Donald Trump ist nicht an Tollwut gestorben. Dass dieser Satz überhaupt als Nachricht taugt, sagt viel über den Zustand der KI-Suche im Sommer 2026. Nach Berichten von t3n und Cybernews gab DuckDuckGos KI-gestützte Suche zeitweise eine erfundene Todesmeldung über den US-Präsidenten aus, offenbar gespeist aus koordinierten Falschbehauptungen und deren Weiterverbreitung im Netz.
Der Fall ist mehr als eine peinliche Halluzination. Er zeigt, wie leicht Systeme ins Rutschen geraten können, wenn sie das offene Web nicht nur durchsuchen, sondern daraus fertige Antworten formulieren. Sobald eine Suchmaschine nicht mehr bloß Links sortiert, sondern eine scheinbar eindeutige Zusammenfassung liefert, wird die Frage nach der Herkunft jeder Aussage politisch und praktisch entscheidend.
Das Wichtigste in Kürze
- DuckDuckGos KI-Suche soll eine falsche Meldung über Trumps Tod ausgegeben haben; mehrere Medien führen den Fehler auf manipulierte oder minderwertige Web-Inhalte zurück.
- Das Muster heißt Data Poisoning: Angreifer oder koordinierte Gruppen füttern auffindbare Quellen mit falschen Aussagen, die KI-Systeme später als Belege nutzen können.
- Aktuelle Forschung zu Web Agent Retrieval Poisoning zeigt, dass schon kurze manipulierte Texte auf nutzergenerierten Seiten KI-Rechercheagenten beeinflussen können.
- Für Nutzer ist die Lehre schlicht: KI-Antworten sind keine Quelle. Entscheidend bleiben Primärquelle, Datum, Kontext und sichtbare Belegkette.
Was bei DuckDuckGo schiefging
DuckDuckGo beschreibt Search Assist als optionale Funktion, die Webinhalte scannt und daraus kurze KI-Antworten erzeugt. Die Antworten sollen direkt auf ein oder zwei Quellen verweisen. Genau diese Konstruktion ist bequem, aber verwundbar: Wenn die gefundenen Quellen selbst schwach sind, kann die sauber klingende Zusammenfassung falsche Sicherheit erzeugen.
Im aktuellen Fall berichteten t3n und Cybernews über eine absurde Behauptung, nach der Trump Anfang Juni an Tollwut gestorben sei. Cybernews verweist auf eine Reddit-Community mit rund 45.000 Mitgliedern, die offensichtlich unsinnige Beiträge verbreitet. t3n beschreibt den Vorgang als Beispiel für Data Poisoning: Nicht das Sprachmodell muss im engen Sinn neu trainiert werden. Es reicht, dass Such- und Antwortsysteme beim Abruf auf vergiftete, kopierte oder automatisiert verstärkte Inhalte stoßen.
Das macht den Vorfall interessanter als eine klassische Falschmeldung. Früher musste ein Leser immerhin noch auf eine fragwürdige Website klicken. Bei KI-Suche wandert die fragwürdige Behauptung in die Antwortfläche selbst. Aus vielen schlechten Signalen kann dann ein einzelner, autoritär formulierter Satz werden.
Warum Data Poisoning mehr ist als eine Halluzination
Der Begriff Halluzination klingt nach einem internen Modellfehler: Die KI erfindet etwas, weil sie keine Fakten kennt oder Wahrscheinlichkeiten falsch fortsetzt. Data Poisoning verschiebt den Schwerpunkt. Hier ist die Umgebung das Problem. Manipulierte Inhalte, Spam-Seiten, Reddit-Kommentare oder kopierte Artikel werden Teil des Materials, aus dem das System seine Antwort baut.
Die aktuelle Cornell-Arbeit zu Web Agent Retrieval Poisoning beschreibt genau diese Angriffsfläche bei Deep-Research-Agenten. Solche Systeme suchen im Web, sammeln Dokumente und schreiben daraus zitierte Berichte. Die Forscher zeigen in simulierten Experimenten, dass ein einzelner kurzer manipulierter Text auf einer häufig abgerufenen nutzergenerierten Seite Antworten über ganze Themencluster beeinflussen kann. In einem Testszenario reichten 13 Wörter in einem Suchergebnis-Snippet, um je nach System und Exposition nennenswerte Erwähnungsraten auszulösen.
Das ist nicht dasselbe wie der Beweis, dass jedes kommerzielle Produkt mit einem beliebigen Reddit-Kommentar steuerbar wäre. Die Forscher haben ihre vollständigen Angriffsexperimente aus ethischen Gründen nicht gegen live betriebene Systeme gefahren. Aber die Richtung ist klar: Je stärker KI-Suche auf offene, beschreibende, gut auffindbare Webinhalte angewiesen ist, desto größer wird der Anreiz, diese Inhalte speziell für Maschinen zu manipulieren.
Die alte Suchlogik reicht nicht mehr
Traditionelle Suchmaschinen hatten ebenfalls ein Spam-Problem. SEO, Linkfarmen und gekaufte Inhalte sind nicht neu. Der Unterschied liegt in der Oberfläche. Eine Trefferliste zeigt Konkurrenz, Widerspruch und Quellenvielfalt. Eine KI-Antwort glättet diese Reibung. Sie nimmt dem Nutzer Arbeit ab, aber auch Warnsignale: Wer hat das behauptet, wie alt ist die Quelle, welche Gegenbelege gibt es?
OWASP ordnet Data and Model Poisoning sowie Schwächen bei Vektoren und Embeddings inzwischen als relevante Risiken für LLM-Anwendungen ein. Besonders Systeme mit Retrieval Augmented Generation, also dem Nachladen externer Informationen für eine Modellantwort, müssen klären, welche Inhalte überhaupt in den Antwortkontext gelangen dürfen. Sonst wird RAG vom Wahrheitsfilter zum Verstärker des lautesten oder am besten platzierten Materials.
Für Anbieter bedeutet das mehr als eine bessere Warnbox. Nötig sind robuste Quellensignale: Primärquellen vor Social-Media-Schnipseln, sichtbare Herkunft jeder Kernaussage, Widerspruchserkennung, Zeitstempel und ein Rückfall auf klassische Trefferlisten, wenn die Beleglage dünn ist. Wer eine Antwort nicht belastbar begründen kann, sollte keine zusammenfassende Antwort ausspielen.
Was Nutzer und Redaktionen daraus lernen können
Für normale Nutzer ist die wichtigste Regel unspektakulär: Bei Nachrichten, Medizin, Recht, Finanzen und Politik darf eine KI-Zusammenfassung nur der Startpunkt sein. Mindestens eine Primärquelle oder eine etablierte Redaktion muss die zentrale Aussage tragen. Das gilt besonders, wenn die Meldung spektakulär klingt oder wenn mehrere fast gleichlautende Seiten ohne klare Herkunft dasselbe behaupten.
Für Redaktionen und Unternehmen kommt eine zweite Ebene hinzu. Wer eigene Recherche, Produktinformationen oder Sicherheitsdokumentation veröffentlicht, muss damit rechnen, dass KI-Systeme diese Inhalte auslesen und neu zusammenfassen. Saubere strukturierte Daten, klare Veröffentlichungsdaten und maschinenlesbare Korrekturen werden wichtiger. Gleichzeitig wächst der Druck, offene Kommentarbereiche und Foren besser zu moderieren, ohne legitime Diskussionen zu ersticken.
Der Vorfall passt zu einem breiteren Sicherheitsmuster. Prompt Injection versucht, ein KI-System über Anweisungen im Kontext zu steuern; Data Poisoning versucht, den Kontext selbst zu verunreinigen. Beides zeigt, dass KI-Anwendungen nicht nur am Modell scheitern können, sondern an allem, was sie lesen dürfen. kabel-salat.info hatte dieses Grundproblem bereits bei OpenAIs Arbeit an Prompt-Injection-Abwehr beschrieben.
Fazit: Vertrauen braucht sichtbare Herkunft
DuckDuckGo ist mit diesem Problem nicht allein. Jede Suchmaschine, jeder Chatbot und jeder Rechercheagent, der aus dem offenen Web Antworten baut, steht vor derselben Aufgabe: Er muss nicht nur passende Texte finden, sondern deren Vertrauenswürdigkeit bewerten. Das ist technisch schwerer als Ranking, weil die Antwort am Ende wie ein Urteil wirkt.
Der falsche Trump-Tod ist deshalb ein nützlicher Warnfall. Er ist offensichtlich absurd, also leicht zu korrigieren. Gefährlicher sind manipulierte Aussagen, die plausibel klingen: ein falsches Zitat, eine verdrehte Studie, eine scheinbare Produktempfehlung, ein angeblicher Behördenhinweis. Genau dort entscheidet sich, ob KI-Suche ein Werkzeug zur Orientierung wird oder ein Beschleuniger für Desinformation.
Die richtige Reaktion ist nicht, jede KI-Antwort zu verwerfen. Sie lautet: KI-Suche muss ihre Belege so ernst nehmen wie ihre Formulierungen. Ohne sichtbare, belastbare Herkunft ist eine elegante Zusammenfassung nur eine gut geschriebene Behauptung.