KI-Schriftsatz fliegt beim BAG raus, Phishing-Mails reden jetzt mit deiner KI

Das Bundesarbeitsgericht hat eine Beschwerde verworfen, weil sie erkennbar von einer KI stammte und der Anwalt sie offenbar ungeprüft unterschrieben hatte. Der Beschluss stammt vom 30. September (Az. 2 AZN 339/26), Legal Tribune Online hat ihn am 19. Oktober ausführlich besprochen. Der Schriftsatz kam ohne Kanzleibriefkopf, war ungewöhnlich formatiert und zitierte vier Gerichtsentscheidungen, die es nicht gibt. Drei weitere waren falsch wiedergegeben. Für das Gericht war es deshalb „schlechthin ausgeschlossen“, dass der Anwalt den Text selbst geprüft hatte. Vor dem BAG darf nur ein zugelassener Prozessbevollmächtigter auftreten, und ein Schriftsatz muss seine eigene geistige Arbeit sein. Übernimmt er einen fremden Entwurf, muss er ihn prüfen und dafür einstehen. Normalerweise gilt die Unterschrift als Beleg dafür. Bei erfundenen Fundstellen trägt diese Vermutung nicht mehr. Die nachgereichte Erklärung des Anwalts, er übernehme die Verantwortung, kam erst nach Ablauf der Frist. Die klagende Partei galt damit als nicht wirksam vertreten, die Beschwerde war unzulässig, und das Urteil des Landesarbeitsgerichts Baden-Württemberg bleibt bestehen. Den Schaden trägt also die Mandantschaft. Das Kammergericht Berlin hatte im vergangenen November bei erfundenen Zitaten noch eine mögliche Berufspflichtverletzung gesehen, die Partei aber weiter als vertreten behandelt. Das BAG geht einen Schritt weiter, und ich halte diese Strenge für richtig. Sie betrifft auch Betriebe ohne eigene Rechtsabteilung. Wer Verträge, Mahnungen oder Schreiben an Behörden von einer KI vorformulieren lässt, steht für jede Fundstelle darin selbst gerade. Die eigene Kanzlei darf man ruhig einmal fragen, wie sie KI-Entwürfe prüft.

Der Sicherheitsanbieter Barracuda hat eine Phishing-Mail untersucht, die zwei Empfänger auf einmal hereinlegen soll, den Menschen und den KI-Assistenten, der ihm das Postfach vorsortiert. Die Mail sieht aus wie interne Post. Absender und Empfänger sind dasselbe Postfach, sie kommt von einer Behördendomain und passiert deshalb die üblichen Reputationsfilter. Für den Menschen liegt ein passwortgeschützter Anhang bei, das Passwort steht gleich im Text. Für die KI stehen darin Anweisungen, die kein Mensch sieht. t3n hat die Analyse am 20. Oktober aufgegriffen. Der Trick heißt Prompt Injection. Ein Sprachmodell unterscheidet nicht zuverlässig zwischen dem Auftrag, den es von dir bekommt, und dem Text, den es bearbeiten soll. Steht in einer Mail versteckt, die Nachricht sei dringend, übernimmt der Assistent das womöglich in seine Zusammenfassung. Barracuda nennt vier Verstecke: HTML-Kommentare, die das Mailprogramm nicht anzeigt, Schrift in null Pixel Größe oder weiß auf weiß, Befehle in kodierten Bilddaten und unsichtbare Unicode-Zeichen zwischen normalem Text. Im gefährlichsten Beispiel bringt eine Rechnungsmail den Assistenten dazu, eine geänderte Bankverbindung als dringende Aufgabe aufzuführen. Barracuda leitet daraus einen Grundsatz ab, den jeder Agent mit Postfachzugang braucht. Externe Inhalte sind Daten und nie Befehle. In der Praxis heißt das, versteckte Elemente vor der KI-Verarbeitung herauszufiltern, die Rechte des Assistenten eng zu begrenzen und Zahlungen oder neue Lieferantendaten immer von einem Menschen freigeben zu lassen. Ein Mail-Agent, der selbst Anhänge öffnen oder Überweisungen anstoßen darf, ist mit dieser Masche eine einzige Rechnung vom Schaden entfernt.

Offene KI-Modelle, die jeder herunterladen kann, liegen bei Cyberfähigkeiten etwa sechs bis sieben Monate hinter den geschlossenen Spitzenmodellen. Das haben Jaeho Lee und Alexander Barry vom Forschungsinstitut Epoch AI am 16. Oktober ausgewertet. Grundlage ist ein Index aus 35 Sicherheits-Benchmarks, also standardisierten Tests, unter anderem vom britischen AI Security Institute. Bestes offenes Modell ist GLM-5.3 des chinesischen Anbieters Z.ai. Es übertrifft GPT-5.4 von OpenAI aus dem März und bleibt hinter Modellen aus dem April zurück. Die Autoren weisen selbst darauf hin, dass einzelne Werte auf nur drei oder vier Tests beruhen. Für die eigene Sicherheitsplanung halte ich den Abstand für die wichtigere Zahl als die Rangliste. Was heute nur ein Spitzenmodell mit Nutzungsregeln und Missbrauchskontrolle des Anbieters kann, läuft nach dieser Rechnung in gut einem halben Jahr auf beliebiger eigener Hardware. Wer Updates und Zugangsschutz plant, sollte mit diesem Takt rechnen.

Der Fundstellen-Prüfer Was dem Anwalt vor dem BAG gefehlt hat, lässt sich mit einem festen Arbeitsschritt nachrüsten. Die Idee ist ein zweiter KI-Durchgang, der nichts schreibt und nur auflistet. Er bekommt den fertigen Entwurf und zieht jede überprüfbare Angabe heraus, also Paragrafen, Urteile mit Aktenzeichen, Zahlen, Fristen, Namen und wörtliche Zitate. Heraus kommt eine Tabelle mit je einer Spalte für die Quelle und für die Person, die geprüft hat. Die Prüfung selbst bleibt beim Menschen. Ein Aktenzeichen schlägt man in einer Rechtsdatenbank nach, eine Zahl im Originaldokument, eine Frist im Vertrag. In Werkzeugen wie Make, Zapier oder n8n lässt sich der Prüfer als Zwischenschritt einbauen, bevor ein Entwurf in den Freigabeordner wandert. Wer ohne Automatisierung arbeitet, kopiert den Entwurf mit einer festen Anweisung in den Chat, der Effekt ist derselbe. Lohnend ist das für alles, was rechtlich oder finanziell bindet, etwa Angebote mit Vertragsklauseln, Abmahnungen, Stellungnahmen an Behörden oder Antworten auf Reklamationen. Der Prüfer findet keine Fehler. Er macht sichtbar, wo welche stecken könnten, und im Fall von oben hätte das gereicht. Dazu gehört eine feste Regel im Team. Bleibt eine Zeile leer, bleibt das Dokument liegen.

1. Google baut die Gemini-App zur Schaltzentrale für Kleinunternehmen aus. Eine neue Startseite bündelt Marketing, Finanzen und Kundeneinblicke, angebunden werden Google Business Profile, Google Ads und Workspace sowie Dienste wie Shopify, Canva, Dropbox, Xero und Zoho. Aus Tabellen und Belegen baut Gemini Grafiken und interaktive Rechenmodelle, ausrollen sollen die Funktionen in den kommenden Tagen weltweit. Preise nennt Google nicht. Wer Buchhaltungsdaten hochlädt, sollte vorher klären, unter welchen Datenschutzbedingungen das eigene Gemini-Konto läuft. 2) OpenAI hält wiederkehrende Teile von Anfragen jetzt auf Wunsch zwölf Stunden im Zwischenspeicher. Beim Prompt Caching merkt sich die Schnittstelle gleichbleibende Bausteine wie lange Systemanweisungen und berechnet sie beim nächsten Aufruf zum günstigeren Tarif für gespeicherte Eingaben. Das Anlegen des Zwölf-Stunden-Speichers kostet das 2,5-Fache des normalen Eingabepreises. Rechnen kann sich das für Agenten, die über den Tag verteilt immer wieder mit denselben langen Vorgaben arbeiten.