Ein Standard-Passwort legte 64 Millionen KI-Rekrutierungsdatensätze offen

Das Problem

Der KI-Einstellungs-Chatbot von McDonald’s, „Olivia“, legte die personenbezogenen Daten von 64 Millionen Bewerbern offen. Das Admin-Passwort, das das System schützte, lautete „123456“. Das ist keine Zuspitzung — Benutzername und Passwort lauteten wörtlich beide „123456“, und das Konto war seit 2019 ohne Multi-Faktor-Authentifizierung unbeobachtet geblieben.

Die Sicherheitsexperten Ian Carroll und Sam Curry entdeckten die Schwachstelle im Juni 2025. Den Anstoß für ihre Untersuchung gaben weitverbreitete Nutzerbeschwerden über fehlerhafte Benutzeroberflächen — ein Signal, das oft auf tiefere architektonische Vernachlässigung hindeutet. Als sie sich mit diesen Standard-Zugangsdaten im Verwaltungsportal anmeldeten, stießen sie auf einen zweiten Fehler. Die API der Plattform — die Softwareebene, die verschiedene Systeme miteinander verbindet — prüfte nicht, ob ein Nutzer berechtigt war, bestimmte Datensätze einzusehen. Indem sie einfach die Bewerber-ID-Nummern in der Browseradresszeile änderten, konnten die Forscher vollständige Bewerbungsunterlagen und Chatprotokolle von Millionen echter Kandidaten abrufen.

Zu den offengelegten Daten gehörten Namen, E-Mail-Adressen, Telefonnummern, IP-Adressen, Protokolle virtueller Interviews und Ergebnisse von Persönlichkeitstests. Das war kein ausgefeilter Angriff eines Nationalstaats. Es war der Zusammenbruch elementarer Sicherheits-Hygiene an der Haustür Ihres KI-Anbieters. Wenn Ihr Unternehmen auf KI-Tools von Drittanbietern setzt, sollte dieser Vorfall Sie zutiefst beunruhigen. Die Sicherheit eines Fortune-100-Unternehmens hing vollständig von den Passwortpraktiken seines Anbieters ab.

Warum das für Ihr Unternehmen wichtig ist

Die finanziellen und rechtlichen Risiken durch eine solche Datenpanne sind gewaltig. Die durchschnittlichen Kosten eines Dateneinbruchs erreichten 2025 4,44 Millionen US-Dollar. Der eigentliche Risikomultiplikator ist hier jedoch die Regulierung.

Auf Ihr Unternehmen ist wahrscheinlich mindestens einer dieser Rechtsrahmen anwendbar:

• DSGVO kann Bußgelder von bis zu €20 Millionen oder 4 % des weltweiten Jahresumsatzes verhängen — je nachdem, welcher Betrag höher ist.
• CCPA sieht pauschalen Schadensersatz von 750 US-Dollar pro Verbraucher und Vorfall vor. Multipliziert man das mit 64 Millionen Datensätzen, blickt man auf ein potenzielles Sammelklagen-Risiko in zweistelliger Milliardenhöhe.
• Der EU AI Act stuft KI im Recruiting als „Hochrisiko“ ein und kann Strafen von bis zu €35 Millionen oder 7 % des weltweiten Umsatzes verhängen.

Ein Standard-Passwort wie „123456“ ist wohl das genaue Gegenteil der „angemessenen Sicherheitsverfahren“, die die CCPA verlangt. Allein diese Tatsache könnte zum Kernstück einer Sammelklage gegen Ihr Unternehmen werden — selbst wenn das Passwort zu Ihrem Anbieter gehörte und nicht zu Ihrem Team.

Abgesehen von den Bußgeldern ist der menschliche Schaden real. Untersuchungen zeigen, dass 70 % der Opfer von Datenpannen angeben, anschließend anderen nicht mehr vertrauen zu können. Zwei Drittel erleiden tiefe Gefühle der Ohnmacht. Betroffene berichten von Schlafstörungen (85 %), erhöhtem Stress (77 %) und chronischen Kopfschmerzen (57 %). Wenn die geleakten Daten Persönlichkeitstestergebnisse enthalten — Dokumente, die für sich beanspruchen, den inneren Charakter eines Menschen zu messen —, geht die psychische Schädigung weit über eine gestohlene Kreditkartennummer hinaus. Kreditkarten kann man sperren. Ein geleaktes Persönlichkeitsprofil verfolgt einen Menschen unbegrenzt weiter.

Ihr Aufsichtsrat muss wissen, dass das Risiko durch KI-Anbieter kein IT-Problem mehr ist. Es ist ein finanzielles, rechtliches und reputationsbezogenes Problem, das auf Ihrer Bilanz landet.

Was tatsächlich unter der Haube passiert

Der Kern des Problems ist das, was die Branche das „KI-Wrapper“-Modell nennt. Stellen Sie es sich so vor: Sie hätten einen brillanten Berater eingestellt, ihm aber ein Büro mit kaputtem Schloss zugewiesen, ohne Sicherheitsausweis und mit einem Aktenschrank, der sich für jeden öffnet, der hereinkommt. Der Berater leistet großartige Arbeit, aber das Gebäude um ihn herum steht sperrangelweit offen.

Genau das ist bei McDonald’s KI-Chatbot passiert. Die Konversations-KI funktionierte wie vorgesehen. „Olivia“ konnte Kandidaten vorselektieren, Interviews terminieren und Persönlichkeitstests durchführen. Doch die Infrastruktur darum herum — die Admin-Portale, die API-Zugriffskontrollen, das Credential-Management — war durchlässig.

Ausgenutzt wurde eine IDOR-Schwachstelle — Insecure Direct Object Reference. Auf Deutsch: Das System erlaubte jedem angemeldeten Nutzer, auf jeden beliebigen Datensatz zuzugreifen, indem er einfach eine Zahl in der URL änderte. Es gab keine Prüfung, ob dieser Nutzer die Daten genau dieses Bewerbers sehen durfte.

Noch schlimmer: Die Ermittler fanden heraus, dass ein Paradox.ai-Entwickler in Vietnam mit der Schadsoftware „Nexus Stealer“ infiziert war. Dieses eine kompromittierte Gerät gab Hunderte Passwörter preis — viele davon wiederverwendet und schwach — für Konten, die mit Kunden wie Pepsi, Lockheed Martin, Lowes und Aramark verknüpft waren. Die schlechten Passwortgewohnheiten eines einzigen Entwicklers setzten mehrere Fortune-500-Unternehmen der Gefahr aus.

Das ist das Problem des „menschlichen Knotens“. Ihr KI-Modell kann technisch einwandfrei sein. Aber wenn die Menschen, die es betreiben, Passwörter wiederverwenden und die Multi-Faktor-Authentifizierung auslassen, fällt die Sicherheit Ihres gesamten KI-Stacks auf das Niveau ihres schwächsten menschlichen Glieds zurück.

Was funktioniert (und was nicht)

Beginnen wir damit, was Sie nicht schützt:

• Firewalls als bloße Aufsatzlösung. Eine gewöhnliche Web Application Firewall versteht keine KI-spezifischen Bedrohungen wie Prompt Injection oder die Manipulation von Objektreferenzen. Sie bewacht die Haustür, während die Seitenfenster offenstehen.
• Ad-hoc-Governance. Wenn Ihr KI-Anbieter Ihnen keinen dokumentierten Lebenszyklus für Zugangsdaten vorlegen kann — einschließlich der Frage, wie er alte Konten außer Dienst stellt —, sind Sie schutzlos exponiert. Das McHire-Admin-Konto war sechs Jahre lang aktiv und unbewacht.
• Dem Wort des Anbieters vertrauen. Die Sicherheit Ihrer Fortune-100-Marke hing allein davon ab, ob ein Drittanbieter-Entwickler in einem anderen Land ein starkes Passwort benutzte. Das ist keine Governance. Das ist Hoffnung.

Das hier funktioniert tatsächlich — eine mehrschichtige Verteidigung, die jeden Teil Ihres KI-Systems als potenziell kompromittiert behandelt:

1. Eingabevalidierung (Der Torwächter). Jeder Prompt und jede Anfrage, die in Ihr KI-System eingeht, wird bereinigt und normalisiert. Diese Schicht entfernt codeähnliche Syntax und Formatierungen, die als versteckte Befehle missdeutet werden könnten. So erkennen Sie Bedrohungen, bevor sie das Modell erreichen.

2. Multi-Modell-Verifikation (Das Vier-Augen-Prinzip). Ein kleineres „Kanarienvogel“-Modell analysiert jede Anfrage auf böswillige Absicht, bevor Ihre primäre KI sie verarbeitet. Markiert der Kanarienvogel etwas Verdächtiges, trifft ein zweites Schlichtermodell die endgültige Entscheidung. Das schafft Checks and Balances — kein einzelnes Modell besitzt unkontrollierte Befugnis.

3. Ausgabevalidierung und Schwärzung (Der Filter). Jede KI-Antwort wird als nicht vertrauenswürdige Ausgabe behandelt. Klassifikatoren scannen auf toxische, verzerrte oder halluzinierte Inhalte. PII-Schwärzungsschichten sorgen dafür, dass Ihr System niemals versehentlich eine Sozialversicherungsnummer, einen Persönlichkeitswert oder ein privates Chatprotokoll an einen Unbefugten weitergibt.

Der entscheidende Vorteil dieses mehrschichtigen Ansatzes ist der Audit-Trail. Wenn Ihr Compliance-Team oder eine Aufsichtsbehörde fragt „Wie kam diese Entscheidung zustande?“, können Sie jede Eingabe, jeden Validierungsschritt und jede Ausgabe nachvollziehen. Diese Rückverfolgbarkeit unterscheidet ein verteidigbares KI-System von einem Haftungsrisiko. Wenn Sie Ihren Prüfern den Logikpfad von der Frage zur Antwort nicht zeigen können, haben Sie keine KI-Governance — Sie haben eine Blackbox.

Ihre Sicherheitslage sollte auch ein Zero-Trust-Identitätsmanagement umfassen. Das bedeutet: Jeder Mensch und jeder KI-Agent in Ihrem System braucht eine eigene kryptografische Identität mit kontinuierlicher Verifizierung. Keine Standard-Passwörter. Keine gemeinsamen Zugangsdaten. Keine veralteten Konten, die sechs Jahre lang herumliegen.

Indem Sie Ihren KI-Stack an Frameworks wie ISO 42001 — dem ersten internationalen Standard für KI-Managementsysteme — und dem NIST AI Risk Management Framework ausrichten, gehen Sie vom reaktiven Flicken zur proaktiven Governance über. Diese Frameworks geben Ihrem Team einen strukturierten 90-Tage-Fahrplan: Inventarisieren Sie Ihre KI-Exposition in den ersten 30 Tagen, implementieren Sie in den Tagen 31 bis 60 grundlegende Sicherheits-Hygiene und installieren Sie in den Tagen 61 bis 90 fortgeschrittenes Monitoring sowie menschliche Freigabeschranken für Hochrisiko-Vorgänge.

Die Landschaft von KI-Sicherheit und -Resilienz wandelt sich rasant. Bis 2026 wird KI-Governance eine Voraussetzung für die Marktteilnahme sein, kein Nice-to-have mehr.