KI-Chatbot auf der eigenen Website: Welche Sicherheits- und Governance-Pflichten dazugehören
Kurz gesagt
Ein Website-Chatbot verarbeitet potenziell feindliche Eingaben, kann interne Daten abrufen und Aktionen auslösen. Prompt Injection, Datenabfluss, übermäßige Berechtigungen und unkontrollierte Kosten müssen deshalb als eigene Risiken behandelt werden — nicht als Nebeneffekt der Installation eines Plugins. Seit dem 2. August 2026 gelten zudem Transparenzpflichten nach Art. 50 AI Act für die direkte Interaktion mit Personen.
Ein Chatbot ist ein System mit Zugriffsrechten, kein Textfeld
Sobald ein Chatbot an eine Wissensbasis, ein CRM oder interne Dokumente angebunden wird, entsteht ein System mit echten Zugriffsrechten — vergleichbar mit jeder anderen Anwendung, die auf sensible Daten zugreift. Der Unterschied: Die Eingabe kommt von außen, unkontrolliert, und das Modell reagiert auf Formulierungen, nicht auf geprüfte Befehle. Wer den Chatbot wie eine einfache FAQ-Funktion behandelt und ihm dieselben Zugriffsrechte gibt wie einem internen Mitarbeiter, überträgt ein reales Sicherheitsrisiko auf die öffentliche Website.
Prompt Injection: Wenn Eingaben zu Anweisungen werden
Ein zentrales Risiko ist Prompt Injection: Nutzer — oder in Dokumenten, E-Mails oder Formularfeldern versteckte Inhalte — können Formulierungen enthalten, die das Modell als Anweisung statt als Text interpretiert. Ein Dokumentinhalt, der ungeprüft als vertrauenswürdige Instruktion an ein KI-System weitergegeben wird, ist ein bekanntes Einfallstor. Ein gut formulierter System-Prompt ist dabei keine alleinige Sicherheitskontrolle — er kann Regeln enthalten, ersetzt aber keine echte Rechtebeschränkung auf Systemebene.
Die empfohlene Architektur: begrenzt statt vollständig verbunden
Ein tragfähiges Muster für einen Website-Chatbot mit Unternehmenswissen sieht vor: ein getrennter, kuratierter Wissensbestand statt direkter Anbindung an Produktivdatenbanken, begrenzte Werkzeuge statt pauschaler Systemrechte, sichtbare Quellenangaben zu den Antworten, eine definierte Möglichkeit zur Zurückhaltung („Das kann ich nicht beantworten") und eine klare Eskalation an einen Menschen. Der Chatbot ist dabei Kern der Antwortfunktion — aber nicht das führende System für Verträge, Preise oder verbindliche Zusagen.
Was zusätzlich technisch dazugehört
- Keine pauschale Produktivdatenbankfreigabe: Der Chatbot erhält nur Zugriff auf die Daten, die er für seinen konkreten Zweck tatsächlich braucht
- Prompt-Injection-Tests vor dem Go-live: Gezielte Testfälle prüfen, ob sich das System zu ungewollten Aussagen oder Aktionen verleiten lässt
- Logging-Minimierung: Gesprächsverläufe werden nicht unnötig lange oder umfangreicher gespeichert, als für Betrieb und Nachvollziehbarkeit nötig
- Rate- und Kostenlimits: Ein einzelner Nutzer oder ein automatisierter Angriff darf keine unkontrollierten Kosten auslösen können
- Menschlicher Support als Rückfallebene: Fragen außerhalb des definierten Bereichs landen bei einer Person, nicht in einer erfundenen Antwort
Die Transparenzpflicht nach AI Act
Seit 2. August 2026 ist Art. 50 der KI-Verordnung grundsätzlich anwendbar. Er verlangt für bestimmte Systeme in direkter Interaktion mit natürlichen Personen eine Offenlegung, dass es sich um ein KI-System handelt — es sei denn, dies ist aus den Umständen ohnehin offensichtlich. Für einen Website-Chatbot bedeutet das in der Praxis: eine klare Kennzeichnung zu Beginn der Konversation statt eines Chatfensters, das den Eindruck eines menschlichen Support-Mitarbeiters erweckt. Welche konkreten Ausnahmen im Einzelfall greifen, ist projektspezifisch zu prüfen und ersetzt keine rechtliche Einzelfallbewertung.
Was ein Chatbot nicht ersetzt
Ein Chatbot ersetzt keine gut strukturierte Website, keine funktionierende Suchfunktion, keine klare FAQ-Seite und keine erreichbare Kontaktstrecke. Wird er als Ausrede für unklare Navigation oder fehlende Inhalte eingesetzt, verschiebt er ein strukturelles Problem nur in ein Chatfenster — ohne es zu lösen.