Google Gemini Calendar Leak: Prompt Injection per Meeting-Invite

Ein aktueller Vorfall zeigt, wie sich Google Gemini in Verbindung mit Google Calendar über eine scheinbar normale Meeting-Einladung manipulieren ließ. In der beschriebenen Angriffskette wurde indirekte Prompt Injection genutzt, um private Kalenderinformationen zusammenzufassen und über neu angelegte Termine wieder auszuleiten.

Das ist kein klassischer Malware-Fall. Kritisch ist die Kombination aus Sprache, Kontext und Tool-Rechten: Ein KI-Assistent liest externe Inhalte, interpretiert darin versteckte Anweisungen und kann anschließend Aktionen ausführen, etwa neue Termine erstellen. Genau diese Kombination macht GenAI-Assistenzfunktionen zu einem Security- und Governance-Thema.

Kurz erklärt

Beim Google-Gemini-Calendar-Leak handelt es sich um eine semantische Angriffskette. Der Angreifer platziert Anweisungen in einem legitimen Datenfeld, etwa der Beschreibung eines Kalendertermins. Sobald Gemini diese Inhalte beim Beantworten einer Kalenderfrage als Kontext liest, kann der Text zur Steuereingabe werden.

Hintergrund: Was ist passiert?

In der Berichterstattung und dem zugehörigen Research wird ein Szenario beschrieben, in dem ein Angreifer eine Kalendereinladung versendet und in der Beschreibung des Termins eine versteckte Anweisung platziert. Diese Anweisung wird nicht sofort ausgeführt. Sie bleibt liegen, bis ein Benutzer später eine normale Frage an den Assistenten stellt, zum Beispiel ob am Wochenende ein freier Slot besteht.

Dann liest Gemini den Kalenderkontext, inklusive der bösartigen Beschreibung, und kann den Prompt interpretieren. Entscheidend ist weniger ein Bug im klassischen Sinn, sondern das Zusammenspiel aus Kontextaufnahme und Handlungsfähigkeit: Kalenderdaten werden zur Antwortbildung gelesen, während der Assistent gleichzeitig über Tools oder APIs Aktionen ausführen kann.

Angriffskette: vom Invite bis zur Exfiltration

Warum ist das schwer zu verhindern?

Klassische Security-Kontrollen suchen häufig nach auffälligen Mustern: Signaturen, typischen Payloads oder verdächtigen Strings. Prompt Injection ist schwieriger, weil das Risiko semantisch ist. Der Text kann sprachlich plausibel wirken, aber in Kombination mit Tool-Rechten trotzdem unerwünschte Aktionen auslösen.

Deshalb reicht ein Keyword-Filter nicht. GenAI-Funktionen sollten wie eine neue Anwendungsschicht behandelt werden: mit Berechtigungen, Policies, Telemetrie, Freigaben und klaren Grenzen zwischen Datenquelle, Modellkontext und Tool-Aktion.

Bin ich betroffen?

Auch wenn die konkret beschriebene Schwachstelle laut Research und Berichterstattung mitigiert wurde, bleibt die Risikoklasse für viele KI-Assistenten relevant. Für die praktische Betroffenheitsprüfung zählen diese Fragen:

• Ist eine KI-Assistenzfunktion im Kalenderkontext aktiv, etwa Termin-Zusammenfassungen, freie Slots oder automatische Planungsassistenz?
• Hat die Assistenz Tool-Rechte, also darf sie Termine erstellen oder ändern, oder darf sie nur lesen?
• Welche Sichtbarkeits- und Sharing-Regeln gelten im Kalender?
• Können externe Teilnehmer Termindetails sehen oder Termine erzeugen, die für andere sichtbar werden?
• Gibt es Monitoring und Auditing für Termine, die durch Assistenten oder Service-Identitäten erstellt wurden?

Was sich in Logs prüfen lässt

Wenn Ihre Umgebung Kalender-Auditdaten oder Admin-Reports bereitstellt, lohnen sich diese Suchansätze:

• Unerwartete Termin-Erstellungen mit generischen Titeln wie „free“ oder „available“ in kurzen Zeitfenstern.
• Serienhafte Änderungen an Beschreibungsfeldern von Terminen.
• Erstellungen durch Service-Identitäten oder Assistenten-Integrationen außerhalb erwarteter Prozesse.
• Termine, deren Beschreibung Zusammenfassungen anderer Meetings oder ungewöhnlich viele Detailinformationen enthält.

Maßnahmen gegen Prompt Injection in Kalender- und Assistenz-Workflows

Der Kern ist nicht „KI abschalten“, sondern Risiko minimieren: Tool-Zugriffe kontrollieren, Datenflüsse bewusst gestalten und Missbrauch detektieren. Diese Maßnahmen sind für Kalender- und Assistenz-Workflows besonders relevant.

Governance und Compliance: warum das ein Management-Thema ist

Der Fall zeigt, dass GenAI nicht nur ein Produktivitäts-Feature ist, sondern eine Form integrierter Automatisierung. Sobald Assistenten Tools bedienen, entstehen typische Governance-Fragen:

• Wer genehmigt KI-Integrationen, wer betreibt sie und wer überwacht sie?
• Welche Datenklassen dürfen in Assistenz-Kontexte gelangen?
• Welche Policies sind technisch erzwungen und welche sind nur Guidelines?
• Wie wird dokumentiert, welche Tool-Aktionen ein Assistent ausführen durfte?
• Welche Logs stehen im Incident-Fall tatsächlich zur Verfügung?

Für einen strukturierten Ansatz lohnt sich die Orientierung an etablierten Risk-Management-Methoden wie dem NIST AI RMF, ergänzt um LLM-spezifische Kontrollziele aus der OWASP Top 10 for LLM Applications.

FAQ

Fazit: Der Fall ist ein Muster und damit planbar

Der Google-Gemini-Calendar-Leak ist vor allem ein Lehrstück: Wenn KI-Assistenten Kontext aus Geschäftsdaten lesen und gleichzeitig Tool-Rechte besitzen, entstehen neue Angriffswege, oft ohne klassische Indicators of Compromise.

Die gute Nachricht: Mit Least Privilege, Bestätigungs-Workflows für kritische Aktionen, Audit-Mechanismen und klarer Governance lässt sich das Risiko praxisnah reduzieren. Entscheidend ist, KI-Assistenten nicht als Chatfenster zu betrachten, sondern als Integration mit Datenzugriff, Handlungsmöglichkeiten und Betriebsverantwortung.