Meta-AI-Support: Wie Angreifer mit einfachen Anfragen Konten übernahmen

Am 31. Mai 2026 dokumentierte der Sicherheitsexperte Brian Krebs einen Angriff, der unterschätzte Schwachstellen in Metas KI-basiertem Support offenbarte. Angreifer nutzten einen simplen, aber effektiven Trick: Sie baten den Meta-KI-Support per Chatbot, eine neue E-Mail-Adresse für ein Instagram-Konto zu hinterlegen und ein Passwort zurückzusetzen. Der Bot führte die Anfrage aus – und verschickte den Bestätigungscode direkt an die Angreifer. Innerhalb weniger Minuten war der rechtmäßige Kontoinhaber ausgesperrt.

Was diesen Vorfall besonders brisant macht, ist die Tatsache, dass keine Malware, keine gestohlenen Zugangsdaten und keine klassische Prompt-Injection im Spiel waren. Der Angriff nutzte stattdessen eine vertrauenswürdige Schnittstelle, die für legitime Supportanfragen konzipiert wurde. Für Sicherheitsteams (SOCs) ist dies eine beunruhigende Erkenntnis: Die Übernahme erfolgte nicht durch das Umgehen von Sicherheitskontrollen, sondern durch das Ausnutzen einer bereits bestehenden, vertrauenswürdigen Funktion.

Warum Sicherheitsysteme den Angriff nicht erkannten

Aus Sicht der Sicherheitsüberwachung sah der Angriff wie ein vollkommen normales Support-Szenario aus. Der KI-Agent von Meta agierte als autorisierter Akteur und führte zwei scheinbar legitime Aktionen aus:

• Änderung der E-Mail-Adresse (Bindung einer neuen Recovery-E-Mail)
• Passwort-Reset (Auslösen eines Passwort-Wiederherstellungsprozesses)

Beide Schritte wurden von den Sicherheitssystemen (EDR, DLP, SIEM) als authentische, autorisierte Transaktionen protokolliert – schließlich stammten sie von einem vertrauenswürdigen internen System. Es gab keine verdächtigen Logins, keine gescheiterten Authentifizierungsversuche und keine Alarmmeldungen, die auf einen Angriff hingewiesen hätten.

Der Angriff folgte einer fast schon offensichtlichen Logik:

1. Der Angreifer aktivierte ein VPN, um seinen Standort an den des Opfers anzupassen – und umgehende Geo-Blocking-Mechanismen von Instagram zu umgehen.
2. Er kontaktierte den Meta-KI-Support und forderte die Änderung der E-Mail-Adresse an.
3. Der Bot bestätigte die Anfrage und sandte einen einmaligen Bestätigungscode an die vom Angreifer bereitgestellte E-Mail-Adresse.
4. Der Angreifer nutzte den Code, um das Passwort zurückzusetzen.
5. Der rechtmäßige Kontoinhaber war ausgesperrt – ohne dass ein einziger Sicherheitsalarm ausgelöst wurde.

Laut Berichten von 404 Media waren unter den betroffenen Konten hochkarätige Profile wie das von Sephora, Chief Master Sergeant John Bentivegna (US Space Force) und der Forscherin Jane Manchun Wong. Ein scheinbar inaktiver Account des Weißen Hauses veröffentlichte zeitweise ein manipuliertes Bild, was später von Meta angezweifelt wurde.

MFA hielt – die Recovery-Lücke nicht

Ein entscheidender Faktor bestimmte, wer den Angriff überstand: Multifaktor-Authentifizierung (MFA). Wie Krebs berichtete, scheiterte der Angriff an allen Konten, die mit MFA geschützt waren – selbst bei der Nutzung von SMS-basierten Bestätigungscodes.

Doch während MFA den Login-Pfad absicherte, blieb der Recovery-Pfad ungeschützt. Hier forderte Meta in einigen Fällen ein Video-Selfie zur Identitätsprüfung an. Angreifer umgingen dies, indem sie:

• Öffentlich verfügbare Fotos des Opfers sammelten.
• Diese mit einem KI-Videogenerator zu einem lebendigen Video zusammenfügten.
• Das generierte Video als vermeintliche Identitätsbestätigung einreichten.

Meta akzeptierte die gefälschte Identitätsprüfung – und der Angriff war erfolgreich.

Dies offenbart ein grundlegendes Architekturproblem: MFA schützt den primären Login-Pfad, doch der Recovery-Pfad ist oft parallel dazu angelegt und mit geringeren Sicherheitsprüfungen versehen. Genau hier lag die Schwachstelle – und genau hier musste der Angreifer nicht tricksen, sondern nur eine scheinbar berechtigte Anfrage stellen.

Das „Confused Deputy“-Problem: Wer trägt die Verantwortung?

Sicherheitsexperten bezeichnen diese Art von Angriff als „Confused Deputy“ – ein vertrauenswürdiges System (in diesem Fall der KI-Support-Bot), das von einem Angreifer dazu gebracht wird, unbeabsichtigt dessen Privilegien zu missbrauchen. Der Bot handelte nicht gegen seine Programmierung, sondern führte exakt die Funktionen aus, für die er entwickelt wurde.

Ian Goldin, Bedrohungsforscher bei Lumen’s Black Lotus Labs, warnte gegenüber Krebs on Security: „KI-Chats schaffen neue Angriffsflächen, und wir werden noch häufiger solche Vorfälle sehen.“ Jedes Unternehmen, das KI-Agenten in Recovery-, Provisionierungs- oder Passwort-Prozesse einbindet, riskiert ähnliche Schwachstellen.

Simon Willison, der den Begriff „Prompt Injection“ prägte, kommentierte den Vorfall auf seinem Blog:

„Meta hat sein Support-System direkt mit einem KI-Chatbot verknüpft, der den gesamten Account-Recovery-Prozess in einem Schritt durchführen konnte. Das ist kein klassischer Prompt-Hack – das ist einfach nur schlecht durchdacht. Verbinden Sie Ihre Support-Bots nicht mit Funktionen, die zu vollständigen Account-Übernahmen führen können.“

Bereits vor Metas Vorfall hatte die OWASP Foundation diese Klasse von Schwachstellen identifiziert und als „Excessive Agency“ (LLM06) klassifiziert. Die Kernaussage: KI-Systeme dürfen keine uneingeschränkte Schreibzugriffe auf sensible Systeme wie Authentifizierungsprozesse erhalten – insbesondere nicht, wenn diese Zugriffe über natürliche Sprache gesteuert werden können.

Was SOC-Teams jetzt tun müssen

Der Meta-Angriff zeigt: Vertrauenswürdige Systeme können zur größten Schwachstelle werden, wenn sie ohne ausreichende Kontrollen mit KI-Agenten verbunden werden. Für Sicherheitsverantwortliche bedeutet das:

• Auditierung aller KI-gesteuerten Recovery-Pfade: Jede Funktion, die ein KI-Agent ausführen kann, muss vorab in einer „AI Authority Audit Grid“ (siehe unten) geprüft werden.
• Erzwingen von manuellen Freigaben für kritische Änderungen: Selbst wenn ein KI-Agent legitim erscheint, sollten hochsensible Aktionen wie Passwort-Resets oder E-Mail-Änderungen eine zusätzliche menschliche Bestätigung erfordern.
• Ersetzen von KI-basierten Identitätsprüfungen: Video-Selfies oder andere KI-generierte Identitätsnachweise sind kein sicherer Ersatz für etablierte MFA-Verfahren. Hier müssen deterministische Prüfmechanismen (z. B. biometrische Scans oder hardwarebasierte Token) eingesetzt werden.
• Implementierung von „Least Privilege“-Prinzipien: KI-Agenten sollten keine uneingeschränkten Schreibrechte auf Authentifizierungssysteme erhalten. Stattdessen müssen granulare Zugriffsrechte und Rollenbasierte Zugriffskontrolle (RBAC) eingeführt werden.

AI Authority Audit Grid – Eine Vorlage für Sicherheitsverantwortliche

| Aktion | Risiko durch KI-Agenten | Warum SOC es nicht erkennt | Empfohlene Kontrolle | |--------------------------|-----------------------------|---------------------------------|-----------------------------------------------| | E-Mail-Änderung | Hoch – neue Recovery-E-Mail | Wird als legitime Support-Aktion protokolliert | Manuelle Freigabe + zusätzliche Authentifizierung | | Passwort-Reset | Hoch – vollständige Übernahme | Keine verdächtigen Logins | Zeitverzögerte Reset-Bestätigung per SMS | | Video-Identitätsprüfung | Mittel – KI-generierte Videos | Akzeptiert gefälschte Identität | Biometrische Verifikation oder Hardware-Token | | Multi-Faktor-Deaktivierung | Kritisch – Umgehung von MFA | Keine Alarmierung bei Deaktivierung | Automatische MFA-Warnung an Nutzer |

Der Meta-Vorfall ist kein Einzelfall, sondern ein Weckruf für die gesamte Branche. Unternehmen, die KI-Agenten in kritische Prozesse einbinden, müssen Sicherheit von Grund auf neu denken – sonst werden sie unweigerlich zur nächsten Angriffsfläche für Kriminelle.

Die Frage ist nicht mehr, ob solche Angriffe passieren, sondern wie schnell Sicherheitsverantwortliche ihre Systeme anpassen, bevor es zu spät ist.