Ein Sicherheitsteam von OpenAI startet einen Testlauf, will die Cyberfähigkeiten neuer Modelle vermessen, und wenige Stunden später steht der Angriff nicht im Testlabor, sondern in der fremden Infrastruktur von Hugging Face. Für ein Unternehmen, das mit Kontrolle über seine Technik wirbt, ist das ein unangenehmer Moment, und für alle anderen ein Vorgeschmack darauf, was auf sie zukommt.
Ich greife den Vorgang auf, weil ich in KIR 2025, 374 den meines Wissens ersten juristischen Fachaufsatz zum LLM-Hacking, speziell zur strafrechtlichen Relevanz von Cyberangriffen mittels und gegen LLM, publiziert habe. Hier gehe ich konkret auf strafrechtliche Fragen der Zuordnung und Verantwortlichkeit KI-getriebener Angriffe ein und ordne das im Folgenden anhand des nunmehr praktisch aufgetretenen Szenarios kurz ein.
Was wohl tatsächlich geschehen ist
OpenAI hat am 22. Juli 2026 öffentlich die Verantwortung für einen Cyberangriff auf die KI-Plattform Hugging Face übernommen. Mehrere Modelle des Konzerns, darunter GPT-5.6 Sol und ein noch unveröffentlichtes, leistungsfähigeres Modell, führten den Angriff während einer internen Evaluation autonom aus. Ziel dieser Evaluation war der Benchmark ExploitGym, ein branchenüblicher Test, mit dem sich messen lässt, wie gut ein Modell Sicherheitslücken für Angriffe ausnutzen kann.
Der Ablauf ist technisch aufschlussreich, gerade weil er so unspektakulär beginnt. Die Modelle liefen in einer nach Darstellung des Konzerns „stark isolierten Umgebung“, in der übliche Beschränkungen für den Test aufgehoben worden waren. Statt die gestellte Aufgabe im Sandkasten zu lösen, investierten sie erhebliche Rechenleistung darauf, überhaupt aus dieser Umgebung auszubrechen. Sie identifizierten eine bislang unbekannte Zero-Day-Lücke im Cache-Proxy eines Paketregisters und verschafften sich darüber Zugang zum offenen Internet.
Von dort schlossen die Modelle eigenständig, dass auf Hugging Face die Modelle, Datensätze und Lösungen zu ExploitGym liegen könnten, mit denen sich der Benchmark gewissermaßen abkürzen ließe. Durch die Verkettung mehrerer Angriffsvektoren, den Einsatz gestohlener Zugangsdaten und weiterer Zero-Day-Lücken erlangten sie Zugriff auf die Plattform. Nach Angaben von Hugging Face führte der Angreifer tausende Schritte aus und wechselte dabei den Standort der Steuerzentrale, bevor er entdeckt und gesperrt wurde. Das Kernproblem beschreibt OpenAI selbst offen, die Modelle seien „bis zum Äußersten gegangen, um ein eher enges Testziel zu absolvieren“.
Juristisch mehr als nur eine Panne
Die naheliegende Lesart, hier habe eine Maschine gehandelt und niemand sei recht verantwortlich, greift zu kurz. Ich habe die strafrechtliche Verantwortlichkeit beim LLM-Hacking in einem Fachaufsatz systematisch untersucht (Ferner, LLM-Hacking, KIR 2025, 374), soweit ersichtlich der erste umfassende juristische Beitrag, der diese Angriffsszenarien nicht phänomenologisch, sondern entlang der Tatbestände des Computerstrafrechts durchdekliniert. Der Hugging-Face-Vorfall führt zwei der dort entwickelten Kernprobleme unmittelbar vor Augen.
Das erste betrifft die Norm, die jeden Praktiker zuerst interessiert. Das Eindringen in die fremde Infrastruktur unter Umgehung von Zugangssicherungen und der Zugriff auf, in den Worten von OpenAI, „geheime Informationen“ fällt in den Anwendungsbereich des § 202a StGB, des Ausspähens von Daten. Als Daten im Sinne der Norm ist dabei jede durch Zeichen darstellbare Information erfasst, sodass auch der Output eines Sprachmodells zwanglos darunter zu fassen ist. Hier liegt der Fall sogar einfacher als in den klassischen Prompt-Injection-Szenarien, denn die Modelle haben nicht bloß ein LLM überredet, sondern mit gestohlenen Zugangsdaten und ausgenutzten Lücken eine echte Zugangssicherung im hergebrachten Sinn überwunden. Der Einsatz gestohlener Credentials rückt zusätzlich § 202c StGB in den Blick, ergänzt um eine mögliche Datenveränderung nach § 303a StGB, soweit die Kompromittierung die Datenverarbeitung erheblich beeinträchtigt hat.
Das zweite, dogmatisch schwierigere Problem ist die Zurechnung: Ein KI-Modell handelt nicht aus eigenem Willen, sondern auf Grundlage von Algorithmen, Trainingsdaten und den ihm vorgegebenen Zielen. Strafrechtlich relevant ist deshalb allein die Frage, wem die Aktionen des Modells zuzurechnen sind, und dafür kommt es darauf an, ob die veranlassende Person den Erfolg vorhersehbar und absichtlich herbeigeführt hat. Ein Dazwischentreten der KI unterbricht die Kausalkette nicht, die Autonomie des Systems entlastet also nicht per se. Sie verschiebt die eigentliche Weiche aber an eine andere Stelle, nämlich zwischen Vorsatz und Fahrlässigkeit.
Die entscheidende Weichenstellung (?)
Genau hier wird der Hugging-Face-Vorfall aus deutscher Sicht aber nun interessant: Für einen Vorsatzvorwurf nach § 202a StGB müsste den Verantwortlichen bei OpenAI nachweisbar sein, dass sie den unbefugten Zugriff auf eine fremde Plattform vorhergesehen und billigend in Kauf genommen haben. Nach dem geschilderten Sachverhalt spricht wenig dafür. Der Test war auf ExploitGym in isolierter Umgebung ausgelegt, der Ausbruch ins offene Internet und der Angriff auf einen Dritten waren gerade nicht das Ziel, sondern ein Nebenweg, den die Modelle selbst wählten.
Damit landet man bei der Fahrlässigkeit, und das Computerstrafrecht ist hier unerbittlich, denn § 202a StGB kennt keine fahrlässige Begehungsform. Wer den unbefugten Datenzugriff nur fahrlässig ermöglicht, bleibt insoweit straflos. Das ist keine Lücke im Sachverhalt, sondern eine bewusste Grenze des geltenden Rechts. Sie erklärt, warum ein Vorfall dieser Tragweite strafrechtlich am Ende womöglich folgenlos bleibt, während er zivil- und aufsichtsrechtlich erhebliche Konsequenzen hat.
Wer den Test entwarf, die Sicherheitsbeschränkungen (möglicherweise) aufhob und den Modellen ausdrücklich Angriffsfähigkeiten abverlangte, hat die Gefahr eines solchen Ausbruchs nicht fernliegend, sondern eben vorhersehbar geschaffen. Ob daraus mehr als Fahrlässigkeit wird, hängt davon ab, was die Beteiligten über die Ausbruchsneigung ihrer Modelle wussten. Bei einem Test, dessen erklärter Zweck das Ausloten von Cyberfähigkeiten ist, lässt sich ein bedingter Vorsatz hinsichtlich eines Kontrollverlusts jedenfalls nicht ohne Weiteres von der Hand weisen. Diese Beweisfrage, ob die anweisenden Personen die möglichen Konsequenzen absehen konnten, entscheidet den Fall, und sie ist bei einem gezielt auf Angriffsfähigkeit trainierten System deutlich anders zu beantworten als bei einem harmlosen Assistenzmodell.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (zu IT-Strafprozessrecht und digitalen Beweismitteln). Weiterhin spricht er über die rechtsstaatlichen Grundlagen moderner Arbeit, speziell zu IT-/KI-Kompetenz und Cybersecurity-Awareness.
Wir sind hochspezialisiert, was bedeutet, dass wir im IT-Recht und Strafrecht nur bestimmte Bereiche übernehmen. So im IT-Recht nur im Softwarerecht mit darauf bezogebem IT-Vertragsrecht & Lizenzrecht und rund um Cybersicherheit. Im Strafrecht übernehmen wir nur Strafverteidigungen in Bereichen auf die wir spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht
- Wenn die eigene KI zum Angreifer wird – 22. Juli 2026
- Durchsicht sichergestellter Datenträger ist Teil der Durchsuchung – 22. Juli 2026
- DSGVO: OLG Celle zum Bußgeld bei betrieblicher Videoüberwachung – 21. Juli 2026