Wir haben mit den Fingern gezählt, Hilfsmittel wie Abakus und Taschenrechner genutzt und unseren Alltag am Computer organisiert. Die Methoden haben sich dabei überlappt. Mit KI-Agenten kommt eine weitere Möglichkeit hinzu: Ein System liest eine Arbeitsanweisung und führt Schritte in unserem Namen aus.
Das kann praktisch sein. Rechnungen ordnen, eine Besprechung vorbereiten, aus Recherchen einen Artikel machen — nicht jede wiederkehrende Aufgabe muss neu erklärt werden. Ein Skill hält die Methode bereit.
Die alte Sorge um verlorene Dateien oder gestohlene Informationen ist damit allerdings nicht erledigt. Eine zusätzliche Frage lautet: Was kann dieser Helfer mit meinen Zugängen tun? Es geht nicht darum, Technik pauschal zu misstrauen. Wir sollten den Nutzen zusammen mit den geöffneten Türen betrachten. Dass sich das Risiko für alle exakt verdoppelt habe, ist keine Messung, die dieser Artikel liefern könnte.
Eine Anleitung ist noch kein Zugang zu sämtlichen Konten
Im offenen Agent-Skills-Format besteht ein Skill aus einem Ordner mit der zentralen Datei SKILL.md. Neben Anweisungen können ausführbare Hilfsprogramme, Referenzmaterial und Vorlagen enthalten sein.[1]
Eine Küchenanleitung erklärt, wie gekocht wird. Welche Schränke offenstehen und welche Geräte benutzt werden können, entscheidet sie nicht allein. Ähnlich erzeugt eine Skill-Datei nicht aus dem Nichts Zugang zu deinem Postfach.
Die praktische Reichweite ergibt sich aus der Umgebung, verbundenen Werkzeugen, Kontozugängen und technisch durchgesetzten Berechtigungen. Eine Textanweisung kann aber einen Agenten beeinflussen, der diese Möglichkeiten bereits hat. „Nur eine Textdatei“ ist deshalb ebenso ungenau wie „Jeder installierte Skill liest automatisch alle E-Mails“.
Anthropic warnt in seiner Dokumentation, dass bösartige Skills Werkzeuge zweckwidrig einsetzen lassen können. Neben der Hauptanleitung sollen auch mitgelieferte Dateien und externe Abhängigkeiten geprüft werden. Die möglichen Folgen hängen vom tatsächlich verfügbaren Zugriff ab.[2]
Wenn aus Zusammenfassen plötzlich Weitergeben wird
Stellen wir uns einen Skill vor, der ausgewählte E-Mails zusammenfassen soll. In einem anderen Teil des Pakets verlangt er jedoch, Kontakte zusammenzustellen und an einen unbekannten Empfänger zu schicken. Das ist ein Aufgabenwechsel. Die zweite Handlung gehört nicht selbstverständlich zum ersten Auftrag.
Dieses Beispiel ist ein erklärendes Szenario, kein nachgewiesener Vorfall in einem bestimmten Postfach. Damit ein solcher Schaden entsteht, müsste der Agent die Daten erreichen und einen Weg nach außen nutzen können. Eine Zeile in einer Anleitung verbindet nicht selbstständig ein Konto und startet auch nicht automatisch nachts einen Zeitplan. Bestehende Verbindungen und ein bereits laufender Hintergrundauftrag können eine Fehlsteuerung allerdings folgenreich machen.
Nur das E-Mail-Senden zu sperren, begrenzt nicht unbedingt sämtliche Datenwege. Auch ein anderes Netzwerkwerkzeug oder eine erzeugte Datei kann Informationen nach außen tragen. Die sinnvolle Frage lautet deshalb: Was darf gelesen werden, und wohin dürfen Ergebnisse gelangen?
Nicht jede problematische Anweisung kommt aus einem absichtlich schädlichen Skill. Auch eine eingelesene Webseite oder Nachricht kann versuchen, den Agenten umzulenken. OWASP bezeichnet das als indirekte Prompt Injection: Fremder Inhalt versucht, zur Handlungsanweisung zu werden, statt nur verarbeitet zu werden.[3] Eine Aufforderung in einer E-Mail ist keine Freigabe durch den Nutzer.
Was Untersuchungen tatsächlich zeigen
VirusTotal dokumentierte am 2. Februar 2026 OpenClaw-Skills, die unter dem Deckmantel nützlicher Automatisierung Schadsoftware verbreiteten.[4] Das ist ein Befund aus einer konkreten Untersuchung, keine Aussage über jeden Skill oder jeden Nutzer.
Unit 42 berichtete aus seiner Untersuchung von Februar bis Mai 2026 über fünf nicht blockierte bösartige Skills. Nach der Meldung seien die Skills entfernt und die Konten gesperrt worden.[9] Prüfung und vollständige Risikobeseitigung sind also nicht dasselbe.
Eine freundliche Beschreibung ist kein Sicherheitsnachweis. Offener Quellcode ermöglicht eine Prüfung, belegt aber nicht, dass jemand genau deine heruntergeladene Version geprüft hat. Auch eine hohe Downloadzahl beantwortet nicht, welche Handlungen ein Paket auslösen kann.
Sechs sinnvolle Einsatzmöglichkeiten
Die folgenden Beispiele sind vorgeschlagene Arbeitsabläufe. Wir haben sie für diesen Artikel weder eingerichtet noch als Leistungsversuche gemessen.
- RECHNUNGEN SORTIEREN
Ein Skill könnte aus einem ausgewählten Rechnungsordner Datum, Betrag und Lieferanten in eine einheitliche Liste übernehmen. Die gewünschte Struktur müsste nicht jeden Monat neu beschrieben werden. Dafür ist nicht automatisch das gesamte Postfach nötig. Eine Rechnung zu erfassen und sie zu bezahlen sind getrennte Befugnisse.
- BESPRECHUNGEN VORBEREITEN
Aus ausgewählten Notizen könnten Tagesordnung, Entscheidungen und offene Fragen entstehen. Falls Kalenderdaten erforderlich sind, sollten sie zur Aufgabe passen. Ein Besprechungsbriefing ist keine pauschale Erlaubnis, Einladungen zu verschicken oder andere Termine zu ändern.
- MEHRSPRACHIGE ARTIKELPAKETE ERSTELLEN
Ein recherchiertes Faktenblatt könnte eigenständige türkische, englische und deutsche Texte sowie Bildbeschreibungen und geordnete Dateien ermöglichen. Wiederkehrende Redaktionsregeln bleiben Teil der Methode. Ein vorbereitender Skill braucht möglicherweise gar keinen Zugriff zum Veröffentlichen; dieser Schritt kann separat autorisiert werden.
- TABELLEN VERSTÄNDLICH AUSWERTEN
Aus einer bestimmten Verkaufs- oder Ausgabentabelle könnten geprüfte Summen, Grafiken und kurze Erläuterungen entstehen. Auch eine wiederverwendbare Berichtsvorlage ersetzt keine Rechenkontrolle. Unnötige Kundendaten gehören nicht in den Bericht. Eine Arbeitskopie kann verhindern, dass ein Bearbeitungsfehler sofort die Originaldatei trifft.
- WEBSITE-ÄNDERUNGEN ENTWERFEN
Ein Skill könnte Texte und Bilder für eine ausgewählte Seite nach vorhandenen Gestaltungsregeln vorbereiten. Gebündelte Änderungen können repetitive Arbeit verringern. Unbegrenzter Zugriff auf das gesamte Hostingkonto ist dafür nicht grundsätzlich erforderlich. Vorschau, begrenzter Seitenumfang und eine wiederherstellbare Vorversion können zum Ablauf gehören.
- LERNMATERIAL AUFBEREITEN
Eigene Notizen könnten zu Zusammenfassungen, Wortkarten und Übungen für ein festgelegtes Niveau werden. Sprache und didaktische Regeln lassen sich in der Methode festhalten. Wenn dafür weder Postfach noch Bankzugang erforderlich sind, müssen diese Verbindungen nicht hinzukommen. Die inhaltliche Richtigkeit bleibt zu prüfen.
Solche Abläufe können Aufwand sparen, liefern aber keine allgemeingültige Zeit- oder Preisgarantie. Modelle, externe Dienste und Abschlusskontrollen verursachen ebenfalls Aufwand. Wiederverwendbar werden sollte vor allem die gute Methode, nicht ein unnötig großer Schlüsselbund.
SkillSpector und andere Prüfansätze
Ein konkretes Werkzeug ist NVIDIA SkillSpector. Die Dokumentation beschreibt statische Prüfungen und optionale KI-gestützte Bedeutungsanalysen vor der Installation. Dabei geht es auch darum, ob riskantes Verhalten zur erklärten Aufgabe eines Pakets passt.[5]
OpenClaw beschrieb am 1. Juni 2026 die ClawScan-Bewertung aus statischer Analyse, VirusTotal und SkillSpector. SkillSpector-Hinweise allein bewirken nicht automatisch die Sperre; sie fließen in das Gesamturteil ein. Eine Skill Card dokumentiert Herkunft und Fähigkeiten.[6]
Damit können klassische Schadsoftwareprüfung und Untersuchung des Agentenverhaltens zusammenkommen. Ein zusätzlicher „Sicherheits-Skill“ wird dadurch aber nicht zum allmächtigen Schutzschild. Auch das schützende Werkzeug braucht eine vertrauenswürdige Herkunft und einen angemessenen Zugriff.
Snyk Agent Scan ist ein weiteres Beispiel. Laut Dokumentation kann die Untersuchung von MCP-Konfigurationen Befehle starten oder Netzwerkverbindungen aufbauen. Für die Analyse werden Komponenteninformationen übermittelt; geheime Werte werden dabei maskiert.[7] MCP ist ein Standard, über den Agenten externe Werkzeuge anbinden. Auch bei einem Scanner lohnt der Blick auf dessen Datenwege.
Diese Werkzeuge wurden für den Artikel nicht installiert oder ausgeführt. Die Beispiele beschreiben dokumentierte Ansätze, keine selbst ermittelte Bestenliste. Ein unauffälliger Bericht ist außerdem keine dauerhafte Zusicherung für spätere Versionen oder nachträglich geladene Inhalte.
Eine Regel im Text ist keine technische Zugriffssperre
„Lies keine privaten Ordner“ ist eine sinnvolle Anweisung. Einen nicht benötigten Ordner tatsächlich unzugänglich zu machen, ist eine andere Schutzebene. Das eine beschreibt gewünschtes Verhalten; das andere begrenzt verfügbare Handlungen.
OpenClaws Sicherheitsleitfaden behandelt Werkzeugberechtigungen, getrennte Zugriffsprofile und Sandboxing als eigene Kontrollen.[8] Eine Sandbox ist eine eingeschränkte Arbeitsumgebung. Sie ist nicht schon dadurch eingerichtet, dass in einer Anleitung „Arbeite sicher“ steht.
Ein vernünftiger Einstieg: Quelle und vollständiges Paket prüfen, dann benötigte Daten, erlaubte Änderungen und zulässige Empfänger festlegen. Soweit möglich, beginnt der erste Versuch mit Beispieldaten in einem begrenzten Arbeitsbereich. Bei einem Versionswechsel oder veränderten Abhängigkeiten ist die Prüfung erneut relevant.
Das muss nicht bei jedem kleinen Arbeitsschritt eine neue Rückfrage bedeuten. Eine eng begrenzte, vorab freigegebene Aufgabe kann flüssig laufen. Ein neuer Empfänger, eine Löschaktion oder eine Geldbewegung kann dagegen den vereinbarten Umfang verändern.
Die bisherigen Schutzmaßnahmen bleiben wichtig: aktuelle Software, geeigneter Schadsoftwareschutz, Datensicherungen und starke Kontoauthentifizierung. Skill-Prüfung kommt hinzu. Ein Backup kann eine Datei zurückbringen; bereits weitergegebene Informationen macht es nicht ungesehen.
Theos Einordnung: Mehr Können braucht bewusstere Grenzen
Skills bewahren einen guten Arbeitsweg. Dass man dieselben Formatvorgaben und Prüfschritte nicht ständig neu erklären muss, ist ein echter Nutzen. Er verschwindet nicht dadurch, dass wir Berechtigungen ernst nehmen.
Welche Tür öffnen wir hier? Braucht der Agent eine Datei, einen bestimmten Ordner oder wirklich ein ganzes Konto? Soll er eine Nachricht entwerfen oder sie versenden? Solche Fragen machen aus einer vagen Sorge eine verständliche Entscheidung.
Wir müssen uns nicht zwischen Technikverzicht und grenzenlosem Zugriff entscheiden. Ein passender Zugang lässt nützliche Arbeit zu und hält Unnötiges außerhalb der Aufgabe. So bleibt die Erleichterung erhalten, ohne dass Bequemlichkeit die Richtung unserer Daten bestimmt.
Quellen
Am 3. November 2026 geprüfte Primärquellen. Produktangaben stammen aus Anbieterunterlagen, Vorfälle aus Berichten der untersuchenden Organisationen. Die sechs Beispiele und ihre Einordnung sind eigene redaktionelle Vorschläge. Für diesen Artikel wurden keine Installation, Sicherheitsprüfung oder Datenabflusstests durchgeführt.
[1] Agent Skills — Format und Paketaufbau
[2] Anthropic — Sicherheitsaspekte von Agent Skills
[4] VirusTotal — From Automation to Infection, 2. Februar 2026
[5] NVIDIA — Scan Agent Skills Before Installation
[6] OpenClaw — NVIDIA und ClawScan, 1. Juni 2026
[7] Snyk — Agent Scan und Sicherheitshinweise
