Token-Freeloading: Wie externe Nutzer den ROI deines Unternehmens-Chatbots aushöhlen

Wer einen KI-Agenten für den Kundensupport betreibt, finanziert möglicherweise unbemerkt die Rechenaufgaben fremder Nutzer. Externe Personen manipulieren Unternehmens-Chatbots per Prompt-Injection, um komplexe KI-Berechnungen — von Code-Generierung bis hin zu Datenanalysen — auf Kosten des Betreibers durchzuführen. Das Heimtückische: Die resultierenden Token-Kosten erscheinen in keinem Anomalie-Report, weil das System jeden Missbrauch als reguläre Kundensitzung verbucht. Der finanzielle Schaden bleibt unsichtbar, bis er im Quartalsreview nicht mehr erklärbar ist.

Der Markt für Enterprise-KI wächst schnell, und mit ihm die Angriffsfläche. Laut einer aktuellen Auswertung der Coalition for Secure AI (CoSAI) erzeugt eine typische Kundensupport-Interaktion 200 bis 300 Token. Eine missbräuchliche Anfrage — etwa das Umkehren einer verketteten Liste in Python — kommt auf über 2.000 Token. Das ist ein Kostenmultiplikator von rund dem Zehnfachen pro Sitzung. Erreichen nur 5 % des Chatbot-Traffics dieses Missbrauchsmuster, entsteht ein materieller Schaden am KI-Budget, den kein Standard-Dashboard abbildet.

Systemarchitektur als Einfallstor: Der System-Prompt als Samtband

Das strukturelle Problem liegt in der Art, wie Unternehmens-Chatbots konfiguriert werden. Ein typischer System-Prompt lautet sinngemäß: "Du bist ein hilfreicher Kundendienst-Agent." Nik Kale, Mitglied der CoSAI und des ACM AI Security Program Committee, beschreibt das treffend: Das ist eine Empfehlung, kein Durchsetzungsmechanismus — das KI-Äquivalent eines Samtsperrbands. Die Session wird authentifiziert, nicht die Absicht des Nutzers. Wer fünf Minuten mit diesen Systemen verbracht hat, weiß, dass ein System-Prompt durch einfaches konversationelles Framing zu umgehen ist.

Sicherheitsforscher von OX Security haben konkrete Schwachstellen in KI-Plattformen dokumentiert. In Coding-Tools und Cloud-KI-Diensten konnten Teammitglieder ohne Admin-Rechte Ausgabenlimits auf siebenstellige Beträge erhöhen — ohne Benachrichtigung der Administratoren. Die identifizierten Kernprobleme sind fehlende Standardlimits, verzögerte Kostentransparenz und unzureichende Zugriffskontrolle. Diese Architekturmängel sind kein Einzelfall, sie sind struktureller Natur.

Denial of Wallet: Wenn Missbrauch zur gezielten Attacke wird

Token-Freeloading ist nicht immer opportunistisch. Es kann als gezielte "Denial of Wallet"-Attacke eingesetzt werden: Angreifer überlasten bewusst pay-as-you-go-Dienste mit exzessiven Anfragen, um den Betreiber finanziell zu schädigen. Justin St-Maurice, Technical Counselor bei der Info-Tech Research Group, ordnet das strategisch ein: Token-Klau ist nur die Spitze des Eisbergs. Wenn ein System bereit ist, Code zu liefern, stellt sich die Frage, was es sonst noch preisgibt — und welche anderen Angriffsvektoren sich damit öffnen.

Illustrativ ist der Fall des KI-Chatbots Freysa aus dem Jahr 2024: Ein Angreifer manipulierte das System nach 482 Versuchen per Prompt Engineering und gewann einen Preispool von 13,19 ETH — zum damaligen Kurs etwa 47.000 US-Dollar. Die Durchschnittskosten pro Nachricht in diesem Wettbewerb lagen bei 418,93 US-Dollar. Das zeigt, dass selbst als widerstandsfähig konzipierte Systeme durch persistente Prompt-Manipulation überwindbar sind. Laut einer Erhebung der Sumsub (Identity Fraud Report 2025-2026) melden 64 % der europäischen Unternehmen finanzielle Verluste durch Betrug, darunter zunehmend KI-basierte Angriffe; 36 % berichten zusätzlich von Reputationsschäden.

Regulatorische Dimension: Haftung und AI Act

Die Problematik hat eine juristische Ebene, die für DACH-Unternehmen unmittelbar relevant ist. Das Landgericht Hamburg hat in einem Urteil vom 23. September 2025 (Az. 324 O 461/25) klargestellt, dass Betreiber für öffentlich abrufbare Falschaussagen ihrer Chatbots haften — Halluzinationen gelten nicht als Entschuldigung. Wenn ein missbrauchter Chatbot im Zuge einer manipulierten Sitzung Fehlinformationen ausgibt, liegt die Haftung beim Betreiber, nicht beim Angreifer.

Unter dem EU AI Act, dessen Hauptteil am 2. August 2026 in Kraft tritt, werden Kundensupport-Chatbots je nach Einsatzkontext als Hochrisiko-KI eingestuft werden können. Die damit verbundenen Transparenz- und Governance-Anforderungen setzen eine robuste Zugriffskontrolle und Audit-Fähigkeit voraus — genau jene Mechanismen, die Token-Freeloading derzeit unterläuft. Verstöße gegen den AI Act können Strafen von bis zu 15 Millionen Euro oder 3 % des globalen Jahresumsatzes nach sich ziehen. Eine lückenhafte Token-Governance ist damit nicht nur ein Kostenproblem, sondern auch ein Compliance-Risiko.

So What? Die strategische Einordnung für das Management

Token-Missbrauch ist kein IT-Security-Randthema, sondern ein direkter Angriff auf die Wirtschaftlichkeit von KI-Investitionen. Das Problem untergräbt die ROI-Sichtbarkeit strukturell: Wenn 5 % des Chatbot-Traffics mit zehnfachem Kostengewicht auf dem Budget lasten, sind Quartalsberichte systematisch verzerrt. Entscheider, die den Business Case für KI intern verteidigen müssen, stehen vor einer unsichtbaren Gegenwette. Die eigentliche Gefahr ist nicht der Einzelschaden, sondern der Vertrauensverlust in die KI-Kosten-Governance insgesamt — was weitere Investitionen politisch erschwert.

Erschwerend kommt hinzu, dass die naheliegenden Gegenmaßnahmen eigene Kosten haben. Strikte Intent-Filter reduzieren die Flexibilität des Systems und können die Nutzerzufriedenheit senken. Ausgabenlimits pro Session schützen das Budget, beeinträchtigen aber legitime Nutzungsfälle. Plattformen wie OpenAI setzen auf strikte Rollentrennung und fixe Kreditlimits; andere Anbieter beschränken Teammitglieder vollständig vom Zahlungszugriff. Jede dieser Maßnahmen hat einen Trade-off gegenüber dem originären Geschäftszweck des Chatbots.

Fazit: Governance-Lücken schließen, bevor der ROI-Nachweis unmöglich wird

Entscheider sollten jetzt drei Maßnahmen priorisieren: Erstens, Token-Verbrauch auf Sitzungsebene granular überwachen und Anomalie-Schwellenwerte definieren, die über dem typischen Support-Interaktionsumfang liegen. Zweitens, Ausgabenlimits und Rollentrennung als Standard-Governance einführen — nicht als optionale Konfiguration. Drittens, die Chatbot-Architektur auf AI-Act-konformität prüfen, insbesondere mit Blick auf die ab August 2026 geltenden Anforderungen an Hochrisiko-KI-Systeme. Wer Token-Governance heute nicht als Teil des KI-Business-Case behandelt, riskiert, dass der ROI-Nachweis für das gesamte KI-Programm scheitert — nicht wegen schlechter KI, sondern wegen löchriger Kontrollen.