McKinsey AI-Plattform Lilli gehackt — Was Unternehmen daraus lernen müssen

Zuletzt aktualisiert am 13. August 2026

Am 9. März 2026 veröffentlichte das Sicherheitsunternehmen CodeWall einen Bericht, der die IT-Sicherheits- und Datenschutzwelt aufhorchen ließ: Ein autonomer KI-Agent hatte McKinseys interne KI-Plattform „Lilli“ innerhalb von nur zwei Stunden vollständig kompromittiert. Der Vorfall offenbarte gravierende Sicherheitslücken bei einem der weltweit renommiertesten externer Datenschutzbeauftragtersunternehmen — und wirft fundamentale Fragen für jedes Unternehmen auf, das KI-Plattformen einsetzt.

Was ist passiert? Der McKinsey-Lilli-Hack im Detail

McKinseys KI-Chatbot „Lilli“ ist ein internes Werkzeug, das auf Retrieval-Augmented Generation (RAG) basiert und McKinsey-Beratern Zugriff auf das gesammelte Wissen des Unternehmens bieten soll. Die Plattform verarbeitet Millionen von Dokumenten, Analysen und internen Kommunikationen.

CodeWall setzte einen autonomen KI-Agenten ein, der systematisch nach Schwachstellen suchte — und diese in erschreckend kurzer Zeit fand. Der gesamte Angriff erfolgte im Rahmen einer legitimen Sicherheitsforschung, nicht als böswilliger Angriff.

Phase 1: Öffentlich zugängliche API-Dokumentation

Der erste Angriffsvektor war denkbar einfach: McKinsey hatte die API-Dokumentation seiner Lilli-Plattform öffentlich zugänglich gemacht. Diese Dokumentation enthüllte 22 API-Endpunkte, die keinerlei Authentifizierung erforderten. Für einen erfahrenen Angreifer — oder in diesem Fall einen autonomen KI-Agenten — ist das vergleichbar mit einer offenstehenden Haustür, an der zusätzlich ein Grundriss des gesamten Gebäudes hängt.

Phase 2: Datenbankzugriff über manipulierte Eingaben

Die eigentliche Schwachstelle war technisch besonders bemerkenswert: Während die Werte in JSON-Anfragen korrekt parametrisiert wurden, waren die JSON-Schlüssel (Feldnamen) direkt in Datenbankabfragen konkateniert worden. Diese ungewöhnliche Variante einer Eingabe-Manipulation ermöglichte dem KI-Agenten vollständigen Lese- und Schreibzugriff auf die dahinterliegende Datenbank.

Umfang der exponierten Daten

Das Ausmaß der potenziell zugänglichen Daten ist erheblich:

• 46,5 Millionen Chat-Nachrichten — interne Kommunikation und Beratungsanfragen
• 3,68 Millionen RAG-Dokumentfragmente — aufbereitete Wissensdatenbank-Inhalte
• 728.000 Dateien — Dokumente, Analysen und Berichte
• 57.000 Benutzerkonten — Zugangsdaten von McKinsey-Mitarbeitern weltweit

McKinsey reagierte nach Bekanntwerden der Schwachstelle umgehend: Alle betroffenen Endpunkte wurden gepatcht, die Entwicklungsumgebung offline genommen und die öffentliche API-Dokumentation gesperrt. Die anschließende Untersuchung ergab nach Angaben von McKinsey, dass keine Kundendaten von unbefugten Dritten abgerufen wurden.

Warum dieser Vorfall für jedes Unternehmen relevant ist

Wenn ein Unternehmen wie McKinsey — mit einem jährlichen IT-Sicherheitsbudget im dreistelligen Millionenbereich — derart grundsätzliche Sicherheitslücken in seiner KI-Infrastruktur aufweist, sollte das für jede Organisation ein Warnsignal sein. Der Vorfall verdeutlicht drei zentrale Probleme:

1. KI-Plattformen erweitern die Angriffsfläche massiv

Klassische Webanwendungen speichern und verarbeiten definierte Datenmengen. KI-Plattformen wie Lilli aggregieren dagegen Informationen aus dem gesamten Unternehmen — Dokumente, E-Mails, Analysen, interne Kommunikation. Ein einziger erfolgreicher Angriff auf eine solche Plattform kann daher den Zugang zu einem Vielfachen der Daten ermöglichen, die bei einem konventionellen Sicherheitsvorfall betroffen wären.

Für die technischen und organisatorischen Maßnahmen (TOMs) bedeutet das: KI-Systeme erfordern ein eigenes, erweitertes Sicherheitskonzept, das über die Standard-IT-Sicherheit hinausgeht.

2. Autonome KI-Agenten als neue Bedrohungsklasse

Besonders bemerkenswert ist, dass der Angriff von einem autonomen KI-Agenten durchgeführt wurde. Dieser konnte eigenständig Schwachstellen identifizieren, Angriffsvektoren bewerten und Exploits ausführen — alles innerhalb von zwei Stunden. Menschliche Penetrationstester hätten für denselben Umfang Tage oder Wochen benötigt.

Diese Entwicklung hat direkte Implikationen für das Vulnerability Management: Die Zeit zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung verkürzt sich dramatisch. Unternehmen müssen ihre Reaktionszeiten entsprechend anpassen.

3. Grundlegende Sicherheitsprinzipien werden vernachlässigt

Die ausgenutzten Schwachstellen waren keine hochkomplexen Zero-Day-Exploits. Es handelte sich um fehlende Authentifizierung an API-Endpunkten und eine Eingabe-Manipulations-Schwachstelle — beides Schwachstellentypen, die seit Jahrzehnten bekannt sind und in den OWASP Top 10 regelmäßig aufgeführt werden.

Dies zeigt ein wiederkehrendes Muster: In der Begeisterung für neue KI-Technologien werden bewährte Sicherheitspraktiken vernachlässigt. Die schnelle Entwicklung und Bereitstellung von KI-Systemen führt dazu, dass grundsätzliche Sicherheitsüberprüfungen übersprungen werden. Eine professionelle Web Application Firewall (WAF) hätte die Manipulationsversuche erkennen und blockieren können.

DSGVO-Implikationen des McKinsey-Vorfalls

Aus datenschutzrechtlicher Perspektive wirft der Vorfall schwerwiegende Fragen auf — auch wenn McKinsey als US-Unternehmen nicht primär der DSGVO unterliegt. Für europäische Unternehmen, die ähnliche KI-Plattformen einsetzen, gelten die folgenden Regelungen unmittelbar:

Art. 32 DSGVO: Sicherheit der Verarbeitung

Artikel 32 DSGVO verpflichtet Verantwortliche, geeignete technische und organisatorische Maßnahmen zu implementieren, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören ausdrücklich:

• Verschlüsselung und Pseudonymisierung personenbezogener Daten
• Vertraulichkeit, Integrität und Verfügbarkeit der Systeme sicherzustellen
• Regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen

Im Fall von McKinsey fehlte bereits die grundsätzlichste Maßnahme: eine Authentifizierung an den API-Endpunkten. Für ein europäisches Unternehmen würde ein solcher Mangel bei einer KI-Plattform, die personenbezogene Daten verarbeitet, zweifellos als Verstoß gegen Art. 32 DSGVO gewertet werden.

Ein regelmäßiges Datenschutz-Audit hätte solche Schwachstellen frühzeitig identifiziert, bevor sie von Dritten ausgenutzt werden können.

Art. 33 DSGVO: Meldepflicht bei Datenschutzverletzungen

Hätte sich ein vergleichbarer Vorfall bei einem europäischen Unternehmen ereignet, wäre die Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden verpflichtend gewesen — sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Bei 46,5 Millionen potenziell exponierten Chat-Nachrichten und 57.000 Benutzerkonten wäre dieses Risiko kaum zu verneinen.

Außerdem müssten gemäß Art. 34 DSGVO auch die betroffenen Personen direkt benachrichtigt werden, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht.

Art. 35 DSGVO: Datenschutz-Folgenabschätzung (DSFA)

Der Einsatz einer KI-Plattform, die Millionen von Dokumenten und Nachrichten verarbeitet, erfordert in den meisten Fällen eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO. Diese DSFA muss unter anderem folgende Aspekte abdecken:

• Systematische Beschreibung der Verarbeitungsvorgänge
• Bewertung der Notwendigkeit und Verhältnismäßigkeit
• Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen
• Geplante Abhilfemaßnahmen und Sicherheitsvorkehrungen

Eine sorgfältig durchgeführte DSFA hätte die Risiken einer ungesicherten API-Architektur identifiziert und entsprechende Gegenmaßnahmen gefordert. Unternehmen, die KI-Plattformen einführen, sollten die KI-Compliance als integralen Bestandteil ihrer Datenschutzstrategie betrachten.

Lehren für Unternehmen: 7 Maßnahmen für sichere KI-Nutzung

Der McKinsey-Vorfall liefert konkrete Handlungsempfehlungen für jedes Unternehmen, das KI-Plattformen einsetzt oder deren Einführung plant:

1. API-Sicherheit als Priorität behandeln

Jeder API-Endpunkt muss authentifiziert und autorisiert sein — ohne Ausnahme. API-Dokumentationen gehören nicht in öffentlich zugängliche Bereiche. Implementieren Sie Rate-Limiting, API-Gateways und überwachen Sie API-Zugriffe kontinuierlich.

2. Regelmäßige Penetrationstests durchführen

KI-Plattformen müssen regelmäßig auf Schwachstellen getestet werden — idealerweise sowohl manuell als auch automatisiert. Angesichts der neuen Bedrohung durch autonome KI-Agenten sollten auch professionelle Pentesting-Tools und KI-gestützte Sicherheitstests zum Einsatz kommen.

3. Eingabe-Validierung konsequent umsetzen

Der McKinsey-Hack nutzte eine Datenbank-Manipulation über JSON-Feldnamen aus. Dies unterstreicht: Jede Eingabe muss validiert werden — nicht nur offensichtliche Benutzereingaben wie Formularfelder, sondern auch Metadaten, Header und Strukturelemente von Anfragen.

4. Datensegmentierung implementieren

Eine KI-Plattform sollte niemals unkontrollierten Zugriff auf alle Unternehmensdaten haben. Implementieren Sie das Prinzip der minimalen Berechtigung (Least Privilege) und segmentieren Sie Daten nach Vertraulichkeitsstufen.

5. DSFA vor KI-Einführung durchführen

Vor der Implementierung einer KI-Plattform ist eine vollständige Datenschutz-Folgenabschätzung durchzuführen. Diese sollte explizit die Risiken durch KI-spezifische Angriffsvektoren berücksichtigen, einschließlich Prompt Injection, Datenexfiltration über RAG-Systeme und autonome KI-Agenten.

6. Supply-Chain-Sicherheit beachten

Viele Unternehmen nutzen KI-Plattformen von Drittanbietern. Der McKinsey-Vorfall zeigt, dass auch renommierte Anbieter gravierende Sicherheitslücken aufweisen können. Eine sorgfältige Supply-Chain-Sicherheitsbewertung ist daher wichtig.

7. Mitarbeiter schulen

Technische Maßnahmen allein reichen nicht aus. Mitarbeiter müssen verstehen, welche Daten sie in KI-Systeme eingeben dürfen und welche nicht. Eine regelmäßige Datenschutz-Schulung sollte explizit den sicheren Umgang mit KI-Werkzeugen umfassen.

Strafrechtliche Dimension: Hacking als Straftat

Der CodeWall-Vorfall war eine autorisierte Sicherheitsforschung. Doch was, wenn ein böswilliger Akteur dieselben Schwachstellen ausgenutzt hätte? In Deutschland wäre ein solcher Angriff nach § 202a StGB (Ausspähen von Daten) strafbar. Die Strafandrohung umfasst Freiheitsstrafe bis zu drei Jahren oder Geldstrafe.

Für Unternehmen ist dies ein zweischneidiges Schwert: Einerseits bietet das Strafrecht Schutz vor Angreifern. Andererseits können Unternehmen selbst in die Haftung geraten, wenn sie durch unzureichende Sicherheitsmaßnahmen den Zugang zu personenbezogenen Daten ermöglichen.

Ausblick: KI-Sicherheit wird zum Wettbewerbsfaktor

Der McKinsey-Lilli-Vorfall markiert einen Wendepunkt in der Diskussion um KI-Sicherheit. Die wichtigsten Erkenntnisse:

• KI-Plattformen sind keine gewöhnlichen IT-Systeme — sie aggregieren und verarbeiten Daten in einem Umfang, der traditionelle Sicherheitskonzepte überfordert.
• Autonome KI-Agenten verändern die Bedrohungslandschaft — Angriffe werden schneller, systematischer und schwerer zu erkennen.
• Grundlegende Sicherheitsprinzipien gelten weiterhin — viele KI-bezogene Sicherheitsvorfälle basieren auf Schwachstellen, die seit Jahren bekannt und vermeidbar sind.
• Datenschutz und KI-Sicherheit sind untrennbar — Unternehmen, die KI einsetzen, ohne ihre Datenschutzstrategie anzupassen, gehen erhebliche rechtliche und wirtschaftliche Risiken ein.

Unternehmen, die jetzt in die Sicherheit ihrer KI-Infrastruktur investieren, schützen nicht nur personenbezogene Daten — sie sichern auch ihren Ruf und schaffen Vertrauen bei Kunden und Geschäftspartnern.

Häufig gestellte Fragen (FAQ)

Was genau wurde bei McKinsey gehackt?

Die interne KI-Plattform „Lilli“ von McKinsey wurde durch einen autonomen KI-Agenten des Sicherheitsunternehmens CodeWall kompromittiert. Über ungesicherte API-Endpunkte und eine Datenbank-Schwachstelle erlangte der Agent vollständigen Lese- und Schreibzugriff auf die Datenbank. Potenziell exponiert waren 46,5 Millionen Chat-Nachrichten, 3,68 Millionen Dokumentfragmente und 57.000 Benutzerkonten. Es handelte sich um eine autorisierte Sicherheitsforschung.

Sind deutsche Unternehmen, die KI-Plattformen nutzen, von der DSGVO betroffen?

Ja, uneingeschränkt. Jedes deutsche Unternehmen, das eine KI-Plattform einsetzt, die personenbezogene Daten verarbeitet, unterliegt den vollen Anforderungen der DSGVO. Dazu gehören insbesondere Art. 32 (technische und organisatorische Maßnahmen), Art. 35 (Datenschutz-Folgenabschätzung) und Art. 28 (Auftragsverarbeitung bei Drittanbieter-Plattformen). Bei Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

Wie können Unternehmen ihre KI-Systeme vor ähnlichen Angriffen schützen?

Die wichtigsten Schutzmaßnahmen umfassen: konsequente Authentifizierung aller API-Endpunkte, vollständige Eingabe-Validierung (einschließlich Metadaten und Strukturelementen), regelmäßige Penetrationstests, Datensegmentierung nach dem Least-Privilege-Prinzip, Einsatz einer Web Application Firewall sowie die Durchführung einer Datenschutz-Folgenabschätzung vor der KI-Einführung.

Was unterscheidet KI-bezogene Sicherheitsrisiken von klassischen IT-Risiken?

KI-Plattformen aggregieren typischerweise Daten aus dem gesamten Unternehmen, was die potenzielle Schadenswirkung eines erfolgreichen Angriffs vervielfacht. Zusätzlich entstehen KI-spezifische Angriffsvektoren wie Prompt Injection, Datenexfiltration über RAG-Systeme und die Nutzung autonomer KI-Agenten für automatisierte Angriffe. Die Geschwindigkeit, mit der Schwachstellen identifiziert und ausgenutzt werden können, steigt durch KI-gestützte Angriffswerkzeuge erheblich.

Muss ein Unternehmen einen solchen Vorfall der Datenschutzbehörde melden?

Ja, sofern personenbezogene Daten betroffen sind und ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Gemäß Art. 33 DSGVO muss die Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden der Verletzung erfolgen. Bei hohem Risiko sind gemäß Art. 34 DSGVO zusätzlich die betroffenen Personen direkt zu benachrichtigen.