Was ist ein System-Prompt?
Stell dir einen Souffleur vor, der dem Schauspieler vor dem Auftritt zuflüstert: „Du bist der Butler, du sprichst knapp, du duzt niemanden.“ Das Publikum hört das nicht. Es sieht nur den Butler. Der System-Prompt ist dieser Souffleur für ein Sprachmodell.
Technisch ist er ein eigenes Feld im Aufruf an die KI: system bei Anthropic, developer bei OpenAI, system_instruction bei Google. Google beschreibt ihn als Anweisungen, die das Modell verarbeitet, bevor es den eigentlichen Prompt verarbeitet, und die für die ganze Anfrage gelten. OpenAI vergleicht Entwickler-Anweisung und Nutzer-Eingabe mit einer Funktion und ihren Argumenten.
Auch die Chat-Oberflächen arbeiten so: Claude.ai gibt jedem Gespräch einen System-Prompt mit, der etwa das aktuelle Datum liefert und Formatregeln setzt. Anthropic veröffentlicht diese Texte. Der für Claude Fable 5.1 vom September 2026 umfasst rund 1.700 Wörter.
Was hineingehört
Die Anbieter sind sich erstaunlich einig. OpenAI empfiehlt vier Abschnitte in dieser Reihenfolge, Google nennt für Gems Persona, Aufgabe, Kontext und Format, Microsoft verlangt Zweck, Leitlinien und Fähigkeiten:
Baustein
Beispiel für ein KMU
Identität
„Du schreibst für die Tischlerei Meier, direkt, norddeutsch, Du-Form.“
Anweisungen
„Höchstens 20 Wörter je Satz. Nenne Preise nur als Spanne.“
Beispiele
Drei fertige Texte, die den Ton zeigen
Kontext
Produktliste, Öffnungszeiten, aktuelle Aktion, ans Ende
Beispiele sind laut Anthropic der verlässlichste Weg, Format und Ton zu steuern, drei bis fünf reichen. Microsoft warnt: Wer Ton und Ausführlichkeit nicht festlegt, bekommt je nach Modell unterschiedliches Verhalten. Und: Sag, was die KI tun soll, nicht nur, was sie lassen soll.
Platz hast du mehr, als du denkst, aber nicht unbegrenzt. ChatGPT erlaubt in den Custom Instructions 1.500 Zeichen im Gratisplan und 5.000 in den Bezahlplänen. Der Agent Builder von Microsoft 365 Copilot nimmt 8.000 Zeichen. Anthropics eigener Chat-Prompt hat rund 10.900 Zeichen. Ein Markenprompt für dein Unternehmen passt also in ein Fünftel davon.
Wer hat das letzte Wort?
OpenAI hat die Rangfolge in seiner Model Spec festgeschrieben: Anweisungen mit höherer Autorität schlagen Anweisungen mit niedrigerer. Ganz oben steht OpenAI selbst, dann der Entwickler, dann der Nutzer. Zitierter Text und Tool-Ergebnisse haben gar keine Autorität. Das berühmte „Ignoriere alle vorherigen Anweisungen“ soll das Modell deshalb nicht befolgen.
Zwei Folgen für dich. Erstens: Dein System-Prompt steht über dem Nutzer, aber unter dem Anbieter. Regeln des Anbieters kannst du nicht abschalten. Zweitens: Anthropic und Google veröffentlichen keine vergleichbare Garantie. Google sagt nur, dass Systemanweisungen das Befolgen von Regeln unterstützen, Jailbreaks und Leaks aber nicht vollständig verhindern.
Case A · Leitplanken halten nicht dicht
Browser-Agent von Anthropic
23,6 %
Angriffserfolg ohne Schutz
11,2 %
mit Schutzmaßnahmen
Jeder neunte Angriff kam trotzdem durch
Anthropics eigene Tests zu Claude for Chrome (2025), 123 Fälle aus 29 Szenarien. Keine Branchenquote, aber ein Hinweis, was Anweisungen allein leisten.
Case B · Custom GPTs
Studie der Uni Saarland (CISPA)
651.022
untersuchte GPTs
95,95 %
Dateien herunterladbar
Wissensdateien ließen sich fast immer auslesen
Shen et al., ACL 2025: Bei aktiviertem Code Interpreter waren die hochgeladenen Originaldateien in fast allen Fällen abrufbar.
Was der System-Prompt kostet
Der System-Prompt wird bei jeder Anfrage mitgeschickt und zählt wie jeder andere Text als Eingabe: Er belegt Platz im Kontextfenster und steht auf der Rechnung. Anthropics Beispiel: „You are a scientist“ plus „Hello, Claude“ ergeben 14 Tokens. Bei 2.000 Wörtern System-Prompt und 10.000 Anfragen am Tag summiert sich das.
Deshalb gibt es Prompt Caching: Der unveränderte Anfang einer Anfrage wird zwischengespeichert. Bei Anthropic kostet das Lesen aus dem Cache ein Zehntel des normalen Eingabepreises, bei neueren Modellen noch weniger; OpenAI nennt bis zu 95 % Rabatt. Die Regel daraus: Alles Stabile nach oben in den System-Prompt, alles Wechselnde wie Datum oder Kundendaten ans Ende.
Häufige Fehler
Fehler 1 · Den System-Prompt als Geheimnis behandeln
Die OWASP, die Organisation hinter den bekanntesten Sicherheitslisten im Web, sagt es ohne Umschweife: Der System-Prompt darf weder als Geheimnis noch als Sicherheitskontrolle gelten. Anthropic veröffentlicht seine eigenen. Schreib nichts hinein, was nicht auch auf deiner Website stehen dürfte.
Fehler 2 · Sensible Daten hineinschreiben
API-Schlüssel, interne Einkaufspreise, Kundenlisten: Google rät ausdrücklich zur Vorsicht, OWASP verlangt die Trennung. Rabattlogik gehört in deinen Code, nicht in den Prompt.
Fehler 3 · „Du bist ein Experte“ und sonst nichts
Eine Rolle ohne Aufgabe, Format und Beispiele liefert jedes Mal etwas anderes. Die Rolle ist der erste Satz, nicht der ganze Prompt.
Fehler 4 · Schreien in Großbuchstaben
Anthropic berichtet, dass neuere Modelle stärker auf den System-Prompt reagieren. „CRITICAL: You MUST…“ führt dann zu Übersteuerung. Normale Sprache reicht: „Nutze dieses Werkzeug, wenn …“. Widersprüche im Prompt löst das Modell selbst auf, nicht in deinem Sinne.
So setzt du ihn im Marketing ein
- Markenstimme konservieren: Tone of Voice, Tabuwörter, Anrede und drei Musterabsätze in Claude Projects, einen Custom GPT oder ein Gem. Jeder im Team schreibt dann im gleichen Ton.
- Formate festzurren: „Liefere immer Betreff, Vorschautext, drei Absätze, einen Call to Action.“ Spart das Nachformatieren.
- Leitplanken setzen: „Keine Preise nennen, keine Zusagen zu Lieferzeiten, bei Rechtsfragen auf das Impressum verweisen.“ Hilft gegen Ausrutscher, ersetzt aber keine Prüfung.
- In Automationen: Der AI-Agent-Node in n8n hat ein eigenes Feld System Message. Dort steht die Rolle, im Nutzer-Prompt die Daten des jeweiligen Durchlaufs.
- Testen wie Software: Zehn typische Eingaben, zehn erwartete Ausgaben, nach jeder Änderung durchlaufen lassen.
Häufige Fragen
Was ist der Unterschied zwischen System-Prompt und normalem Prompt?
Der System-Prompt kommt vom Betreiber, steht außerhalb des sichtbaren Chats und gilt für das ganze Gespräch. Der normale Prompt kommt vom Nutzer und gilt für eine Frage. OpenAI vergleicht das mit Funktion und Argumenten: Der System-Prompt legt fest, wie gearbeitet wird, der Prompt liefert, womit.
Kann der Nutzer den System-Prompt überschreiben?
Er soll es nicht können. OpenAIs Model Spec stellt Entwickler-Anweisungen über Nutzer-Anweisungen; „Ignoriere alle vorherigen Anweisungen“ soll wirkungslos bleiben. In der Praxis gelingen Angriffe trotzdem, deshalb gilt der System-Prompt als Leitplanke, nicht als Schloss.
Kann jemand meinen System-Prompt auslesen?
Ja, mit etwas Mühe oft schon. Studien zeigen, dass sich System-Prompts und hochgeladene Dateien von Custom GPTs in den meisten Fällen extrahieren lassen. Schlimm ist das nur, wenn etwas drinsteht, das geheim bleiben müsste. Schreib den Prompt so, dass sein Leak dich nicht schmerzt.
Wie lang darf ein System-Prompt sein?
ChatGPT Custom Instructions: 1.500 Zeichen im Gratisplan, 5.000 in Bezahlplänen. Microsoft 365 Copilot Agent Builder: 8.000 Zeichen. Über die Schnittstellen von Anthropic, OpenAI und Google begrenzt nur das Kontextfenster. Anthropics eigener Chat-Prompt hat rund 1.700 Wörter.
Kostet der System-Prompt bei jeder Anfrage Tokens?
Ja. Er wird bei jedem Aufruf mitgeschickt und als Eingabe abgerechnet. Mit Prompt Caching sinkt der Preis für den unveränderten Anfang deutlich: bei Anthropic auf ein Zehntel oder weniger, bei OpenAI laut Anbieter um bis zu 95 %. Voraussetzung ist, dass der Anfang identisch bleibt.
Quellen
- Anthropic: Prompting Best Practices für Claude
- Anthropic: Veröffentlichte System-Prompts von Claude.ai
- OpenAI: Prompt Engineering Guide
- OpenAI: Model Spec
- Google Cloud: Systemanweisungen für Gemini
- Microsoft Learn: Agenten mit dem Agent Builder erstellen
- OpenAI-Hilfe: Custom Instructions für ChatGPT
- OWASP Top 10 for LLM Applications: System Prompt Leakage
- Anthropic: Claude for Chrome
- ACL 2025: When GPT Spills the Tea (Shen et al.)
- Anthropic: Prompt Caching
