Weiße Schrift, klare Anweisung: Prompt Injection in der KI-gestützten Bewerbervorauswahl

Weiße Schrift auf weißem Grund ist für menschliche Augen eine leere Stelle im Lebenslauf. Ein Sprachmodell, das die Bewerbung als Text ausliest, liest sie trotzdem mit, und zwar gleichberechtigt mit allem anderen. Genau darauf zielen versteckte Anweisungen in Bewerbungsunterlagen, und die Forschung kann inzwischen beziffern, wie oft sie vorkommen.

In diesem Artikel ordne ich das Thema etwas gründlicher ein, als es in einem LinkedIn-Post möglich ist: was eine indirekte Prompt Injection ist und woher der Begriff kommt, was eine aktuelle Studie dazu gemessen hat, warum das Bundesamt für Sicherheit in der Informationstechnik (BSI) das Problem für nicht abschließend lösbar hält, was DSGVO, EU AI Act und Betriebsverfassungsgesetz dazu sagen, welche ersten Gerichtsentscheidungen es gibt und wie sich die Empfehlungen des BSI in einen Recruiting-Prozess übersetzen lassen. Der Blick richtet sich dabei auf die Unternehmen, die einen fairen Auswahlprozess verantworten.

KI im Recruiting ist gewollt, und das zu Recht

Dass KI in der Personalgewinnung ankommt, ist ausdrücklich gewollt und wird öffentlich gefördert. Julia Berner, Niclas Renner, Dimitri Evcenko und Holger Kett haben für das Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO und die Universität Stuttgart eine Marktstudie zu daten- und KI-basiertem Recruiting vorgelegt, erschienen Ende 2022 im Fraunhofer Verlag (Berner u. a., 2022). Sie ist im regionalen Zukunftszentrum pulsnetz.de entstanden, das das Bundesministerium für Arbeit und Soziales im Programm “Zukunftszentren (KI)” fördert, und richtet sich an soziale Einrichtungen, die mit einem wachsenden Fachkräftemangel kämpfen. In 13 Steckbriefen, gemeinsam mit den Anbietern erstellt, gibt sie einen Überblick über Werkzeuge entlang der Phasen des Bewerbermanagements.

Für die Frage dieses Artikels sind drei Gedanken der Studie besonders anschlussfähig. Erstens unterscheidet sie zwei Formen der Arbeitsteilung: Bei augmentierter Intelligenz bleibt der Mensch Entscheidungsträger und die Technik “handelt als perfekter Assistent des Menschen” (S. 11), bei autonomer Intelligenz agiert die Technik weitestgehend selbstständig und der Mensch “greift nur noch bei Fehlern ein” (S. 9). Zweitens hält sie fest, dass die finale Entscheidung für oder gegen Bewerbende “nur sehr schlecht an eine Künstliche Intelligenz zu übergeben” ist (S. 14), und sieht KI als Assistenz, die “bei Routineaufgaben entlastet und bei Vorarbeiten zur Entscheidungsfindung unterstützt” (S. 98). Drittens nennt sie unter den Kriterien für die Auswahl eines Werkzeugs ausdrücklich das CV-Parsing, also die automatische Erfassung der Bewerberdaten, und die Datensicherheit (S. 96), und sie fordert für die Einführung einen “Schulterschluss zwischen HR und IT” (S. 97).

Ich halte diese Richtung für richtig. Wenn Routinearbeit in der Personalgewinnung wegfällt, gewinnen gerade Organisationen ohne große Personalabteilung Zeit, und diese Zeit gehört den Gesprächen mit Menschen. Die Studie erschien allerdings kurz bevor Sprachmodelle wie ChatGPT in die breite Nutzung kamen, und versteht sich selbst als “Momentaufnahme” (S. 99). Seit solche Modelle Bewerbungen nicht mehr nur nach Stichworten durchsuchen, sondern lesen, zusammenfassen und bewerten, würde ich das Kriterium Datensicherheit um eine Frage ergänzen: Wie robust ist das Werkzeug gegen manipulierte Eingaben?

Bemerkenswert ist auch ein Befund, den die Studie aus einer Befragung der Deutschen Gesellschaft für Personalführung (DGFP), der TU Kaiserslautern und des Algorithm Accountability Lab von 2019 übernimmt. Auf die Frage, bei welchen Aufgaben sie KI befürworten, nannten die befragten Unternehmen am häufigsten Chatbots für die Vorselektion von Bewerbenden und die automatische Analyse von Dokumenten und Anschriften (zitiert nach Berner u. a., 2022, S. 14). Genau dort liegt heute die Angriffsfläche, um die es in diesem Artikel geht.

Was eine indirekte Prompt Injection ist

Bei einer direkten Prompt Injection gibt jemand die schädliche Anweisung selbst in das Eingabefeld ein, Angreifer und Nutzer sind dieselbe Person. Bei einer indirekten Prompt Injection sind die Rollen getrennt: Die Anweisung stammt aus einer externen Datenquelle, etwa einem Dokument oder einer Webseite, die das Modell verarbeitet (BSI, 2026, S. 4). Im Recruiting ist diese externe Quelle die Bewerbung selbst. Wer mit der KI arbeitet, sitzt im Recruiting, wer die Anweisung platziert hat, steckt hinter der Bewerbung.

Beschrieben haben dieses Muster zuerst Kai Greshake, Sahar Abdelnabi, Shailesh Mishra, Christoph Endres, Thorsten Holz und Mario Fritz, Forschende der Universität des Saarlandes, des CISPA Helmholtz-Zentrums für Informationssicherheit und der sequire technology GmbH. Ihre Kernthese lautet, dass Anwendungen mit eingebauten Sprachmodellen “die Grenze zwischen Daten und Anweisungen verwischen” (eigene Übersetzung, Greshake u. a., 2023). Das BSI formuliert denselben Befund nüchterner: “Ein LLM kann alleine nicht zwischen User-Prompt, Systemanweisungen, externen Anweisungen und Daten unterscheiden. Es nimmt alles als eine Kette von Tokens wahr.” (BSI, 2026, S. 6)

Wichtig für die Praxis ist, was alles als Inhalt gilt. Das BSI zählt dazu nicht nur den sichtbaren Fließtext, sondern jeden Bestandteil, der bei der Verarbeitung ausgelesen wird, also auch Metadaten, Annotationen und Kommentare. Verstecken lassen sich Anweisungen etwa über unsichtbare Unicode-Zeichen oder weiße Schrift auf weißem Hintergrund (ebd., S. 4). Für ein Bewerbungs-PDF heißt das: Was ein Mensch auf dem Bildschirm sieht, ist nur ein Teil dessen, was die KI liest.

In der Fachwelt gilt Prompt Injection als das wichtigste Sicherheitsrisiko von Anwendungen mit Sprachmodellen. Die OWASP Top 10 for LLM Applications führen es auf Platz eins (OWASP, LLM01:2025), laut BSI auch in der Fassung 2026. Unter den Beispielszenarien von OWASP findet sich ausdrücklich ein hochgeladener Lebenslauf mit aufgeteilten schädlichen Anweisungen.

Was die Forschung im Recruiting gemessen hat

Wie verbreitet das Phänomen ist, hat ein Forschungsteam um Mohan Zhang untersucht, die Arbeit erscheint auf dem USENIX Security Symposium 2026, einer etablierten Fachkonferenz für IT-Sicherheit. Grundlage sind rund 200.000 echte Lebensläufe der Recruiting-Plattform hireEZ aus mehreren Jahren. Etwa ein Prozent davon enthält versteckte Prompt Injections, mit steigender Tendenz in den letzten ein bis zwei Jahren. Über 90 Prozent der eingeschleusten Texte kommen ohne ausdrückliche Anweisung aus (Zhang u. a., 2026), das spricht eher für den älteren Versuch, Stichwortfilter mit unsichtbaren Schlagworten zu füttern. Der kleinere Rest wendet sich direkt an das Modell und gibt ihm vor, wie es die Person einstufen soll.

Zur sauberen Einordnung gehört, was die Studie offenlässt: Ob die Einschübe tatsächlich Entscheidungen verändert haben, misst sie nicht. Die Daten stammen außerdem von einer einzelnen US-amerikanischen Plattform, wie die Lage im deutschsprachigen Raum aussieht, ist damit nicht beantwortet. Ein Prozent klingt wenig, bei mehreren hundert Bewerbungen auf eine attraktive Stelle wären das trotzdem einige Unterlagen, in denen die KI etwas liest, das kein Mensch gesehen hat.

Warum Technik allein das Problem nicht löst

An dieser Stelle wird das Thema grundsätzlich. Das BSI hat bereits 2023 darauf hingewiesen, dass es keine zuverlässige Gegenmaßnahme gibt, die das Problem vollständig beseitigt, und selbst gezielt entwickelte Abwehrmaßnahmen lassen sich durch angepasste Angriffe umgehen (beides zitiert nach BSI, 2026, S. 4). Im September 2026 hat das Amt einen Basisschutz für KI-Chats mit hochgeladenen Dokumenten veröffentlicht. Er beruht auf Red-Teaming-Untersuchungen, also gezielten Angriffstests an mehreren solcher Anwendungen, und beschreibt fünf Basismaßnahmen an verschiedenen Stellen der Verarbeitungskette:

1. Eingabe-Bereinigung: versteckte und täuschende Zeichen herausfiltern, bevor der Text das Modell erreicht.
2. Vertrauensbereich-Trennung: den Dokumentinhalt als nicht vertrauenswürdige Daten markieren und klar vom eigentlichen Auftrag trennen.
3. Gehärteter System-Prompt: dem Modell feste Regeln mitgeben, unter anderem, dass Dokumente keine Anweisungsbefugnis haben.
4. Modellauswahl und Reasoning: robuste Modelle wählen, die vor der Antwort einen Denkschritt einlegen.
5. Egress-Filter: die fertige Antwort prüfen, bevor sie bei der Person ankommt.

Das Fazit des BSI ist bemerkenswert offen. Der Basisschutz versteht sich als Fundament, das “keinen Anspruch darauf hat, einen vollständigen Schutz zu gewährleisten”, und indirekte Prompt Injections “gelten weiterhin als nicht abschließend lösbares Problem” (ebd., S. 11). Eine Grenze benennt das BSI schon bei der ersten Maßnahme: “Inhaltlich-semantische Angriffe, die mit sauberem, unauffälligem Text argumentieren, passieren unverändert.” (ebd., S. 7) Eine Anweisung, die als ganz normaler Satz formuliert ist, fällt also durch jeden Zeichenfilter.

Dieses Prinzip kenne ich aus eigener Erfahrung. Im Oktober haben wir in meinem Obsidian-Plugin Token Usage bei der eigenen Prüfung eine Lücke gefunden und geschlossen: Ein präparierter Ordnername hätte im Dashboard Code ausführen können. Das war klassische Webtechnik statt KI, die Lehre ist trotzdem dieselbe: Was von außen kommt, bleibt Inhalt und wird nie zum Befehl.

Für Unternehmen folgt daraus etwas Unbequemes. Wo die Technik keine Garantie geben kann, müssen Prozess und Verantwortung tragen.

Der Rechtsrahmen: heute DSGVO, ab Dezember 2027 der AI Act

DSGVO. Nach Art. 22 Abs. 1 DSGVO hat jede betroffene Person das Recht, “nicht einer ausschließlich auf einer automatisierten Verarbeitung […] beruhenden Entscheidung unterworfen zu werden”, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Erwägungsgrund 71 nennt als Beispiel ausdrücklich “Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen”. Ausnahmen sieht Art. 22 Abs. 2 vor, etwa für den Abschluss eines Vertrags oder bei ausdrücklicher Einwilligung. Für diese Fälle verlangt Abs. 3 mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung (DSGVO).

Für die Prompt Injection ist das der entscheidende Punkt. Wo eine KI-Bewertung ohne menschliche Prüfung zur Absage führt, ist man nah an dem Fall, den Erwägungsgrund 71 beschreibt, und eine Manipulation fiele niemandem auf. Ab wann ein Mensch, der eine KI-Rangliste nur bestätigt, noch als echtes Eingreifen zählt, ist eine Rechtsfrage. Organisatorisch ist die Richtung klar: Die Person braucht die Zeit, die Befugnis und die Informationen, um anders zu entscheiden als das System.

Das Begriffspaar aus der Fraunhofer-Studie macht deutlich, warum. Bei autonomer Intelligenz greift der Mensch nur noch bei Fehlern ein (Berner u. a., 2022, S. 9). Eine gelungene Prompt Injection sieht aber nicht wie ein Fehler aus, sondern wie ein besonders überzeugendes Ergebnis. Wer Manipulation erkennen will, braucht deshalb die augmentierte Form, in der der Mensch tatsächlich entscheidet und die Technik zuarbeitet.

EU AI Act. KI-Systeme, die “bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um […] Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten”, gelten als hochriskant (Anhang III Nr. 4 lit. a). In aller Regel, denn Art. 6 Abs. 3 nimmt etwa eng gefasste Verfahrensaufgaben aus, allerdings nie, wenn das System ein Profiling natürlicher Personen vornimmt. Entscheidend ist die Rolle: Wer ein KI-System mit allgemeinem Verwendungszweck, etwa einen Chatbot, so einsetzt, dass es hochriskant wird, gilt nach Art. 25 Abs. 1 lit. c selbst als Anbieter. Die Risikoklasse hängt also am Einsatzzweck, nicht am Werkzeug.

Für Hochrisiko-Systeme verlangt Art. 15 Abs. 5, dass sie “widerstandsfähig gegen Versuche unbefugter Dritter sein [müssen], ihre Verwendung, Ausgaben oder Leistung durch Ausnutzung von Systemschwachstellen zu verändern”. Die technischen Lösungen sollen ausdrücklich auch Eingabedaten erfassen, die das Modell zu Fehlern verleiten sollen, im Gesetz “adversarial examples” oder “model evasions” genannt. Hier schließt sich der Kreis zum BSI, das für die Begriffe auf seine Publikation “Evasion Attacks on LLMs – Countermeasures in Practice” verweist. Betreiber müssen außerdem die menschliche Aufsicht Personen übertragen, “die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen” (Art. 26 Abs. 2). Diese Pflichten gelten ab dem 2. Dezember 2027 (Art. 113 lit. c, Verordnung (EU) 2024/1689, konsolidierte Fassung vom 27.07.2026).

Betriebsverfassungsgesetz. In Unternehmen mit Betriebsrat kommt deutsches Recht hinzu. Der Arbeitgeber unterrichtet den Betriebsrat rechtzeitig über die Planung von Arbeitsverfahren und Arbeitsabläufen “einschließlich des Einsatzes von Künstlicher Intelligenz” (§ 90 Abs. 1 Nr. 3 BetrVG), und Auswahlrichtlinien für Einstellungen bleiben zustimmungspflichtig, auch wenn bei ihrer Aufstellung KI zum Einsatz kommt (§ 95 Abs. 2a BetrVG).

Was Gerichte bisher sagen: eine erste rechtliche Einordnung

Vorab: Dieser Abschnitt ist meine Einschätzung aus der Praxis und keine Rechtsberatung. Er ist als allgemeine Darstellung von Rechtsfragen gedacht, wie sie § 2 Abs. 3 Nr. 5 Rechtsdienstleistungsgesetz von der Rechtsdienstleistung abgrenzt. Die Bewertung eines konkreten Falls gehört zu Anwälten und Gerichten.

Eine deutsche Gerichtsentscheidung zu Prompt Injection habe ich nicht gefunden, weder zu Bewerbungen noch allgemein (Stand 3. November 2026). Es gibt aber erste Urteile im Ausland, deutsche Rechtsprechung zu benachbarten Fragen und eine beginnende Diskussion in der Fachliteratur. Daraus lässt sich eine vorsichtige Einordnung ableiten.

Erste Urteile im Ausland: Die Gerichte ahnden schon das Verstecken. Alle bekannten Entscheidungen betreffen Schriftsätze an Gerichte, nicht Bewerbungen, das Muster ist aber dasselbe. In Brasilien haben mehrere Arbeitsgerichte und der Superior Tribunal de Justiça (STJ), eines der höchsten Gerichte des Landes, Anwälte sanktioniert, die Anweisungen an die KI der Justiz in ihren Schriftsätzen versteckt hatten. Am Arbeitsgericht São Paulo (9ª Vara do Trabalho, Verfahren 1000297-73.2026.5.02.0009) stand ein solcher Befehl in kleiner weißer Schrift am Ende einer Klageerwiderung und sollte eine KI dazu bringen, ein klageabweisendes Urteil zu entwerfen. Entdeckt hat ihn das gerichtseigene System Galileu beim Verarbeiten des Dokuments. Die Richterin wertete das als “vorsätzlichen Versuch, die ordnungsgemäße Rechtsprechung auf betrügerischem Wege zu verfälschen”, verhängte gegen die Anwälte eine Geldbuße von zehn Mindestlöhnen und informierte die Anwaltskammer. Das Unternehmen selbst blieb unbehelligt, weil der Schriftsatz Sache der Anwälte war (eigene Übersetzung, TRT-2, 2026). Im Oktober 2026 verhängte die 1. Kammer des STJ 20.000 Real gegen die Anwälte eines Rechtsmittels. Der versteckte Text stand dort in 0,8 Punkt Schrift, weiß und grün auf passendem Hintergrund, Schlüsselwörter waren zerteilt, um Suchfilter zu umgehen. Sanktioniert wurde das Verstecken, obwohl die Befehle das Werkzeug des Gerichts nicht beeinflusst hatten, der Fall ging zusätzlich an Anwaltskammer und Staatsanwaltschaft (Conjur, 2026).

In den USA hat im August 2026 ein Gericht in Connecticut (Superior Court, Elliott v. N.Y. Bariatric Group, LLC) einen Kläger sanktioniert, der Anweisungen an KI-Systeme in weißer Kleinstschrift in seine Schriftsätze geschrieben hatte. Die Anweisung blieb wirkungslos, weil der Richter auf einem Ausdruck entschied. Trotzdem verlor der Kläger das Recht, elektronisch einzureichen. Das Gericht verglich das Vorgehen mit einer heimlichen, einseitigen Kontaktaufnahme mit dem Entscheider und verwies ausdrücklich auf den brasilianischen Fall (Volokh, Reason, 13.08.2026).

Übertragen lässt sich das nur begrenzt, denn diese Gerichte wenden Regeln des Prozessrechts an, die für Bewerbungen nicht gelten. Als Signal taugt es trotzdem: Wer einer KI heimlich Anweisungen unterschiebt, wird von Gerichten nicht als jemand gesehen, der einen harmlosen Trick ausprobiert, sondern als jemand, der eine Entscheidung verdeckt beeinflussen will, und zwar unabhängig davon, ob es funktioniert hat.

Arbeitsrecht: Anfechtung nur, wenn die Täuschung den Vertrag bewirkt hat. Nach § 123 Abs. 1 BGB kann eine Erklärung anfechten, wer zu ihr “durch arglistige Täuschung […] bestimmt worden ist”. Das Bundesarbeitsgericht wendet das auf Einstellungen an: Wer eine zulässige Frage falsch beantwortet, riskiert die Anfechtung des Arbeitsvertrags, vorausgesetzt, die Täuschung war für den Abschluss des Vertrags ursächlich (BAG, 07.07.2011, 2 AZR 396/10). Meine Einschätzung: Versteckte Stichworte, die Qualifikationen vorspiegeln, die jemand nicht hat, kämen einer klassischen Täuschung nahe. Eine reine Anweisung an die KI behauptet dagegen keine Tatsache, und ob schon das Verstecken selbst als Täuschung zählt, hat in Deutschland noch kein Gericht entschieden. Dazu kommt die Ursächlichkeit: Wer nach Gesprächen von Mensch zu Mensch einstellt, wird kaum behaupten können, ein unsichtbarer Satz im Lebenslauf habe den Vertrag bewirkt. Ein guter Auswahlprozess schützt also doppelt, vor der Manipulation und vor dem Streit darüber.

Strafrecht: offen, mit einer Ausnahme in Sicht. Auch hier ist mir keine deutsche Entscheidung bekannt. Computerbetrug nach § 263a StGB erfasst, wer “das Ergebnis eines Datenverarbeitungsvorgangs” unter anderem “durch Verwendung unrichtiger oder unvollständiger Daten” oder “sonst durch unbefugte Einwirkung auf den Ablauf” beeinflusst. Das klingt auf den ersten Blick nach Prompt Injection. Wie beim Betrug (§ 263 StGB) verlangt das Gesetz aber, dass dadurch “das Vermögen eines anderen” beschädigt wird. Meine Einschätzung: Eine verschobene KI-Rangliste beschädigt für sich genommen kein Vermögen, die Entscheidung trifft am Ende ein Mensch, und ob eine so erlangte Stelle einen Vermögensschaden bedeutet, ist eine eigene Frage des Strafrechts, die ich hier nicht beantworten kann. Anders kann es aussehen, wenn eine eingeschleuste Anweisung darauf zielt, Daten abzugreifen, etwa andere Bewerbungen oder die internen Regeln eines KI-Assistenten im Personalbereich. Christoph Werner und Dennis-Kenji Kipker vertreten, dass ein System-Prompt als Zugangssicherung im Sinne von § 202a StGB gelten und eine Prompt Injection diese Sicherung überwinden kann (kes, 2025). Das ist eine Stimme aus der Fachliteratur, noch keine Rechtsprechung.

Datenschutz: Die vorhandene Rechtsprechung trifft vor allem das Unternehmen. Zwei Urteile des Europäischen Gerichtshofs sind hier einschlägig, auch wenn sie Bonitätsbewertungen betreffen. Im SCHUFA-Urteil hat der Gerichtshof entschieden, dass schon das “Scoring” als grundsätzlich verbotene “automatisierte Entscheidung im Einzelfall” anzusehen ist, sofern die Kunden der Auskunftei ihm “eine maßgebliche Rolle” bei ihrer Entscheidung beimessen (EuGH, C-634/21, Pressemitteilung 186/23). Im Urteil Dun & Bradstreet Austria hat er ergänzt, dass der Verantwortliche “das Verfahren und die Grundsätze, die konkret zur Anwendung kommen”, so beschreiben muss, dass die betroffene Person nachvollziehen kann, welche ihrer Daten auf welche Art verwendet wurden, und dass die “bloße Übermittlung eines Algorithmus” dafür nicht genügt (EuGH, C-203/22, Pressemitteilung 22/25). Meine Einschätzung: Übertragen auf das Recruiting liegt nahe, dass auch eine KI-Rangliste, die die Auswahl maßgeblich prägt, unter Art. 22 DSGVO fallen kann, selbst wenn am Ende formal ein Mensch unterschreibt. Wer erklären muss, wie eine Einstufung zustande kam, braucht einen Prozess, den er selbst nachvollziehen kann, und eine Rangliste, die sich durch eingeschleuste Anweisungen verschieben lässt, ist genau das nicht.

EU AI Act: noch keine Rechtsprechung. Die Hochrisiko-Pflichten gelten erst ab dem 2. Dezember 2027, Gerichtsentscheidungen dazu kann es naturgemäß noch nicht geben.

Zwischenfazit. Wer heute fragt, ob versteckte Anweisungen in Bewerbungen verboten sind, bekommt keine einfache Antwort. Für Bewerbende ist die Lage in Deutschland offen und hängt am Einzelfall, die ersten Urteile im Ausland zeigen aber, wie Gerichte solches Verhalten lesen. Für Unternehmen ist sie klarer: Die Rechtsprechung zu automatisierten Entscheidungen verlangt Nachvollziehbarkeit und eine echte menschliche Entscheidung, und genau das schützt auch gegen Manipulation. Für das Unternehmen zählt deshalb vor allem, ob der eigene Prozess hält.

Was Unternehmen konkret tun können

Die Maßnahmen des BSI richten sich in erster Linie an alle, die solche Anwendungen bauen oder betreiben. Übersetzt in einen Recruiting-Prozess ergeben sich daraus aus meiner Sicht sechs Schritte:

1. Bestandsaufnahme nach Einsatzzweck, gemeinsam mit der IT. Wo liest KI Bewerbungen mit, im Bewerbermanagementsystem, in einem Zusatzmodul, in einem Chatbot, in den jemand Lebensläufe kopiert? Gerade die inoffizielle Nutzung entspricht dem Szenario, für das das BSI seinen Basisschutz geschrieben hat. Der “Schulterschluss zwischen HR und IT”, den die Fraunhofer-Studie für die Einführung fordert (S. 97), ist hier wörtlich zu nehmen, denn Prompt Injection ist ein Sicherheitsthema mitten im Personalprozess.
2. Versteckten Inhalt sichtbar machen. Bewerbungen vor der KI auf unsichtbaren Text, Metadaten und Kommentare prüfen, also auf alles, was die KI liest und ein Mensch auf dem Bildschirm nicht sieht.
3. Markieren statt löschen. Das BSI schlägt vor, auffällige Inhalte zu markieren und zu protokollieren, statt sie zu entfernen, weil ein Löschen den Angriff für die Auswertung verbirgt und solche Inhalte auch legitim sein können (BSI, 2026, S. 7). Ein Fund ist ein Hinweis und kein Urteil, er gehört vor einen Menschen, und für das, was danach passiert, braucht es eine feste Regel (siehe direkt unter dieser Liste).
4. Die KI sortiert vor, der Mensch entscheidet. Jede Absage verantwortet eine Person mit der Kompetenz, der Zeit und der Befugnis, anders zu entscheiden als das System. Das entspricht auch der Linie der Fraunhofer-Studie (S. 14).
5. Den Anbieter fragen und selbst testen. Die Fraunhofer-Studie rät, Software vor der Anschaffung ausgiebig auf die eigenen Anforderungen zu prüfen (S. 97). Dazu gehören heute Fragen wie diese: Wie trennt euer System Bewerbungsinhalte von Anweisungen? Welche der fünf Basismaßnahmen des BSI sind umgesetzt? Wird regelmäßig mit gezielten Angriffstests geprüft? Das BSI stellt dafür ein quelloffenes Lern- und Testlabor bereit, das auch eine automatische Prüfung enthält, ob ein dokumentbasierter KI-Chat die fünf Basismaßnahmen umsetzt (BSI auf GitHub).
6. Betriebsrat und Beschäftigte früh einbinden. Unterrichtung nach § 90 BetrVG, Zustimmung bei Auswahlrichtlinien nach § 95 BetrVG und eine kurze Schulung für alle, die mit dem Werkzeug arbeiten. Die Schulung ist zugleich eine naheliegende Maßnahme, um die KI-Kompetenz nach Art. 4 AI Act zu unterstützen, die seit Februar 2025 gilt.

Was nach der Markierung passiert

Diesen Teil ließ die erste Fassung dieses Artikels offen. Carsten Ratzlaff hat nach der Veröffentlichung genau hier nachgefragt, und er hat recht: Versteckter Text in einer Bewerbung lässt sich als bewusster Manipulationsversuch lesen oder als Trick aus einem Ratgeber, den jemand ungeprüft übernommen hat. Gibt es keine Regel, bewertet am Ende jede Person die Markierung anders, und sie wird selbst zum Auswahlkriterium. Die Zahlen sprechen eher für die zweite Lesart, denn über 90 Prozent der eingeschleusten Texte kommen ohne ausdrückliche Anweisung aus (Zhang u. a., 2026).

Ich empfehle deshalb eine Regel, die vor der Ausschreibung feststeht, für alle gleich gilt und die Frage nach der Absicht gar nicht beantworten muss:

1. Über die Eignung entscheidet nur, was ein Mensch sieht. Der versteckte Text zählt weder für noch gegen die Person.
2. Bewerbungen mit Fund sichtet ein Mensch ohne KI-Bewertung. Das Original mit Markierung bleibt in der Akte, gelöscht wird also weiterhin nichts.
3. Der Fund wird dokumentiert, mehr nicht. Wo es die Größe des Teams zulässt, prüft ihn jemand, der nicht in der Auswahl sitzt.
4. Der Betriebsrat sitzt mit am Tisch. Wo es einen gibt, gehört er bei dieser Regel dazu, wie bei allem anderen aus Schritt 6.

So schützt die Markierung den Prozess, statt die Person zu bewerten.

Warum die Absage beim Menschen bleibt

Naheliegend wäre, Bewerbungen mit verstecktem Text gleich automatisch auszusortieren. Das verbietet die DSGVO im Grundsatz, und zwar unabhängig davon, ob dahinter eine KI steckt oder ein einfacher Filter, der weiße Schrift erkennt, denn Art. 22 Abs. 1 erfasst jede Entscheidung, die “ausschließlich auf einer automatisierten Verarbeitung” beruht und die Person erheblich beeinträchtigt (siehe den Abschnitt zum Rechtsrahmen). Eine Scheinprüfung ändert daran nichts. Nach den Leitlinien der Artikel-29-Datenschutzgruppe, des Vorgängers des Europäischen Datenschutzausschusses, muss die menschliche Prüfung ernsthaft sein und nicht bloß eine symbolische Geste, und sie muss von jemandem kommen, der die Befugnis und die Kompetenz hat, die Entscheidung zu ändern (eigene Übersetzung, Artikel-29-Gruppe, WP251rev.01, S. 21).

Ernst zu nehmen ist die Ausnahme für den Abschluss eines Vertrags (Art. 22 Abs. 2 lit. a). Die Leitlinien halten es für möglich, bei Zehntausenden Bewerbungen auf eine Stelle irrelevante Bewerbungen vollautomatisch auszusortieren, allerdings nur, wenn kein weniger eingreifendes Mittel denselben Zweck erfüllt (ebd., S. 23). Meine Einschätzung: Für versteckten Text trägt das nicht. Mit Markieren und menschlicher Prüfung liegt das mildere Mittel auf dem Tisch, außerdem macht versteckter Text eine Bewerbung nicht irrelevant, über die Eignung sagt er nichts aus. Eine Rechtsvorschrift, die automatische Absagen im Recruiting erlaubt (lit. b), enthält das BDSG nicht, sein § 37 betrifft nur Leistungen aus Versicherungsverträgen. Eine Einwilligung (lit. c) trägt schwer, weil Bewerbende als Beschäftigte gelten (§ 26 Abs. 8 Satz 2 BDSG) und ihre Freiwilligkeit an der Abhängigkeit gemessen wird (§ 26 Abs. 2 BDSG).

Selbst wo eine Ausnahme greift, bleibt die Tür zum Menschen offen. Art. 22 Abs. 3 verlangt mindestens das Recht, das Eingreifen einer Person zu erwirken, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten. Wer automatisiert entscheidet, muss das außerdem vorab offenlegen, mit aussagekräftigen Informationen über die “involvierte Logik” (Art. 13 Abs. 2 lit. f DSGVO). Ab dem 2. Dezember 2027 kommt der AI Act hinzu: Ein Hochrisiko-System muss so zur Verfügung gestellt werden, dass die zuständigen Personen in der Lage sind, seine Ausgabe “außer Acht zu lassen, außer Kraft zu setzen oder rückgängig zu machen” (Art. 14 Abs. 4 lit. d). Praktisch träfe eine automatische Absage gerade die Fälle mit dem harmlosen Ratgebertrick, und sie wäre das Gegenteil dessen, was das BSI empfiehlt: Statt eines auffälligen Inhalts verschwände gleich die ganze Person aus dem Verfahren.

Grenzen dieser Einordnung

Ein paar Einschränkungen gehören zur Ehrlichkeit dazu. Die Zahlen von Zhang u. a. beschreiben die Verbreitung, nicht die Wirkung, und stammen von einer US-Plattform. Der Basisschutz des BSI ist für dokumentbasierte KI-Chats geschrieben, nicht speziell für Bewerbermanagementsysteme, die Übertragung auf den Recruiting-Prozess ist meine eigene. Das gilt auch für die Regel zum Umgang mit Markierungen, weder das BSI noch ein Gesetz geben sie so vor. Die Leitlinien der Artikel-29-Gruppe zu automatisierten Entscheidungen stammen von 2018 und kennen Sprachmodelle noch nicht, ihr Beispiel zu Massenbewerbungen übertrage ich selbst auf den Fall versteckten Texts. Die Marktstudie von Berner u. a. erschien Ende 2022 und behandelt Sprachmodelle und Manipulation nicht, die Verbindung zu ihren Begriffen ist meine Lesart. Bei den beiden EuGH-Urteilen stütze ich mich auf die Pressemitteilungen des Gerichtshofs, bei den Fällen aus Brasilien und den USA auf die Meldung des Gerichts in São Paulo und auf Berichte der Fachpresse, nicht auf die Urteilstexte selbst. Rechtlich ist dieser Artikel eine Einordnung aus der Praxis und keine Rechtsberatung.

Fazit: Governance für die KI und gegen ihre Manipulation

Die angewandte Forschung ermutigt zu Recht, im Recruiting mit KI durchzustarten, und die Sicherheitsforschung zeigt, dass Sprachmodelle nicht zuverlässig zwischen Inhalt und Befehl unterscheiden. Beides gehört zusammen. Wer KI Bewerbungen lesen lässt, braucht deshalb Governance in zwei Richtungen, für die KI und gegen ihre Manipulation. Das schützt das Unternehmen, und es schützt vor allem die vielen Menschen, die ihre Unterlagen ehrlich einreichen und darauf vertrauen, dass alle nach denselben Regeln gelesen werden. Bewerbende wünschen sich das übrigens auch: Je nach Situation bevorzugen mehr als drei Viertel von ihnen eindeutig einen Menschen (Dahm und Dregger, 2018, zitiert nach Berner u. a., 2022, S. 16).

Hinweis: Dieser Artikel ist eine Einordnung aus der Praxis und ersetzt keine Rechtsberatung. Alle Quellen wurden am 3. November 2026 geprüft. Ergänzt am 4. November 2026: die Abschnitte “Was nach der Markierung passiert” und “Warum die Absage beim Menschen bleibt”, nach einer Frage von Carsten Ratzlaff. Gesetzestexte nach der konsolidierten Fassung des EU AI Act vom 27.07.2026 und der DSGVO im Wortlaut.

Quellen und Literatur

• Bundesamt für Sicherheit in der Informationstechnik (2026): Basisschutz gegen Indirect Prompt Injections in dokumentbasierten LLM-Chats. Version 1.0 vom 14.09.2026, Bonn.
• Bundesamt für Sicherheit in der Informationstechnik (2026): Baseline Defense Lab, Indirect Prompt Injections. Quelloffenes Lern- und Testlabor auf GitHub.
• Bundesamt für Sicherheit in der Informationstechnik (2023): Indirect Prompt Injections: Intrinsische Schwachstelle in anwendungsintegrierten KI-Sprachmodellen. Zitiert nach BSI (2026).
• Bundesamt für Sicherheit in der Informationstechnik (2025): Evasion Attacks on LLMs – Countermeasures in Practice. Zitiert nach BSI (2026).
• Berner, Julia; Renner, Niclas; Evcenko, Dimitri; Kett, Holger (2022): Marktstudie daten- und KI-basiertes Recruiting. Moderne Lösungen zur aktiven Personalgewinnung in der Sozialwirtschaft. Stuttgart: Fraunhofer Verlag. ISBN 978-3-8396-1882-0. Kostenlose PDF-Fassung über Fraunhofer-Publica.
• Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO (2023): Im Recruiting durchstarten mit daten- und KI-basierten Tools. Presseinformation vom 11.01.2023 zur Marktstudie.
• Greshake, Kai; Abdelnabi, Sahar; Mishra, Shailesh; Endres, Christoph; Holz, Thorsten; Fritz, Mario (2023): Not What You’ve Signed Up For: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection. In: Proceedings of the 16th ACM Workshop on Artificial Intelligence and Security (AISec ‘23), S. 79 bis 90.
• Zhang, Mohan; Jia, Yuqi; Tan, Zhen; Jiang, Steven; Gong, Neil Zhenqiang; Chen, Tianlong; Song, Dawn (2026): Measuring Real-World Prompt Injection Attacks in LLM-based Resume Screening. USENIX Security Symposium 2026.
• OWASP Foundation (2025): LLM01:2025 Prompt Injection. OWASP Top 10 for LLM Applications.
• Artikel-29-Datenschutzgruppe (2018): Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679. WP251rev.01, angenommen am 3. Oktober 2017, zuletzt überarbeitet am 6. Februar 2018.
• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 13, Art. 22 und Erwägungsgrund 71.
• Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27.07.2026, Art. 6, 14, 15, 25, 26, 113 und Anhang III.
• Bundesdatenschutzgesetz, § 26 und § 37.
• Betriebsverfassungsgesetz, § 90 und § 95.
• Bürgerliches Gesetzbuch, § 123. Strafgesetzbuch, § 202a, § 263 und § 263a. Rechtsdienstleistungsgesetz, § 2.

Rechtsprechung und Fachbeiträge zur rechtlichen Einordnung

• Bundesarbeitsgericht, Urteil vom 07.07.2011, 2 AZR 396/10 (Anfechtung des Arbeitsvertrags wegen arglistiger Täuschung, Ursächlichkeit).
• Gerichtshof der Europäischen Union, Urteil vom 07.12.2023, C-634/21 (SCHUFA Holding, Scoring). Pressemitteilung Nr. 186/23.
• Gerichtshof der Europäischen Union, Urteil vom 27.02.2025, C-203/22 (Dun & Bradstreet Austria). Pressemitteilung Nr. 22/25.
• Tribunal Regional do Trabalho da 2ª Região (2026): Comando para IA oculto em contestação gera multa por litigância de má-fé a advogados. Meldung vom 14.07.2026 zum Verfahren 1000297-73.2026.5.02.0009.
• Conjur (2026): STJ multa advogados em R$ 20 mil por uso de prompt injection em petição. Bericht vom 20.10.2026.
• Nunes, Dierle; Pereira, João Sérgio; Chalfun, Gustavo (2026): IA e processo judicial: entre a fraude invisível e o erro no caso do prompt injection no TRT-8. Conjur, 14.05.2026.
• Volokh, Eugene (2026): Court Faults Self-Represented Plaintiff for Including Hidden “Prompt Injection” in Court Filing. Reason, 13.08.2026, zu Elliott v. N.Y. Bariatric Group, LLC (Connecticut Superior Court).
• Werner, Christoph; Kipker, Dennis-Kenji (2025): Prompt Injections könnten nach deutschem Recht strafbar sein. kes Informationssicherheit, 26.12.2025.