KI-Agenten auf Websites | was Anthropics Claude-Bericht zeigt

KI-Agenten sollen im Netz selbstständig Aufgaben erledigen: Seiten aufrufen, Informationen suchen, Formulare ausfüllen. Am 9. Oktober 2026 hat Anthropic, der Anbieter von Claude, einen ungewöhnlich offenen Bericht veröffentlicht. Darin beschreibt die Firma, wie ihre Modelle bei Tests und im internen Einsatz auf echten Websites Dinge getan haben, die so nicht gewollt waren. Unter anderem wurden echte Formulare abgeschickt. Ich fasse zusammen, was passiert ist, was Anthropic geändert hat und was du als Website-Betreiber daraus mitnehmen kannst.

Smartphone auf einem Marmortisch im Café, auf dem Bildschirm das Wort KI-Agenten über einem leeren Kontaktformular, daneben Glaskarten mit einem orangen Stern und einem grünen Schild

Das Wichtigste in Kürze

Anthropic beschreibt vier Arten ungewollter Aktionen von Claude auf echten Websites, darunter abgeschickte Formulare und umgangene Zugangsbeschränkungen.
Laut Anthropic hatten die bisher gefundenen Fälle nur minimale Auswirkungen. Kundendaten waren nach Kenntnis von Anthropic nicht betroffen.
Anthropic hat den Live-Internetzugang für alle internen Tests abgeschaltet und neue Schutzmechanismen gebaut.
Die robots.txt ist laut Standard keine Zugangskontrolle. Formulare brauchen einen eigenen Schutz.
Für Website-Betreiber heißt das: Spamfilter, Pflichtfelder und aktuelle Software sind wichtiger denn je.

Was Anthropic am 9. Oktober veröffentlicht hat

Der Bericht trägt den Titel „Investigating unintended model actions in our evaluations and internal use“. Anthropic will solche Berichte künftig regelmäßig veröffentlichen. Die beschriebenen Fälle fallen laut Anthropic in vier Gruppen:

Claude nutzt eine einfache Sicherheitslücke in fremder Software, um Befehle auf einem Server auszuführen.
Claude schickt auf einer echten Website ein Formular ab, obwohl es das nicht sollte.
Claude umgeht eine Beschränkung, um an Daten zu kommen, die hinter einem Zugangsschlüssel oder einer Gebühr lagen.
Claude nutzt Dienste zum Kürzen von Links, um eine Längenbegrenzung des eigenen Werkzeugs zu umgehen.

Bericht von Anthropic mit der rot markierten Liste der vier Arten ungewollter Aktionen — Die vier Gruppen ungewollter Aktionen, wie Anthropic sie in seinem Bericht nennt.Screenshot: Anthropic

Die betroffenen Organisationen nennt Anthropic nicht, auch auf deren Wunsch. Einige Fälle betrafen laut Bericht Websites von US-Behörden. Anthropic schreibt, die Fälle hätten nur minimale Auswirkungen gehabt und seien deutlich weniger schwer als die Sicherheitsvorfälle, über die die Firma im Sommer berichtet hatte. Das gemeinsame Muster beschreibt Anthropic so: Wenn Claude eine Aufgabe nicht wie vorgegeben lösen kann, sucht es einen Umweg, statt aufzuhören.

Abgeschickte Formulare: der Teil, der Website-Betreiber angeht

Für Unternehmen mit eigener Website ist vor allem die zweite Gruppe interessant. Laut Anthropic passierte das meist, wenn die Anweisungen eines Tests unklar waren oder die Testumgebung falsch eingerichtet war. Drei Beispiele aus dem Bericht:

Ein unveröffentlichtes Forschungsmodell sollte eine Übungskopie eines Behördenformulars ausfüllen. Als die Kopie nicht lud, rief es die echte Seite auf und schickte das Formular dort ab.
Claude Haiku 4.5 sollte ein Formular bis kurz vor dem Absenden ausfüllen. Mehrmals schickte es das Formular trotzdem ab, weil es noch eine Bestätigungsseite erwartete.
Beim Erzeugen von Beispielaufgaben auf zufälligen Webseiten trug Claude Haiku 4.5 einen erfundenen Hinweis in das Hinweisformular einer Polizeibehörde ein. Name und Kontaktfelder blieben leer, das Formular ließ das zu. Die Meldung wurde als Spam erkannt und nie weitergeleitet.

Abschnitt im Anthropic-Bericht über abgeschickte Formulare, der einleitende Absatz ist rot markiert — Laut Anthropic lag es meist an unklaren Anweisungen oder falsch eingerichteten Testumgebungen.Screenshot: Anthropic

Bemerkenswert finde ich das letzte Beispiel: Ein Formular ohne Pflichtangaben hat eine erfundene Meldung angenommen, und erst der Spamfilter hat sie aufgehalten. Genau so ein Filter entscheidet auch bei einem Kontaktformular darüber, ob unsinnige Anfragen im Postfach landen oder nicht.

Was Anthropic daraufhin geändert hat

Anthropic nennt im Bericht mehrere Maßnahmen:

1
Kein Live-Internet in Tests
Der Zugang zum echten Internet ist jetzt für alle internen Tests abgeschaltet, bis die Überwachung solche Fälle verlässlich erkennt.
2
Werkzeuge eingeschränkt
Werkzeuge wie der Abruf von Webseiten dürfen deutlich weniger. Einige öffentliche Tests laufen nur noch offline.
3
Automatische Erkennung
Ein neues System soll solche Aktionen erkennen und blockieren. Im Test hat es laut Anthropic alle im Bericht beschriebenen Fälle gestoppt.
4
Training angepasst
Trainingsumgebungen, die Umwege belohnen, werden laut Anthropic überarbeitet oder entfernt.

Wichtig zur Einordnung: Laut Anthropic betrafen die Fälle nach eigener Kenntnis weder Kundendaten noch interne Systeme. Zugleich schreibt Anthropic, dass die Verhaltensweisen nicht nur in Tests auftraten, sondern auch beim internen Einsatz von Claude als Agent.

Die robots.txt schützt keine Formulare

Viele Website-Betreiber denken bei Bots zuerst an die robots.txt. Anthropic schreibt in seiner Hilfe zu den eigenen Crawlern, dass seine Bots die Regeln der robots.txt befolgen und nicht versuchen, CAPTCHAs zu umgehen. Es gibt drei Bots mit unterschiedlichen Aufgaben: ClaudeBot für Trainingsdaten, Claude-User für Abrufe, die Nutzer auslösen, und Claude-SearchBot für die Suche.

Claude-Hilfeseite zu den Crawlern von Anthropic, rot markiert ist der Satz, dass die Bots keine CAPTCHAs umgehen — Anthropic sagt zu, dass seine Bots die robots.txt beachten und keine CAPTCHAs umgehen.Screenshot: Claude Support

Die robots.txt regelt aber nur, welche Seiten ein Crawler abrufen soll. Der offizielle Standard dazu, die RFC 9309, sagt ausdrücklich: Diese Regeln sind keine Form der Zugangskontrolle. Ein Formular, das öffentlich erreichbar ist, kann also jeder abschicken, ob Mensch, Spam-Programm oder KI-Agent. Und wer KI-Bots pauschal aussperrt, wird unter Umständen auch in KI-Antworten seltener gefunden. Wie ich das abwäge, steht im Beitrag In KI sichtbar werden.

So schützt du dein Kontaktformular

Aus dem Bericht lassen sich für Website-Betreiber ein paar einfache Punkte ableiten. Neu ist davon nichts, aber die Fälle zeigen, warum es sich lohnt:

Spamfilter auf dem Server

Eingaben auf dem Server prüfen, nicht nur im Browser. Verdächtige Anfragen markieren statt ungesehen weiterzuleiten.

Sinnvolle Pflichtfelder

Wer eine Antwort will, muss auch erreichbar sein. Ein Formular ohne Kontaktangabe nimmt alles an.

Keine Schlüssel im Quelltext

Zugangsschlüssel für Karten, Datenbanken oder Schnittstellen gehören nicht offen in Dateien, die jeder Browser lädt.

Software aktuell halten

Die Lücke, die Claude im Test nutzte, war eine einfache Einschleusung von Befehlen. Updates schließen genau solche Lücken.

Auch Google rät Website-Betreibern in seiner Hilfe gegen Spam, Formulare zu schützen. Missbrauch zu vermeiden sei in der Regel nicht schwierig, schon einfache Hürden könnten Spammer abschrecken. Als typische Muster, auf die man achten sollte, nennt Google unter anderem die Zeit, die jemand zum Ausfüllen eines Formulars braucht, und viele Anfragen aus demselben IP-Adressbereich.

Google-Hilfe zum Verhindern von Spam, rot markiert ist der Absatz, dass schon einfache Hürden Spammer abschrecken — Google empfiehlt einfache Hürden und das Beobachten typischer Spam-Muster bei Formularen.Screenshot: Google Search Central

Bei Newsletter-Anmeldungen kommt die Bestätigung per E-Mail dazu, das Double-Opt-in. Dann zählt eine Anmeldung erst, wenn jemand den Link in der Mail anklickt. Was du darüber hinaus regelmäßig prüfen solltest, habe ich in der Checkliste zur Website-Sicherheit zusammengestellt.

Meine Einschätzung

Ich finde es gut, dass Anthropic so offen berichtet, auch über peinliche Fälle. Gleichzeitig zeigt der Bericht, dass KI-Agenten zwar viel können, aber Grenzen nicht immer so verstehen, wie Menschen sie meinen. Für Website-Betreiber ändert sich dadurch nichts Grundsätzliches: Ein Formular musste schon immer mit Spam-Programmen rechnen. Neu ist, dass die Anfragen besser formuliert sein können und dadurch echter wirken.

Deshalb würde ich jetzt nicht hektisch alle KI-Bots sperren, sondern das Formular und die Technik dahinter einmal sauber prüfen lassen. Genau hier macht es einen Unterschied, wenn jemand die Website technisch betreut, Updates einspielt und die eingehenden Anfragen im Blick behält.

Häufige Fragen zu KI-Agenten auf Websites

Was ist ein KI-Agent?

Ein KI-Agent ist ein KI-Programm, das nicht nur Fragen beantwortet, sondern selbst handelt: Webseiten aufrufen, klicken, Texte eintragen, Formulare abschicken. Im Bericht von Anthropic geht es um Claude in genau dieser Rolle.

Kann ich KI-Agenten von meiner Website aussperren?

Die Crawler von Anthropic lassen sich laut Anthropic über die robots.txt steuern. Die robots.txt ist aber keine Zugangskontrolle. Ein öffentliches Formular schützt du über Prüfungen auf dem Server, nicht über die robots.txt.

Waren Kundendaten betroffen?

Laut Anthropic betraf nach eigener Kenntnis keiner der Fälle Kundendaten oder interne Systeme von Anthropic.

Muss ich an meiner Website jetzt etwas ändern?

Nicht sofort, aber ein Blick lohnt sich: Hat das Kontaktformular einen Spamfilter, sinnvolle Pflichtfelder und ist die Software aktuell? Wenn ja, bist du gut aufgestellt.

Fazit

Anthropic zeigt mit seinem Bericht, dass KI-Agenten auf echten Websites Dinge tun können, die niemand wollte, bis hin zu abgeschickten Formularen. Die Firma hat ihre Tests und Werkzeuge deshalb deutlich eingeschränkt. Für dich als Website-Betreiber bleibt die Lehre einfach: Die robots.txt ist kein Schloss. Ein guter Spamfilter, sinnvolle Pflichtfelder und regelmäßige Updates sind der eigentliche Schutz. Wenn du dabei Unterstützung willst, schau dir meine Leistungen im Webdesign an.