Techniken der Prompt Injection und des Jailbreakings
Dieser Katalog verzeichnet 51 öffentlich dokumentierte Techniken, mit denen sich das Verhalten von Sprachmodellen entgegen der Absicht des Betreibers verändern lässt. Jede Technik ist einer von zehn Kategorien zugeordnet, mit einer Risikoeinschätzung für produktive Systeme versehen und mit einer Primärquelle belegt: Paper, Hersteller-Advisory oder OWASP-Eintrag. Die Darstellung ist durchgehend defensiv. Sie erklärt das Prinzip einer Technik, damit Betreiber ihre Systeme prüfen und härten können, und enthält keine einsatzfertigen Angriffsanleitungen gegen konkrete Live-Systeme.
Von den 51 Einträgen sind 34 als Risiko hoch eingestuft, 17 als mittel. Die Einstufung bezieht sich auf die praktische Gefährdung produktiver Anwendungen, nicht auf die Neuartigkeit eines Verfahrens. Ein einfacher, gut dokumentierter Angriff, der bei vielen Systemen wirkt, ist gefährlicher als ein raffinierter Laborangriff. Grundlagen zur Einordnung stehen im Pillar Was ist Prompt Injection?; nach dem Weg der Anweisung sortiert der Cluster Arten.
Die zehn Kategorien
Direkte Injektion (4 Techniken). Der Angreifer gibt die Anweisung selbst ein. Dazu zählen der Anweisungen-ignorieren-Angriff, das System-Prompt-Auslesen, die Zielentführung und die Kontext-Überflutung.
Indirekte Injektion (8 Techniken). Die Anweisung stammt aus Inhalten, die das System abruft: versteckter Text in Webseiten, E-Mails, Dokumente, Kalendereinladungen, vergiftete Suchergebnisse.
Jailbreak (8 Techniken). Verfahren, die auf die Sicherheitsregeln des Modellanbieters zielen, von Rollenspiel-Personas über Skeleton Key bis Policy Puppetry.
Obfuskation (8 Techniken). Die Anweisung wird so kodiert, dass Filter sie nicht erkennen, das Modell sie aber versteht: Base64, ASCII Smuggling, Homoglyphen und Zero-Width-Zeichen, ASCII-Art.
Multi-Turn (6 Techniken). Der Angriff verteilt sich über mehrere Gesprächsrunden, sodass keine einzelne Eingabe auffällig ist. Crescendo, Echo Chamber und Many-Shot-Jailbreaking sind die bekanntesten Vertreter.
Automatisiert (6 Techniken). Optimierungsverfahren erzeugen Angriffs-Eingaben maschinell, etwa GCG-Suffixe, AutoDAN, PAIR oder Tree of Attacks. Sie sind der Grund, warum Handarbeit an Sperrlisten nicht skaliert.
Agenten-Angriffe (6 Techniken). Zielen auf Systeme, die handeln können: Tool-Poisoning über MCP, Werkzeug-Missbrauch, verwirrter Stellvertreter, Zero-Click-Injektion.
Datenvergiftung (2 Techniken). Setzt vor dem Betrieb an: RAG-Vergiftung manipuliert die Wissensbasis, eine Backdoor im Modell das Modell selbst.
Exfiltration (2 Techniken). Der Rückkanal, über den Daten das System verlassen: Markdown-Bilder und präparierte Links. Ohne ihn bleibt eine Injektion folgenlos.
Multimodal (1 Technik). Injektion über Bild und Ton, sichtbar als Text im Bild oder unsichtbar als adversariale Störung.
Wie dieser Katalog zu lesen ist
Jede Technik-Seite folgt derselben Gliederung: Definition, Funktionsweise, erklärendes Beispiel, Risiko, Schutz, verwandte Techniken, Quelle. Sie endet bei den Gegenmaßnahmen, nicht bei der Ausführung.
Die Zuordnung zu den OWASP LLM Top 10 steht auf jeder Seite.1 42 der 51 Techniken fallen unter LLM01 Prompt Injection, die übrigen unter LLM02 bis LLM08, je nachdem, wo der eigentliche Schaden entsteht. Diese Verteilung ist selbst ein Befund: Prompt Injection ist selten das Ziel eines Angriffs, meist ist sie der Einstieg.
Die vollständige, nach Kategorie und Risiko filterbare Liste steht unter diesem Text. Für die Gegenseite siehe Schutz vor Prompt Injection und das Verzeichnis der Werkzeuge.
Direkte Injektion 4
-
Anweisungen-ignorieren-Angriff
Der klassische Einstieg in die Prompt Injection: Der Angreifer schreibt in die Nutzereingabe eine Anweisung, die dem Modell befiehlt, seine bisherigen Vorgaben zu verwerfen und stattdessen der neuen Anweisung zu folgen.
Risiko hochLLM01 -
Kontext-Überflutung
Der Angreifer füllt das Kontextfenster mit sehr viel Text, sodass die eigentlichen Sicherheitsanweisungen an Gewicht verlieren oder aus dem Kontext gedrängt werden.
Risiko mittelLLM01 -
System-Prompt-Auslesen
Angriff mit dem Ziel, den verborgenen System-Prompt einer Anwendung offenzulegen — samt Regeln, Rollenbeschreibung und teils eingebetteten Geschäftsgeheimnissen.
Risiko mittelLLM07 -
Zielentführung
Der Angreifer ersetzt nicht die Regeln, sondern das Ziel der Anwendung: Ein Übersetzungsdienst schreibt plötzlich Werbetexte, ein Support-Bot gibt Rabatte — die Anwendung arbeitet weiter, nur für den Falschen.
Risiko hochLLM01
Indirekte Injektion 8
-
Gedächtnis-Injektion
Der Angriff schreibt manipulierte Einträge in das Langzeitgedächtnis eines Assistenten — die Anweisung überdauert damit die einzelne Sitzung und wirkt in allen künftigen Gesprächen fort.
Risiko hochLLM01 -
Gespeicherte Prompt Injection
Die Anweisung wird dauerhaft in einem Datenspeicher abgelegt — Vektordatenbank, Wissensbasis, Profilfeld — und wirkt bei jedem künftigen Abruf erneut, auch auf andere Nutzer.
Risiko hochLLM01 -
Indirekte Prompt Injection
Die Anweisung stammt nicht vom Nutzer, sondern aus Inhalten, die das System selbst lädt — Webseiten, Dokumente, E-Mails. Der Angreifer muss nie mit der Anwendung interagieren.
Risiko hochLLM01 -
Injektion über Dokumente
PDF-, Office- oder Textdateien enthalten versteckte Anweisungen, die wirksam werden, sobald ein Assistent das Dokument zusammenfassen oder auswerten soll.
Risiko hochLLM01 -
Injektion über E-Mail
Eine präparierte E-Mail genügt: Sobald ein Assistent das Postfach durchsucht oder zusammenfasst, gelangen die eingebetteten Anweisungen in seinen Kontext — ohne dass der Nutzer die Mail öffnen muss.
Risiko hochLLM01 -
Injektion über Kalender-Einladungen
Anweisungen werden in Titel oder Beschreibung eines Kalendereintrags versteckt und ausgelöst, sobald der Assistent den Kalender liest — bis hin zur Steuerung angebundener Geräte.
Risiko hochLLM01 -
Vergiftung von Suchergebnissen
Angreifer stellen Webseiten ins Netz, deren sichtbarer Inhalt für Menschen belanglos ist, die aber gezielt Anweisungen für Agenten enthalten, die diese Seiten über die Websuche abrufen.
Risiko hochLLM01 -
Versteckter Text in Webseiten
Anweisungen werden für Menschen unsichtbar in eine Webseite eingebettet — weiße Schrift auf weißem Grund, Schriftgröße null, HTML-Kommentare oder ausgeblendete Elemente — bleiben für den Agenten aber lesbar.
Risiko hochLLM01
Jailbreak 8
-
DAN („Do Anything Now")
Die bekannteste Familie von Community-Jailbreak-Prompts: Das Modell soll eine entfesselte Zweitpersönlichkeit annehmen, die „alles darf" — häufig verstärkt durch ein fiktives Punkte- oder Strafsystem.
Risiko mittelLLM01 -
DeepInception (verschachtelte Fiktion)
Mehrfach verschachtelte fiktive Szenen — eine Geschichte in einer Geschichte in einer Geschichte — verwässern den Bezug zur Realität, bis das Modell die Sicherheitsprüfung auf die innerste Ebene nicht mehr anwendet.
Risiko mittelLLM01 -
Kombinationsangriffe
Die praktisch wirksamsten Angriffe kombinieren mehrere Techniken — etwa Rollenspiel plus Kodierung plus Verweigerungs-Unterdrückung — und übersteigen dadurch die Wirkung jeder Einzeltechnik.
Risiko hochLLM01 -
Policy Puppetry
Von HiddenLayer 2025 veröffentlichte Technik: Der Angriffs-Prompt wird als strukturierte Richtliniendatei (XML, JSON, INI) formuliert, die das Modell als interne Konfiguration statt als Nutzereingabe interpretiert.
Risiko hochLLM01 -
Rollenspiel-Persona
Das Modell wird gebeten, eine fiktive Rolle einzunehmen, für die die üblichen Regeln angeblich nicht gelten — die Fiktion dient als Vorwand für regelwidrige Ausgaben.
Risiko mittelLLM01 -
Selbsttäuschung des Modells
Das Modell wird veranlasst, den schädlichen Kontext selbst zu erzeugen — anschließend arbeitet es mit seinem eigenen, als vertrauenswürdig behandelten Output weiter.
Risiko mittelLLM01 -
Skeleton Key
Von Microsoft dokumentierte Technik, bei der das Modell nicht zum Regelbruch überredet, sondern gebeten wird, seine Regeln zu „ergänzen": Es soll künftig alles beantworten und lediglich eine Warnung voranstellen.
Risiko hochLLM01 -
Verweigerungs-Unterdrückung
Dem Modell wird untersagt, typische Ablehnungsformeln zu verwenden („sage niemals ‚Ich kann nicht'") — der sprachliche Ausweg für eine Verweigerung wird ihm damit genommen.
Risiko mittelLLM01
Mehrstufiger Angriff 6
-
Bad Likert Judge
Von Unit 42 beschriebene Technik: Das Modell wird als Bewertungsinstanz eingesetzt und soll Beispielantworten zu verschiedenen Stufen einer Likert-Skala erzeugen — die Höchststufe enthält den schädlichen Inhalt.
Risiko hochLLM01 -
Crescendo
Von Microsoft beschriebener Mehrschritt-Angriff: Das Gespräch beginnt harmlos und steigert sich in kleinen, jeweils plausiblen Schritten, bis das Modell den ursprünglich abgelehnten Inhalt liefert.
Risiko hochLLM01 -
Deceptive Delight
Von Unit 42 beschriebene Technik: Ein unzulässiges Thema wird zwischen zwei harmlose Themen gebettet und das Modell gebeten, alle drei in einer positiven Erzählung zu verbinden — anschließend soll es den kritischen Teil ausführen.
Risiko mittelLLM01 -
Echo Chamber
Von NeuralTrust beschriebene Kontextvergiftung: Harmlose „Saat"-Aussagen werden gesetzt und über mehrere Turns vom Modell selbst wiederholt, bis der vergiftete Kontext als eigener Konsens wirkt.
Risiko hochLLM01 -
Many-Shot-Jailbreaking
Von Anthropic veröffentlichte Technik: Sehr viele fingierte Dialogbeispiele, in denen ein „Assistent" regelwidrig antwortet, werden in den Prompt gestellt — das Modell setzt das Muster fort.
Risiko hochLLM01 -
Persuasions-Jailbreak
Der Angriff nutzt klassische sozialwissenschaftliche Überzeugungstechniken — Autorität, Reziprozität, emotionale Appelle — statt technischer Tricks, um das Modell zur Kooperation zu bewegen.
Risiko mittelLLM01
Obfuskation 8
-
ASCII Smuggling (unsichtbare Unicode-Tags)
Anweisungen werden in Unicode-Tag-Zeichen kodiert, die in Oberflächen unsichtbar bleiben, vom Modell aber als Text gelesen werden — der Mensch sieht nichts, das Modell folgt.
Risiko hochLLM01 -
ASCII-Art-Jailbreak (ArtPrompt)
Ein sicherheitsrelevantes Schlüsselwort wird als ASCII-Art dargestellt. Das Modell rekonstruiert das Wort aus der Grafik, die Sicherheitsprüfung auf Textebene erkennt es nicht.
Risiko mittelLLM01 -
Base64- und Kodierungs-Umgehung
Die schädliche Anweisung wird kodiert übergeben (z. B. Base64) und erst vom Modell selbst dekodiert — Filter, die den Klartext prüfen, greifen ins Leere.
Risiko mittelLLM01 -
Chiffren- und Leetspeak-Umgehung
Die Anfrage wird in einer einfachen Chiffre (ROT13, Caesar, Leetspeak, Morse) gestellt; das Modell entschlüsselt sie und antwortet, während Sicherheitsfilter die Bedeutung nicht erfassen.
Risiko mittelLLM01 -
Homoglyphen und Zero-Width-Zeichen
Schlüsselwörter werden mit optisch identischen Zeichen aus anderen Alphabeten oder mit unsichtbaren Trennzeichen geschrieben, um Signatur- und Sperrlisten-Filter zu unterlaufen.
Risiko mittelLLM01 -
Payload-Splitting
Die schädliche Anweisung wird in harmlose Bruchstücke zerlegt, die einzeln jeden Filter passieren; das Modell setzt sie erst im Kontext wieder zusammen.
Risiko mittelLLM01 -
Sprachwechsel in ressourcenarme Sprachen
Die Anfrage wird in einer Sprache gestellt, für die vergleichsweise wenig Sicherheitstraining existiert — die Fähigkeiten des Modells reichen weiter als sein Schutz.
Risiko mittelLLM01 -
Zeichen-Umkehr-Angriff (FlipAttack)
Der schädliche Prompt wird zeichen- oder wortweise umgekehrt übergeben; das Modell dreht ihn im Zuge der Bearbeitung zurück und führt ihn aus.
Risiko mittelLLM01
Automatisierter Angriff 6
-
AutoDAN
Verfahren, das mit einem genetischen Algorithmus Jailbreak-Prompts erzeugt, die im Gegensatz zu GCG-Suffixen sprachlich unauffällig und damit für Perplexitäts-Filter schwer erkennbar sind.
Risiko hochLLM01 -
Best-of-N-Jailbreaking
Ein Black-Box-Verfahren, das dieselbe Anfrage in vielen zufällig variierten Schreibweisen stellt, bis eine Variante die Schutzmechanismen passiert — auch für Bild und Audio anwendbar.
Risiko hochLLM01 -
GCG-Suffix-Angriff
Gradientenbasiertes Verfahren, das automatisch eine scheinbar sinnlose Zeichenkette berechnet, die an beliebige Anfragen angehängt die Verweigerung des Modells aushebelt.
Risiko hochLLM01 -
PAIR (iterative Prompt-Verfeinerung)
Ein angreifendes Sprachmodell verfeinert seinen Prompt anhand der Antworten des Zielmodells — die Autoren berichten Jailbreaks häufig in unter zwanzig Anfragen, ohne Zugriff auf Modellgewichte.
Risiko hochLLM01 -
Projizierter Gradientenabstieg
White-Box-Angriff, der adversariale Eingaben im kontinuierlichen Einbettungsraum optimiert und dadurch deutlich schneller zum Ziel kommt als diskrete Suchverfahren.
Risiko mittelLLM01 -
Tree of Attacks (TAP)
Weiterentwicklung von PAIR: Statt einer linearen Verfeinerung wird ein Baum von Angriffspfaden aufgespannt, aussichtslose Zweige werden früh abgeschnitten.
Risiko hochLLM01
Angriff auf Agenten 6
-
Code-Injektion über LLM-Ausgaben
Die Ausgabe des Modells wird ungeprüft weiterverarbeitet — als HTML gerendert, als SQL abgesetzt, als Shell-Befehl ausgeführt. Eine Injektion wird damit zu klassischer Codeausführung.
Risiko hochLLM05 -
Prompt-Infektion in Multi-Agenten-Systemen
Eine Injektion, die sich selbst weitergibt: Ein kompromittierter Agent reicht die Anweisung samt Vervielfältigungsauftrag an die nächsten Agenten weiter — wurmartige Ausbreitung im Verbund.
Risiko hochLLM01 -
Tool-Poisoning (MCP)
Die Beschreibung eines Werkzeugs — etwa eines MCP-Servers — enthält versteckte Anweisungen. Der Agent liest sie beim Auflisten der verfügbaren Tools, noch bevor er das Werkzeug überhaupt aufruft.
Risiko hochLLM03 -
Verwirrter Stellvertreter
Der Agent handelt mit den Rechten des Nutzers, folgt aber der Absicht eines Angreifers — er wird zum Stellvertreter, der seine Berechtigungen fremdgesteuert einsetzt.
Risiko hochLLM06 -
Werkzeug-Missbrauch durch Injektion
Die eingeschleuste Anweisung veranlasst den Agenten, seine angebundenen Werkzeuge zweckwidrig einzusetzen — Mails versenden, Dateien schreiben, Käufe auslösen, Code ausführen.
Risiko hochLLM06 -
Zero-Click-Injektion
Angriffsklasse, die ganz ohne Zutun des Opfers auskommt: Das Zustellen eines Inhalts in ein vom Assistenten durchsuchtes System genügt, um Injektion und Datenabfluss auszulösen.
Risiko hochLLM01
Datenabfluss 2
-
Datenabfluss über Markdown-Bilder
Das Modell wird veranlasst, ein Bild einzubetten, dessen URL die zu stehlenden Daten als Parameter enthält. Das Rendern der Antwort löst den Abruf aus und schickt die Daten an den Angreifer.
Risiko hochLLM02 -
Datenabfluss über präparierte Links
Die Antwort des Assistenten enthält einen scheinbar hilfreichen Link, in dessen Parametern vertrauliche Daten stecken — ein Klick des Nutzers genügt für den Abfluss.
Risiko hochLLM02
Datenvergiftung 2
-
Backdoor im Modell (Sleeper Agent)
Ein Modell wird im Training so präpariert, dass es sich normal verhält, bis ein bestimmter Auslöser erscheint — Anthropic zeigte, dass Standard-Sicherheitstraining solche Hintertüren nicht zuverlässig entfernt.
Risiko hochLLM04 -
RAG-Vergiftung
Präparierte Dokumente werden so gestaltet, dass sie für bestimmte Nutzerfragen sicher in die Top-Treffer der Vektorsuche gelangen und dort ihre Anweisungen ausspielen.
Risiko hochLLM08
Multimodal 1
-
Multimodale Injektion über Bild und Ton
Anweisungen werden in Bilder oder Audiodateien eingebettet — als sichtbarer Text im Bild oder als adversariale Störung — und wirken, sobald ein multimodales Modell die Datei verarbeitet.
Risiko hochLLM01
Quellen
- OWASP Gen AI Security Project: OWASP Top 10 for LLM Applications 2025. https://genai.owasp.org/llm-top-10/ ↩
Alle Einträge sind defensiv und erklärend gehalten. Sie beschreiben das Prinzip einer Technik, damit Betreiber ihre Systeme schützen können — sie enthalten keine einsatzfertigen Payloads gegen konkrete Live-Systeme.