Google verknüpft seine KI-Marke Gemini immer enger mit dem Alltag – und sucht dafür Bühnen, die viele Menschen erreichen. Eine davon ist der Profifußball. Am 10. August 2026 haben der FC Bayern München, Google Pixel und Gemini eine langfristige Partnerschaft bekannt gegeben, die ab der Saison 2026/2027 greift. Gemini tritt dabei als offizieller Consumer-AI-Partner auf, Google Pixel als Smartphone-Partner. Beide Marken unterstützen sowohl das Männer- als auch das Frauenteam des Rekordmeisters.

Hinter dem Werbedeal steckt mehr als eine Bandenwerbung. Google nutzt den Verein als Schaufenster, um zu zeigen, wofür Gemini im Alltag taugen soll: als Assistent, der Fragen beantwortet, Aufgaben erledigt und Termine organisiert. Zugleich arbeitet der Konzern im Hintergrund an genau den Sicherheitsfragen, die entscheiden, ob man solchen KI-Helfern überhaupt vertrauen kann. Beide Stränge – die sichtbare Vermarktung und die unsichtbare Absicherung – gehören zusammen. Dieser Artikel ordnet ein, was der FC-Bayern-Deal konkret bringt und woran Google bei der Sicherheit seiner KI-Systeme arbeitet.

Was die FC-Bayern-Partnerschaft konkret vorsieht

Google beschreibt die Zusammenarbeit als Versuch, Technik und Fußballkultur zu verbinden. Für Fans soll Gemini zum "persönlichen Fußball-Experten" in der Hosentasche werden. Laut dem Unternehmen lassen sich damit unter anderem Statistiken der Gegner abfragen. Und mit einem einzigen Prompt sollst du dir sämtliche FCB-Spiele direkt in deinen Google Kalender eintragen lassen können – ein kleines, aber greifbares Beispiel dafür, wie Google die agentischen Fähigkeiten von Gemini in den Alltag holen will.

Google Pixel steuert die Hardware-Seite bei. Der Konzern verspricht wöchentliche Einblicke hinter die Kulissen an der Säbener Straße, also am Trainingsgelände des Vereins. Fans sollen dadurch näher an Spieler wie Giulia Gwinn oder Jamal Musiala herankommen. Dazu kommen kostenlose Pixel Drops im FC-Bayern-Design, mit denen sich Pixel-Smartphones individualisieren lassen. Details dazu, wie diese Funktionen genau aussehen, will Google nach eigener Aussage über die eigenen sowie die offiziellen Vereinskanäle nachreichen. Die offizielle Ankündigung bleibt an dieser Stelle bewusst vage.

Für Google ist der Deal ein Vehikel, um Gemini und Pixel gemeinsam zu positionieren – die KI als Dienst, das Smartphone als Zugang dazu. Die Nennung des Frauenteams neben dem Männerteam ist dabei bemerkenswert, weil sie beide Mannschaften gleich behandelt und die Reichweite der Partnerschaft verbreitert.

Gemini soll vom Chatbot zum handelnden Assistenten werden

Das Kalender-Beispiel aus der Fußball-Kooperation ist ein Vorgeschmack auf eine größere Entwicklung: Google will, dass Gemini nicht nur Antworten formuliert, sondern eigenständig Aufgaben ausführt. In der Fachwelt heißt das "agentische" KI – Systeme, die Handlungen planen und Schritte selbst erledigen, etwa Termine anlegen, Formulare ausfüllen oder Einkäufe vorbereiten.

Genau dieser Anspruch zieht sich durch Googles jüngste Produktarbeit. In Workspace läuft Gemini in Gmail und Docs mit; in Chrome hat Google agentische Fähigkeiten in einer Vorschau gezeigt, bei denen der Assistent im Browser Aufgaben über mehrere Websites hinweg übernimmt. Ein Prompt, der Spieltermine in den Kalender schreibt, ist die harmlose Variante davon. Die anspruchsvolle Variante ist ein Agent, der in deinem Namen Konten bedient, Nachrichten verschickt oder Zahlungen anstößt. Und hier beginnt das eigentliche technische Problem.

Die zentrale Schwachstelle: Indirekte Prompt-Injection

Sobald eine KI eigenständig mit fremden Inhalten arbeitet, entsteht ein neues Angriffsmuster. Google nennt es indirekte Prompt-Injection (englisch indirect prompt injection, kurz IPI). Dabei schleusen Angreifer bösartige Anweisungen nicht direkt über den Nutzer ein, sondern verstecken sie in den Daten, die das Sprachmodell verarbeitet – etwa in einer E-Mail, einem Dokument, einer Website, in Inhalten aus iFrames oder sogar in Nutzerbewertungen.

Das Tückische: Der Angriff kann funktionieren, ohne dass du selbst etwas Falsches eingibst. Das Modell liest den manipulierten Text und behandelt die eingebetteten Befehle womöglich wie legitime Anweisungen. Google warnt, dass ein so gekaperter Agent unerwünschte Aktionen auslösen könnte – etwa Finanztransaktionen anstoßen oder sensible Daten abfließen lassen. Der Konzern beschreibt das Problem als nichts, was man einmal "löst" und dann abhakt. Leistungsfähige Sprachmodelle in Kombination mit zunehmender Automatisierung und beliebigen Inhalten ergäben ein hochdynamisches Feld für Angriffe, das sich ständig weiterentwickelt.

Wie Google Workspace gegensteuert

Für Workspace mit Gemini beschreibt Google einen mehrschichtigen und fortlaufenden Ansatz. Der beginnt beim Aufspüren neuer Angriffe. Dazu setzt der Konzern auf Human Red-Teaming – spezialisierte Teams greifen anhand realistischer Nutzerprofile gezielt an – sowie auf automatisiertes Red-Teaming, bei dem ML-gesteuerte Systeme in großem Maßstab Angriffsmuster erzeugen und durchspielen. Ergänzend läuft das AI Vulnerability Rewards Program, über das externe Sicherheitsforscher für gefundene Lücken belohnt werden und teils schon vor der Veröffentlichung Zugriff auf neue Funktionen bekommen. Öffentlich bekannt gewordene Angriffe zieht Google zusätzlich über offene Informationsquellen heran.

Jede neue Schwachstelle wird laut Google reproduziert, auf Dopplungen geprüft, in eine Kategorie einsortiert und einem Zuständigen zugewiesen. Anschließend erzeugt das Unternehmen mit einem Werkzeug namens Simula synthetische Daten, um Varianten der Angriffe zu bilden und Trainings- sowie Testdatensätze aufzubauen. Diesen Schritt habe man um 75 Prozent beschleunigt, was das großflächige Trainieren und Bewerten der Abwehrmodelle unterstützt.

Die Verteidigung selbst besteht aus mehreren Ebenen:

  • Deterministische Abwehr: feste Regeln wie Nutzerbestätigungen, das Bereinigen von URLs und Richtlinien für verkettete Werkzeugaufrufe. Sie werden zentral über eine Policy Engine gesteuert und lassen sich per Konfiguration schnell anpassen – schneller, als ein Modell neu trainiert werden kann.
  • ML-basierte Abwehr: Modelle, die mit den synthetischen Daten nachtrainiert werden, wobei Trainings- und Testdaten getrennt bleiben, um die Wirkung sauber zu messen.
  • LLM-basierte Abwehr: verfeinerte Systemanweisungen, die iterativ gegen definierte Wirksamkeitskennzahlen optimiert werden.
  • Model Hardening: Google trainiert das Gemini-Modell selbst darauf, eingebettete Schadbefehle zu erkennen und zu ignorieren, ohne die eigentliche Nutzeranfrage zu vernachlässigen.

Um zu prüfen, ob eine Verbesserung wirklich wirkt, simuliert Google Angriffe gegen echte Funktionen in Gmail und Docs – jeweils einmal mit und einmal ohne aktivierte Abwehr. Diese Vorher-Nachher-Vergleiche liefern die Kennzahlen, an denen sich der Fortschritt festmacht. Die Details dazu hat das GenAI-Security-Team im Google Security Blog beschrieben.

Agentisches Surfen in Chrome: neue Schutzschichten

Noch heikler wird es, wenn ein KI-Agent direkt im Browser arbeitet, wo du auf zahlreichen Seiten eingeloggt bist. Google hat nach dem Start von Gemini in Chrome und der Vorschau agentischer Funktionen eigene Schutzmechanismen vorgestellt. Auch hier gilt die indirekte Prompt-Injection als Hauptbedrohung.

User Alignment Critic

Kern der Chrome-Lösung ist ein zweites Modell, das Google User Alignment Critic nennt. Es prüft jede vom Planungsmodell vorgeschlagene Aktion, bevor sie ausgeführt wird, und entscheidet, ob sie dem erklärten Ziel des Nutzers dient. Passt die Aktion nicht, legt der Critic ein Veto ein und gibt Rückmeldung, damit der Planer umplant. Entscheidend ist die Isolation: Dieses Prüfmodell sieht nur Metadaten zur geplanten Aktion, nicht die ungefilterten, potenziell manipulierten Webinhalte. Dadurch lässt es sich nicht direkt aus dem Netz vergiften. Die Architektur orientiert sich laut Google am sogenannten Dual-LLM-Muster und an der CaMeL-Forschung von Google DeepMind.

Agent Origin Sets

Zusätzlich überträgt Google bewährte Web-Sicherheitsprinzipien in die Agentenwelt. Mit Agent Origin Sets begrenzt der Browser, auf welche Website-Ursprünge der Agent zugreifen darf – nämlich nur auf jene, die zur aktuellen Aufgabe gehören oder die du bewusst freigegeben hast. Google trennt dabei in read-only origins, aus denen Gemini Inhalte lesen darf, und read-writable origins, auf denen der Agent auch handeln, also etwa klicken und tippen darf. Inhalte aus iFrames, deren Ursprung nicht auf der Liste steht, bekommt das Modell gar nicht erst zu sehen. Modellgenerierte URLs werden zudem per fester Regel auf bekannte, öffentliche Adressen beschränkt, damit sich darüber keine privaten Daten abziehen lassen. So sollen Datenlecks über Website-Grenzen hinweg eingedämmt werden.

Bestätigungen und Kontrolle

Für kritische Schritte bleibt der Mensch in der Schleife. Chrome zeigt in einem Arbeitsprotokoll, welche Schritte der Agent gerade ausführt; du kannst jederzeit pausieren, übernehmen oder abbrechen. Vor bestimmten sensiblen Seiten – etwa Banking oder medizinische Themen – fragt der Agent per deterministischer Prüfung nach. Bei der Anmeldung über den Google Passwortmanager holt er ebenfalls eine Bestätigung ein; auf die gespeicherten Passwörter hat das Modell keinen direkten Zugriff. Und vor folgenreichen Aktionen wie einem Kauf, einer Zahlung oder dem Versand von Nachrichten hält der Agent an und bittet dich, den letzten Schritt selbst zu erledigen. Parallel zur Planung läuft ein eigener Klassifikator, der jede Seite auf Prompt-Injection prüft, zusätzlich zu Safe Browsing. Google hat diese Architektur im Chrome-Security-Blog erläutert und räumt ein, dass die erste Umsetzung des Origin-Gatings zunächst vereinfacht ausfällt und weiter angepasst wird.

Der Datenschutz-Kontext: Verschlüsselung als Gegenmodell

Wie viel Vertrauen KI-Dienste verdienen, hängt auch davon ab, wie Anbieter mit Daten umgehen. Ein aufschlussreicher Kontrast kommt von Signal. Der Messenger betreibt mit dem Signal-Protokoll die Ende-zu-Ende-Verschlüsselung, die sich zum De-facto-Standard entwickelt hat und unter anderem in WhatsApp und in Google Messages steckt. Signal betont, so wenig Daten wie möglich zu speichern und Inhalte nicht monetarisieren zu können, weil die Schlüssel bei den Nutzern liegen.

Für die Einordnung interessant: Selbst Signal mietet einen Teil seiner Infrastruktur bei großen Cloud-Anbietern, darunter Google Compute Engine – möglich, weil ohnehin alles Ende-zu-Ende verschlüsselt ist. Das zeigt zweierlei. Erstens: Googles Infrastruktur trägt einen erheblichen Teil des Internets, auch datenschutzorientierte Dienste. Zweitens: Der eigentliche Unterschied liegt im Geschäftsmodell und in der Frage, welche Daten ein Anbieter überhaupt einsehen kann. Genau darum drehen sich die Sicherheitsdebatten rund um Gemini – nicht nur, ob ein Agent kompromittiert werden kann, sondern auch, welche Daten er im schlimmsten Fall zu sehen bekäme.

Was bedeutet das für dich?

Wenn du Pixel, Chrome oder Workspace nutzt, betreffen dich beide Seiten dieser Nachrichtenlage – die vermarkteten Funktionen und die Sicherheitsarbeit dahinter. Ein paar konkrete Punkte:

  • Fan-Funktionen bleiben optional. Die FC-Bayern-Inhalte, Kalendereinträge per Prompt und die Pixel Drops sind Angebote, keine Pflicht. Sie starten mit der Saison 2026/2027; genaue Details will Google noch nachreichen.
  • Agentische KI mit Bedacht einsetzen. Wenn ein Assistent Aufgaben in deinem Namen erledigt, prüfe die Zwischenschritte im Arbeitsprotokoll und bestätige sensible Aktionen bewusst – gerade bei Zahlungen, Logins und Nachrichten.
  • Bestätigungsabfragen ernst nehmen. Die Nachfragen vor Banking-Seiten oder Käufen sind kein Störfaktor, sondern eine Schutzschicht. Wer sie reflexartig wegklickt, hebelt genau den Mechanismus aus, der vor manipulierten Anweisungen schützen soll.
  • Updates einspielen. Viele der beschriebenen Abwehrmaßnahmen laufen serverseitig oder über Modell- und Konfigurationsupdates. Halte Chrome und deine Apps aktuell, damit du die jeweils neueste Verteidigungslinie bekommst.
  • Sensible Daten trennen. Für vertrauliche Kommunikation bleiben Ende-zu-Ende-verschlüsselte Dienste die konservative Wahl. Überlege dir, welche Inhalte du einem KI-Agenten überhaupt zugänglich machst.
Kurz beantwortet

Häufige Fragen

Ab wann gilt die Partnerschaft zwischen Google und dem FC Bayern?

Die Zusammenarbeit greift ab der Saison 2026/2027. Gemini ist offizieller Consumer-AI-Partner, Google Pixel Smartphone-Partner, und beide unterstützen sowohl das Männer- als auch das Frauenteam. Google hat den Deal am 10. August 2026 bekannt gegeben und angekündigt, weitere Details über die eigenen und die Vereinskanäle nachzureichen.

Was ist indirekte Prompt-Injection und warum ist sie gefährlich?

Bei indirekter Prompt-Injection verstecken Angreifer schädliche Anweisungen in Inhalten, die eine KI verarbeitet – etwa in E-Mails, Dokumenten, Websites oder Bewertungen. Das Modell könnte diese Befehle wie legitime Anweisungen behandeln. Laut Google kann das dazu führen, dass ein Agent unerwünschte Aktionen ausführt, etwa Transaktionen anstößt oder sensible Daten abfließen lässt – im ungünstigsten Fall, ohne dass du selbst etwas Falsches eingibst.

Wie schützt Chrome den KI-Agenten vor Manipulation?

Chrome setzt auf mehrere Schichten. Ein separater User Alignment Critic prüft jede geplante Aktion, sieht dabei aber nur Metadaten statt roher Webinhalte. Agent Origin Sets begrenzen, auf welche Website-Ursprünge der Agent lesend oder handelnd zugreifen darf. Vor sensiblen Schritten wie Zahlungen oder Anmeldungen fragt der Agent nach, ein eigener Klassifikator prüft parallel jede Seite auf Prompt-Injection, und Safe Browsing läuft zusätzlich mit.

Kann Gemini automatisch Termine oder Käufe in meinem Namen erledigen?

Google zeigt mit dem Kalender-Beispiel aus der FC-Bayern-Kooperation, dass Gemini Aufgaben wie das Eintragen von Spielterminen per Prompt übernehmen kann. Bei folgenreichen Aktionen im Browser – etwa Käufen, Zahlungen oder dem Versand von Nachrichten – ist der Assistent so ausgelegt, dass er anhält und dich um Bestätigung bittet oder dich den letzten Schritt selbst erledigen lässt.

Sind meine Nachrichten bei Diensten mit Signal-Protokoll sicherer?

Das Signal-Protokoll ist der weit verbreitete Standard für Ende-zu-Ende-Verschlüsselung und steckt unter anderem in WhatsApp und Google Messages. Dabei liegen die Schlüssel bei den Nutzern, sodass der Anbieter die Inhalte nicht einsehen kann. Für vertrauliche Kommunikation ist eine solche Verschlüsselung die konservative Wahl. Sie ersetzt aber nicht die Sorgfalt beim Einsatz von KI-Agenten, die auf deine Daten zugreifen.