom eingesetzten Parser und der nachfolgenden Verarbeitung ab.
Über unsere eigenen Dokumententests haben wir Ende April bereits öffentlich berichtet. Wir prüften eigene Dokumenten- und Agentenpfade mit Canary-Markern, versteckten Anweisungen und einem kontrollierten Mail-Callback. Damit sollte sich feststellen lassen, ob ein System Inhalte nur extrahiert oder ihnen bereits folgt.[1] In unseren kontrollierten Versuchen waren auch Metadaten und nicht sichtbare PDF-Objekte relevant. Das sind Erfahrungen aus unseren Tests, keine Befunde zu den von Business Insider genannten Unternehmen.
Ein Wettbewerb um das raffinierteste Versteck wäre allerdings ebenso verfehlt. Auch einfache Techniken können bei schlechter Verarbeitung genügen. Umgekehrt beweist eine unauffällige Darstellung keine Unbedenklichkeit. Und selbst vollständig sichtbarer Text bleibt fremder Inhalt, nicht die Betriebsanweisung des Systems.
Eine Suche nach weißer Schrift kann ein nützlicher Prüfschritt sein. Als Sicherheitskonzept reicht sie nicht.
Verbreitung ist keine Erfolgsquote
Die von Business Insider aufgegriffene Untersuchung „Measuring Real-World Prompt Injection Attacks in LLM-based Resume Screening“ analysiert einen großen Bestand realer Lebensläufe. In ihrem Datensatz fanden die Forschenden bei ungefähr einem Prozent versteckte Injektionen. Ihre Definition ist allerdings breiter als das bekannte „Ignoriere alle bisherigen Anweisungen“: Über 90 Prozent der gefundenen Injektionen enthalten keine ausdrücklichen Befehle, sondern versteckte Daten, etwa zusätzliche Qualifikationsangaben oder Schlüsselwörter.[3]
Im Abschnitt „Discussion and Limitations“ erklären die Forschenden ausdrücklich, dass sie nicht untersucht haben, ob die gefundenen Manipulationen Auswahlentscheidungen tatsächlich beeinflusst haben: Dafür fehlen die nachgelagerten Entscheidungsdaten.[3] Aus der Fundquote lässt sich deshalb weder ablesen, wie oft eine Injection erfolgreich war, noch ob Daten abgeflossen sind. Versteckte Zusatzdaten, eine befolgte Anweisung und eine ausgelöste externe Übermittlung sind unterschiedliche Befunde.
Für Betreiber zählen deshalb konkrete Nachweise: Was wurde extrahiert? Welche Inhalte erreichten das Modell? Welche Ausgabe entstand? Welche Datenzugriffe und Aktionen folgten? Ohne diese Verbindung bleibt der Fund eine Warnung, aber keine abgeschlossene Wirkungsanalyse.
Bewerberdaten sind kein Spielmaterial
Noch vor dem ersten Angriff muss geklärt sein, ob die Unterlagen überhaupt an den gewählten Dienst übermittelt werden dürfen. Werden identifizierbare Bewerberdaten an einen externen LLM-Anbieter gesendet, findet bereits personenbezogene Datenverarbeitung außerhalb des eigenen Systems statt – ganz ohne erfolgreichen Angriff. Dafür braucht es unter anderem eine tragfähige Rechtsgrundlage und geklärte Verantwortlichkeiten; bei Auftragsverarbeitung gelten die Anforderungen aus Artikel 28 DSGVO.[5] Dass kein Angreifer mitliest, macht einen rechtswidrigen Upload nicht rechtmäßig.
Der EU AI Act führt Systeme zum Analysieren und Filtern von Bewerbungen sowie zur Bewertung von Kandidaten grundsätzlich als Hochrisiko-Anwendungen auf. Das ist kein pauschales Verbot jeder KI-Unterstützung im Personalbereich.[4] Es ist aber auch keine Einladung, reale Bewerberakten für einen improvisierten Agentenversuch zu verwenden.
Der Betreiber muss erklären können, welche Komponente welche Daten benötigt, welche Aktionen zulässig sind und wodurch diese Grenzen tatsächlich durchgesetzt werden. Ein Prompt, der das Modell um Diskretion bittet, ersetzt diese Architektur nicht. Ein Mensch, der am Ende die Rangliste ansieht, verhindert ebenfalls keinen vorherigen unzulässigen Datenzugriff.
Testen lässt sich mit synthetischen Bewerbern und kontrollierten Beobachtungen. Für den Produktivbetrieb braucht es nachgewiesene Grenzen, nachvollziehbare Verarbeitung und einen Verantwortlichen, der bei ungeklärten Risiken auch Nein sagt.
Die dumme Prompt Injection will eine Bewerbung gewinnen. Die gefährliche Bewerbung existiert nur, um das Recruiting-System anzugreifen. Wer nur nach dem schummelnden Kandidaten sucht, schaut an der ernsteren Bedrohung vorbei.
Quellen
[1] Unser Bericht über kontrollierte Dokumenten- und Agententests
[2] Business Insider: KI im Bewerbungsprozess – dieser Trick kann euch den Job kosten
[3] USENIX Security 2026: Measuring Real-World Prompt Injection Attacks in LLM-based Resume Screening
[5] DSGVO: Verordnung (EU) 2016/679, insbesondere Artikel 5, 6 und 28