GrafanaGhost: Wie ein KI-Assistent zur stillen Datenschleuder wird

Am 7. April 2026 veröffentlichte Noma Security eine kritische Schwachstelle namens „GrafanaGhost“: Angreifer konnten über den nativen KI-Assistenten von Grafana sensible Unternehmensdaten – darunter Finanzmetriken, Infrastruktur-Telemetrie und interne Records – still an externe Server übermitteln, ohne dabei Credentials zu stehlen, Phishing einzusetzen oder einen einzigen Alert auszulösen. Der Angriff funktionierte über indirekte Prompt-Injection: Manipulierte Dashboard-Beschreibungen oder Metadaten schleusen bösartige Anweisungen in den KI-Kontext ein. Der Assistent lädt daraufhin externe „Bilder“, die die Zieldaten als URL-Parameter exfiltrieren – getarnt als gewöhnliche KI-Aktivität im normalen Betrieb. Ein spezielles Schlüsselwort soll dabei Grafanas eigene Sicherheitsfilter ausgehebelt haben. Der Angriff setzt eine Authentifizierung voraus, erlaubt dann aber Dateimanipulation, Offenlegung vertraulicher Informationen und Privilegieneskalation.

Was GrafanaGhost über einen einzelnen Patch hinaus relevant macht, ist das architektonische Problem dahinter: Herkömmliche Security-Metriken messen Netzwerkanomalien, unbekannte Credentials und Verhaltensabweichungen – nicht aber die semantische Ebene von KI-Prompts. Sobald ein KI-Assistent legitime Betriebsprozesse imitiert, sind klassische SIEM-Regeln strukturell blind. Noma Security reiht GrafanaGhost in eine Serie ähnlicher Funde ein (ForcedLeak, GeminiJack, DockerDash), die alle dasselbe Muster zeigen: KI-Komponenten als Brücke zwischen privaten Datenumgebungen und externen Servern. Laut dem Cyera 2025 State of AI Data Security Report haben zwar über 90 % der Unternehmen KI in ihre Workflows integriert, doch nur 14 % verfügen über eine granulare Sichtbarkeit der Datenflüsse innerhalb dieser KI-Agents.

BSI-Warnung und Gegenmaßnahmen

Für Unternehmen und Behörden in Deutschland, die Grafana zur Infrastrukturüberwachung einsetzen, ist das besonders relevant – das BSI (CERT-Bund) aktualisierte am 9. April 2026 seinen Sicherheitshinweis zu einer ähnlichen Schwachstelle (WID-SEC-2026-0811), die nun im Kontext von KI-Assistenten neu bewertet werden muss. Grafana hat die Lücken nach Benachrichtigung durch Noma Security umgehend gepatcht. In unserem Executive Briefing zur KI-Sicherheit analysieren wir ähnliche Angriffsvektoren bei Chip-Infrastrukturen. Empfohlene Gegenmaßnahmen umfassen striktere Eingabevalidierung, Netzwerk-URL-Blocking, KI-Red-Teaming und – entscheidend – Laufzeit-Verhaltensüberwachung auf Datenebene, nicht nur auf Netzwerkebene.