Wenn der Angreifer nicht mehr müde wird: KI-orchestrierte Angriffe
Ende 2025 dokumentierte ein großer KI-Anbieter erstmals eine Spionage-Kampagne, in der eine KI 80 bis 90 Prozent der Angriffsschritte selbst ausführte, gegen mehr als dreißig Organisationen gleichzeitig. Seitdem arbeiten Sicherheitsforscher und Aufsichtsgremien die Konsequenzen ab, und eine davon betrifft den Mittelstand direkt: Der alte Schutz, zu klein und zu unattraktiv für professionelle Angreifer zu sein, trägt nicht mehr. Was sich an der Angreifer-Ökonomie geändert hat, was die Anbieter dagegen bauen und welche Prioritäten ein Mittelständler jetzt setzen sollte.
Sicherheitsforscher diskutieren seit Monaten über einen Fall, den Anthropic, Anbieter der Claude-Modelle, öffentlich dokumentiert hat. Das Unternehmen beschrieb Ende 2025 eine Spionage-Kampagne eines mutmaßlich staatsnahen Akteurs, bei der ein KI-Agent den Großteil der taktischen Arbeit übernahm. Zielaufklärung, Prüfung von Schwachstellen, Sammeln von Zugangsdaten, Bewegung durch die Netzwerke, Auswertung und Abtransport von Daten: 80 bis 90 Prozent dieser Schritte liefen automatisiert, gegen über dreißig Organisationen parallel. Menschen griffen nur an wenigen Eskalationspunkten ein.
Seither ist die Analyse-Maschinerie angelaufen. Denkfabriken beschreiben die Lücke zwischen autonomen Cyber-Operationen und europäischer Regulierung, Beratungshäuser rufen Unternehmen zur Neubewertung ihrer Abwehr auf, und Sicherheitsverantwortliche diskutieren, wie sich Erkennung ändern muss, wenn der Angreifer eine Maschine ist. Bemerkenswert am Rande: Etablierte Kataloge von Angriffstechniken führen die KI-Orchestrierung selbst noch gar nicht als eigene Kategorie, die Abwehr-Systematik läuft der Realität hinterher.
Warum das die Rechnung des Angreifers ändert
Professionelle Angriffe waren bisher teuer. Sie brauchten qualifizierte Menschen, und die sind knapp und teuer bezahlt. Diese Ökonomie schützte den Mittelstand zuverlässiger als jede Firewall: Wer nur begrenzt lohnende Beute verspricht, bekommt keine Profis zugeteilt.
Ein KI-Agent kehrt diese Rechnung um. Er arbeitet durchgehend, verfolgt hunderte Ziele parallel, probiert geduldig Varianten durch und wird dabei nicht müde und nicht unkonzentriert. Die Kosten je Angriffsversuch fallen Richtung null. Damit werden Ziele wirtschaftlich, die es nie waren: der Zulieferer mit 80 Mitarbeitern, die Steuerkanzlei, das Maklerbüro. Dort liegen keine Staatsgeheimnisse. Es reicht, dass Zahlungsumleitungen, Erpressung und Datenweiterverkauf sich auch in kleiner Münze lohnen, wenn der Aufwand kaum noch zählt.
Für Entscheider ist diese Verschiebung wichtiger als jedes Detail der Kampagne: Ihre Verwundbarkeit bemisst sich künftig daran, wie leicht Ihre Standardtüren aufgehen, denn geprüft werden jetzt alle Türen, ständig. Wie interessant Sie als Einzelziel sind, spielt dabei kaum noch eine Rolle.
Was die Anbieter dagegen bauen
Die KI-Häuser haben auf den Doppelcharakter ihrer Technik reagiert, im Sommer 2026 vor allem mit Zugangsarchitektur. Das stärkste Anthropic-Modell existiert in zwei Ausgaben: eine öffentliche mit Schutzschichten, die unter anderem offensive Angriffsunterstützung blockieren, und eine ungefilterte, die nur geprüfte Organisationen wie Sicherheitsforscher erhalten. Branchendienste berichten Ähnliches von OpenAI: ein Sicherheits-Spezialmodell, zugänglich allein nach Antragsprüfung. Fähigkeit wird gestuft vergeben, Vertrauen wird zur Zugangsvoraussetzung. Was diese neue Klassenbildung für die Modell-Landschaft insgesamt bedeutet, steht im Artikel über das Modell-Beben im Sommer 2026.
Dieselbe Technik arbeitet auch auf der Verteidigerseite: KI-gestützte Auswertung von Protokollen, Erkennung von Anomalien, automatisierte Vorsortierung von Alarmen. Realistisch betrachtet ist das für die meisten Mittelständler eine Einkaufsfrage, keine Bauaufgabe: Ihr IT-Dienstleister oder Ihr Security-Anbieter sollte erklären können, wie er KI in der Erkennung einsetzt und wie schnell er auf maschinell getaktete Angriffe reagiert. Wenn die Antwort ausweicht, ist das ein Auswahlkriterium.
Die eigene KI ist auch ein Sicherheitsthema
Eine zweite Front wird gern übersehen: die Agenten, die Sie selbst einsetzen. Ein KI-Agent mit Zugriff auf Postfach, Ablage und Fachsysteme ist funktional ein neuer Mitarbeiter mit weitem Zugriff und ohne gesunden Menschenverstand. Berichte über Tests des britischen AI Security Institute zeigten in diesem Sommer, dass ein Frontier-Modell in Prüfszenarien versuchte, mit erfundenen Identitäten den menschlichen Freigeber unter Druck zu setzen, um eine nicht genehmigte Aufgabe durchzubringen. Man muss daraus keine Science-Fiction machen. Man sollte daraus Betriebsregeln machen.
Präparierte Inhalte: die neue Angriffsfläche
Dazu kommt eine Angriffsklasse, die spezifisch für Agenten ist: Wer fremde Inhalte liest, E-Mails, Websites, Dokumente, kann über präparierte Inhalte gesteuert werden. Eine E-Mail, die versteckte Anweisungen an den mitlesenden Assistenten enthält, ist der Grund, warum Agenten niemals unbeaufsichtigt versenden, veröffentlichen oder überweisen sollten. Die Grundregeln aus dem Artikel über Arbeitsagenten sind zugleich Sicherheitsregeln: minimale Berechtigungen, Protokollierung, menschliche Freigabe für alles Unumkehrbare. Und die Sicherheitsfragen an jede Systemanbindung, die im MCP-Artikel stehen, gelten unverändert.
Prioritäten für den Mittelstand
Gegen maschinell skalierte Angreifer schützt vor allem das, was Sicherheitsfachleute seit Jahren predigen und Unternehmen seit Jahren aufschieben. Ein automatisierter Angreifer findet zuerst die offenen Standardtüren, und genau dort entscheidet sich der Ernstfall:
- Identitäten härten. Mehrfaktor-Anmeldung überall, ohne Ausnahme für die Geschäftsführung, deren Konten die wertvollsten sind. Gestohlene Zugangsdaten sind der Standardweg hinein.
- Update-Disziplin. Bekannte Schwachstellen zeitnah schließen. Maschinen prüfen schneller auf ungepatchte Systeme, als Wartungsfenster geplant werden.
- E-Mail- und Zahlungsprozesse absichern. KI-geschriebene Täuschung ist fehlerfrei und persönlich zugeschnitten, die Rechtschreibfehler-Heuristik ist tot. Zahlungsänderungen brauchen einen zweiten Kanal, immer.
- Notfall vorbereiten. Ein geübter Plan für den Ernstfall, Ansprechpartner, Meldewege, Backups, die nachweislich zurückspielbar sind. Wer erst im Ernstfall organisiert, verliert Tage.
- Cyber-Versicherung realistisch prüfen. Aus meiner Arbeit in der Versicherungsbranche: Die Policen verlangen zunehmend nachweisbare Grundhygiene, wer die Obliegenheiten nicht erfüllt, zahlt Prämie für einen Schutz, der im Schadenfall wackelt. Die Versicherung ersetzt die Hausaufgaben nicht, sie setzt sie voraus.
Nichts davon ist glamourös. Einer hochtechnisierten Bedrohung begegnet ein mittelständisches Unternehmen überwiegend mit unspektakulärer Handwerksarbeit. Erst wenn diese Basis steht, lohnt das Gespräch über KI-gestützte Erkennung und weitergehende Maßnahmen. Wo Ihr Unternehmen steht, klärt ein strukturierter Blick, der Readiness-Check stellt die Governance-Fragen gleich mit.
Die Quintessenz
Die dokumentierte KI-Spionage-Kampagne war eine Vorschau, kein Ausreißer. Angriffskapazität, die bisher an teure Spezialisten gebunden war, wird zur skalierenden Ware, und damit endet die Schonzeit für alle, die sich auf ihre Unauffälligkeit verlassen haben. Die gute Nachricht steckt in der Asymmetrie der Aufgaben: Der Angreifer braucht offene Türen, und welche Türen bei Ihnen offen stehen, entscheiden Sie. Ihr Unternehmen ist seit diesem Jahr für automatisierte Angreifer interessant, ohne dass sich an Ihrem Geschäft etwas geändert hätte. Nehmen Sie das als Anlass, die Mehrfaktor-Anmeldung, den Patchstand und die Freigabekette für Zahlungen einmal durchzugehen, und zwar bevor Ihr Dienstleister Ihnen erklärt, warum es diesmal nicht gereicht hat.
Stand: 28. August 2026. Dieser Artikel beschreibt öffentlich dokumentierte Vorfälle und Abwehrprinzipien; er ist keine Rechts- oder Versicherungsberatung. Verwandte Artikel: Arbeitsagenten · MCP erklärt · KI-Readiness-Check.