Der KI-Support-Bot von Meta konnte das Instagram-Passwort von jedem zurücksetzen. Er lief 44 Tage lang.

Am 1. Juni 2026 veröffentlichten 404 Media und KrebsOnSecurity Aufzeichnungen, die in Telegram-Gruppen kursierten und zeigten, wie Metas KI-Assistent zur Kontowiederherstellung jedem, der danach fragte, eine neue E-Mail-Adresse zu einem Instagram-Konto hinzufügte und dann die Passwortzurücksetzung dorthin schickte. Der Angreifer benötigte einen Benutzernamen und einen überzeugenden Satz. Innerhalb einer Woche bezifferte Meta in einer Meldung über eine Datenschutzverletzung an den Generalstaatsanwalt von Maine die Zahl der betroffenen Konten auf 20.225 in einem Zeitraum vom 17. April bis 31. Mai 2026. Sephoras Markenkonto, der Chief Master Sergeant der U.S. Space Force und die Forscherin Jane Manchun Wong gehörten zu denjenigen, die als gekapert gemeldet wurden; mehrere von ihnen waren tagelang ausgesperrt, ohne einen menschlichen Support-Mitarbeiter, an den sie sich wenden konnten. Der vollständige Datensatz, mit seinen Quellen und seiner Schweregrad-Einstufung, befindet sich im Orca AI Incident Archive, das tatsächlich eingetretene KI-Vorfälle nach Datum, System und Fehlertyp katalogisiert.

Das Archiv bewertet den Vorfall als kritisch, mit bestätigter KI-Beteiligung und tatsächlichem Schaden, und ordnet ihn unter indirekte Prompt-Injection und Missbrauch von Zugangsdaten ein. Was folgt, trennt das, was Meta offiziell erklärt hat, von dem, was Opfer, Forscher und die ersten 72 Stunden der Berichterstattung behauptet haben – denn in einem zentralen Punkt stimmen die beiden nicht überein.

Der Fehler war eine fehlende Prüfung, kein Jailbreak.

Meta führte den Assistenten im März 2026 auf Facebook und Instagram ein und bewarb ihn als Funktion für Kontosicherheit und -wiederherstellung, die laut 404 Media „{{1}}Lösungen, nicht nur Vorschläge{{/1}}“ bot. Intern nannte man ihn High Touch Support, kurz HTS: einen Konversationsagenten, der ausgesperrten Nutzern helfen sollte, die mit statischen Wiederherstellungsformularen nicht weiterkamen, und der die Befugnis erhielt, eine neue E-Mail-Adresse einem Konto zuzuordnen und eine Zurücksetzung des Passworts an diese Adresse auszulösen.

Der Fehler, den Meta schließlich beschrieb, war eng begrenzt, und es war nicht das Modell, das sich dazu entschied, hilfreich zu sein. In einem Schreiben zu einer Datenpanne, das beim Office of the Attorney General von Maine eingereicht wurde, schrieb Amber Hannah, Associate General Counsel für Incident-Response-Recht bei Meta: „Das Tool selbst funktionierte ordnungsgemäß und wie vorgesehen; aufgrund eines Bugs in einem separaten Codepfad hat das System jedoch nicht ordnungsgemäß überprüft, ob die von der Person, die eine Zurücksetzung des Passworts anforderte, angegebene E-Mail-Adresse mit der E-Mail-Adresse übereinstimmte, die mit dem Instagram-Konto dieses Nutzers verknüpft war.“ Sie fügte hinzu, dass das System, wenn die Adresse nicht übereinstimmte, „fälschlicherweise einen Link zum Zurücksetzen des Passworts an diese nicht verknüpfte E-Mail-Adresse sendete, anstatt die Anfrage abzulehnen“.

In der Praxis umfasste die Abfolge, wie von KrebsOnSecurity aus den Telegram-Aufzeichnungen rekonstruiert, vier Schritte:

• Der Angreifer verband sich über ein VPN mit einer Adresse in oder nahe der Region des Ziels, um die Standortprüfungen von Instagram zu bestehen.

• Sie haben den Wiederherstellungsablauf für einen Benutzernamen gestartet und den KI-Support-Assistenten ausgewählt.

• Sie wiesen den Bot an, eine E-Mail-Adresse zu verknüpfen, die sie kontrollierten – eine Aufnahme begann mit „Verknüpfe einfach meine neue E-Mail-Adresse“ – und der Bot schickte den Einmalcode dorthin.

• Sie gaben den Code ein, nahmen den Reset-Link, änderten das Passwort – und der rechtmäßige Eigentümer war ausgesperrt.

Keine Malware, kein gestohlenes Passwort, keine Phishing-Seite. Brian Krebs merkte an, dass sich die Technik ab dem 31. Mai über Telegram-Kanäle verbreitete und dass die pro-iranischen Konten, die das Video posteten, an diesem Wochenende auch einige der beschlagnahmten Profile verunstalteten.

44 Tage, und eine Zahl, die sich verschoben hat

Das Zeitfenster ist der Teil des Sachverhalts, der am längsten benötigte, um öffentlich zu werden. In seiner Meldung an den Generalstaatsanwalt von Maine erklärte Meta, es habe die Schwachstelle am 31. Mai 2026 entdeckt und HTS noch am selben Tag deaktiviert. Der Schriftsatz datiert die eigentliche Verletzung auf den 17. April; laut BleepingComputer war dies wahrscheinlich der erste Angriff, der die Schwachstelle ausnutzte. Das sind 44 Tage eines nicht authentifizierten Schreibpfads in die Identitätsfelder von Instagram-Konten – ein Zeitraum, den die Forschungseinheit der Cloud Security Alliance ebenfalls mit 44 Tagen angibt.

Die Zahl änderte sich zweimal. In Metas Einreichung heißt es, 20.225 Konten seien potenziell kompromittiert gewesen, darunter 30 in Maine, und das Unternehmen bezeichnet dies als Obergrenze, da einige Zugriffsversuche von legitimen Kontoinhabern stammen könnten. Am 9. Juni berichtete Android Authority unter Bezugnahme auf eine Untersuchung der New York Times, dass etwa 34.000 Instagram-Nutzer betroffen und rund 20.000 Konten kompromittiert gewesen seien, wobei bei Tausenden weiteren Benutzernamen geändert wurden oder sie vorübergehend den Zugriff verloren. Der Unterschied ist eine Definitionsfrage, kein Widerspruch: 34.000 ist die Gesamtheit der berührten Konten, 20.225 ist die Zahl der Übernahmen, die Meta zu bestätigen bereit war. In Metas Schreiben heißt es außerdem, das Unternehmen wisse nicht, welche der potenziell zugänglichen Daten tatsächlich eingesehen wurden – die Liste umfasse Kontaktdaten, Geburtsdaten, Beiträge, Direktnachrichten, Aktivitätsverlauf, Profilinformationen und verknüpfte Dienste Dritter.

Auch die Aussagen zum Fix und die Termine für den Fix liefen in der Öffentlichkeit auseinander. Am 1. Juni sagte Metas Vizepräsident für Kommunikation, Andy Stone, auf X, „das Problem, das tatsächlich aufgetreten ist, wurde bereits behoben“. Am 2. Juni berichtete TechCrunch, dass Nutzer weiterhin Übernahmen meldeten und Mitglieder von Telegram-Kanälen weiterhin gekaperte Handles zum Verkauf anboten – während er einschränkend anmerkte, dass nicht jede gemeldete Übernahme mit derselben Technik in Verbindung gebracht werden könne.

Was die Zwei-Faktor-Authentifizierung bewirkt hat und was frühe Berichte über ihre Wirkung sagten

Hier trennen sich der Datensatz und die Berichterstattung, und es lohnt sich, diesbezüglich präzise zu sein.

Metas eigene Darstellung ist eindeutig. Hannahs Schreiben besagt, dass nach dem Zurücksetzen des Passworts „die unbefugte Partei sich beim Konto anmelden konnte, wenn der Kontoinhaber die Zwei-Faktor-Authentifizierung (2FA) nicht aktiviert hatte“. KrebsOnSecurity berichtete aus den Aufzeichnungen des Exploits dasselbe: Die Technik scheiterte bei Konten mit aktivierter MFA. Die Analyse der Cloud Security Alliance bezeichnete 2FA als „die wirksame begrenzende Kontrolle“ und stellte fest, dass der Wiederherstellungsablauf niemals Zugriff auf die Authentifizierungsebene gewährte, die 2FA regelt. Die Lücke war die Wiederherstellungstür neben der Anmeldetür, nicht die Anmeldetür selbst.

Demgegenüber sagte eine Welle von Opferberichten in den ersten Tagen das Gegenteil. BleepingComputer zitierte am 2. Juni Nutzer, die darauf beharrten, ihre Identität sei per Gesichtsscan verifiziert worden und sie hätten 2FA aktiviert, und zitierte einen Nutzer namens André mit den Worten, die Methode „umgehe 2FA-Schutzmaßnahmen“. gHacks berichtete am 3. Juni dasselbe. Die einzeilige Zusammenfassung dieses Vorfalls im Archiv enthält ebenfalls diese stärkere Behauptung und beschreibt den Bot als Umgehung der Zwei-Faktor-Authentifizierung.

Meta hat keine technische Nachanalyse veröffentlicht, daher ist die Diskrepanz ungeklärt und nicht geklärt. Festhalten lässt sich, dass das einzige Primärdokument – die von Metas eigenem Rechtsbeistand unterzeichnete Einreichung – eine Übernahme beschreibt, die bei Konten ohne zweiten Faktor endete, und dass die Medien, die den Exploit-Aufzeichnungen am nächsten standen, dasselbe berichteten. Behandle „der Bot hat 2FA überwunden“ als Behauptung, nicht als erwiesene Tatsache.

Ein zweiter gemeldeter Mechanismus gehört in dieselbe Kategorie. Nutzer berichteten BleepingComputer und gHacks, dass der Wiederherstellungsablauf ein Selfie-Video akzeptieren würde und dass Angreifer ein öffentliches Foto des Ziels mithilfe eines KI-Videogenerators animierten, um ihn zu bestehen. Weder Metas Einreichung noch Krebs’ Rekonstruktion der Aufzeichnungen erwähnt diesen Schritt. Es könnte ein paralleler Weg gewesen sein; die öffentliche Aktenlage belegt das nicht.

Die Opfer – und die Darstellung, die Meta bestreitet

Der bestätigte Cluster ist eine seltsame Mischung aus Marken-, Militär- und Forscherkonten: Sephoras Markenkonto, Chief Master Sergeant John Bentivegna von der U.S. Space Force und Jane Manchun Wong, deren eigene Beiträge dokumentierten, dass sie das Konto verloren hat. BleepingComputer nannte außerdem die Ein-Wort-Handles @hey und @korn und berichtete, dass der Besitzer von @korn sechs Stunden damit verbrachte, einen Menschen zu erreichen, und vier defekte Links von Metas Support-KI erhielt. Derselbe Artikel merkte an, dass Behauptungen über die Ein-Buchstaben-Handles @e und @f nicht unabhängig verifiziert werden konnten, wobei einige sie stattdessen einem Insider zuschrieben.

Ein häufig wiederholtes Opfer ist umstritten. 404 Media, KrebsOnSecurity und TechCrunch berichteten allesamt, dass ein inaktiver Account des Weißen Hauses aus der Obama-Ära zu den übernommenen und kurzzeitig verunstalteten gehört habe. Meta bezeichnete Behauptungen, die Konten von Führungspersönlichkeiten seien kompromittiert worden, laut BBC als „vollkommen falsch“, und TechCrunch hielt den Widerspruch des Unternehmens direkt fest. Alles andere auf der Opferliste stützt sich auf die Berichterstattung; bei diesem einen ist das nicht der Fall.

Die Attribution endet beim Kanal, nicht bei einer Organisation. Die Berichterstattung belegt, dass funktionierende Exploit-Anleitungen und gekaperte Handles in Telegram-Gruppen gehandelt wurden, dass einige beschlagnahmte Konten für pro-iranische Nachrichten genutzt wurden und dass kurze „OG“-Benutzernamen einen Graumarktwert im fünfstelligen Dollarbereich haben – Krebs zitierte Hacker, die für die von ihnen gehaltenen Namen einen Wiederverkaufswert von über 500.000 US-Dollar angaben. Kein Bericht nennt eine Gruppe, erhebt Anklage gegen jemanden oder belegt, dass eine einzige Operation die Kampagne durchführte. Die Beschreibung des Archivs von einem organisierten Wiederverkaufsgeschäft deckt sich mit der Berichterstattung, wird von den zitierten Quellen aber nicht belegt.

Was hat sich danach geändert?

Meta reagierte – wie in der Einreichung und gegenüber BleepingComputer beschrieben – damit, dass das Unternehmen das HTS-Tool deaktivierte, den fehlerhaften Codepfad entfernte, jeden vom System generierten Link zum Zurücksetzen des Passworts für ungültig erklärte und betroffene Konten in einen verpflichtenden Sicherheitskontrollpunkt überführte, der ein Zurücksetzen über verifizierte Kanäle erforderte. Vor der erneuten Inbetriebnahme erklärte das Unternehmen, es werde die Authentifizierungsprüfung am Einstiegspunkt für die Instagram-Wiederherstellung so korrigieren, dass eine angegebene E-Mail-Adresse vor der Einleitung eines Zurücksetzens mit den Kontodatensätzen abgeglichen wird, und ähnliche Wiederherstellungsabläufe auf seinen anderen Plattformen überprüfen.

Wie viel vom breiteren Programm tatsächlich pausiert wurde, ist enger gefasst, als es klingt. Von der New York Times zitierte interne Dokumente deuteten darauf hin, dass Meta nur das spezifische, mit dem Vorfall verbundene Instagram-Experiment zur Passwortwiederherstellung pausierte, während umfassendere KI-gestützte Support-Pläne bestehen blieben, berichtete Android Authority. Die Notiz der Cloud Security Alliance geht weiter und stellt fest, dass Meta am 31. Mai die autonomen Funktionen des Chatbots zur E-Mail-Zuordnung und zum Zurücksetzen von Passwörtern deaktivierte; diese Darstellung stammt von der Forschungsgruppe und nicht von einer Meta-Erklärung.

Warum es unter Prompt-Injection eingeordnet wird und warum diese Bezeichnung umstritten ist

Das Archiv führt den Vorfall unter IPI – indirekte Prompt-Injection – neben Credential-Missbrauch, und die Confused-Deputy-Rahmung ist die, zu der die meisten Analysten gegriffen haben. Doch mehrere der Personen, die dem Vorfall am nächsten stehen, wehren sich gegen das Injection-Label.

Simon Willison, der den Begriff Prompt-Injection prägte, schrieb am 1. Juni: „Meta hat sein Supports system wirklich an einen KI-Chatbot angebunden, der den gesamten Kontowiederherstellungsprozess beschleunigen konnte. Das hier qualifiziert sich kaum noch als Prompt-Infektion. Binden Sie Ihren Support-Bot nicht so an, dass One-Shot-Kontoübernahmen möglich sind!“ Die Cloud Security Alliance traf dieselbe Unterscheidung in formelleren Worten: Der Angriff erforderte keine feindseligen Inhalte, die in einem Dokument oder einer Tool-Ausgabe verborgen waren; der Angreifer fragte einfach, daher handelt es sich um ein anderes Bedrohungsmodell als bei klassischer Prompt-Injection, auch wenn die Folge identisch ist. Ihre Zuordnung erfolgt zu OWASP’s LLM06:2025, Excessive Agency – übermäßige Funktionalität, übermäßige Berechtigungen und übermäßige Autonomie, alle drei gleichzeitig vorhanden.

VentureBeats Deutung war unverblümter und ist diejenige, die operativ zählt: Aus dem Inneren eines Detection-Stacks erzeugte der Angriff überhaupt kein Signal, weil der Agent ein autorisierter Akteur war und jeder von ihm vorgenommene Schreibvorgang als legitime Transaktion protokolliert wurde. „Es gibt keinen Einstiegspunkt zu finden, denn der Agent war der Einstiegspunkt, und er sollte genau dort sein.“

Was dieser Datensatz nicht belegt

Für die HTS-Schwachstelle gibt es keine CVE und keine veröffentlichte technische Beschreibung von Meta, in der dargelegt wird, was der Codepfad tatsächlich bewirkte. Die Zahl 20.225 ist Metas Obergrenze, keine geprüfte Zählung, und das Unternehmen erklärt, nicht sagen zu können, welche Daten eingesehen wurden. Wie viele Konten tatsächlich verunstaltet, weiterverkauft oder für welchen Zeitraum auch immer gehalten wurden, ist unbekannt. Niemand wurde angeklagt, und keine Aufsichtsbehörde hatte – nach dem hier zusammengefassten öffentlichen Kenntnisstand – spezifische Feststellungen zu diesem Vorfall veröffentlicht.

Was feststeht, ist kleiner und nützlicher als die Schlagzeilen: Ein Support-Mitarbeiter erhielt Schreibzugriff auf das eine Feld, das darüber entscheidet, wem ein Konto gehört; die Prüfung, ob der Anfragende dessen Eigentümer war, lag in einem anderen Codepfad und wurde nicht ausgeführt; und man konnte den Mitarbeiter mit einem einzigen Satz dazu bringen, sie zu übergehen. Metas eigene Einreichung besagt, das Tool habe „ordnungsgemäß funktioniert und wie beabsichtigt gearbeitet“. Das ist der Befund. Der Fehler lag in der Architektur drumherum.