Spaniens Datenschutzbehörde verzeichnete ihren ersten Datenschutzverstoß durch einen KI-Agenten. Der Account gehört weiterhin dem Opfer.

Am 14. September 2026 veröffentlichte die spanische Datenschutzbehörde Agencia Española de Protección de Datos (AEPD) einen Blogbeitrag von Francisco Pérez Bes, in dem offengelegt wurde, dass sie die erste Meldung einer Verletzung personenbezogener Daten erhalten hatte, bei der der Vorfall angeblich von einem KI-Agenten ausgeführt worden war, der auf einem bekannten Sprachmodell lief. Nach der Darstellung, die die betroffene Organisation der Aufsichtsbehörde gab, durchsuchte der Agent allgemeine Dateien nach Schwachstellen, meldete sich erfolgreich an und suchte dann selbstständig nach Fehlern in der Anwendung, bis er einen fand, und nutzte diesen, um personenbezogene Daten zu verändern und an Rechnungen zu gelangen. Die AEPD hat weder die Organisation noch den Angreifer oder das Modell genannt und auch nicht gesagt, wie viele Menschen betroffen sind. Die eigenen Quellen des Eintrags, seine Schweregrad-Einstufung und seine Zuverlässigkeitsbewertung befinden sich in dem KI-Vorfallarchiv, zusammen mit den anderen Erfassungen von Agenten-Eindringfällen, die rund um ihn herum eingereicht wurden.

Was die Agentur veröffentlicht hat und in welcher Stimme

Der Beitrag ist kurz – rund 700 Wörter –, und sein Titel ist eine Behauptung, keine Erkenntnis: „Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA.“ Der Text selbst ist vorsichtiger als der Titel. Während die englischsprachige Berichterstattung sagt, die Verletzung personenbezogener Daten sei durch einen Agenten erfolgt, verwendet der spanische Text durchgängig den Konditional: Der Vorfall habría sido ejecutado – wäre von einem KI-Agenten ausgeführt worden –, und ein Dritter habría utilizado einen Agenten als Instrument. Das ist die Grammatik eines Berichts, der eingegangen und noch nicht verifiziert ist, und die AEPD sagt das ausdrücklich: Die verfügbaren Informationen „procede de la notificación presentada por la organización afectada y deberá ser objeto del correspondiente análisis“ – sie stammen aus der Meldung der betroffenen Organisation und müssen noch analysiert werden.

Der Satz, der das tatsächliche Urteil der Behörde trägt, ist enger gefasst als die Schlagzeilen, die darauf aufbauen. „Lo relevante desde la perspectiva de la protección de datos es que un tercero habría utilizado un agente de IA como instrumento para encadenar exitosamente distintas fases del ataque“ – entscheidend ist aus Datenschutzsicht, dass ein Dritter einen KI-Agenten als Instrument genutzt hätte, um verschiedene Phasen des Angriffs erfolgreich zu verketten. Das Neue, auf das die Regulierungsbehörde abhebt, ist die Verkettung, nicht das Eindringen: Mehrstufige Angriffe sind alt, und die AEPD widmet einen Absatz dieser Feststellung. Neu ist, dass einem System ein Ziel vorgegeben wurde und es dann Zwischenaufgaben plante, Werkzeuge nutzte, Code ausführte, Ergebnisse las und den Kurs eigenständig änderte.

Die Kette, wie sie von der meldenden Organisation beschrieben wurde

Die Beschreibung des Eindringens durch die AEPD umfasst vier Schritte und enthält keinerlei technische Identifikatoren. Der Agent „inició una búsqueda de vulnerabilidades en archivos genéricos“ – begann, in generischen Dateien nach Schwachstellen zu suchen – und dann „realizó un login correcto“, meldete sich erfolgreich an. Einmal im System, „comenzó a buscar, de forma autónoma, vulnerabilidades en la aplicación“, begann autonom in der Anwendung nach Schwachstellen zu suchen, und nachdem er eine gefunden hatte, konnte er personenbezogene Daten ändern und auf Rechnungen zugreifen.

Zwei Details in dieser Abfolge verdienen einen Moment des Innehaltens, weil die Sekundärberichterstattung sie geglättet hat. Die Dateien werden als genéricos, also generisch, beschrieben; TechRadar Pros Darstellung vom 17. September gibt sie als „öffentlich zugängliche Dateien“ des Ziels wieder, was eine plausible Schlussfolgerung, aber nicht das ist, was die AEPD schrieb, und die Behörde sagt nicht, ob die Dateien ohne Authentifizierung erreichbar waren. Und die Anmeldung wird als Tatsache dargestellt – eine korrekte Anmeldung –, ohne Auskunft darüber, woher die Zugangsdaten stammten: gesammelt, erraten, wiederverwendet oder an den Agenten ausgegeben. Der Beitrag sagt nichts darüber, wie die Organisation den Eindringling erkannte, ob etwas exfiltriert wurde oder ob der Agent sich nach dem Eindringen lateral bewegte. In der öffentlichen Darstellung hat die Kette einen Anfang und ein Ende und dazwischen sehr wenig.

Was gilt als gesichert und was nicht

Durch Primärdokumente belegt: Die AEPD erhielt eine Meldung über eine Datenschutzverletzung, die sie so charakterisiert; sie veröffentlichte diesen Umstand am 14. September 2026 auf der Website der Behörde selbst; die obige Beschreibung ist die Zusammenfassung der Behörde dessen, was die meldende Organisation ihr mitgeteilt hat; und die erklärte Position der Behörde ist, dass KI-gestützte Angriffe kein theoretisches Risiko mehr darstellen und nun Vorfälle verursachen, die die Verarbeitung echter personenbezogener Daten betreffen.

Nicht geklärt, und genau das ist der Punkt, den die Aktenlage nicht liefern kann: ob sich der Eindringfall so zugetragen hat, wie beschrieben. Keine zitierte Quelle – weder die AEPD noch irgendein Medium – berichtet von einer unabhängigen technischen Untersuchung der betroffenen Systeme. Jede Darstellung lässt sich auf die eigene Meldung der Organisation zurückführen. Die AEPD bezeichnet die Analyse als ausstehend, und der Bericht von BleepingComputer vom 16. September stellt unmissverständlich fest, dass die Behörde den Vorwurf weder untersucht noch verifiziert hat. Die Behörde hat die Organisation, den Angreifer oder das Modell nicht öffentlich identifiziert; die spanische Berichterstattung ist in diesem Punkt eindeutig, wobei Infobae am 15. September berichtete, dass weder die beteiligten Unternehmen noch das Modell bekannt geworden seien.

Ebenfalls nicht enthalten: eine Zahl der betroffenen Personen, eine Liste der Datenkategorien über personenbezogene Daten und Rechnungen hinaus, eine Aussage darüber, dass Rechnungen entwendet und nicht bloß eingesehen wurden, sowie jeglicher Hinweis auf Branche oder Größe. Die Presseberichterstattung hat diese Lücken nicht gefüllt, weil sie es nicht kann; die Agenturtexte und die Fachpresse gehen allesamt auf denselben Blogbeitrag zurück.

Das Model war nicht die kompromittierte Partei, und die Agentur sagte es zweimal.

Beide Einschränkungen im Beitrag sind defensiv gemeint, und beide wurden von allen wiederholt, die darüber berichtet haben. Die erste: Die Verwendung eines bestimmten KI-Modells bedeutet nicht, dass das Modell oder die Infrastruktur seines Anbieters kompromittiert wurde. Die zweite: Ebenso wenig bedeutet sie, dass das Tool für böswillige Aktivitäten entworfen wurde. Zusammen gelesen verorten sie den Fehler im Gebrauch eines Allzwecksystems durch den Angreifer, nicht im System selbst – eine Unterscheidung, die für jeden Anbieter zählt, dessen Produkt ungenannt blieb, und für jeden Leser, der versucht sein könnte, dies als Vorfall bei der Modellsicherheit zu behandeln. Nichts in den zitierten Quellen deutet auf einen Jailbreak, einen kompromittierten Endpunkt oder ein vergiftetes Modell hin.

Was die Darstellung in Bezug auf Autonomie tatsächlich belegt, ist enger gefasst als „die KI hat entschieden anzugreifen“. Ein Dritter setzte den Agenten ein; das Ziel kam von außerhalb. Gizmodo España brachte die Unterscheidung am 17. September in Worten auf den Punkt, die der Text der AEPD stützt: Ein Fahrer kann die Route wählen, ohne das Ziel gewählt zu haben, und die Autonomie liegt hier in der Route – welche Schwachstelle geprüft, welche Aktion als Nächstes ergriffen wird – und nicht in der Entscheidung, überhaupt anzugreifen. Die praktische Folge ist die, die die Aufsichtsbehörde betont: Die Arbeit zwischen einer anfänglichen Anweisung und einem vollendeten Eindringen kann heute in immer größeren Stücken delegiert werden.

Was die Regulierungsbehörde von Organisationen zu ändern verlangte

Die AEPD zieht vier Konsequenzen, und keine davon ist eine neue rechtliche Verpflichtung. Erstens sollten Risikoanalysen für die Datenverarbeitung KI-unterstützte und KI-ausgeführte Angriffe ausdrücklich benennen, denn ein allgemeiner Verweis auf Malware, Phishing oder unbefugten Zugriff erfasst nicht, wie Automatisierung Wahrscheinlichkeit, Geschwindigkeit und Reichweite eines Vorfalls verändert. Zweitens müssen Reaktionszeiten überdacht werden: Verfahren, die für einen menschlichen Angreifer konzipiert sind, halten möglicherweise nicht stand, wenn ein Agent mehrere Assets gleichzeitig untersucht, verschiedene Einstiegswege testet und sich schnell anpasst. Drittens werden Identitäten und Zugangsdaten zum Dreh- und Angelpunkt – ein Agent, der über ein Konto, einen API-Schlüssel oder ein Token mit zu weitreichenden Rechten verfügt, kann mit Maschinengeschwindigkeit über Dienste hinweg agieren, bevor jemandem anomalies Verhalten auffällt. Viertens bleibt menschliche Aufsicht unverzichtbar, muss aber durch Erkennung, Eindämmung und Reaktion untermauert werden, die Schritt halten können.

Der Beitrag verankert dies in nationalen Leitlinien, statt es zu erfinden. Er zitiert CCN-CERT BP/36, „Buenas prácticas frente al modelo de IA ofensiva“, herausgegeben vom Nationalen Kryptologischen Zentrum Spaniens (CCN), das die AEPD so zusammenfasst, dass es davor warnt, offensive KI werde zu einer operativen Fähigkeit, die in reale Kampagnen eingebaut werde, und dass es stärkere grundlegende Kontrollen, schnelleres Schwachstellenmanagement, den Schutz von Identitäten, Lieferkettenkontrolle und eine ausdrückliche Governance der Nutzung von Agenten empfehle. Die AEPD warnt außerdem, dass KI „no crea nuevas amenazas“ – keine neuen Bedrohungen schafft –, aber Geschwindigkeit, Ausmaß und Anpassungsfähigkeit bereits bekannter Techniken erhöht. Weder der Beitrag noch die Berichterstattung sagt, dass bei dem spanischen Vorfall eine bestimmte Technik aus diesem Leitfaden zum Einsatz kam.

Wie es sich verbreitet hat und was die Berichterstattung tatsächlich hinzufügt

Die spanische Nachrichtenagentur EFE meldete die Benachrichtigung am 15. September und berief sich dabei auf AEPD-Quellen; RTVE übernahm die EFE-Meldung am 16. September unter gemeinsamer Verfasserangabe von RTVE.es / EFE. Bill Toulas von BleepingComputer berichtete am selben Tag darüber, unter einer Schlagzeile, die das Wort „alleged“ beibehielt, und Sead Fadilpašić von TechRadar Pro folgte am 17. September. Die Mandantenanalyse von Ropes & Gray, veröffentlicht im September 2026, ist die inhaltlich gehaltvollste rechtliche Ergänzung: Sie arbeitet heraus, was Artikel 32 der DSGVO verlangt, während Bedrohungsmodelle automatisierte Schwachstellenerkennung einbeziehen, und was die Artikel 33 und 34 hinsichtlich Reichweitenbestimmung und forensischer Spuren voraussetzen, wenn ein Eindringen mit Maschinengeschwindigkeit geplant und ausgeführt wird.

Keines dieser Medien berichtet davon, den Eindringversuch unabhängig verifiziert zu haben, und keines behauptet es. Ihr Wert liegt in der Bestätigung einer anderen Sache: dass eine europäische Regulierungsbehörde dies an diesem Datum mit diesen Worten gesagt hat und dass ihre eigene Formulierung konditional ist. Wo die EFE-Fassung das Konditional verhärtet — im Text von RTVE heißt es „ha sido ejecutado“, wurde durchgeführt, statt „habría sido ejecutado“ aus dem Blog —, stammt die Änderung von der Nachrichtenagentur, nicht von der Regulierungsbehörde. Der Beitrag von BleepingComputer stellt den Fall zudem neben andere gemeldete agentische Eindringversuche aus 2026; diese Vergleiche sind Kontext des Mediums, nicht Teil dieses Berichts, und keiner davon ist ein Beleg dafür, was in Spanien geschah.

Die Nachfrage bezog sich allgemein auf offensive KI, nicht auf diesen Fall.

Am 28. September veröffentlichte die AEPD einen zweiten Blogbeitrag, „Offensive KI: Wenn künstliche Intelligenz das Risiko für den Datenschutz beschleunigt“, der die September-Mitteilung nicht aktualisiert. Ihre Argumentation ist breiter: dass das „Expositionsfenster“ zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung nahezu verschwindet, dass bei agentischen Systemen die Zeit zwischen Erstzugriff und Datenexfiltration auf Minuten sinken kann und dass das zugrunde liegende Problem struktureller Natur ist – undokumentierte Altsysteme, nicht gepatchte bekannte Schwachstellen, Abhängigkeit von der Lieferkette und die Akzeptanz von Software, die konstruktionsbedingt unsicher ist. Economist & Jurist fasste den Beitrag zum selben Thema unter der Schlagzeile zusammen, dass ein Angriff die Daten in Minuten erreichen kann. Es liest sich, als verallgemeinere die Behörde den Fall, anstatt über ihn zu berichten, und es enthält keine neue Tatsache über die spanische Organisation.

Das ist der Stand der Aktenlage Ende Oktober 2026. Die konkreten, überprüfbaren Aussagen sind verfahrensbezogen: Eine Aufsichtsbehörde erhielt eine Meldung, beschrieb sie in einem Blogbeitrag, weigerte sich, eine Partei zu nennen, und nutzte sie für das Argument, dass Risikobewertungen Agenten berücksichtigen sollten. Die Behauptung, dass ein autonomer Agent den Eindringversuch tatsächlich durchgeführt hat, stützt sich öffentlich auf die Darstellung einer Organisation gegenüber ihrer Aufsichtsbehörde. Was daran etwas ändern würde – ein genanntes Modell, eine Zahl betroffener Personen, eine technische Ausarbeitung oder eine Durchsetzungsentscheidung –, ist nicht erschienen. Bis dahin liegt der Wert der Aktenlage darin, dass eine Datenschutzbehörde schriftlich festgehalten hat, dass die Verkettung das war, was sich geändert hat, und alle Verantwortlichen in Spanien aufgefordert hat, entsprechend zu planen.