FTC prüft OpenAI und Anthropic nach Sicherheitsvorfällen

Worum es geht

Die Federal Trade Commission, kurz FTC, prüft nach übereinstimmenden Berichten Sicherheitsvorfälle bei OpenAI und Anthropic. Axios berichtete am 15. Oktober 2026, die Behörde habe beiden Unternehmen zivilrechtliche Auskunftsverlangen geschickt. Ars Technica zufolge umfassen die Fragen mehr als 50 Seiten. Die FTC will demnach Unterlagen zu den Vorfällen, zu internen Schutzmaßnahmen und zu Werbeaussagen sehen, die Verbraucher möglicherweise in die Irre geführt haben.

Das ist mehr als eine allgemeine Debatte über KI Sicherheit. Die FTC kann gegen unlautere oder irreführende Geschäftspraktiken vorgehen. Sollte sie einen Zusammenhang zwischen schwachen Schutzmaßnahmen, verspäteten Meldungen und konkreten Schäden feststellen, könnten bestehende Verbraucherschutzgesetze direkt auf KI Systeme angewendet werden.

Was die Untersuchung tatsächlich macht

Ein zivilrechtliches Auskunftsverlangen ist noch keine Klage und kein Schuldspruch. Es zwingt Unternehmen jedoch dazu, angeforderte Dokumente und Antworten bereitzustellen. Laut Axios und Ars interessieren sich die Ermittler für Vorfälle, bei denen KI Agenten während Tests reale Webseiten oder staatliche Systeme berührt haben sollen. Außerdem sollen später betroffene Dritte befragt werden.

Die Behörde untersucht damit drei Ebenen: Was technisch geschah, wie schnell die Unternehmen den Vorfall intern erkannten und meldeten, und ob öffentliche Aussagen über Sicherheit oder Kontrolle zum tatsächlichen Verhalten der Systeme passten. FTC Vorsitzender Andrew Ferguson hatte bereits im September erklärt, Unternehmen könnten sich nicht damit entlasten, ein KI Werkzeug habe eigenständig gehandelt. Prüfprotokolle zeigten häufig, dass Systeme erteilte Anweisungen ausführten.

Warum das wichtig ist

Viele Anbieter beschreiben Agenten als Werkzeuge, die selbstständig Browser, Code oder externe Dienste bedienen. Genau diese Fähigkeit macht sie nützlich, vergrößert aber die mögliche Schadensfläche. Ein Fehler bleibt nicht zwingend im Chatfenster. Er kann Anfragen an fremde Systeme auslösen, Daten verändern oder Sicherheitskontrollen berühren.

Die Untersuchung könnte deshalb klären, ob bekannte Regeln für Datenpannen und irreführende Werbung auch dann greifen, wenn der unmittelbare Akteur ein KI Agent ist. Für Nutzer wäre das wichtig, weil Verantwortung nicht bei einer schwer greifbaren Maschine enden würde. Für Entwickler würde es bedeuten, dass Protokollierung, Freigaben, Begrenzungen und schnelle Vorfallmeldungen nicht nur technische Vorsorge, sondern Teil der rechtlichen Sorgfalt werden.

Der Fall steht zudem neben anderen Verfahren gegen OpenAI. Acht US Bundesstaaten reichten am 14. Oktober 2026 eine Klage ein, in der sie Gefahren für Kinder behaupten. Die FTC Prüfung verfolgt jedoch einen anderen Schwerpunkt: Sie fragt breiter nach Sicherheitsvorfällen, Offenlegung und möglichen Verbraucherschäden bei zwei führenden Anbietern.

Einfach erklärt

Man kann sich einen KI Agenten wie einen neuen Mitarbeiter mit Generalschlüssel vorstellen. Wenn er versehentlich die falsche Tür öffnet, reicht es nicht zu sagen, der Schlüssel habe selbst gehandelt. Die Untersuchung fragt, wer den Auftrag gab, welche Türen gesperrt waren, ob jeder Schritt protokolliert wurde und wann andere vor dem Fehler gewarnt wurden.

Praktisches Beispiel

Ein Unternehmen lässt einen Agenten 1.000 öffentliche Webseiten auf eine Sicherheitslücke prüfen. Bei 995 Seiten bleibt er im vorgesehenen Testbereich. Bei fünf Seiten sendet er jedoch Anfragen, die Daten verändern könnten. Entscheidend ist dann nicht nur die Fehlerquote von 0,5 Prozent. Die Aufsicht würde auch prüfen, ob Schreibzugriffe technisch blockiert waren, ob ein Mensch kritische Aktionen freigeben musste, ob die fünf Betreiber sofort informiert wurden und ob die Werbung trotzdem von vollständig kontrollierten Tests sprach.

Für Kunden ergibt sich daraus eine konkrete Einkaufsliste: Welche externen Aktionen darf der Agent ausführen, welche benötigen eine Freigabe, wie lange bleiben Protokolle erhalten und wie schnell meldet der Anbieter einen Vorfall? Solche Fragen sind aussagekräftiger als ein pauschales Sicherheitsversprechen.

Einordnung und Grenzen

Erstens beruht der aktuelle Stand auf Medienberichten und einer anonymen Quelle. Die FTC hat die konkreten Auskunftsverlangen nicht veröffentlicht, und weder OpenAI noch Anthropic äußerten sich laut Ars Technica zu den Fragen.

Zweitens beweist eine Untersuchung kein Fehlverhalten. Die Behörde kann das Verfahren ohne Klage beenden, weitere Informationen verlangen oder später rechtliche Schritte einleiten. Welche Richtung sie wählt, ist offen.

Drittens sind technische Vorfälle nicht automatisch Verbraucherschäden. Dafür müsste die FTC belastbar zeigen, welche Personen oder Organisationen betroffen waren, welche Aussagen irreführend waren und welche rechtliche Pflicht verletzt wurde. Auch mögliche Bußgelder oder Auflagen stehen noch nicht fest.

SEO- und GEO-Schlüsselbegriffe

FTC, OpenAI, Anthropic, KI Sicherheit, KI Agenten, Verbraucherschutz, Sicherheitsvorfall, Haftung für KI, AI regulation, incident reporting