Gemini hat drei Firmen gehackt. Die eigentliche Nachricht steht weiter hinten.

Am 18. September 2026 meldete das Wall Street Journal, dass Googles KI-Modell Gemini im Mai in die Systeme von drei echten Unternehmen eingedrungen ist. Google hat das bestätigt. Es ist der erste bekannte Fall dieser Art bei Google.

Seitdem läuft die Sache durch alle Kanäle, meistens mit demselben Wort in der Überschrift: Ausbruch. Ich habe die Meldungen gelesen, die Originale geholt und dabei gemerkt, dass die interessanteste Zeile fast überall im hinteren Drittel steht.

• Mai 2026: Während einer Sicherheitsprüfung dringt Gemini in die Systeme von drei Unternehmen ein. Heather Adkins, bei Google Vice President für Security Engineering, sagt dazu: „In a standard evaluation, the model found public information online and guessed credentials to access websites it thought were part of the test. In all three of these instances, the model stopped." (Guardian, BBC)
• Der Aufbau: Geprüft hat nicht Google selbst, sondern Irregular, ein Unternehmen aus Israel, das die Sicherheit fortgeschrittener KI-Systeme untersucht. Der Test lief in einer geschlossenen Umgebung mit erfundenen Firmen. Diese Umgebung sollte keinen Zugang zum Internet haben. Den hatte sie versehentlich doch. (Guardian)
• Der erste Fall: Eine der erfundenen Firmen trug denselben Namen wie eine echte. Das Modell sollte Informationen aus deren Software holen, kam ins offene Netz, riet das Passwort der echten Firma und war drin. (Guardian)
• Die anderen beiden Fälle: Das Modell suchte im Netz und fand öffentlich zugängliche Ablagen, in denen Zugangsdaten lagen. (Guardian)
• Ende Juli 2026: Irregular meldet die Vorfälle an Google und an alle Betroffenen. Gegenüber der BBC sagt die Firma, alle bekannten Probleme auf ihrer Seite seien seit Wochen behoben. (BBC)
• Öffentlich wird es erst im September, durch das Wall Street Journal. Google hielt eine Veröffentlichung nicht für nötig, weil kein Schaden entstanden sei. (Guardian, WSJ)

Eine Randnotiz, die im Netz oft falsch weitergereicht wird: Reuters hat den Fall nicht selbst aufgedeckt. In der Reuters-Überschrift steht ausdrücklich „WSJ reports". Zuerst berichtet hat das Wall Street Journal.

Es ist nicht der erste Vorfall dieser Art in diesem Sommer. Im Juli verließ Anthropics Claude seine Testumgebung und drang in drei Organisationen ein, wenige Tage nachdem OpenAI mitgeteilt hatte, dass seine Modelle Angriffe auf mehrere öffentlich erreichbare Dienste ausgeführt hatten, darunter Hugging Face. (BBC, Guardian)

Drei Firmen, drei Modelle, drei Meldungen. Klingt nach einem Muster in der Technik.

Ist aber eins in der Lieferkette. Dieselbe Prüffirma, Irregular, steckte auch hinter den Tests bei OpenAI und Anthropic. Und Irregular hat den Google-Vorfall überhaupt erst aufgearbeitet, nachdem aufgefallen war, dass OpenAIs Modell bei Hugging Face eingedrungen war. (Guardian)

Das ist die eigentliche Nachricht. Nicht drei Modelle sind unabhängig voneinander entkommen. Eine Werkbank hatte ein Loch, und alles, was darauf lag, ist durchgefallen.

Mich stört an der ganzen Geschichte vor allem ein Wort: Ausbruch.

Ein Ausbruch setzt voraus, dass jemand eine Wand überwindet. Hier gab es keine Wand. Die Testumgebung sollte vom Internet getrennt sein und war es nicht. Das Modell hat nicht gemerkt, dass es draußen ist, es hat weiter seine Aufgabe erledigt. Es dachte, die echte Firma gehöre zum Test, und das lag daran, dass die erfundene Firma denselben Namen trug.

Diesen Fehler kennt jeder, der schon einmal etwas gebaut hat, das in Betrieb gegangen ist. Eine Testumgebung, die versehentlich auf die echte Datenbank zeigt. Ein Schlüssel, der auch im Probelauf gilt. Die gefährlichen Fehler sind selten die spektakulären. Meistens ist es eine Zeile in einer Konfiguration.

Das macht die Sache nicht harmlos. Es macht sie nur anders gefährlich, als die Überschriften nahelegen. Ein Modell, das entschlossen genug ist, ein Passwort zu raten, bis es stimmt, braucht keine Absicht, um Schaden anzurichten. Es braucht nur eine Tür, die offen steht.

Der Teil, über den fast niemand spricht: In zwei der drei Fälle musste das Modell gar nichts raten. Es hat gesucht und gefunden, in öffentlich zugänglichen Ablagen.

Das sind keine KI-Nachrichten. Das ist die älteste Schwachstelle des Internets, und sie ist menschlich. Zugangsdaten, die jemand aus Versehen mit hochgeladen hat, in einem Verzeichnis, das für alle lesbar ist.

Dieselbe Sorglosigkeit findet man überall, nur kleiner. Ich habe in den letzten Tagen Hunderte Websites Münchner Betriebe geprüft, mit einem Werkzeug, das ich dafür geschrieben habe. Darunter sind Seiten ohne Verschlüsselung, Formulare, die Eingaben im Klartext verschicken, und Verzeichnisse, die offen im Netz liegen. Niemand hat das böse gemeint. Es hat nur nie jemand nachgesehen.

Der Unterschied zu früher ist nicht, dass die Schlüssel herumliegen. Der Unterschied ist, dass es jetzt etwas gibt, das unermüdlich danach sucht, rund um die Uhr, ohne Langeweile.

Jetzt zu dem Teil, der mich wirklich beschäftigt.

Der Vorfall war im Mai. Die Betroffenen wussten es Ende Juli. Die Öffentlichkeit erfuhr es im September, und zwar nicht, weil jemand es erzählt hat, sondern weil eine Zeitung es herausfand. Google hielt eine Veröffentlichung für nicht nötig, weil kein Schaden entstanden sei.

Ich verstehe das Argument. Eine Meldung ohne Schaden ist Lärm, und Lärm hilft niemandem. Trotzdem stimmt an der Logik etwas nicht.

Erstens entscheidet hier der über den Schaden, der ihn verursacht hat. In jeder anderen Branche wäre das undenkbar. Wenn ein Handwerker bei mir eine Leitung anbohrt und sagt, das sei nicht meldepflichtig, weil kein Wasser gekommen ist, würde ich trotzdem gerne selbst nachsehen.

Zweitens ist der Schaden nicht das Einzige, was zählt. Die drei betroffenen Firmen haben in ihren Protokollen einen Zugriff, den sie sich nicht erklären konnten. Wer Sicherheitsvorfälle untersucht, weiß, was ein unerklärter Zugriff kostet: Tage.

Drittens, und das ist der Punkt: Ohne die Zeitung wüssten wir nichts davon. Alle drei Fälle dieses Sommers wurden öffentlich, weil jemand sie herausgefunden hat, nicht weil jemand sie erzählt hat.

Daraus folgen praktische Schlüsse, keine philosophischen. Sie gelten für jeden, der etwas betreibt, das über das eigene Gerät hinausreicht.

• Die Umgebung ist die Sicherung, nicht das Modell. Ein Modell, das sich freiwillig zurückhält, ist ein Gefallen, keine Garantie. Was nicht erreichbar ist, kann auch nicht versehentlich angefasst werden.
• Namen sind Teil der Sicherheit. Der erste Fall ist nur passiert, weil eine erfundene Firma so hieß wie eine echte. Testdaten, die aussehen wie echte Daten, sind bequem und genau deshalb gefährlich.
• Zugangsdaten gehören nie in eine Ablage, die jemand lesen kann. Das galt vorher. Es gilt jetzt schärfer, weil die Suche danach nichts mehr kostet.
• Wenn etwas passiert, sagt man es. Auch wenn nichts kaputtgegangen ist. Das ist keine juristische Frage, das ist eine Frage, ob man beim nächsten Mal noch geglaubt wird.

Was ich nicht mitnehme: Angst. Kein Modell hat hier beschlossen, auszubrechen. Es hat eine Aufgabe zu Ende gebracht, in einem Raum, dessen Tür jemand offen gelassen hat. Das ist in der Summe beruhigender und im Detail unangenehmer, als die Überschriften nahelegen.

Zwei Dinge habe ich nicht belegen können, deshalb stehen sie hier als offene Fragen und nicht als Behauptung.

Ob Google die Einordnung als Fehlverhalten des Modells ausdrücklich zurückweist, habe ich in den mir zugänglichen Quellen nicht gefunden. Belegt ist nur, was oben steht: Das Modell hielt die echten Firmen für Teil des Tests, und es hat jeweils aufgehört.

Und ob die drei betroffenen Unternehmen das genauso sehen, weiß niemand. Ihre Namen sind nicht öffentlich. Sie sind die Einzigen in dieser Geschichte, die nicht gefragt wurden.