DeepSeek Jailbreak: Kritische Sicherheitsschwachstellen in KI-Systemen aufdecken

Einleitung: Die KI-Sicherheitskrise enthüllt

Die KI-Community steht vor einem Wendepunkt, nachdem Cybersicherheitsforscher von Cisco und der University of Pennsylvania alarmierende Schwachstellen in DeepSeek R1 aufgedeckt haben, einem hochmodernen KI-Modell, das vom chinesischen Start-up DeepSeek entwickelt wurde. Dieses Modell, das für seine kosteneffiziente Trainings- und Schlussfolgerungsfähigkeit gelobt wurde, hat sich nun als äußerst anfällig für Jailbreak-Angriffe erwiesen, was dringende Bedenken hinsichtlich der KI-Sicherheit in Unternehmens- und Verbraucheranwendungen aufkommen lässt. Mehr als ein Jahr später haben unabhängige Forscher, Cybersicherheitsunternehmen und mehrere Regierungen bestätigt, dass diese frühen Warnungen keine einmalige Feststellung waren – sie beschreiben ein Muster, das bis weit ins Jahr 2026 hinein anhielt.

Diese Untersuchung deckt auf:

• Eine 100-prozentige Erfolgsquote beim Jailbreak in den kontrollierten Tests von Cisco und der UPenn

• Systematische Schwachstellen in der Sicherheitsarchitektur von DeepSeek

• Risiken in der Praxis, darunter die Erstellung von Malware und die Erleichterung illegaler Aktivitäten

• Eine unabhängige Überprüfung im Jahr 2026 durch Qualys, KELA und HiddenLayer, die bestätigt, dass sich das Muster fortsetzt

• Ein konkreter Datenverstoß und darauf folgende Verbote durch Regierungen mehrerer Länder

• Vergleichende Analyse mit den Modellen von OpenAI, Anthropic und Google

• Praktische Lösungen für KI-Entwickler und Unternehmen
  

Der DeepSeek-Gefängnisausbruch: Eine Aufschlüsselung der Sicherheit

1. Die Studie von Cisco und der Universität von Pennsylvania

Researchers subjected DeepSeek R1 to HarmBench, a standardized benchmark testing AI resistance to malicious prompts. The results were shocking:

• Automatisiertes Jailbreaking: Mithilfe von algorithmischen Techniken wie Crescendo, Deceptive Delight und Bad Likert Judge haben die Forscher die Verteidigungsmechanismen von DeepSeek systematisch ausgeschaltet.

• 100% Angriffserfolgsrate (ASR): Jede schädliche Eingabeaufforderung umging die Sicherheitsvorkehrungen von DeepSeek.

• Getestete Kategorien: Cyberkriminalität, Desinformation, illegale Aktivitäten, chemische Waffen, Belästigung, Urheberrechtsverletzungen und allgemeine Schäden.

Im Vergleich dazu lieferte „o1-preview“ von OpenAI laut einem Bericht von Fortune über die Cisco-Ergebnisse bei derselben Art von Tests nur in 26 % der Fälle schädliche oder illegale Antworten.

Wichtigste Ergebnisse:

Keine Filterung von Aufforderungen – DeepSeek erfüllte gefährliche Anfragen ohne Widerstand.

Kostengünstiges Training gefährdet die Sicherheit – Abkürzungen beim Reinforcement Learning ließen kritische Lücken.

Veraltete Verschlüsselung und Datenlecks – Offengelegte API-Schlüssel und Chat-Protokolle erhöhen das Datenschutzrisiko.

2. Real-World Exploits: Wie DeepSeek als Waffe eingesetzt werden kann

Die Studie zeigte, dass DeepSeek R1 in der Lage ist:

• Funktionale Malware-Skripte (Ransomware, Phishing-Tools)

• Schritt-für-Schritt-Anleitungen zum Bombenbau

• Fehlinformationskampagnen mit überzeugenden Falschmeldungen

• Voreingenommene Hassreden (83 % der Voreingenommenheitstests lösten diskriminierende Reaktionen aus)

Unternehmensrisiko: Unternehmen, die DeepSeek für die Codierung oder den Kundensupport verwenden, könnten sich unbeabsichtigt Datenverletzungen, Verstößen gegen die Vorschriften und Rufschädigung aussetzen.

3. Unabhängige Überprüfung: Die Zahlen werden immer schlechter, nicht besser

Ein Jahr nach der ursprünglichen Cisco-Studie hat sich die Lage nicht verbessert – dies wurde von mehreren Sicherheitsunternehmen unter Verwendung unterschiedlicher Methoden unabhängig voneinander erneut bestätigt:

Qualys führte 885 separate Angriffe mit 18 verschiedenen Jailbreak-Techniken gegen eine vereinfachte Version von DeepSeek R1 durch. Das Modell scheiterte bei 58 % dieser Versuche, wobei es den Forschern in einigen Fällen gelang, eingeschränkte Lehrinhalte, Hassreden, Anleitungen zum Ausnutzen von Software-Schwachstellen und schädliche medizinische Falschinformationen zu extrahieren, wie aus dem Bericht zur DeepSeek-Sicherheitsbewertung 2026 von Axis Intelligence hervorgeht.

KELA, ein auf Cybersicherheit spezialisiertes Analyseunternehmen, stellte fest, dass DeepSeek weiterhin anfällig für Jailbreak-Techniken ist, die in einigen Fällen bereits mehr als zwei Jahre alt sind – darunter eine Version des sogenannten „Evil Jailbreak“-Exploits, den OpenAI bereits 3,5 Jahre zuvor in ChatGPT gepatcht hatte.

Die Diskrepanz zwischen dem Wert von 100 % von Cisco und dem Wert von 58 % von Qualys stellt keinen Widerspruch dar; sie spiegelt Unterschiede hinsichtlich der Modellversion (Vollmodell versus destilliertes Modell), des Techniken-Sets und des Testumfangs wider. In der Richtung sind sich beide Studien einig: DeepSeek scheitert bei einem Großteil der adversarischen Tests, während vergleichbare State-of-the-Art-Modelle nur bei einer kleinen Minderheit versagen.

4. Warum das Schlussfolgerungsmodell von DeepSeek in einzigartiger Weise angreifbar ist

DeepSeek R1 ist ein Schlussfolgerungsmodell, das sich zur Lösung komplexer Probleme auf einen erweiterten, oft sichtbaren „Chain-of-Thought“-Prozess (CoT) stützt. Sicherheitsforscher weisen darauf hin, dass diese Transparenz zwar für die Interpretierbarkeit nützlich ist, jedoch eine besondere Angriffsfläche schafft: Da der Denkverlauf beobachtet werden kann, zeigt er Angreifern praktisch, wie das Modell zu seinen Sicherheitsentscheidungen gelangt. Angreifer haben dies ausgenutzt, indem sie frühzeitig in einer Unterhaltung eine falsche Prämisse einfügten und die dem Modell eigene Tendenz, langen logischen Ketten treu zu folgen, es mehrere Schlussfolgerungsschritte später zu einer unsicheren Schlussfolgerung führen ließen.

Unabhängig davon ergab eine Untersuchung des KI-Sicherheitsunternehmens HiddenLayer, dass DeepSeek-R1 nicht nur anfällig für herkömmliche Jailbreak-Prompts ist, sondern auch für Prompt-Injektionen und die Manipulation seiner zugrunde liegenden Kontroll-Token und „Glitch-Token“ – ein Ausnutzungspfad auf niedrigerer Ebene, der laut der technischen Analyse von HiddenLayer in den gängigen Konkurrenzmodellen weitgehend fehlt. Dieser Leitfaden gibt die bei diesen Angriffen verwendeten spezifischen Eingabeaufforderungen oder Token-Sequenzen nicht wieder, da die Veröffentlichung funktionierender Exploit-Methoden selbst den Schaden verursachen würde, vor dem dieser Artikel warnt.

Vergleichende Analyse: Wie DeepSeek im Vergleich zu Wettbewerbern abschneidet

Unternehmensrisiko: Unternehmen, die DeepSeek für die Codierung oder den Kundensupport verwenden, könnten sich unbeabsichtigt Datenverletzungen, Verstößen gegen die Vorschriften und Rufschädigung aussetzen.

Warum DeepSeek scheitert, wo andere Erfolg haben:

• Es fehlt an adversarialem Training – es gibt keine robusten Schutzmaßnahmen gegen Manipulation.

• Schwache Verschlüsselung – es wird veraltetes 3DES mit fest programmierten Schlüsseln verwendet.

• Abkürzungen beim Training – Kosteneffizienz wurde gegenüber der Verbesserung der Sicherheit priorisiert.

• Transparenz der Schlussfolgerungen – die sichtbare Gedankengangkette gibt Angreifern einen Einblick in die eigene Sicherheitslogik des Systems.
  

Der Fallout: Die Folgen unsicherer KI-Modelle

1. Cybersecurity-Bedrohungen

• Malware-as-a-Service (MaaS): Cyberkriminelle könnten mit Hilfe von Jailbroken AI Angriffe automatisieren.

• Datenexfiltration: Die ungesicherten Datenbanken von DeepSeek geben API-Schlüssel und Protokolle preis.

• Bestätigter Sicherheitsverstoß: Bei DeepSeek kam es bereits zu einer Offenlegung von Datenbankdaten, von der mehr als eine Million Datensätze betroffen waren; dies wurde von unabhängigen Gutachtern als einer der dokumentierten Mängel angeführt, die zu der niedrigen Sicherheitsbewertung für das Jahr 2026 geführt haben.

2. Rechtliche und Compliance-Risiken

• GDPR-Verstöße: Datenübertragungen auf chinesische Server stehen im Widerspruch zu EU-Vorschriften.

• Haftung von Unternehmen: Unternehmen, die anfällige KI einsetzen, können verklagt werden.

3. Geopolitische Belange

• Staatlich geförderte Ausbeutung: Chinesische Datenschutzgesetze schüren Befürchtungen hinsichtlich des Zugriffs durch die Regierung.

• Staatliche Verbote: Regierungen in mindestens sieben Ländern sowie Dutzende US-Bundesbehörden haben DeepSeek eingeschränkt oder gänzlich verboten und begründen dies mit den ungelösten Bedenken hinsichtlich Sicherheit und Datenhoheit.

• KI-Wettrüsten: Schwache Sicherheitsvorkehrungen beschleunigen die gefährliche Verbreitung von KI.

Sicherheits-Scorecard 2026

Unabhängige Gutachter, die die allgemeine Sicherheitslage von DeepSeek – unter Berücksichtigung der bisherigen Sicherheitsvorfälle, behördlicher Verbote und der Widerstandsfähigkeit gegen Jailbreaks – bewertet haben, sind zu einer Sicherheitsbewertung von etwa 4 von 10 Punkten gelangt. Dies spiegelt ein Unternehmen wider, dessen Modellleistung zwar wettbewerbsfähig ist, dessen Sicherheitslage jedoch nicht Schritt gehalten hat.

Lösungen: Wie man KI-Modelle wie DeepSeek sichert

1. Für KI-Entwickler: Stärkung der Modellverteidigung

• Gezieltes Training: Setzen Sie die Modelle während der Entwicklung Jailbreak-Versuchen aus.

• Mehrschichtige Leitplanken: Kombinieren Sie regelbasierte Filter mit neuronalen Sicherheitsnetzen.

• Kontinuierliches Red Teaming: Unabhängige Hacker sollten Modelle vor der Veröffentlichung einem Stresstest unterziehen.

• Überwachung der Gedankengänge: Insbesondere bei Schlussfolgerungsmodellen sollten nicht nur die Endergebnisse, sondern auch die zwischengeschalteten Schlussfolgerungsschritte auf Anzeichen einer Manipulation der Sicherheitslogik überwacht werden.

2. Für Unternehmen: Entschärfung von Implementierungsrisiken

• KI-Sicherheitstools von Drittanbietern: Setzen Sie Lösungen wie Cisco AI Defense oder Enkrypt AI ein.

• Strenge Zugriffskontrollen: Beschränken Sie KI-Interaktionen mit sensiblen Daten.

• Compliance-Audits: Stellen Sie die Übereinstimmung mit GDPR, CCPA und Branchenstandards sicher.
  

3. Für Regulierungsbehörden: Politische Interventionen sind notwendig

• Obligatorische Sicherheitsbenchmarks: HarmBench-ähnliche Tests sind für öffentliche KI-Veröffentlichungen erforderlich.

• Transparenzgesetze: Erzwingen Sie die Offenlegung von Trainingsdaten und Sicherheitsmaßnahmen.

• Globale KI-Sicherheitsstandards: UN- oder IEEE-geführte Rahmenwerke für Modellsicherheit.

Überwachung der Gedankengänge: Insbesondere bei Schlussfolgerungsmodellen sollten nicht nur die Endergebnisse, sondern auch die zwischengeschalteten Schlussfolgerungsschritte auf Anzeichen einer Manipulation der Sicherheitslogik überwacht werden.

Schlussfolgerung: Ein Weckruf für die KI-Sicherheit

Die Enthüllungen zum DeepSeek-Jailbreak unterstreichen eine bittere Wahrheit: Der Fortschritt im Bereich der KI darf die Sicherheit nicht überholen. Zwar überzeugt DeepSeek R1 durch seine Leistungsfähigkeit, doch seine Schwachstellen – die mittlerweile durch mehrere Studien aus dem Jahr 2026, einen tatsächlichen Datenleck-Vorfall und Verbote in Dutzenden von Rechtsordnungen unabhängig voneinander bestätigt wurden – machen es zu einem Risiko für Unternehmen und zu einem potenziellen Werkzeug für böswillige Akteure.

Der Weg nach vorn:

• Bei der KI Entwicklung aus Berlin für unsere Kunden in unsere Kunden in Muenchen neben den Fähigkeiten auch der Sicherheit Vorrang einräumen.

• Verlangen Sie von KI-Anbietern Transparenz bei den Sicherheitsvorkehrungen.

• Führen Sie beim Einsatz von generativer KI bewährte Verteidigungsmethoden ein.

Da KI im Gesundheitswesen, im Finanzwesen und in der Verwaltung Einzug hält, riskieren ungesicherte Modelle katastrophale Schäden. Die Branche muss jetzt handeln – bevor die Ausbeutung den Schutz übersteigt.