Bei Agentic AI Sicherheit geht es um eine einzige Frage: Wenn jemand Ihren KI-Agenten austrickst, was kann er ihn tun lassen? Diese Assistenten lesen Daten, nutzen Tools und handeln eigenständig. Ein getäuschter Agent erreicht daher alles, womit Sie ihn verbunden haben, von Kundendaten und Postfächern bis zu Zugangsschlüsseln und anderen Agenten.
Wenn Ihr Team KI an ein CRM, ein E-Mail-Konto oder ein Code-Repository angebunden hat, betrifft Sie diese Frage bereits. Führende Experten für die Sicherheit von KI-Agenten gehen zudem davon aus, dass früher oder später jeder Agent getäuscht wird. OWASP, die gemeinnützige Organisation hinter den Risikolisten, an denen sich der Großteil der Branche orientiert, rät Entwicklern, mit einem getäuschten Modell zu planen. Behörden für Cybersicherheit aus fünf Ländern ergänzen eine praktische Regel: Geben Sie Agenten niemals weitreichenden Zugriff.
Wir arbeiten an diesem Problem aus Sicht der Tester. Die Engineers von QAwerk führen vor dem Launch KI-Agent-Tests durch, und unsere Bug Crawls untersuchen KI-Produkte, die bereits bei Nutzern im Einsatz sind. In beiden Fällen beginnen wir dort, wo auch ein Angreifer beginnen würde: mit einer Übersicht über jedes beteiligte System, jedes Tool und jedes Konto. Dieser Artikel stellt diesen Ansatz in einfacher Sprache vor, damit Sie das Risiko in Ihrem eigenen Produkt vor dem Release einschätzen können.
Was Agentic AI Sicherheit wirklich bedeutet
Ein KI-Agent ist ein Programm, das auf einem Large Language Model (LLM) aufbaut, also der Art von KI, die hinter ChatGPT steckt. Anders als ein Chatbot, der nur Fragen beantwortet, plant ein Agent seine eigenen Schritte und führt sie aus. Ein Support-Agent kann zum Beispiel einen Kunden nachschlagen, eine Antwort entwerfen und die E-Mail versenden, ohne dass jemand auf einen Button klickt.
Agentic AI Sicherheit hält diese Aktionen sicher, indem sie vier Dinge kontrolliert:
- Daten: was der Agent lesen kann
- Tools: welche Aktionen er ausführen kann
- Zugangsschlüssel: bei welchen Konten er sich anmelden kann
- Andere Agenten: wem er Anweisungen geben kann
Warum Prompt Injection die zentrale Bedrohung für KI-Agenten ist
Die Schwachstelle jedes KI-Agenten ist das Sprachmodell selbst. Ein LLM liest Ihre Anweisungen und seine Arbeitsdaten als einen einzigen Textstrom, daher kann das Modell eine echte Anfrage nicht zuverlässig von einem Befehl unterscheiden, der in einer E-Mail oder einem Support-Ticket versteckt ist. Prompt Injection nutzt genau diese Lücke: Ein Angreifer schleust neue Anweisungen in Inhalte ein, die der Agent liest. Unsere Tester haben gesehen, wie wenig ein Angriff bei echten Produkten braucht. Bei Bug Crawls von live geschalteten KI-Assistenten brachte eine einzige eingetippte Zeile einen Assistenten von seiner Aufgabe ab, und eine umformulierte Anfrage brachte einen anderen dazu, seine vertraulichen Anweisungen preiszugeben. Alle Details zu diesen Beispielen für Prompt Injection finden Sie in einem eigenen Artikel.
Eine Prompt Injection bei einem KI-Agenten richtet mehr Schaden an als bei einem Chatbot, weil der Agent die schädlichen Anweisungen ausführt. Am schwersten zu erkennen ist die indirekte Prompt Injection. Hier verstecken sich die feindlichen Anweisungen in einem Dokument, einer Webseite oder einer E-Mail, die der Agent während einer Aufgabe öffnet, sodass der Angreifer nie direkten Kontakt braucht.
Bisher hat niemand einen zuverlässigen Weg gefunden, ein Modell daran zu hindern, Anweisungen und Daten zu verwechseln, und Prompt Injection steht auf Platz eins der OWASP Top 10 for LLM Applications 2026, einer Rangliste der größten Risiken in KI-Anwendungen. Die Autoren der Liste raten Teams, jedes System „unter der ausdrücklichen Annahme, dass die Anweisungsgrenze des Modells irgendwann umgangen wird“, zu entwerfen. Einfach gesagt: Planen Sie für den Tag, an dem Ihr Agent der falschen Person gehorcht. OWASP hat außerdem Excessive Agency, also mehr Befugnisse, als die Aufgabe eines Agenten erfordert, auf Platz drei hochgestuft und den Anstieg als „die folgenreichste Verschiebung auf der Liste“ bezeichnet.
Sicherheitsrisiken von Agentic AI im Produktivbetrieb
Viele Sicherheitsrisiken von Agentic AI folgen einem Muster. Ein Angreifer beeinflusst, was der Agent liest, und dann richtet der eigene Zugriff des Agenten den Schaden an. Die folgende Tabelle ordnet die wichtigsten Bedrohungen für Agentic AI danach, wie sie in einem Live-Produkt aussehen und was ein Tester prüft.
Prompt Injection
Eine Kundennachricht fordert den Agenten auf, seine Regeln zu ignorieren, und der Agent gehorcht
Ob versteckte Anweisungen in einem beliebigen Eingabekanal verändern, was der Agent tut
Übermäßige Berechtigungen
Ein Support-Agent nutzt einen gemeinsamen Admin-Login und kann daher Abrechnungsdaten bearbeiten und Konten löschen
Ob jede Aktion, die der Agent ausführen kann, für seine Aufgabe tatsächlich nötig ist
Unsichere Tool-Nutzung
Der Agent gibt vom Angreifer geschriebenen Text an ein Such- oder Code-Tool weiter, und das Tool führt diesen Text aus
Ob jedes Tool schädliche Eingaben ablehnt, auch wenn sie vom Agenten kommen
Gestohlene oder geteilte Zugangsdaten
Mehrere Agenten teilen sich einen Zugangsschlüssel, der nie abläuft, sodass ein einziges Leck alle offenlegt
Ob Schlüssel pro Agent eindeutig, im Umfang begrenzt und kurzlebig sind
Datenabfluss
Der Agent liest private Datensätze, und diese landen in einer Antwort oder einer ausgehenden Anfrage
Ob Daten eines Nutzers oder Systems einen anderen Nutzer oder eine externe Adresse erreichen können
Blindes Vertrauen zwischen Agenten
Ein Agent akzeptiert die Anfrage eines anderen Agenten ungeprüft, sodass sich eine einzige Kompromittierung ausbreitet
Ob jeder Agent Anfragen anderer Agenten so streng prüft wie Anfragen von Nutzern
Fehlende Freigabeschritte
Der Agent löscht Daten oder überweist Geld, ohne dass ein Mensch die Aktion vorher prüft
Ob Aktionen mit großer Tragweite bei einer Freigabe anhalten, die der Agent nicht überspringen kann
Was die Forschung 2026 über Angriffe auf Agenten gezeigt hat
Zwei aktuelle Fälle von Schwachstellen in KI-Agenten zeigen, wie kurz der Weg von Worten zu Schaden sein kann. Der erste kam von Microsoft: Das Sicherheitsteam des Unternehmens fand eine inzwischen behobene Schwachstelle in Semantic Kernel, dem Open-Source-Toolkit von Microsoft zum Bauen von Agenten. Bei Tests reichte ein einziger Prompt, um ein Programm auf dem Rechner auszuführen, auf dem der Agent lief. Der Agent hatte Text aus dem Chat direkt an ein Such-Tool weitergegeben, und das Tool führte diesen Text als Code aus. Das Fazit von Microsoft ist deutlich: „Ihr LLM ist keine Sicherheitsgrenze.“
Der zweite Fall kam von Sicherheitsforschern bei Zenity. Sie fanden heraus, dass ein einziger Prompt an einen in Amazons Cloud gehosteten Agenten jeden anderen Agenten in derselben Region erreichen konnte. Keiner der beiden Funde war ein Angriff in freier Wildbahn, und beide Anbieter nahmen Änderungen vor, nachdem die Probleme gemeldet worden waren. Trotzdem täuscht die geringe Zahl dokumentierter realer Vorfälle. OWASP erklärt, dass Teams viel Aufwand betreiben, um diese Angriffe zu stoppen, sodass nur wenige erfolgreiche überhaupt erfasst werden und die offizielle Zählung das Risiko „unterschätzt“.
Drei Agenten-Setups mit wachsenden Sicherheitsrisiken
Die Sicherheitsrisiken von Agentic AI verschärfen sich überall dort, wo sich ein Agent mit etwas Neuem verbindet, besonders in drei verbreiteten Setups:
- Tool-Anbindungen: Immer mehr Agenten verbinden sich über das Model Context Protocol (MCP) mit externen Apps, einen offenen Standard, über den ein Agent an viele Tools und Datenquellen andocken kann. Jede neue Verbindung bringt mehr Daten zum Lesen und mehr ausführbare Aktionen mit sich, was MCP-Sicherheit zu einem eigenen Thema macht.
- Coding-Agenten: Diese Tools arbeiten oft mit den Zugriffsrechten eines Entwicklers, die Quellcode, Build-Systeme und Cloud-Schlüssel umfassen können. Für Engineering-Teams, die sie einführen, gehört die Sicherheit von KI-Coding-Assistenten auf die Risikoliste.
- Suche in der Wissensdatenbank: Viele Agenten antworten auf Basis Ihrer Unternehmensdateien über Retrieval-Augmented Generation (RAG), ein Setup, das passende Dokumente nachschlägt, bevor die KI antwortet. Wer Anweisungen oder falsche Fakten in dieses Material einschleusen kann, steuert jede Antwort, die darauf beruht, daher braucht RAG-Sicherheit eigene Prüfungen.
In allen drei Setups zielen Angreifer oft auf dasselbe Ergebnis ab: LLM-Datenabfluss, bei dem private Daten, die der Agent lesen kann, in einer Antwort, einer Logdatei oder einer Anfrage an einen externen Server landen.
Was staatliche Sicherheitsbehörden für KI-Agenten empfehlen
Im Mai 2026 veröffentlichten staatliche Cybersicherheitsbehörden aus Australien, den USA, Kanada, Neuseeland und Großbritannien gemeinsame Empfehlungen zu KI-Agenten. Diese fünf Länder teilen nachrichtendienstliche Informationen als Five-Eyes-Allianz, und zu den beteiligten Behörden gehört die US-amerikanische National Security Agency. Der Leitfaden heißt Careful Adoption of Agentic AI Services und richtet sich an jede Organisation, die Agenten entwickelt oder betreibt. Die Empfehlungen gelten also für Produktteams ebenso wie für Sicherheitsverantwortliche.
Im Kern rät der Leitfaden Teams, Agenten zunächst mit Aufgaben mit geringem Risiko einzusetzen und ihnen niemals „weitreichenden oder uneingeschränkten Zugriff, insbesondere auf sensible Daten oder kritische Systeme“ zu geben. Ein Satz im Leitfaden fasst den Grund zusammen: „Die den Agenten zugewiesenen Berechtigungen bestimmen direkt, welches Risiko sie verursachen können.“ Einfach gesagt: Je mehr ein Agent tun darf, desto mehr Schaden kann er anrichten, wenn etwas schiefgeht.
Der Leitfaden veranschaulicht die Gefahr am Beispiel eines Einkaufsagenten, der auf Finanzsysteme, E-Mails und Verträge zugreifen kann. Ein Angreifer dringt in ein kleines Tool ein, das der Agent nutzt, und übernimmt alles, was der Agent erreichen kann. Von dort aus ändert der Angreifer Verträge und genehmigt Zahlungen, während die Protokolle nur einen vertrauenswürdigen Helfer bei der Arbeit zeigen. Sicherheitsexperten nennen das einen „Confused Deputy“: einen vertrauenswürdigen Assistenten, der dazu gebracht wird, für jemanden zu arbeiten, der ihm keine Anweisungen geben darf.
Neun Schutzmaßnahmen für Agenten mit echtem Zugriff
In der Praxis lassen sich die offiziellen Empfehlungen zur Sicherheit von KI-Agenten auf diese Schutzmaßnahmen herunterbrechen:
- Zugriff, der auf das beschränkt ist, was die Aufgabe des jeweiligen Agenten erfordert, und nicht mehr
- Just-in-Time-Zugangsdaten, also Zugangsschlüssel, die für eine einzelne sensible Aktion erstellt werden und kurz danach ablaufen
- Freigabe durch einen Menschen vor Aktionen mit großer Tragweite, etwa dem Löschen wichtiger Datensätze, dem Zurücksetzen von Systemen oder dem Senden von Daten nach außen
- Freigaberegeln, die von Menschen festgelegt werden, damit der Agent nie selbst entscheidet, wann er fragt
- Kein Agent darf seine eigenen Berechtigungen ändern
- Ein lesbares Protokoll jedes Tools, das der Agent nutzt
- Tests in einer Sandbox, einer abgeschotteten Kopie Ihrer Systeme, vor dem Launch
- Regelmäßiges AI Red Teaming und Penetrationstests, bei denen Spezialisten die Rolle des Angreifers übernehmen und prüfen, wie sich der Agent verhält
- Regelmäßige Prüfungen, ob der Agent seine eigenen Sicherheitsgrenzen, Freigabeschritte und Filter umgehen kann
Berechtigungen von KI-Agenten: Wie viel Zugriff ist zu viel?
Die Berechtigungen eines KI-Agenten sind die Liste dessen, was er lesen, ändern und senden darf. Staatliche Cybersicherheitsbehörden nennen zwei alltägliche Fehler:
- Ein Kalenderassistent: Er braucht Ihren Kalender, um Ihre Termine zu buchen, kann aber womöglich jedes Meeting im Unternehmen sehen.
- Ein E-Mail-Assistent: Er braucht Ihr Postfach, um Ihre Antworten zu entwerfen, kann aber womöglich in das Postfach jeder beliebigen Person schreiben.
Wird einer dieser Agenten getäuscht, erbt der Angreifer diese zusätzliche Reichweite, von vertraulichen Vorstandssitzungen bis zu E-Mails im Namen einer Führungskraft.
Praxisbeispiele für Agenten, die ihre Rolle überschreiten
Die AgentCorruption-Forschung von Zenity testete Amazon Bedrock AgentCore, Amazons Plattform zum Hosten von Agenten. Ein einziger Prompt brachte einen Agenten dazu, temporäre Zugangsschlüssel herauszugeben. Laut dem Bericht von Dark Reading konnten diese Schlüssel aufgrund der Standardberechtigungen der Plattform anschließend auf andere Agenten, gespeicherte Unterhaltungen und gespeicherte Passwörter zugreifen. Amazon bestreitet, dass es sich um eine Schwachstelle handelte, rät aber selbst dazu, jedem Agenten nur die Berechtigungen zu geben, die er benötigt. Laut Zenity wurde der Standardzugriff inzwischen reduziert.
Ganz normale Websites machen denselben Fehler. In einem viel beachteten Fall setzte ein Entwickler einen KI-Agenten auf die Buchungsseite eines Fitnessstudios an, und der Agent stornierte die Reservierung eines anderen Mitglieds, um seinen Besitzer auf der Warteliste nach oben zu bringen. Wie unser Beitrag über den KI-Agenten, der ein Fitnessstudio hackte, erklärt, prüfte die Website nie, wessen Buchung storniert wurde.
Unsere Bug Crawls fördern leisere Varianten desselben Problems zutage. In Fiscal.ai, einer KI-gestützten App für Finanzanalysen, blieb ein vom Nutzer gelöschter Copilot-Chat aktiv und nahm weiterhin Nachrichten an. Dieser Bug steht neben mehreren Zuverlässigkeitsfehlern in unserem Artikel über versteckte Risiken von KI-Agenten.
Für die Zeit vor dem Release schlägt die OWASP-Liste 2026 einen schnellen Test der Berechtigungen von KI-Agenten vor. Stellen Sie drei Fragen zu Ihrem Agenten:
- Kann der Agent private Daten lesen?
- Nimmt er Inhalte von Fremden auf, etwa E-Mails, Webseiten oder hochgeladene Dateien?
- Kann er Informationen nach außerhalb des Unternehmens senden?
Drei Ja-Antworten bedeuten, dass der Agent alles besitzt, was ein Angreifer braucht. Wenn Sie eine dieser Fähigkeiten entfernen, ist die Kette unterbrochen.
Wie man KI-Agenten absichert
Die Absicherung von KI-Agenten umfasst zwei Aufgaben: begrenzen, was ein getäuschter Agent tun kann, und alles im Blick behalten, was er tut. Enge Berechtigungen, die Freigabe durch einen Menschen und kurzlebige Zugangsschlüssel decken einen Großteil der ersten Aufgabe ab. Drei Best Practices für die Sicherheit von KI-Agenten ergänzen diese Schutzmaßnahmen:
- Beginnen Sie mit Aufgaben mit geringem Risiko. Übertragen Sie Arbeit, bei der ein Fehler wenig kostet, etwa das Entwerfen von Antworten, die ein Mensch versendet. Erweitern Sie die Rolle dann Schritt für Schritt, wenn das Vertrauen wächst.
- Behandeln Sie jede Tool-Eingabe als feindlich. Das Sicherheitsteam von Microsoft rät: „Jeder Tool-Parameter, den das Modell beeinflussen kann, muss als vom Angreifer kontrollierte Eingabe behandelt werden.“ Jedes Tool sollte daher alles prüfen, was es empfängt, als hätte es ein Fremder eingetippt.
- Prüfen Sie, was sich Agenten gegenseitig mitteilen. Eine Anfrage von einer anderen KI verdient dieselbe Prüfung wie eine Anfrage von einem Nutzer. Wie Übergaben schiefgehen, behandelt ein eigener Artikel zum Testen von Multi-Agenten-KI-Systemen.
Einen Agenten im Blick zu behalten, beginnt mit einem lesbaren Protokoll jeder Aktion, die er ausführt. Mit diesem Log erkennt Ihr Team Probleme früh und kann später nachvollziehen, was passiert ist.
Jede Sicherheitskontrolle für KI-Agenten bringt etwas Reibung mit sich. Bei einem internen Tool mit geringer Tragweite kann es vertretbar sein, mehr Risiko in Kauf zu nehmen, solange Ihr Team diese Entscheidung bewusst trifft. In allen anderen Fällen legen staatliche Cybersicherheitsbehörden eine klare Rangfolge fest: „Resilienz, Umkehrbarkeit und Risikoeindämmung vor Effizienzgewinnen.“ Mit anderen Worten: Die Fähigkeit, Fehler rückgängig zu machen und Schaden zu begrenzen, ist wichtiger als Geschwindigkeit.
Sicherheitstests für KI-Agenten: Nachweisen, dass die Kontrollen halten
Kontrollen in ein Designdokument zu schreiben, ist der einfache Teil. Sicherheitstests für KI-Agenten prüfen, ob sie standhalten, wenn jemand aktiv versucht, sie zu brechen, und sie decken Schwachstellen von KI-Agenten auf, bevor Angreifer sie finden. Ein typisches Projekt folgt denselben Schritten wie ein Angreifer:
- Reichweite kartieren: Die Tester erfassen jedes System, jedes Tool, jedes Konto und jede andere KI, die der Agent erreichen kann. Das Ergebnis ist der Schadensradius Ihres Produkts, eine Übersicht über alles, was ein getäuschter Agent beschädigen könnte.
- Übernahme versuchen: Versteckte Anweisungen gelangen in jeden Kanal, den der Agent liest, von Chatnachrichten bis zu Dateien und Webseiten.
- Schaden messen: Wenn ein Versuch gelingt, halten die Tester genau fest, was gelesen, geändert oder gesendet werden konnte.
- Schranken testen: Freigabeschritte, Berechtigungsgrenzen und Filter müssen riskante Aktionen blockieren, ohne eine Abkürzung offenzulassen.
- Nach jeder Änderung erneut testen: Eine neue Modellversion, ein neuer Prompt oder ein neues Tool kann eine Lücke wieder öffnen, die im letzten Monat geschlossen wurde.
Die einzelnen Prüfschritte finden Sie in einer Pre-Launch-Checkliste für Prompt-Injection-Tests. Bei Agenten, die Zahlungen, Gesundheitsdaten oder Produktivsysteme verarbeiten, wächst die Arbeit zu einem KI-Penetrationstest, einem vollständig simulierten Angriff auf die KI-Funktion. Dieses Projekt wird mit einem Penetrationstest der Apps, Server und Cloud-Umgebung hinter der Funktion kombiniert. Qualitätsprobleme wie falsche oder erfundene Antworten gehören in umfassendere KI-Tests.
Die Engineers von QAwerk können in jeder Phase einsteigen, von einem Design-Review, bevor das erste Tool angebunden wird, bis zu einem erneuten Test nach einem Modell-Upgrade. Jedes Projekt beginnt bei den tatsächlichen Berechtigungen Ihres Agenten und endet mit einer priorisierten Liste von Korrekturen für Ihre Entwickler. Wenn Ihr Agent bereits Zugriff auf echte Systeme hat, beginnt Agentic AI Sicherheit damit, genau zu wissen, was er an einem schlechten Tag tun könnte.
Sie möchten bei der Sicherheit Ihrer KI-Agenten auf Nummer sicher gehen? Rufen Sie uns an.
FAQ
Was ist Agentic AI Sicherheit?
Agentic AI Sicherheit ist der Schutz von KI-Agenten, also Software, die Informationen liest, Tools nutzt und Aktionen ausführt, ohne dass ein Mensch jeden Schritt freigibt. Klassische Sicherheit geht davon aus, dass ein Programm nur tut, was sein Code vorgibt. Ein Agent lässt sich jedoch zu neuem Verhalten überreden, daher konzentriert sich Agentic AI Sicherheit darauf, alles zu begrenzen und zu prüfen, worauf der Agent zugreifen darf.
Welche Sicherheitsrisiken haben KI-Agenten?
Die größten Sicherheitsrisiken von KI-Agenten lassen sich in drei Gruppen einteilen. Erstens können Angreifer einen Agenten mit versteckten Anweisungen in E-Mails, Dateien oder Webseiten kapern. Ein gekaperter Agent kann dann weitreichende Berechtigungen, geteilte Zugangsschlüssel oder verbundene Tools missbrauchen. Und ohne Freigabeschritte oder Aktivitätsprotokolle können schädliche Aktionen wie Datenlecks oder gelöschte Datensätze unbemerkt bleiben.
Wie sichert man KI-Agenten ab?
Die Absicherung eines KI-Agenten funktioniert am besten in drei Phasen. Vor dem Launch gewähren Sie nur den Zugriff, den jede Aufgabe erfordert, und verlangen die Freigabe durch einen Menschen für alles, was sich schwer rückgängig machen lässt. Zum Launch beginnen Sie mit Aufgaben mit geringem Risiko und protokollieren jede Aktion. Nach dem Launch testen Sie erneut, sobald sich das Modell, die Prompts oder die verbundenen Tools ändern, da jedes Update alte Lücken wieder öffnen kann.
Welche Berechtigungen sollte ein KI-Agent haben?
Behandeln Sie einen KI-Agenten wie einen neuen Auftragnehmer an seinem ersten Tag, mit Zugriff nur auf das, was die aktuelle Aufgabe erfordert. Lesezugriff ist sicherer als Bearbeitungsrechte, jeder Agent braucht einen eigenen Login, und Schlüssel sollten schnell ablaufen. Lassen Sie niemals zu, dass ein einzelner Agent private Daten, Inhalte von außerhalb des Unternehmens und einen Weg zum Senden von Informationen nach außen kombiniert.
Was empfehlen Behörden für die Sicherheit von KI-Agenten?
Staatliche Cybersicherheitsbehörden aus den USA, Großbritannien, Kanada, Australien und Neuseeland haben ihre Empfehlungen in Careful Adoption of Agentic AI Services festgehalten, einem im Mai 2026 veröffentlichten Leitfaden. Er rät Organisationen, mit Anwendungen mit geringem Risiko zu beginnen, den Zugriff von Agenten eng zu halten, für Aktionen mit großer Tragweite eine menschliche Freigabe zu verlangen und Agenten regelmäßig mit simulierten Angriffen zu testen.
Können KI-Agenten durch Prompt Injection gekapert werden?
Ja. Prompt Injection kapert einen Agenten, indem Befehle in etwas platziert werden, das er liest, etwa ein Support-Ticket oder ein geteiltes Dokument. Sprachmodelle können eingeschleuste Befehle nicht zuverlässig von echten Anfragen unterscheiden, und OWASP führt Prompt Injection 2026 als größtes Risiko für KI-Anwendungen. Die praktische Verteidigung besteht darin, zu begrenzen, was ein gekaperter Agent tun kann.
Erfahren Sie, wie wir Sitch geholfen haben, ihre KI-Matchmaking-App zu stabilisieren und in neue Städte zu expandieren, während die aktive Nutzerbasis wuchs
