64 Millionen Menschen bewarben sich um einen Job. Ein Passwort ‚123456' gab ihre Geheimnisse preis.
Ich telefonierte gerade mit einem potenziellen Kunden – einem mittelständischen Logistikunternehmen –, als die McHire-Geschichte bekannt wurde. Mein Mitgründer schickte mir mitten im Satz einen Link. Ich warf einen Blick darauf, las die ersten beiden Zeilen und verstummte völlig. Der Kunde fragte, ob ich noch da sei.
„Entschuldigung", sagte ich. „Ich habe gerade gelesen, dass McDonald's KI-Recruiting-Plattform – die, die Millionen von Bewerbern prüft – mit dem Passwort ‚123456' geschützt war. Und jemand ist einfach hineinspaziert."
Es entstand eine lange Pause. Dann sagte der Kunde: „Das ist im Grunde unser Setup."
Er meinte es halb im Scherz. Aber nur halb.
Das McHire-Datenleck vom Juni 2025 offenbarte die persönlichen Daten von etwa 64 Millionen Arbeitssuchenden – Namen, E-Mail-Adressen, Telefonnummern, IP-Adressen, Chatprotokolle mit einer KI-Recruiterin namens „Olivia" und, besonders beunruhigend, ihre Persönlichkeitstestergebnisse. Der Angriffsvektor war kein raffinierter Angriff eines Nationalstaats. Es war kein Zero-Day-Exploit, der ein Team von Elite-Hackern erforderte. Es war ein Standard-Admin-Passwort, das seit 2019 unverändert geblieben war, auf einem Konto ohne Multi-Faktor-Authentifizierung, das eine API schützte, über die jeder in der Adressleiste eines Browsers die Bewerber-IDs durchiterieren konnte.
Wenn ich Leuten erzähle, was wir bei Veriprajna tun – KI-Systeme bauen, bei denen Sicherheit und Governance fest in der Architektur verankert sind –, bekomme ich manchmal das höfliche Nicken, das bedeutet: „Klar, aber ist das nicht übertrieben?" Das McHire-Datenleck ist meine Antwort. Es ist nicht übertrieben. Es ist das absolute Minimum. Und die meisten Unternehmen tun nicht einmal das.
Was geschah tatsächlich innerhalb der McHire-Plattform?
Das Datenleck wurde nicht von einem Threat-Intelligence-Team oder einer Regierungsbehörde entdeckt. Es begann mit zwei Sicherheitsforschern – Ian Carroll und Sam Curry –, denen etwas Banales auffiel: Nutzer beschwerten sich, dass der „Olivia"-Chatbot fehlerhaft sei. Das Frontend-Erlebnis war schwerfällig und unzuverlässig.
Dieses Detail ist wichtig. Meiner Erfahrung nach ist ein kaputtes Frontend fast immer ein Signal. Wenn ein Unternehmen nicht in den Teil investiert hat, den die Nutzer sehen, kann man sich vorstellen, was in den Teilen passiert, die sie nicht sehen.
Carroll und Curry begannen herumzustöbern und fanden ein Verwaltungsportal, das für Mitarbeiter von Paradox.ai gedacht war – dem Anbieter, der McHire im Auftrag von McDonald's entwickelt und betrieben hatte. Sie probierten ein Testkonto aus. Der Benutzername? „123456". Das Passwort? „123456". Es funktionierte.
Ich erinnere mich, wie ich das las und eine ganz bestimmte Art von Wut verspürte, die jeder wiedererkennen wird, der jemals Produktivsysteme gebaut hat. Es ist keine Überraschung – es ist die Wut über das Wissen, dass dies völlig vermeidbar war. Dies war keine subtile Fehlkonfiguration in einem Kubernetes-Cluster. Es war das digitale Äquivalent dazu, die Tresortür offen stehen zu lassen mit einem Post-it, auf dem steht: „Schlüssel unter der Matte."
Aber das Passwort war nur die erste Stufe. Einmal drinnen, entdeckten die Forscher eine Insecure-Direct-Object-Reference-Schwachstelle – ein IDOR, im Sicherheitsjargon. Das bedeutete, dass die API nicht überprüfte, ob ein angemeldeter Nutzer tatsächlich autorisiert war, die Daten eines bestimmten Bewerbers einzusehen. Indem sie die Bewerber-ID-Nummer in der URL änderten – buchstäblich nur eine Zahl hochzählten –, konnten sie die vollständigen Datensätze jedes Bewerbers im System abrufen.
Vierundsechzig Millionen davon.
Warum Persönlichkeitstestdaten die schlimmste Art von Daten sind, die durchsickern können
Hier liegt der Großteil der Berichterstattung über dieses Datenleck falsch. Die Schlagzeilen konzentrierten sich auf das Passwort – „123456", ha ha, wie dumm – und gingen darüber hinweg. Aber die eigentliche Katastrophe sind nicht die Zugangsdaten. Es ist das, was dahinter steckte.
Kreditkartennummern kann man sperren. Passwörter kann man ändern. Aber Ergebnisse von Persönlichkeitsbewertungen? Verhaltensbezogene Screening-Werte? Die Protokolle eines Gesprächs, in dem eine KI Ihr Temperament, Ihre emotionalen Reaktionen, Ihren Konfliktstil ausgelotet hat?
Diese Daten sind Sie selbst. Sie verfallen nie.
Wenn ein Persönlichkeitsprofil durchsickert, kann man es nicht wie ein Passwort rotieren. Ihr psychometrischer Fingerabdruck begleitet Sie für immer.
Ich verbrachte nach dem Datenleck eine späte Nacht damit, Studien über die psychologischen Auswirkungen von Datenexposition zu lesen. Die Zahlen sind erschütternd: Fast 70 % der Opfer von Datenlecks berichten von einer anhaltenden Unfähigkeit, anderen zu vertrauen. Zwei Drittel erleben tiefe Hilflosigkeit. Studien haben die Exposition persönlicher Daten mit Angstzuständen, Depressionen und PTBS in Verbindung gebracht. Und die Schwere skaliert mit der Intimität der Daten – eine durchgesickerte E-Mail-Adresse schmerzt; eine durchgesickerte Persönlichkeitsbewertung, die einen als „emotional instabil" oder „wenig gewissenhaft" bezeichnet, kann sich wie eine öffentliche Sezierung anfühlen.
Für Arbeitssuchende – viele von ihnen jung, viele bewerben sich um ihren ersten Job bei einer Fast-Food-Kette – ist das besonders grausam. Sie unterzogen sich einem Persönlichkeitstest, weil eine KI es ihnen sagte. Sie hatten keine wirkliche Möglichkeit zu verstehen, welche Daten erfasst wurden, wie sie gespeichert wurden oder wer darauf zugreifen konnte. Und jetzt sind diese Daten da draußen, möglicherweise für immer, in einer Welt, in der zukünftige Arbeitgeber, Versicherer oder böswillige Akteure abgeleitete Eigenschaften gegen sie verwenden könnten.
Mein Team hatte darüber eine Auseinandersetzung. Einer unserer Ingenieure sagte: „Schau, die Daten waren offengelegt, aber wahrscheinlich nicht wirklich in großem Umfang exfiltriert – die Forscher haben es verantwortungsvoll gemeldet." Und technisch gesehen stimmt das. Paradox behob die Schwachstelle innerhalb weniger Stunden nach der Meldung. Aber ich widersprach entschieden. Es geht nicht darum, ob dieser spezifische Datensatz in einem Dark-Web-Forum landete. Es geht um etwas anderes: Die Architektur erlaubte es. Das System war so konzipiert, dass ein Standardpasswort und ein Browser ausreichten, um auf die psychometrischen Profile von 64 Millionen Menschen zuzugreifen. Das ist kein Beinahe-Vorfall. Das ist ein Versagen der Designphilosophie.
Der Entwickler in Vietnam und das Passwort, das alles aufschloss
Es gibt einen Nebenstrang dieser Geschichte, der nicht genug Aufmerksamkeit bekam. Untersuchungen ergaben, dass ein in Vietnam ansässiger Entwickler von Paradox.ai durch eine Schadsoftware namens Nexus Stealer kompromittiert worden war – ein Tool zum Diebstahl von Zugangsdaten, das in Cybercrime-Foren verkauft wird. Die Infektion exfiltrierte Hunderte von Passwörtern vom Gerät des Entwicklers. Viele davon waren schwach und wiederverwendet und nutzten dasselbe siebenstellige Basispasswort über mehrere Dienste hinweg.
Dieser eine kompromittierte Entwickler legte Zugangsdaten offen, die mit Paradox.ai-Konten von Kunden verknüpft waren, darunter Pepsi, Lockheed Martin, Lowe's und Aramark.
Ich möchte, dass Sie das einen Moment auf sich wirken lassen. Eine Person. Ein infizierter Laptop. Ein wiederverwendetes Passwort. Und plötzlich sind die Recruiting-Daten einiger der größten Arbeitgeber Amerikas in Gefahr.
Das nenne ich das Problem des „menschlichen Knotens", und es ist die Sache, die mich viel eher nachts wachhält als jeder exotische KI-Angriffsvektor. Man kann das ausgefeilteste Modell der Welt bauen, es mit makellosen Daten feinabstimmen, es in Guardrails hüllen – und dann bringt die Passworthygiene eines einzigen Entwicklers das gesamte Kartenhaus zum Einsturz. Die durchschnittlichen Kosten eines Datenlecks erreichten 2025 4,44 Millionen US-Dollar. Aber Organisationen behandeln Identitätsmanagement weiterhin als nachträglichen Einfall, etwas, das das IT-Team mit einem jährlichen Schulungsvideo erledigt, das niemand anschaut.
Die Sicherheit Ihres KI-Systems ist niemals stärker als die schwächsten menschlichen Zugangsdaten in der Kette.
Bei Veriprajna haben wir unsere Architektur um die Annahme herum gebaut, dass menschlicher Zugriff ein Hochrisikovektor ist, der kontinuierliche Verifizierung erfordert – was die Branche Zero Trust nennt. Nicht weil wir unserem Team nicht vertrauen, sondern weil ich gesehen habe, was passiert, wenn man irgendeinem einzigen Authentifizierungspunkt vertraut, dass er die Stellung hält.
Was bedeutet „Deep AI" eigentlich – und warum sollte es Sie interessieren?
Ich muss eine Unterscheidung einführen, die meiner Meinung nach die wichtigste Idee in der Unternehmens-KI im Moment ist und die das McHire-Datenleck perfekt veranschaulicht: der Unterschied zwischen einem AI Wrapper und dem, was wir Deep AI nennen.
Ein AI Wrapper ist das, was die meisten Unternehmen tatsächlich bauen, wenn sie sagen, sie „machen KI". Es ist eine dünne Anwendungsschicht – oft ein Chatbot oder ein Formular –, die Benutzereingaben über eine API an ein Basismodell wie GPT-4 oder Claude sendet, eine Antwort erhält und sie anzeigt. Die KI ist ein Dienst, den man mietet. Ihre Anwendung ist das Schaufenster. Die Sicherheit, die Datenverwaltung, die Governance – das alles wird nachträglich angeschraubt, mit denselben Webentwicklungspraktiken, die man für jede beliebige CRUD-App verwenden würde.
Paradox.ais „Olivia" war architektonisch gesehen ein Wrapper. Ein ausgefeilter, sicher. Aber die Sicherheitsaufstellung war an traditionelle Web-Infrastruktur gekoppelt – und diese Infrastruktur versagte auf der grundlegendsten vorstellbaren Ebene.
Deep AI ist grundlegend anders. Es behandelt das KI-Modell als architektonisches Grundelement – wie eine Datenbank oder eine Message Queue – mit eigenen Sicherheitsgrenzen, eigenen Zugriffskontrollen, eigenen Audit-Trails. Das Modell ist keine Blackbox, die man aufruft; es ist eine Komponente, die man steuert. Man baut Prompt-Router, Speicherschichten, Feedback-Evaluatoren. Man implementiert mehrschichtige Verteidigungen, die davon ausgehen, dass jede Eingabe feindlich und jede Ausgabe nicht vertrauenswürdig ist.
Ich habe ausführlich über diese architektonische Philosophie in der interaktiven Version unserer Forschung geschrieben, aber die zentrale Erkenntnis ist einfach: Wenn Ihre KI-Sicherheitsstrategie lautet „wir fügen Authentifizierung und eine WAF hinzu", dann bauen Sie einen Wrapper und sind nur ein Standardpasswort von der Katastrophe entfernt.
Die 5-schichtige Verteidigung, die niemand bauen will
Nach der McHire-Nachricht holte ich mein Engineering-Team in einen Raum und sagte: „Erklärt mir genau, wie unser Stack das verhindert hätte." Nicht weil ich an ihnen zweifelte – sondern weil ich jede Annahme auf die Probe stellen wollte.
Wir verbrachten drei Stunden damit. Irgendwann zeichnete unser leitender Sicherheitsingenieur ein Diagramm auf das Whiteboard, das wie der Querschnitt einer mittelalterlichen Burg aussah – konzentrische Verteidigungsringe, von denen jeder unabhängig funktioniert. Fällt einer, hält der nächste. So sieht das in der Praxis aus:
Der äußerste Ring ist die Eingabebereinigung – bei jedem Prompt, jedem API-Aufruf wird alles entfernt, was als Injection-Befehl fehlinterpretiert werden könnte. Der zweite Ring ist die heuristische Bedrohungserkennung, die aktiv nach bekannten feindlichen Mustern sucht. Der dritte ist das Meta-Prompt-Wrapping, bei dem die Anfrage des Nutzers in eine sichere Hülle aus Anweisungen eingeschlossen wird, die das Modell nicht überschreiben kann.
Beim vierten Ring wird es interessant: Canary- und Schiedsrichter-Modelle. Ein kleineres Modell analysiert zuerst die Anfrage. Wenn es etwas Verdächtiges markiert, trifft ein zweites Modell die endgültige Entscheidung. Es ist ein Buddy-System für KI – kein einzelnes Modell darf einseitig handeln.
Der fünfte und innerste Ring ist die Ausgabevalidierung. Jede Antwort, die die KI erzeugt, wird als nicht vertrauenswürdig behandelt, bis das Gegenteil bewiesen ist. PII-Schwärzungsschichten scannen nach sensiblen Daten. Toxizitätsklassifikatoren prüfen auf schädliche Inhalte. Nichts kommt durch, ohne inspiziert zu werden.
Und hier ist das, was mich während dieser Whiteboard-Sitzung frustrierte: Nichts davon ist exotisch. Nichts davon erfordert einen Forschungsdurchbruch. Es ist Ingenieursdisziplin, angewandt auf einen neuen Bereich. Der Grund, warum die meisten Unternehmen es nicht tun, ist, dass es teuer ist, langsam ist und sich schlecht vorführen lässt. Ein Wrapper-Chatbot kann an einem Wochenende gebaut und am Montag einem Vorstand präsentiert werden. Ein ordnungsgemäß gesteuertes KI-System braucht Monate. Raten Sie mal, welches finanziert wird.
Die KI-Branche hat ein Demo-Problem: Das, was Investoren in einem Pitch beeindruckt, ist architektonisch das Gegenteil von dem, was Nutzer in der Produktion schützt.
Warum behandelt das Gesetz Persönlichkeitsdaten, als wären sie radioaktiv?
Eine Frage, die mir jeder CTO stellt, mit dem ich spreche: „Wie schlimm ist das rechtliche Risiko hier wirklich?"
Die Antwort: potenziell existenzbedrohend.
Nach dem CCPA kann ein Unternehmen verklagt werden, wenn unverschlüsselte personenbezogene Daten aufgrund eines Versäumnisses gestohlen werden, „angemessene Sicherheitsverfahren" aufrechtzuerhalten. Der gesetzliche Schadenersatz beträgt 750 US-Dollar pro Verbraucher und Vorfall. Multipliziert man das mit 64 Millionen Datensätzen, kommt man auf eine theoretische Haftung von 48 Milliarden US-Dollar. Kein Gericht würde diesen vollen Betrag zusprechen, aber selbst ein Bruchteil bedeutet das Ende eines Unternehmens.
Nach der DSGVO sind die Strafen auf 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes begrenzt – je nachdem, welcher Betrag höher ist. Und der EU AI Act, der Recruiting-KI als „hochriskant" einstuft, führt Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes bei Nichteinhaltung der vorgeschriebenen Risikobewertungen und der Anforderungen an die menschliche Aufsicht ein.
Aber hier ist, was die meisten juristischen Analysen übersehen: Der Reputationsschaden ist schlimmer als die Bußgelder. Ich sprach ein paar Wochen nach dem Datenleck mit einer CHRO eines Fortune-500-Unternehmens. Sie erzählte mir, ihr Team habe KI-Recruiting-Tools evaluiert und drei Anbieter in die engere Wahl genommen. Nach der McHire-Geschichte stoppte der CEO die gesamte Initiative. „Wir machen es noch ein weiteres Jahr manuell", sagte er. „Ich werde nicht die nächste Schlagzeile sein."
Das sind die wahren Kosten. Nicht nur für Paradox.ai, sondern für jedes seriöse KI-Unternehmen, das versucht, Vertrauen bei Unternehmenskunden aufzubauen. Ein katastrophales Datenleck vergiftet den Brunnen für alle.
Wie steuert man eigentlich KI, die Entscheidungen über Menschen trifft?
Hier muss ich bei etwas Unangenehmem ehrlich sein: Governance-Frameworks klingen langweilig. ISO 42001, NIST AI RMF, OWASP Top 10 für LLMs – das sind nicht die Dinge, die Gründer bei Dinnerpartys begeistern. Aber es sind die Dinge, die Unternehmen, die die regulatorische Prüfung überstehen, von denen trennen, die es nicht tun.
ISO 42001 ist der weltweit erste internationale Standard für KI-Managementsysteme. Er verlangt von Organisationen, KI-spezifische Risiken zu identifizieren, klare Ziele für Transparenz und Sicherheit festzulegen, für jedes KI-System Folgenabschätzungen durchzuführen und durch interne Audits eine kontinuierliche Überwachung aufrechtzuerhalten. Es ist keine Alibiübung – es ist ein Managementsystem, das einen zwingt, über KI-Governance so nachzudenken, wie man über Finanzkontrollen nachdenkt.
Das NIST AI Risk Management Framework liefert den Richtlinienanker, organisiert um vier Funktionen: GOVERN, MAP, MEASURE, MANAGE. Beim Paradox-Datenleck versagte die GOVERN-Funktion am auffälligsten – es gab keine organisatorische Verantwortlichkeit für die Stilllegung des veralteten Admin-Kontos, das seit 2019 dort lag.
Und das OWASP-Framework – insbesondere sein Update von 2025 für agentic AI – gibt Entwicklern eine priorisierte Taxonomie der kritischsten Schwachstellen an die Hand. Agent Goal Hijack, bei dem bösartige Inhalte das Kernverhalten eines Agenten verändern. Tool Misuse, bei dem ein Agent dazu verleitet wird, eine legitime Fähigkeit für einen schädlichen Zweck zu nutzen. Memory Poisoning, bei dem fehlerhafte Daten in das Langzeitgedächtnis eines dauerhaften Agenten eingeschleust werden.
Für die vollständige technische Aufschlüsselung, wie diese Frameworks ineinandergreifen, einschließlich Implementierungsdetails und einer 90-Tage-CXO-Roadmap, habe ich ein ausführliches Begleitdokument veröffentlicht. Aber die Zusammenfassung für Führungskräfte lautet: Bis 2026 wird KI-Governance nicht mehr optional sein. Sie wird eine Voraussetzung für Geschäfte mit jedem Unternehmen sein, das ein Rechtsteam hat.
„Können wir Sicherheit nicht einfach später hinzufügen?"
Leute fragen mich das ständig. Die Antwort ist immer dieselbe, und sie ist immer unangenehm: nein. Kann man nicht.
Sicherheit, die nachträglich angeschraubt wird, ist Sicherheitstheater. Es ist ein Schloss an einer Tür, die bereits aus den Angeln gehoben wurde. Das McHire-Datenleck beweist das – Paradox.ai hatte Authentifizierung. Sie hatten ein Admin-Portal. Sie hatten vermutlich irgendeinen Sicherheitsüberprüfungsprozess. Aber weil Sicherheit nicht vom ersten Tag an in der Architektur verankert war, war das gesamte System nur so stark wie ein Passwort, das ein Kleinkind erraten könnte.
Ein weiterer Einwand, den ich höre: „Aber wir nutzen einen großen Cloud-Anbieter. Ist deren Sicherheit nicht gut genug?" Der Paradox-Entwickler in Vietnam wurde durch handelsübliche Schadsoftware kompromittiert – nicht durch einen Exploit der Cloud-Infrastruktur. Ihr Cloud-Anbieter kann perfekte Sicherheit haben, und Ihr System kann trotzdem kompromittiert werden, weil ein Entwickler ein Passwort über mehrere Dienste hinweg wiederverwendet hat. Der Perimeter ist nicht dort, wo Sie ihn vermuten.
Und dann gibt es den einen, der mich wirklich wütend macht: „Unser KI-Anbieter kümmert sich um die Sicherheit." Genau das dachte McDonald's. Sie lagerten ihr KI-Recruiting an Paradox.ai aus und lagerten damit ihre Sicherheitsaufstellung an einen Anbieter aus, dessen Admin-Portal mit „123456" geschützt war. Die Lieferkette ist jetzt der Sicherheitsperimeter. Wenn Sie die KI-Infrastruktur Ihrer Anbieter nicht mit derselben Strenge steuern, die Sie bei Ihrer eigenen anwenden, delegieren Sie kein Risiko – Sie ignorieren es.
Der Gedanke, den ich nicht loswerde
Darauf komme ich immer wieder zurück, Wochen nachdem die McHire-Geschichte zum ersten Mal bekannt wurde.
Vierundsechzig Millionen Menschen – viele davon Teenager, viele bei ihrer Bewerbung um den ersten Job – saßen vor einem Bildschirm und beantworteten Fragen eines KI-Chatbots. Sie gaben Informationen über sich preis, weil das System es ihnen sagte. Sie hatten keinen Hebel, keine Verhandlungsmacht, keine Möglichkeit zu sagen: „Eigentlich würde ich lieber keinen Persönlichkeitstest machen, um Burger zu wenden." Die Machtasymmetrie war total.
Und das System, das ihre Daten enthielt – ihre Namen, ihre Verhaltensprofile, die Einschätzung der KI zu ihrer Persönlichkeit – war durch dasselbe Passwort geschützt, das meine Tochter für ihr Roblox-Konto verwendet.
Wir haben KI-Systeme gebaut, die die menschliche Persönlichkeit in großem Maßstab bewerten können. Wir haben nur vergessen, die Menschen zu schützen.
Das ist kein Technologieproblem. Es ist ein Werteproblem. Es ist das, was passiert, wenn die Branche KI als ein Produkt behandelt, das man ausliefert, statt als ein System, das man steuert. Wenn „move fast and break things" auf „wir treffen automatisierte Entscheidungen über die Existenzgrundlagen von Menschen" trifft.
Die Ära des Wrappers ist vorbei. Die Unternehmen, die die nächste Regulierungswelle, das nächste Datenleck, die nächste öffentliche Abrechnung überstehen – es werden diejenigen sein, die Sicherheit in das Fundament eingebaut haben, nicht diejenigen, die sie nach der Schlagzeile angeschraubt haben. Bei Veriprajna ist das die einzige Art von KI, die wir zu bauen bereit sind. Nicht weil es einfacher ist. Sondern weil die Alternative nicht zu rechtfertigen ist.
Das Passwort „123456" sollte ein Relikt sein. Die Architektur, die es überhaupt relevant machte, sollte ausgestorben sein. Und die 64 Millionen Menschen, deren Daten offengelegt wurden, verdienen Besseres als die aktuelle Definition der Branche von „gut genug".
