Wenn der Nachweis nichts mehr beweist: Was passiert, wenn Agenten Prüfungen ablegen

58.000 Prüfungen, die niemand mehr glauben kann

Anfang August 2026 hat die Universidad Nacional Autónoma de México, die größte Hochschule Lateinamerikas, eine Zahl veröffentlicht, die man zweimal lesen muss: Rund 58.000 Aufnahmeprüfungen müssen wiederholt werden. Von etwa 160.000 Bewerberinnen und Bewerbern hatte ein erheblicher Teil die erstmals online abgehaltene Prüfung mit fremder Hilfe absolviert.

Aufgefallen ist es nicht durch eine Überwachungssoftware, sondern durch Statistik. Zwischen 2021 und 2025 erreichten im Schnitt 3,5 Prozent der Teilnehmenden 100 oder mehr von 120 Punkten. 2026 waren es plötzlich 16,3 Prozent. Im Spitzenbereich ab 110 Punkten stieg der Anteil von 0,9 auf 5,5 Prozent. Der KI-Forscher Raúl Rojas schätzte gegenüber mexikanischen Medien, bis zu 75.000 Teilnehmer könnten betrogen haben — eine Einzelschätzung, die niemand unabhängig bestätigt hat, die aber die Größenordnung des Problems zeigt.

Die Methoden waren banal: ein zweiter Bildschirm außerhalb des Kamerawinkels, Kopfhörer unter den Haaren, stummgeschaltete Mikrofone, ein Assistenzmodell in Echtzeit. Die UNAM reagierte mit dem einzigen Mittel, das noch trägt — einem Kontrolltest auf Papier unter menschlicher Aufsicht, rückwirkend auch für Jahrgänge der vergangenen fünf Jahre.

Warum das eine Wirtschaftsgeschichte ist und keine Bildungsanekdote: Der Mechanismus, der hier eine Aufnahmeprüfung entwertet hat, entwertet in exakt derselben Weise Einstellungstests, technische Zertifikate und Compliance-Schulungen. Der Unterschied ist nur, dass in Unternehmen niemand die Notenverteilung von fünf Jahrgängen nebeneinanderlegt.

Der Agent geht zur Vorlesung

Was sich 2026 gegenüber der ChatGPT-Frühphase geändert hat, ist nicht die Textqualität, sondern die Handlungsfähigkeit. Ein Agent — gemeint ist ein Sprachmodell, das nicht nur antwortet, sondern Werkzeuge bedient, Webseiten öffnet, klickt und Formulare ausfüllt — braucht kein Copy-and-paste mehr.

Die New York Times beschrieb Anfang August, wie Studierende an US-Colleges Agenten direkt an die Lernplattformen ihrer Hochschule anschließen: Canvas, Brightspace, Blackboard. Der Agent loggt sich ein, spielt Vorlesungsvideos ab, bearbeitet Quizze, schreibt Diskussionsbeiträge und lädt Essays hoch. Berichtet werden Bearbeitungszeiten, die für einen Menschen physisch nicht erreichbar sind — komplette Prüfungen in wenigen Sekunden. Eine belastbare Primärquelle mit exakten Zahlen dazu konnten wir nicht verifizieren; die Beobachtung stammt aus Schilderungen von Lehrenden, nicht aus einer Erhebung.

Damit verschiebt sich die Nachweislage grundlegend. Klassische Betrugserkennung fragt: Hat diese Person die Antwort selbst geschrieben? Die relevante Frage lautet inzwischen: War überhaupt eine Person an der Tastatur? Und für diese Frage sind die meisten eingesetzten Systeme nicht gebaut.

Die Gegenwehr trifft oft die Falschen

Remote-Proctoring — die Fernaufsicht per Kamera, Mikrofon und Bildschirmüberwachung — prüft im Kern Anwesenheit und Blickrichtung. Ein zweites Gerät außerhalb des Kamerawinkels ist damit strukturell nicht erfassbar. Textdetektoren, die KI-generierte Sprache erkennen sollen, sind in ihrer Treffsicherheit umstritten; dokumentierte Falsch-Positive haben an mehreren Hochschulen zu zurückgenommenen Vorwürfen geführt. Belastbare, herstellerunabhängige Vergleichszahlen dazu liegen uns nicht vor — was für sich genommen schon ein Befund ist, wenn Institutionen ihre Entscheidungen darauf stützen. Für Gesichtserkennungskomponenten sind seit Jahren geringere Trefferquoten bei dunkleren Hauttönen dokumentiert; die Anbieter widersprechen, die Datenlage ist strittig.

Es gibt technisch belastbarere Ansätze. Eine im März 2026 veröffentlichte Vergleichsstudie von Khadija Alhumaid im Journal of Cyber Security and Risk Auditing erreichte mit Keystroke-Dynamics — der Auswertung individueller Tippmuster wie Anschlagdauer und Pausenrhythmus — in einem Random-Forest-Modell 94,1 Prozent Genauigkeit bei der Erkennung von Identitätsvertauschung; die getesteten Deep-Learning-Verfahren schnitten mit 88,1 Prozent schlechter ab. Einschränkend gilt: Gemessen wurde auf einem etablierten Labordatensatz der Carnegie Mellon University, nicht im Prüfungsbetrieb. Und ein Agent, der Tastatureingaben simuliert statt Text einzufügen, ist gegen genau diese Signatur der nächste logische Schritt.

Die aufschlussreichste Reaktion kam deshalb nicht aus der Technik. Am 11. Mai 2026 stimmte die Fakultät der Princeton University nahezu einstimmig dafür, ihr 133 Jahre altes System unbeaufsichtigter Prüfungen abzuschaffen; die Änderung gilt seit dem 1. Juli. Eine interne Befragung von 2025 hatte ergeben, dass rund 30 Prozent der Studierenden Fehlverhalten einräumten, 44,6 Prozent Betrug beobachtet und nicht gemeldet hatten — und ganze 0,4 Prozent jemals einen Fall meldeten. Wenn eine Institution mit dieser Tradition zu Aufsicht zurückkehrt, ist das ein Urteil über die Nachweiskraft des alten Verfahrens, nicht über die Moral der Studierenden.

Der Befund, der Unternehmen direkt betrifft

Für Tech-Unternehmen liegt die härteste Zahl nicht im Bildungssektor. Der Assessment-Anbieter CodeSignal berichtete im Februar 2026, die erkannte Betrugsquote in beaufsichtigten technischen Tests sei von 16 Prozent (2024) auf 35 Prozent (2025) gestiegen. Im Einstiegsbereich verdreifachte sie sich nahezu, von 15 auf 40 Prozent. Regional reicht die Spanne von 27 Prozent in Nordamerika bis 48 Prozent im asiatisch-pazifischen Raum. Als Erkennungsmuster nennt der Anbieter Blickbewegungen zu Inhalten außerhalb des Bildschirms (35 Prozent der Fälle), unnatürlich lineare Tippmuster ohne Korrekturen (23 Prozent) und hohe Ähnlichkeit zu bekannten oder geleakten Lösungen (15 Prozent).

Diese Zahlen stammen vom Hersteller eines Erkennungsprodukts und sind entsprechend zu lesen — ein Anbieter, dessen Detektoren besser werden, misst zwangsläufig mehr Fälle. Die Richtung deckt sich aber mit einer Umfrage des Interview-Dienstleisters Karat unter 400 Engineering-Leadern: 71 Prozent sagen, KI habe die Bewertung technischer Fähigkeiten spürbar erschwert. Am stärksten betroffen sind Take-Home-Aufgaben, also die Aufgabenpakete, die Bewerber unbeaufsichtigt zu Hause lösen. Und hier wird es für Entscheider unangenehm: Rund zwei Drittel der befragten Unternehmen untersagen KI im Bewerbungsprozess weiterhin — aber weniger als 30 Prozent haben ihre Aufgaben oder ihr Interviewer-Training überhaupt angepasst. Das ist eine Regel ohne Durchsetzung, was praktisch bedeutet: Der ehrliche Bewerber ist benachteiligt.

Zertifikat, Pflichtschulung, Haftungsfrage

Zwei Felder verdienen mehr Aufmerksamkeit, als sie derzeit bekommen — und in beiden ist die Beleglage dünn genug, dass man das offen sagen sollte.

Erstens technische Zertifizierungen. AWS, Microsoft, CompTIA und ISC2 haben ihre Programme 2026 inhaltlich um KI-Themen erweitert: ISC2 veröffentlichte im April eine offizielle Prüfungsleitlinie zu künstlicher Intelligenz und kündigte im Juli eine eigene KI-Sicherheitszertifizierung an, CompTIA startete im Februar SecAI+. Was sich in den zugänglichen Quellen dagegen nicht findet, sind dokumentierte Betrugswellen bei diesen Prüfungen selbst. Das ist bemerkenswert, aber kein Freispruch: Diese Anbieter prüfen überwiegend in beaufsichtigten Testzentren, und wer dort nicht sucht, findet auch nichts.

Zweitens Pflichtschulungen. Seit dem 2. Februar 2025 verlangt Artikel 4 der EU-KI-Verordnung von allen Anbietern und Betreibern von KI-Systemen, für ausreichende KI-Kompetenz ihrer Beschäftigten zu sorgen — ohne Mindestgröße, ohne KMU-Ausnahme. Praktisch heißt das: dokumentierte Schulungen. Nur ist Artikel 4 selbst nicht im Bußgeldkatalog der Verordnung enthalten; die Sanktionierung liegt bei den Mitgliedstaaten. Und zur eigentlichen Frage — was gilt, wenn ein Mitarbeiter die vorgeschriebene Datenschutz-, Arbeitssicherheits- oder Geldwäscheschulung von einem Agenten absolvieren lässt — existiert bislang weder Rechtsprechung noch eine Aufsichtsäußerung, die wir finden konnten. Das ist juristisches Neuland, und Unternehmen, deren Sorgfaltspflicht-Argumentation im Schadensfall auf einem Klickpfad in einem Lernmanagementsystem ruht, sollten das wissen.

Was tatsächlich hilft

Die interessantere Bewegung ist nicht die Aufrüstung der Kontrolle, sondern der Umbau der Aufgabe. Nach übereinstimmender Branchenberichterstattung — offizielle Stellungnahmen der betroffenen Unternehmen liegen nicht vor, weshalb wir keine Namen nennen — erproben mehrere große Tech-Arbeitgeber seit Ende 2025 Coding-Interviews, in denen Modelle ausdrücklich erlaubt sind, und schreiben ihre Aufgaben so um, dass ein einzelner Prompt sie nicht löst. Die Frage verschiebt sich von „Kann diese Person ohne Werkzeug programmieren?" zu „Kann diese Person ein Werkzeug so führen, dass ein brauchbares Ergebnis entsteht — und erkennt sie, wenn es keins ist?"

Für Tech-Leads und Hiring-Verantwortliche folgt daraus eine kurze, unbequeme Liste. Unbeaufsichtigte Take-Home-Aufgaben haben ihre Aussagekraft weitgehend verloren; sie messen nur noch Werkzeugzugang. Was bleibt, sind Formate mit menschlicher Interaktion in Echtzeit: gemeinsames Programmieren an realem Code, Nachfragen zu Entscheidungen im gerade entstandenen Ergebnis, Arbeitsproben mit anschließender Verteidigung. Das ist teurer pro Kandidat — und exakt das ist der Preis, den die neue Lage aufruft.

Und der ehrlichste Satz zum Schluss: Ein Nachweis, der nicht beobachtet wurde, belegt 2026 nichts mehr über die Person, sondern nur noch über ihre Werkzeuge. Wer Personalentscheidungen, Zulassungen oder Haftungsdokumentation darauf stützt, sollte das nicht für eine Formalie halten.