„Denial of Wallet“ als neuer DDoS-Angriff gegen KI-Agenten

Vor nicht allzu langer Zeit haben viele Unternehmen damit begonnen, KI-Agenten aktiv in eine Vielzahl von Workflows zu implementieren. Und schneller als gedacht sind die dadurch verursachten Kosten zu einem heißen Eisen geworden. Das Problem betrifft jedoch nicht nur die Finanzabteilung. Neben Budgetproblemen stellen sich auch Fragen der Zuverlässigkeit, Betriebsstabilität und Informationssicherheit. Warum? Die Kosten für die Automatisierung ein und desselben Vorgangs können von Fall zu Fall erheblich variieren, sind unvorhersehbar und unterliegen externen Einflüssen.

Zudem ist für böswillige Akteure, die es auf Unternehmen abgesehen haben, jeder KI-automatisierte Prozess, der anfällig für externe Einflüsse ist, ein attraktives Ziel für eine „neue Art von DDoS-Angriffen“. Berichte über Anwendungsfehler, Produktbewertungen oder Supportanfragen können (wie alle externen Daten, die ein Unternehmen mit KI verarbeitet) als Mittel für einen Angriff dienen, um den Verbrauch von Token (Wortfragmenten, die als Grundeinheit für LLM-Eingaben und -Ausgaben dienen) in die Höhe zu schrauben.

Ein Jahr mit explodierenden Rechnungen

Im Jahr 2026 haben große Unternehmen ihre Budgets für KI-Systeme erstmals deutlich überzogen. Uber hatte schon im April sein gesamtes Jahresbudget ausgegeben. Ein ungenanntes Unternehmen hatte es versäumt, ein Limit für Claude festzulegen, und erhielt für einen einzigen Monat eine Rechnung über 500 Millionen Dollar. Obwohl KI-Anbieter regelmäßig niedrigere Preise und effizientere Modelle ankündigen, erhöht der Wechsel von Chatbots zu kontinuierlich aktiven und autonomen Agentensystemen den Tokenverbrauch um das Hundert- oder Tausendfache.  Gleichzeitig ist das Modell der „Pauschal-Abos für 20 oder 100 Dollar“ für Unternehmen nicht mehr aktuell. Alle großen Anbieter rechnen bei Geschäftskunden inzwischen nach Verbrauch ab.

Deshalb stehen Unternehmen vor einem Problem, das aus der Cloud-Hosting- und Mobilfunkbranche wohlbekannt ist. Da es keine spezialisierten Abrechnungs- und Verwaltungssysteme gibt, erfährt ein Unternehmen die Kosten erst, nachdem ein bestimmter Prozess oder ein Projekt abgeschlossen ist. In den Sektoren Telekommunikation und Cloud wurde dieses Problem durch die Einführung ausgeklügelter Abrechnungssysteme gelöst. Die Kunden wissen jetzt sogar, was der Begriff FinOps bedeutet. Für KI steckt dieser Prozess noch in den Kinderschuhen. Zusätzlich verschärft wird das Problem durch den Zufallscharakter der generativen KI.

Unvorhersehbarer Verbrauch von Token

Warum steigen die Kosten so rasant? Und warum sind sie so schwer vorherzusagen und zu kontrollieren? Um das zu verstehen, schauen wir uns noch einmal an, wie ein Sprachmodell funktioniert und wodurch es zu einem KI-Agenten wird. Das Modell ist „zustandslos“. Mit anderen Worten: Es speichert keine Informationen zwischen den Interaktionen. Jedes Mal, wenn der Agent den nächsten Schritt ausführt, muss der gesamte Verlauf für eine bestimmte Aufgabe (der Kontext) erneut an das Modell gesendet werden: der ursprüngliche Prompt, die vorherige Begründung, der Inhalt von zuvor gelesenen Dateien und die Antworten, die aus verschiedenen Tools stammen. Diese „Rekapitulation“ wird mit jedem Schritt länger, insbesondere, wenn die Aufgabe wiederholte Zyklen beinhaltet. Wenn ein Schritt fehlschlägt, die Antwort unklar ist oder ein Tool einen Fehler meldet, versucht es der Agent einfach noch einmal, und der Kontext wird dadurch noch umfangreicher. Falls die Aufgabe von mehreren Agenten ausgeführt wird, die die Arbeit untereinander aufteilen und ihre Ergebnisse austauschen, multipliziert sich dieses Volumen noch einmal mit der Anzahl der Agenten. Infolgedessen steigt der Token-Verbrauch nicht allmählich, sondern schubweise an. Den Verbrauch zu Beginn der Aufgabe vorherzusagen ist fast unmöglich.

Wenn zwei verschiedene Sitzungen in einem KI-Agenten ausgeführt werden, um genau dieselbe Aufgabe zu lösen (z. B. zwei Tickets für den technischen Support oder zwei Analyseaufgaben), kann die Anzahl der dafür verbrauchten Token bis zum 30-Fachen (!) variieren. Dies hängt davon ab, wie viele Schritte, Fehler und Wiederholungsversuche erforderlich sind, um die Aufgabe zu lösen. Der höhere Ressourcenaufwand hängt nicht unbedingt von der Komplexität der Aufgabe ab. Es gibt bekannte Fälle, in denen die KI in einer „Gedankenschleife“ hängen blieb und eine absurde Menge an Ressourcen für triviale Aufgaben verschwendete.

Drei Generationen von KI verbrauchen ihre Ressourcen in Unternehmenssystemen auf völlig unterschiedliche Weise:

• Traditionelles maschinelles Lernen (ML). Es funktioniert normalerweise mit gut strukturierten Daten und ist nicht übermäßig rechenintensiv. Der Ressourcenverbrauch ist vorhersehbar und gering. Dem Budget drohen keine Überraschungen.
• Ein Chatbot oder ein anderer LLM-basierter KI-Assistent. Es werden Token verbraucht, aber das Tempo wird vom Nutzer bestimmt: Ein Mitarbeiter startet eine Aufgabe manuell und wertet dann das Ergebnis aus, während der Assistent erstmal Pause macht. Die Kosten steigen ungefähr proportional zur Anzahl der aktiven Nutzer und können anhand der Anzahl der Lizenzen ungefähr geschätzt werden.
• Ein autonomer KI-Agent. Eine Person gibt das Ziel vor, und das System entscheidet selbst, was zu tun ist und wie viele Schritte erforderlich sind. Der Zähler tickt so lange, bis die Aufgabe als abgeschlossen gilt. Für die Kosten besteht keine vorhersehbare Obergrenze.

Tokenomics bei Angriffen: Denial-of-Wallet als neues DDoS

LLM-Aufrufe sind deutlich teurer als typische Softwareaufrufe. Darum ist die Automatisierung routinemäßiger geschäftlicher Aufgaben mit ungewöhnlich hohen Kosten verbunden. Nach einer Schätzung  von Gartner kostet die LLM-Bearbeitung einer Kundensupportanfrage ungefähr 3 US-Dollar. Angreifer könnten ein Unternehmen mit Tausenden von langen, ausgeklügelten Anfragen bombardieren, die von einem billigen LLM generiert werden, und dem Opfer hohen finanziellen Schaden zufügen. Bei automatisierten Vorgängen dieser Art werden Anomalien möglicherweise nicht sofort erkannt.

Wenn ein Angreifer weiß, welches Agentensystem und welches LLM in einem Geschäftsprozess im Einsatz ist, kann er einen präzisen Angriff ausführen und erheblich höheren Schaden anrichten. Interessante Zahlen aus der GitInject-Studie: Ein Angreifer, der es schafft, innerhalb eines Unternehmens, das KI-Agenten zur Fehleranalyse verwendet, GitHub-Probleme zu erstellen, kann mit einem einzigen Angriff (bevor die GitHub-Abwehrmechanismen ausgelöst werden) bis zu 111 € Schaden anrichten und 400 Minuten GitHub-Aktionen aus dem Konto des Opfers „verbrennen“. So ein Angriff kann natürlich mehrmals wiederholt werden, ohne dass es den Angreifer etwas kostet.

Das größte Risiko ist finanziell nur schwer zu quantifizieren und geht von Angriffen aus, die LLMs zu überflüssigem Nachdenken anregen. In der Studie OverThink demonstrierten die Autoren, dass eine harmlos klingende Aufgabe, die in ein Sprachmodell eingegeben wird, zwar ein korrektes Ergebnis liefert, dabei aber 46 (!) Mal mehr Token verbraucht, als sie sollte. Bei diesen Tests flutschten alle Aufgaben ungehindert durch die vorhandenen Sicherheitsfilter.

In der neuen Version des Leitfadens OWASP Top Risks for Language Models besitzt dieses Problem eine rekordverdächtige Priorität: Der unbegrenzte Token-Konsum wird jetzt LLM06:2026 genannt. Unter den Variationen wird der Angriff „Denial of Wallet“, der das LLM-Budget des Opfers ausschöpft, ausdrücklich hervorgehoben.

So schützt du dich vor dem „neuen DDoS“

Zuerst einmal solltest du KI nicht immer und überall verwenden, nur weil es KI gibt. Autonome Agenten sollten nicht mit beliebigen Aufgaben betraut werden. Beim Einsatz künstlicher Intelligenz ist eine regelmäßige Kosten-Nutzen-Analyse ratsam.

Darüber hinaus solltest du die Berechtigungen und Tools einschränken, die ein autonomer KI-Agent nutzen darf. Je weniger Aktionen dem System zur Verfügung stehen, desto effektiver arbeitet es an einer konkreten Aufgabe, desto weniger Möglichkeiten hat es, die Kosten in die Höhe zu treiben, und desto unwahrscheinlicher sind „Manipulationen“ für unnötigen Tokenverbrauch.

Außerdem wird empfohlen, strenge Grenzwerte für den Tokenverbrauch festzulegen und das Benachrichtigungssystem so zu konfigurieren, dass bei Überschreitungen dieser Höchstwerte Warnungen erfolgen. Sinnvoll sind auch mehrere parallele Limits: ein Limit pro Aufgabe, ein Tageslimit usw. Warnungen für diese Grenzwerte müssen direkt an den verantwortlichen Spezialisten weitergeleitet werden, damit er entscheidet, ob der Prozess fortgesetzt oder abgebrochen werden soll.

Externe, nicht vertrauenswürdige Daten müssen genau überprüft werden. Alle Informationen, die von der KI verarbeitet werden und aus externen Quellen stammen, können nicht nur Prompt-Injektionen zur Folge haben, sondern die Arbeitsbelastung auch absichtlich erhöhen. Mögliche externe Quellen sind Anfragen, Aufforderungen, Nachrichten, Kommentare oder verschiedene technische Felder, die beliebigen Text enthalten können (DNS-Einträge, HTTP-Header, Dateinamen). Es wird geraten, ihre Größe zu begrenzen und die aus ihnen resultierende Last zu überwachen.

Berechne die Kosten pro Analyse und vergleiche die Rechnungen des Anbieters mit deinen eigenen Daten. Nur anhand der Kosten pro Analyse, pro Anfrage oder pro Überprüfung kannst du den Grund der Kosten feststellen und mögliche Fehler in den Rechnungen finden.