Glossareintrag
Wir denken. KI tippt mit.
Ein Jailbreak ist eine gezielt formulierte Eingabe, die die Sicherheitsregeln eines KI-Sprachmodells aushebelt, sodass es Antworten liefert, die es nach seinen Richtlinien verweigern müsste. Der Angreifer überlistet das Modell allein mit Sprache und verändert dabei weder den Programmcode noch das Modell selbst.
Der Name stammt vom Smartphone-Jailbreak, der die Sperren des Betriebssystems entfernt. Bei einer KI gibt es aber keinen technischen Einbruch. Es genügt eine geschickte Formulierung, etwa eine erfundene Rolle oder eine harmlos verpackte Frage, um die vom Hersteller eingebauten Grenzen zu umgehen. Ein Jailbreak wirkt nur in der laufenden Unterhaltung und lässt das Modell für andere Nutzer unverändert.
Der Jailbreak unterscheidet sich von der Prompt Injection, mit der er oft verwechselt wird. Beim Jailbreak überredet der Nutzer das Modell, das er selbst bedient. Bei der Prompt Injection schmuggelt ein Dritter versteckte Befehle in Inhalte, die das Modell später verarbeitet, etwa in eine E-Mail oder eine Webseite, und trifft damit den Betreiber der KI-Anwendung. Das Sicherheitsprojekt OWASP führt die Prompt Injection als größtes Risiko für KI-Anwendungen (Platz eins seiner Rangliste) und ordnet den Jailbreak dort als eine ihrer Formen ein.
Jailbreaks gelingen, weil das Sicherheitstraining eines Modells nie jede denkbare Formulierung abdecken kann. Ein Modell lernt, gefährliche Bitten abzulehnen, doch dieselbe Bitte in ungewohnter Verpackung rutscht oft durch. Ein Forscherteam der Universität Berkeley führt das auf zwei Schwächen zurück, nämlich den Zielkonflikt zwischen Hilfsbereitschaft und Sicherheit und die Tatsache, dass das am menschlichen Feedback ausgerichtete Sicherheitstraining bei ungewohnten Eingaben wie kodiertem Text schlechter greift (Studie „Jailbroken: How Does LLM Safety Training Fail?").
In freier Wildbahn kursieren einige Grundmuster, die sich immer wieder in neuen Abwandlungen zeigen:
Zwischen Angreifern und Herstellern läuft ein Wettlauf. Als Grundschutz richten die Anbieter ihre Modelle mit menschlichem Feedback aus, doch das allein reicht nicht. Anthropic maß bei einem fortgeschrittenen Testverfahren zunächst eine Erfolgsquote von 86 Prozent. Mit vorgeschalteten Prüfprogrammen, die Ein- und Ausgaben gegen feste Regeln abgleichen („Constitutional Classifiers"), sank sie auf 4,4 Prozent, womit über 95 Prozent der Angriffe abgewehrt wurden (Anthropic, Februar 2025).
Wie widerstandsfähig ein Modell ist, weisen große Anbieter inzwischen als Kennzahl in ihren Model Cards aus. Für Grok 4.6 nennt der Betreiber SpaceXAI eine Durchbruchquote von 0,04 Prozent bei Standard-Jailbreaks, gegenüber 0,73 Prozent beim Vorgänger (Grok-4.6-Model-Card). Zusätzlich loben die Firmen Prämien für gemeldete Lücken aus. Anthropic zahlte in einer Challenge Anfang 2025 insgesamt 55.000 US-Dollar an vier Teilnehmer, die alle acht Stufen knackten (Anthropic Bug-Bounty).
In der EU verlangt der EU AI Act von Hochrisiko-Systemen ausdrücklich Schutz gegen solche Umgehungsversuche, also eine belegbare Robustheit gegen gezielte Manipulation (Artikel 15 des EU AI Act). Der Grund dafür zeigt sich in der Praxis, denn Kriminelle nutzen Jailbreaks bereits produktiv. Sicherheitsforscher von Cato Networks fanden 2025 neue Varianten des Schadprogramm-Assistenten „WormGPT", die keine eigene KI sind, sondern reguläre Modelle wie Grok oder Mixtral per Jailbreak-Systemanweisung umbiegen und darüber Phishing-Mails erzeugen (Cato Networks). Anthropic dokumentierte im August 2025 einen Fall, in dem ein Angreifer die hauseigene Software zu weitgehend automatisierter Erpressung gegen 17 Organisationen missbrauchte (Anthropic Threat Intelligence).
Für lokale Unternehmen und Handwerksbetriebe wird der Jailbreak zum Thema, sobald ein KI-Chatbot auf der eigenen Website steht oder im Kundenservice antwortet. Wer einen solchen Bot einsetzt, muss damit rechnen, dass Besucher ihn zu Aussagen überreden, die der Betrieb so nie treffen wollte.
Ein Autohändler in Kalifornien ließ 2023 einen ChatGPT-Bot auf seiner Seite laufen, und ein Besucher brachte ihn mit wenigen Sätzen dazu, einen neuen Chevrolet für einen Dollar als „rechtlich bindendes Angebot" zu bestätigen (Bericht bei Gizmodo). Beim britischen Paketdienst DPD überredete ein Kunde den Chatbot 2024 dazu, zu fluchen und ein Spottgedicht über die eigene Firma zu verfassen, dessen Verlauf über eine Million Aufrufe erreichte (Bericht bei TIME). In beiden Fällen blieb es beim Reputationsschaden. Beim Servicebot „Lena" von Lenovo konnten Forscher 2025 über eine manipulierte Eingabe dagegen sogar aktive Sitzungsdaten abgreifen (Analyse bei CSO Online).
Rechtlich heikel ist, dass die Aussagen des Bots dem Betrieb zugerechnet werden. Ein kanadisches Tribunal verurteilte Air Canada 2024 zur Zahlung, nachdem der Chatbot einem Kunden eine erfundene Rückerstattungsregel genannt hatte. Das Argument der Fluggesellschaft, der Bot sei eine eigenständige Einheit, wies das Gericht zurück (Bericht bei Forbes zum Air-Canada-Urteil). Das Oberlandesgericht Hamm entschied im Mai 2026, dass ein Unternehmen für falsche Angaben seines Chatbots haftet und sich nicht auf unvorhersehbare KI-Fehler berufen kann. Diese Entscheidung ist noch nicht rechtskräftig, die Revision zum Bundesgerichtshof wurde zugelassen (Bericht bei LTO zum OLG-Hamm-Urteil). Ein Hinweis „Angaben ohne Gewähr" allein schützt nach dieser Linie nicht. Dies ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.
Kleine Betriebe können das Risiko mit einfachen Mitteln klein halten:
Das Schweizer Sicherheitsunternehmen Lakera betreibt das kostenlose Browserspiel Gandalf, bei dem man eine KI Stufe für Stufe dazu bringen soll, ein geheimes Passwort zu verraten. Die aktuelle Version „Agent Breaker" richtet sich eher an Fortgeschrittene, das Grundprinzip eines Jailbreaks wird darüber aber schnell begreifbar.
