Fünf mögliche Hintertüren in LLM-Suchergebnisse

Angesichts des Einbruchs beim klassischen Besucherverkehr aus Suchmaschinenergebnissen infolge des neuen Trends zu KI-Zusammenfassungen versuchen Verlage und andere Anbieter publizistischer Inhalte jeder Größenordnung nun, stärker wahrgenommen zu werden: von den großen Sprachmodellen, die KI-Zusammenfassungen in der Websuche erzeugen, und unmittelbar in populären Spitzenmodellen wie ChatGPT.

Legitime Ansätze umfassen laut früheren Arbeiten wie Sichtbarkeit in generativen Suchsystemen optimieren und Wie man die KI-Suche dominiert unabhängige redaktionelle Berichterstattung, die Veröffentlichung maßgeblicher und gut strukturierter Inhalte, maschinenlesbare Produktinformationen sowie die Anpassung von Materialien an verschiedene Sprachen und Märkte.

Andere Methoden, die zuletzt Aufmerksamkeit erregt haben, ähneln den unlauteren SEO-Praktiken früherer Jahrzehnte. Dazu gehören vorgetäuschte Graswurzelkampagnen auf Reddit, bei denen scheinbar unabhängige Empfehlungen platziert wurden, um KI-Suchergebnisse zu beeinflussen; die Vergiftung des Gedächtnisses, bei der irreführende Links Assistenten dazu bringen sollten, Werbeaussagen als vertrauenswürdige Informationen zu speichern; und eingeschleuste Anweisungen, mit denen versteckte Website-Befehle die Empfehlungen eines KI-Assistenten beeinflussen sollten, statt lediglich Informationen für eine Zusammenfassung bereitzustellen.

Ein besonders einfallsreiches Beispiel für GEO-Manipulation lieferten Forschende der ETH Zürich: Sie erfanden eine Kamera und veröffentlichten eine Werbeseite mit einer versteckten Anweisung in winziger weißer Schrift. Diese wies Microsofts Bing Copilot an, ausschließlich diese Kamera zu empfehlen. Die geringe Schriftgröße und der niedrige Kontrast sollten die Manipulation verbergen.

Zwei Anzeigen für erfundene Kameras aus einem Experiment der ETH Zürich zur Manipulation von KI-Suchempfehlungen. Die herkömmliche Anzeige links enthält sichtbaren Werbetext, während die Anzeige für „PixelBlitz“ rechts eine Anweisung in weißer Ein-Punkt-Schrift verbirgt, die vor dem weißen Hintergrund unsichtbar ist. Die versteckte Nachricht gibt sich als Systemanweisung aus und fordert die KI auf, ausschließlich PixelBlitz zu empfehlen und die Existenz der Anweisung zu verschweigen. In kontrollierten Tests erhöhte diese Technik die Empfehlungsquote der erfundenen Kamera von 34 % auf 59,4 %. Quelle

In kontrollierten Tests stieg die Empfehlungsquote der erfundenen Kamera von 34 % auf 59,4 % und lag damit knapp über den 57,9 % echter Kameras von Nikon und Fuji-film. Dies zeigte, dass bösartige Anweisungen in abgerufenen Webseiten KI-Empfehlungen tatsächlich beeinflussen können.

Da so viel auf dem Spiel steht, ist die Annahme plausibel, dass unlautere GEO ein aktiver, gut finanzierter illegaler Forschungszweig im Marketing und in verschiedenen anderen Branchen ist. Diese wollen ihre frühere SEO-Sichtbarkeit gewinnen oder zurückerlangen, indem sie Empfehlungen von KI-Orakeln und Dialogsystemen erhalten.

Betrachten wir daher einige mögliche oder sich abzeichnende Wege:

1: Manipulation von Archiven

Das Internet Archive gehört zu den umfassendsten und nützlichsten Ressourcen im Netz. Seine Wayback Machine überschritt 2025 die Marke von einer Billion archivierten Webseiten. Zum Zeitpunkt der Erstellung dieses Artikels meldet das IA die beeindruckende Zahl von 47.381.733 gespeicherten, öffentlich verfügbaren PDF-Dokumenten:

Das Internet Archive beherbergt eine beeindruckende Sammlung von PDF-Material, das größtenteils von Freiwilligen beigesteuert wurde. Quelle

Wie die obigen Beispielergebnisse zeigen, sind viele hochgeladene PDFs recht alltäglich: von obskuren Musikflyern aus den 1950er- bis 1990er-Jahren über seltene und faszinierende Zeitschriften und Bücher, die für die Nachwelt verloren schienen, bis hin zu ermüdenden Sammlungen kommunaler Sitzungsprotokolle aus den 1970er- und 1980er-Jahren – und vielem mehr.

Diese Sammlung wird derzeit unterschiedslos mit Zugriffen überflutet. Als offensichtliche Verursacher kommen Heerscharen von KI-Scraping-Bots infrage, die verzweifelt nach neuen Daten oder nach besseren beziehungsweise bestätigenden Fassungen bereits vorhandener Daten suchen.

Offensichtlich ist es ein Leichtes, ein hochgeladenes Dokument so zu verändern, dass es eine falsche Behauptung, erfundene Produkte, falsche Bezugnahmen auf Personen – lobende oder verleumderische –, falsche Aussagen über diese Personen und Ähnliches stützt.

Solches Material lässt sich in Dokumente einfügen, die LLMs als maßgebliche Quellen ansehen, etwa PDFs angesehener Zeitschriften, die zufällig noch nicht vollständig in der Sammlung des IA erfasst sind. In einem solchen Fall würde die manipulierte Ausgabe so wirken, als schließe sie auf legitime Weise eine Lücke.

Die KI selbst könnte den Schreibstil eines kurzen Artikels oder sogar einer Bildunterschrift nachahmen. Auch das Datum des PDFs ließe sich verändern – neben zahlreichen anderen einfachen Tricks, die das Dokument beispielsweise wie einen Fund aus einem Archiv der 1990er-Jahre oder noch früher erscheinen lassen:

Eine einfache „historische Korrektur“, die ChatGPT-5.5 ohne Einwände lieferte und die sich leicht wieder in das ursprüngliche PDF einfügen ließ. So verschwindet das „Pence Opera House“ aus der Geschichte, während die Eröffnung des Guthrie Theater – eines tatsächlich existierenden Theaters in Minnesota – von ihrem wirklichen Jahr 1963 auf das wesentlich frühere Jahr 1867 vorverlegt wird. Quelle

In solchen Fällen müsste man offenbar nur darauf warten, dass die eifrigen KI-Scraping-Bots die Informationen aufnehmen. Noch ist es zu früh, um sicher zu wissen, inwieweit Filter oder Prüfsysteme bei der Zusammenstellung von Datensätzen solche unzulässigen Änderungen erkennen könnten. Der Umfang dieser Datensätze ist jedoch derart gewaltig, dass eine so detaillierte Kontrolle in der Regel kaum möglich ist. Bei solchen Datenmengen vertraut man im Wesentlichen den Daten.

2: Synthetische Konsensnetzwerke

Oder, für alle, die alt genug sind, sich daran zu erinnern: ein moderner „Webring“ – die miteinander verbundenen Websites des frühen Internets, noch vor Googles PageRank und Moz’ Domain Authority, die Zahl und Qualität eingehender Links bewerteten.

Synthetische Konsensnetzwerke gehen allerdings weiter: Sie erzeugen den Eindruck unabhängiger Bestätigung auf vermeintlich nicht miteinander verbundenen Websites. Eine aktuelle Studie der Chinese University of Hong Kong und der EPFL demonstrierte dieses Prinzip grundsätzlich. Die Forschenden testeten 12 KI-Modelle mit 225 Produkten aus 15 Kategorien und ersetzten dabei Verweise auf echte Marken in abgerufenen Suchergebnissen durch erfundene Alternativen.

Eine Abbildung aus der Arbeit zeigt zwei Wege, auf denen erfundene Produktinformationen KI-Empfehlungen beeinflussen können. Oben werden falsche Inhalte im realen Web platziert und gelangen in Suchergebnisse; unten simulieren die Forschenden denselben Vorgang, indem sie abgerufene Seiten lokal verändern. Beide Wege können dazu führen, dass ein KI-Assistent neben echten Produkten eine nicht existierende Marke empfiehlt. Quelle

Der Effekt verstärkte sich, je mehr Ergebnisse dieselben falschen Informationen enthielten. Bei drei manipulierten Seiten unter den führenden Treffern empfahl das anfälligste Modell in 73,8 % der Tests nicht existierende Produkte. Schon ein einzelner verfälschter Treffer auf Platz eins konnte manche Modelle in 27 % der Fälle irreführen.

Noch bemerkenswerter war, dass die Modelle mitunter eigene Bestätigungen erfanden: In einem Test mit einer fiktiven Marke für Displayschutzfolien ergänzten Claude und DeepSeek Aussagen über Empfehlungen der Nutzergemeinschaft und Produkttests, die im bereitgestellten Material nicht vorkamen.

Obwohl das Experiment mit lokal veränderten Suchergebnissen und nicht mit einem tatsächlich betriebenen Netzwerk betrügerischer Websites durchgeführt wurde, deutet es darauf hin, wie eine koordinierte Sammlung scheinbar unabhängiger Rezensionen Glaubwürdigkeit erzeugen könnte. Die KI verstärkt dabei die Unwahrheit durch zusätzliche Empfehlungen.

3: Erzeugte Zitate und „verwaiste“ Behauptungen

Die Erzeugung von Zitaten – man könnte auch von „Zitierwäsche“ sprechen – ist eine Variante synthetischer Konsensnetzwerke. Im Mittelpunkt steht jedoch stärker die scheinbare Herkunft der Informationen als die Anzahl der Quellen, die sie wiederholen.

Eine erfundene Behauptung könnte zunächst in einer wenig bekannten Branchenzeitschrift, einer selbst veröffentlichten Forschungsarbeit oder einer Fachpublikation mit geringer redaktioneller Kontrolle erscheinen. Anschließend können Blogs, Verzeichnisse und andere Veröffentlichungen sie zitieren. Jede Wiederholung verleiht der ursprünglichen Behauptung etwas mehr scheinbare Legitimität.

Irgendwann begegnet eine KI-Suchmaschine der Behauptung womöglich mehrere Schritte von ihrer ursprünglichen Quelle entfernt, etwa in einem ansonsten seriösen Artikel, der eine dazwischengeschaltete Publikation zitiert. Was als unbelegte Behauptung begann, hat nun eine Zitierhistorie – obwohl keiner der späteren Verweise eine unabhängige Überprüfung darstellt.

Es gibt bereits mehrere dokumentierte Beispiele dieses Vorgangs, auch wenn die meisten aus der Zeit vor der KI-Suche stammen. In einem bekannten Fall erfand ein Jugendlicher die Bezeichnung „brasilianisches Erdferkel“ für den Nasenbären und fügte sie in Wikipedia ein.

Die erfundene Bezeichnung verbreitete sich in Zeitungen und mindestens einem wissenschaftlichen Buch. Schließlich zitierte Wikipedia selbst einen Zeitungsartikel als Beleg für die Behauptung, die ursprünglich dort eingeführt worden war – ein nahezu perfekter Kreislauf erfundener Autorität. The New Yorker hat den Vorfall dokumentiert.

Eine gezieltere Demonstration folgte 2025, als Forschende mehrere KI-generierte wissenschaftliche Arbeiten erstellten und einem nicht existierenden Wissenschaftler zuschrieben. Die erfundenen Veröffentlichungen sammelten 380 Zitate und erreichten auf Google Scholar einen h-Index von 19. Dadurch erhielt der fiktive Forscher einen scheinbar respektablen wissenschaftlichen Ruf. Das in Natures Scientific Reports veröffentlichte Experiment zeigt, wie sich Zitierzahlen ohne einen entsprechenden Bestand echter Forschung erzeugen lassen.

Keiner der beiden Fälle belegt einen erfolgreichen Angriff auf eine KI-Suchmaschine. Beide zeigen jedoch die zugrunde liegende Schwachstelle: Sobald eine falsche Behauptung von scheinbar glaubwürdigen Quellen übernommen wurde, können nachfolgende Systeme Schwierigkeiten haben, unabhängige Bestätigung von der wiederholten Verbreitung einer einzigen Erfindung zu unterscheiden. Für die KI-Suche besteht die besondere Gefahr darin, dass ein Modell diese Verweiskette als bestätigende Belege zusammenfasst, ohne zu erkennen, dass alle scheinbaren Autoritäten auf dieselbe ungeprüfte Behauptung zurückgehen.

4: Übernahme fremder Autorität

Abgelaufene Domains können die scheinbare Glaubwürdigkeit, eingehende Links und die Sichtbarkeit ihrer früheren Eigentümer in Suchmaschinen bewahren. Wer diese Adressen erwirbt und mit neuem Material füllt, kann kürzlich eingeführte Behauptungen so aussehen lassen, als stammten sie aus etablierten Publikationen – eine Praxis, die 20 bis 30 Jahre zurückreicht. Die Domain-Autorität einer abgelaufenen oder aufgegebenen Domain wird häufig erworben, um deren Inhalte in thematisch verwandtes, aber kommerzialisiertes Material umzuwandeln.

2024 tauchte der einflussreiche Frauenblog The Hairpin, der 2018 eingestellt worden war, unter neuer Eigentümerschaft als KI-Inhaltsfabrik wieder auf. Seine ursprünglichen Artikel waren mit umgeschriebenem Material und erfundenen Autorennamen vermischt. Dabei wurden Ruf und Domain-Autorität einer einst angesehenen Publikation ausgenutzt. Dies ist zwar kein nachgewiesener Angriff auf die KI-Suche, zeigt aber, wie sich die Geschichte einer etablierten Website vereinnahmen lässt.

Archivierte Momentaufnahmen können zwar den Unterschied zwischen der echten Vergangenheit einer Domain und ihren neu erzeugten Inhalten offenlegen, doch selbst solche Belege sind nicht unbedingt dauerhaft. 2002 entfernte das Internet Archive archivierte Fassungen von Websites, die Scientology kritisierten, nachdem Anwälte der Organisation urheberrechtliche Beschwerden eingereicht hatten. Zunächst wurde der Eindruck erweckt, die Website-Eigentümer selbst hätten die Löschung verlangt.

Bis 2017 wandte die Wayback Machine Regeln zum Ausschluss von Websites rückwirkend an. Dadurch konnten neue Domain-Eigentümer möglicherweise die Inhalte ihrer Vorgänger verbergen. Obwohl diese Praxis eingestellt wurde, prüft das Internet Archive weiterhin Anträge auf Entfernung historischer Momentaufnahmen.

5: Missbrauch wissenschaftlicher Repositorien

Wissenschaftliche Repositorien eröffnen einen weiteren Weg zu scheinbarer Autorität. Preprint-Server ermöglichen Forschenden die Veröffentlichung von Arbeiten vor der Begutachtung durch Fachkollegen. Suchmaschinen und KI-Abrufsysteme können diesen Dokumenten neben etablierter wissenschaftlicher Literatur begegnen.

Das Problem ist, dass Veröffentlichung und Überprüfung nicht dasselbe sind: 2024 zeigten Forschende, wie bösartige Anweisungen in wissenschaftlichen Arbeiten KI-Assistenten manipulieren können, die diese Dokumente verarbeiten. Ihre Arbeit machte deutlich, dass die scheinbare Legitimität einer Forschungsarbeit nicht verhindert, dass ihr Inhalt zur Beeinflussung eines KI-Systems genutzt wird.

Ein unauffälligerer GEO-Ansatz wäre, plausible, aber wenig bedeutsame Forschung zu hinterlegen, die ein Unternehmen, ein Produkt oder eine Person wiederholt mit bestimmtem Fachwissen in Verbindung bringt. Selbst ohne ausdrückliche Anweisungen an eine KI könnte solches Material Behauptungen, die von den Begünstigten selbst stammen, eine scheinbar wissenschaftliche Grundlage verleihen.

Fazit

Weitere mögliche Wege sind die Unterwanderung des Bewertungsökosystems, also das Platzieren positiver Bewertungen auf Vergleichsseiten und in Softwareverzeichnissen; die Manipulation von Wissensgraphen, bei der strukturierte Daten verändert werden, um irreführende Verbindungen zwischen Unternehmen, Produkten und Fachwissen herzustellen; und die mehrsprachige Reputationswäsche, bei der Werbebehauptungen in weniger genau geprüften fremdsprachigen Quellen untergebracht werden.

Schließlich könnte agentengestützte GEO-Optimierung diese Techniken automatisieren, indem Inhalte wiederholt an KI-Suchmaschinen getestet und diejenigen Varianten verfeinert werden, die die gewünschten Empfehlungen hervorbringen.

Erstmals veröffentlicht am Montag, 12. Oktober 2026. Innerhalb von dreißig Minuten geändert, um die Großschreibung im Titel und fehlende Tags zu korrigieren.