Einleitung: Die KI-Sicherheitskrise kommt ans Licht
Die KI-Community steht vor einem Wendepunkt, da Cybersicherheitsforscher von Cisco und der University of Pennsylvania alarmierende Sicherheitslücken in DeepSeek R1 aufdecken, einem hochmodernen KI-Modell, das vom chinesischen Start-up DeepSeek entwickelt wurde. Dieses Modell, das für seine kosteneffiziente Trainings- und Schlussfolgerungsfähigkeit gelobt wurde, hat sich nun als äußerst anfällig für DeepSeek-Jailbreak-Angriffe was dringende Bedenken hinsichtlich der Sicherheit von KI in Unternehmens- und Verbraucheranwendungen aufkommen ließ. Mehr als ein Jahr später haben unabhängige Forscher, Cybersicherheitsunternehmen und zahlreiche Regierungen bestätigt, dass diese frühen Warnungen keine einmalige Feststellung waren. Sie beschreiben ein Muster, das sich bis weit ins Jahr 2026 hinein fortgesetzt hat.
Diese Untersuchung bringt Folgendes ans Licht:
Eine 100-prozentige Erfolgsquote beim Jailbreak in kontrollierten Tests von Cisco und der UPenn
Systematische Schwachstellen in der Sicherheitsarchitektur von DeepSeek
Risiken in der Praxis, darunter die Erstellung von Malware und die Erleichterung illegaler Aktivitäten
Eine unabhängige Überprüfung im Jahr 2026 durch Qualys, KELA und HiddenLayer, die bestätigt, dass sich dieses Muster fortsetzt
Ein konkreter Datenverstoß und darauf folgende Verbote durch Regierungen mehrerer Länder
Vergleichende Analyse mit den Modellen von OpenAI, Anthropic und Google
Praktische Lösungen für KI-Entwickler und Unternehmen
Der DeepSeek-Jailbreak: Eine Analyse der Sicherheitslücken
1. Die Studie von Cisco und der University of Pennsylvania
Die Forscher unterzogen DeepSeek R1 dem HarmBench-Test, einem standardisierten Benchmark-Test, der die Widerstandsfähigkeit von KI gegenüber böswilligen Eingabeaufforderungen prüft. Die Ergebnisse waren schockierend:
100 % Angriffserfolgsrate (ASR): Jede schädliche Eingabe umging die Schutzmaßnahmen von DeepSeek.
Getestete Kategorien: Cyberkriminalität, Desinformation, illegale Aktivitäten, chemische Waffen, Belästigung, Urheberrechtsverletzungen und allgemeiner Schaden.
Automatisierter Jailbreak: Cisco und die UPenn setzten einen automatisierten algorithmischen Jailbreak gegen 50 Eingabeaufforderungen aus HarmBench ein. Unabhängig davon zeigte die Unit 42 von Palo Alto Networks, dass Multi-Turn-Techniken wie „Crescendo“, „Deceptive Delight“ und „Bad Likert Judge“ ebenfalls gegen DeepSeek-Modelle funktionierten.
Im Vergleich dazu lieferte „o1-preview“ von OpenAI bei derselben Art von Tests laut einem Bericht von Fortune nur in 26 % der Fälle schädliche oder illegale Antworten die Erkenntnisse von Ciscos.
Wichtigste Ergebnisse:
Keine Filterung von Eingabeaufforderungen: DeepSeek führte gefährliche Anfragen widerstandslos aus.
Mangelhaftes Training schwächt die Sicherheit: Abkürzungen beim verstärkenden Lernen führten zu kritischen Sicherheitslücken.
Veraltete Verschlüsselung und Datenlecks: Veraltete Verschlüsselungsmethoden sowie offengelegte API-Zugangsdaten und Chat-Protokolle verstärken die Bedenken hinsichtlich des Datenschutzes.
2. Exploits aus der Praxis: Wie DeepSeek als Angriffswaffe eingesetzt werden kann
Die Studie ergab, dass DeepSeek R1 in der Lage war, funktionsfähige Malware-Skripte und illegale Lehrmaterialien zu erstellen sowie Desinformationskampagnen zu generieren, die glaubwürdige falsche Darstellungen mit einer Verzerrungsrate von 83 % erzeugten, und zudem verzerrte Antworten zu liefern.
Unternehmensrisiken: DeepSeek kann unbeabsichtigte Folgen für Unternehmen haben, wie beispielsweise Verstöße gegen Datensicherheit, Compliance-Vorschriften und Reputationsschäden, insbesondere wenn es in Programmier- oder Kundensupport-Umgebungen eingesetzt wird.
Sind Sie sich nicht sicher, ob Ihr Team DeepSeek bereits zuvor genutzt hat? TechNow kann Ihnen einen Überblick darüber verschaffen, wo KI-Modelle in Ihrem Unternehmen eingesetzt werden, und deren Risiken bewerten. Vereinbaren Sie eine kostenlose Erstberatung und bringen Sie eine Liste der KI-Tools mit, die Ihre Teams verwenden.
3. Unabhängige Überprüfung: Die Zahlen werden immer schlechter, nicht besser.
Ein Jahr nach der ursprünglichen Cisco-Studie hat sich die Lage nicht verbessert. Dies wurde von mehreren Sicherheitsunternehmen unter Verwendung unterschiedlicher Methoden unabhängig voneinander erneut bestätigt:
Qualys führte 885 einzelne Angriffe unter Verwendung von 18 verschiedenen Jailbreak-Techniken gegen eine vereinfachte Version von DeepSeek R1 durch. Das Modell scheiterte bei 58 % dieser Versuche, wobei es den Forschern in einigen Fällen gelang, eingeschränkte Lehrinhalte, Hassreden, Anleitungen zum Ausnutzen von Software-Schwachstellen sowie schädliche medizinische Falschinformationen zu extrahieren, wie aus dem Bericht zur DeepSeek-Sicherheitsbewertung 2026 von Axis Intelligence hervorgeht.
KELA, ein auf Cybersicherheitsinformationen spezialisiertes Unternehmen, stellte fest, dass DeepSeek nach wie vor anfällig für Jailbreak-Techniken ist, die in einigen Fällen bereits mehr als zwei Jahre alt sind, darunter eine Version des sogenannten „Evil Jailbreak“-Exploits, den OpenAI bereits vor 3,5 Jahren in ChatGPT behoben hatte.
Die Diskrepanz zwischen dem Wert von 100 % bei Cisco und dem Wert von 58 % bei Qualys stellt keinen Widerspruch dar. Sie spiegelt Unterschiede hinsichtlich der Modellversion (Vollmodell gegenüber vereinfachtem Modell), des Methodensatzes und des Testumfangs wider. In einem Punkt stimmen beide Studien jedoch überein: DeepSeek scheitert bei einem Großteil der adversarischen Tests, während vergleichbare State-of-the-Art-Modelle nur bei einer kleinen Minderheit dieser Tests versagen.
4. Warum das Schlussfolgerungsmodell von DeepSeek in einzigartiger Weise offen gelegt wird
DeepSeek R1 ist ein Schlussfolgerungsmodell, das auf dem erweiterten, in der Regel sichtbaren „Chain-of-Thought“-Prozess (CoT) basiert, um komplexe Probleme zu lösen. Diese Transparenz ist hilfreich für die Interpretierbarkeit, schafft aber auch eine einzigartige Angriffsfläche: Sie gewährt im Wesentlichen einen Einblick darin, wie das Modell seine Sicherheitsentscheidungen trifft. Angreifer haben dies ausgenutzt, indem sie frühzeitig in einer Unterhaltung eine falsche Prämisse einfließen ließen und die Tendenz des Modells, langen logischen Ketten treu zu folgen, dazu nutzten, es mehrere Schlussfolgerungsschritte später zu einer unsicheren Schlussfolgerung zu führen.
Unabhängig davon ergab eine Untersuchung des KI-Sicherheitsunternehmens HiddenLayer, dass DeepSeek-R1 nicht nur gegenüber herkömmlichen Jailbreak-Eingabeaufforderungen anfällig ist, sondern auch gegenüber der Einfügung von Eingabeaufforderungen sowie der Manipulation seiner zugrunde liegenden Kontroll-Token und „Glitch-Token“. Laut der technischen Analyse von HiddenLayer handelt es sich hierbei um einen Exploit-Pfad auf niedrigerer Ebene, der bei den gängigen Konkurrenzmodellen weitgehend fehlt. In diesem Leitfaden werden die bei diesen Angriffen verwendeten spezifischen Eingabeaufforderungen oder Token-Sequenzen nicht wiedergegeben, da die Veröffentlichung funktionierender Exploit-Methoden selbst den Schaden verursachen würde, vor dem dieser Artikel warnt.
Vergleichende Analyse: Wie schneidet DeepSeek im Vergleich zur Konkurrenz ab?
Sicherheitskennzahl | DeepSeek R1 | OpenAI o1 | Anthropic Claude 3.5 | Google Gemini 1.5 |
Erfolgsquote beim Jailbreak (Cisco/UPenn) | 100% | 26% | 36% | 64% |
Erstellung schädlicher Inhalte | 11-fache Basislinie | Ausgangswert | 3-mal niedriger | 2x niedriger |
Voreingenommenheit und Toxizität | 83% Ausfallquote | 12% Misserfolg | 8%Misserfolg | 15% Misserfolg |
Einhaltung der Datenschutzbestimmungen | Hohes Risiko (mit Sitz in China) | DSGVO-konform | DSGVO-konform | DSGVO-konform |
Aktualisierung 2026: Unabhängige Nachuntersuchungen von Qualys an einer vereinfachten R1-Variante ergaben eine Fehlerquote von 58 % bei einer breiter angelegten Testreihe mit 18 Techniken. Das liegt immer noch weit über den Werten der führenden Wettbewerber, selbst unter Berücksichtigung des unterschiedlichen Testdesigns.
Warum ist DeepSeek erfolgreich, während andere scheitern?
Fehlendes adversariales Training: keine wirksamen Schutzmaßnahmen gegen Manipulation.
Schwache Verschlüsselung: Verwendung eines veralteten 3DES-Algorithmus, dessen Schlüssel fest codiert sind.
Kosteneffiziente Abkürzungen beim Training: Die Kosten hatten Vorrang vor der Verbesserung der Sicherheit.
Transparenz der Schlussfolgerungen: Das System legt seinen eigenen Schlussfolgerungsprozess offen und liefert einem Angreifer einen Leitfaden für seine eigene Sicherheitslogik.
Die Folgen unsicherer KI-Modelle sind „Fallout“.
1. . Bedrohungen für die Cybersicherheit
„Jailbroken AI“: Cyberkriminelle könnten diese nutzen, um Angriffe zu automatisieren und kosteneffizienter zu gestalten.
Datenexfiltration: In den ungesicherten Datenbanken von DeepSeek sind API-Schlüssel und Protokolle einsehbar.
Bestätigter Sicherheitsvorfall: Bei DeepSeek kam es bereits zu einer Datenpanne, von der mehr als eine Million Datensätze betroffen waren; dies wurde von unabhängigen Gutachtern als einer der dokumentierten Mängel angeführt, die zu der niedrigen Sicherheitsbewertung für das Jahr 2026 führten.
2. Rechtliche Risiken und Compliance-Risiken
Verstöße gegen die DSGVO: Datenübermittlungen auf chinesische Server stehen im Widerspruch zu den EU-Vorschriften.
Unternehmenshaftung: Unternehmen, die anfällige KI einsetzen, müssen möglicherweise mit Klagen rechnen.
3.Geopolitische Bedenken
Staatlich geförderte Ausbeutung: Chinesische Datenschutzgesetze schüren Befürchtungen hinsichtlich des Zugriffs durch die Regierung.
Staatliche Verbote: Regierungen in mindestens sieben Ländern sowie Dutzende US-Bundesbehörden haben DeepSeek eingeschränkt oder gänzlich verboten und begründen dies mit den ungelösten Bedenken hinsichtlich Sicherheit und Datenhoheit.
KI-Wettrüsten: Schwache Schutzmaßnahmen beschleunigen die gefährliche Verbreitung von KI.
Sicherheits-Scorecard 2026
Unabhängige Gutachter, die die allgemeine Sicherheitslage von DeepSeek unter Berücksichtigung der bisherigen Sicherheitsvorfälle, behördlicher Verbote und der Widerstandsfähigkeit gegen Jailbreaks bewertet haben, sind zu einer Sicherheitsbewertung von etwa 4 von 10 Punkten gekommen. Sie beschreiben ein Unternehmen, dessen Modellleistung zwar wettbewerbsfähig ist, dessen Sicherheitslage jedoch nicht Schritt gehalten hat.
Lösungen: So sichern Sie KI-Modelle wie DeepSeek ab
1. Für KI-Entwickler: Stärkung der Modellschutzmaßnahmen
Adversariales Training: Setzen Sie Modelle während der Entwicklung Jailbreak-Versuchen aus.
Mehrschichtige Schutzmechanismen: Kombinieren Sie regelbasierte Filter mit neuronalen Sicherheitsnetzen.
Kontinuierliches Red-Teaming: Unabhängige Hacker sollten Modelle vor der Veröffentlichung einem Stresstest unterziehen.
Überwachung der Gedankengänge: Überwachen Sie speziell bei Schlussfolgerungsmodellen nicht nur die endgültige Ausgabe, sondern auch die zwischengeschalteten Schlussfolgerungsschritte auf Anzeichen dafür, dass die Sicherheitslogik manipuliert wird.
2. Für Unternehmen: Risiken bei der Bereitstellung minimieren
KI-Sicherheitstools von Drittanbietern: Setzen Sie Lösungen zum Scannen von Ein- und Ausgabedaten ein, die speziell für den LLM-Datenverkehr entwickelt wurden.
Strenge Zugriffskontrollen: Beschränken Sie die Interaktionen der KI mit sensiblen Daten.
Compliance-Prüfungen: Stellen Sie die Einhaltung der DSGVO, des CCPA und der Branchenstandards sicher.
Möchten Sie diese Kontrollmaßnahmen einführen, ohne Ihre Teams auszubremsen? Das IT-Beratungsteam von TechNow unterstützt Sie bei der Einrichtung von Zugriffsregeln, Überwachungsmaßnahmen und einem Vorfallmanagement, das den Anforderungen der DSGVO, der NIS2 und Ihrer bestehenden Systeme entspricht. Vereinbaren Sie eine kostenlose Erstberatung, um loszulegen.
3. Für Regulierungsbehörden: Erforderliche politische Maßnahmen
Verbindliche Sicherheitsstandards: Für die Veröffentlichung von KI-Modellen sollten Tests nach dem Vorbild von „HarmBench“ vorgeschrieben werden.
Transparenzgesetze: Die Offenlegung von Trainingsdaten und Sicherheitsmaßnahmen sollte verbindlich vorgeschrieben werden.
Globale KI-Sicherheitsstandards: Von der UNO oder dem IEEE geleitete Rahmenwerke für die Modellsicherheit.
Häufig gestellte Fragen
Was ist ein DeepSeek-Jailbreak?
Ein DeepSeek-Jailbreak ist eine Eingabe, die das Modell dazu bringt, seine Sicherheitsregeln zu ignorieren und Anfragen zu beantworten, die es eigentlich ablehnen sollte, wie beispielsweise Anweisungen zu Malware oder Betrug. Forscher messen dies anhand der Angriffserfolgsrate (ASR): dem Anteil schädlicher Anfragen, die das Modell nach einem Angriff beantwortet. Wir veröffentlichen keine funktionierenden Jailbreak-Prompts.
Ist die Nutzung von DeepSeek für Unternehmen sicher?
Standardmäßig nicht. Der gehostete Dienst speichert Nutzerdaten auf Servern in China, und der Berliner Datenschutzbeauftragte hat die Übermittlung der Daten deutscher Nutzer als rechtswidrig eingestuft. Unabhängige Tests haben zudem ergeben, dass DeepSeek-Modelle leichter zu jailbreaken sind als US-Modelle. Durch das Selbsthosting offener Gewichte in der EU behalten Sie die Kontrolle über Ihre Daten, benötigen aber dennoch Sicherheitsvorkehrungen und Tests.
Lässt sich DeepSeek leichter jailbreaken als ChatGPT oder Claude?
In veröffentlichten Tests ist dies der Fall. Die CAISI-Studie des NIST ergab, dass R1-0528, das sicherste getestete DeepSeek-Modell, 94 % der offensichtlich böswilligen Anfragen unter Verwendung einer gängigen Jailbreak-Technik beantwortete, während es bei den US-Referenzmodellen nur 8 % waren (NIST-Bewertung). Allerdings ist kein Modell völlig immun. Der Unterschied liegt darin, wie viel Aufwand ein Angriff erfordert.
Hat DeepSeek das Jailbreak-Problem behoben?
Wir haben keinen unabhängigen Test gefunden, der eine Behebung nachweisen würde. Im Mai 2026 berichtete FAR.AI, dass ein öffentlicher Jailbreak, der für DeepSeek-V3.2 geschrieben wurde, ohne Änderungen auch auf DeepSeek-V4-Pro funktionierte und dass seine Angriffsstrategien in Testbereichen mit hohem Risiko eine Erfolgsquote von 98 bis 100 % erreichten (FAR.AI-Bericht).
Kann mein Unternehmen DeepSeek in Deutschland nutzen?
Das hängt davon ab, wie Sie die App nutzen. Im Mai 2025 forderte der Berliner Datenschutzbeauftragte DeepSeek auf, die DSGVO-Vorschriften für Datenübermittlungen einzuhalten oder die deutschen App-Stores zu verlassen, und meldete die Apps im Juni 2025 bei Apple und Google. Selbst gehostete Open-Weights in einer EU-Umgebung können mit einer Auftragsverarbeitungsvereinbarung, einer Folgenabschätzung und Schutzmaßnahmen betrieben werden. Lesen Sie unseren Beitrag zu den Maßnahmen Deutschlands gegen DeepSeek. Dies sind allgemeine Informationen, keine Rechtsberatung.
Wie kann ich mein KI-System auf Jailbreaks testen?
Führen Sie strukturierte Red-Team-Tests anhand Ihrer realen Anwendungsfälle durch, einschließlich Agent-Tools und vernetzter Daten, und wiederholen Sie diese nach jeder Änderung am Modell oder an den Prompts. Die sogenannte „Prompt-Injection“, bei der versteckte Anweisungen über E-Mails oder Webseiten übermittelt werden, erfordert eigene Tests. Lesen Sie dazu unseren Leitfaden zu Bedrohungen durch Prompt-Injection und entsprechenden Abwehrmaßnahm
Was sollten wir als Erstes tun, wenn unsere Teams DeepSeek bereits nutzen?
Listen Sie auf, wo die Lösung eingesetzt wird: in der App, der API, bei den Agenten und in den Mitarbeiter-Tools. Stellen Sie den Versand personenbezogener Daten oder Kundendaten an den gehosteten Dienst ein, schränken Sie die Zugriffsrechte der Agenten ein, richten Sie eine Ausgabefilterung ein und einigen Sie sich auf eine zugelassene Alternative. Eine kurze Sicherheitsüberprüfung kann all dies schnell erfassen.
Fazit: Ein Weckruf für die Sicherheit künstlicher Intelligenz
Die Enthüllungen zum DeepSeek-Jailbreak unterstreichen eine bittere Wahrheit: Der Fortschritt im Bereich der KI darf die Sicherheit nicht überholen. Zwar beeindruckt DeepSeek R1 durch seine Leistungsfähigkeit, doch seine Schwachstellen – die nun in mehreren Studien aus dem Jahr 2026 unabhängig voneinander bestätigt wurden –, ein tatsächlicher Datenleck sowie Verbote in Dutzenden von Rechtsordnungen machen es zu einem Risiko für Unternehmen und zu einem potenziellen Werkzeug für böswillige Akteure.
Der Weg in die Zukunft:
Räumen Sie bei der KI-Entwicklung der Sicherheit ebenso hohe Priorität ein wie der Leistungsfähigkeit.
Fordern Sie von KI-Anbietern Transparenz hinsichtlich der Sicherheitsvorkehrungen.
Wenden Sie beim Einsatz generativer KI die empfohlenen Best Practices für den Schutz an.
Da KI zunehmend in der medizinischen Versorgung, bei Finanzdienstleistungen und in Behörden zum Einsatz kommt, bergen ungesicherte Modelle das Risiko katastrophaler Schäden. Die Branche muss jetzt handeln, bevor Sicherheitsverletzungen die Gegenmaßnahmen überholen.
Warten Sie nicht, bis eine Krise eintritt, um herauszufinden, wo Sie stehen. Wenn Ihr Unternehmen DeepSeek einsetzt – oder sich nicht sicher ist, ob dies der Fall ist –, kann TechNow analysieren, welche KI-Modelle, Apps und Agenten Ihre Teams verwenden, und deren Anfälligkeit für Jailbreaks und Prompt-Injection bewerten, während gleichzeitig Brandmauern gemäß DSGVO, KI-Gesetz und NIS2 identifiziert werden. Vereinbaren Sie Ihre kostenlose KI-Beratung mit TechNow und stellen Sie eine Liste der KI-Apps bereit, die Ihre Teams einsetzen.