Im September 2025 hat Anthropic, der Hersteller meines täglichen Arbeitstools Claude, etwas veröffentlicht, das ich nicht einfach kommentieren und vergessen konnte. Eine chinesische staatliche Hackergruppe hatte Claude Code missbraucht, um autonom Angriffe auf Technologieunternehmen, Finanzinstitutionen und Regierungsbehörden weltweit zu starten. Ohne wesentlichen menschlichen Eingriff nach dem Startbefehl. Dreißig Ziele. Mehrere Treffer.
Das ist nicht mehr die Zukunft. Das ist dokumentierte Gegenwart.
Ich schreibe seit Jahren über generative KI, erkläre sie, setze sie täglich ein und berate EPU und KMU in der DACH-Region dabei, sie sinnvoll zu nutzen. Aber wer KI ehrlich erklärt, muss auch über diesen Teil reden: Die gleiche Technologie, die Arbeit produktiver macht, wird von Kriminellen und staatlichen Akteuren als Angriffswerkzeug eingesetzt. Schneller, billiger, automatisierter als alles, was bisher möglich war.
Dieser Artikel zeigt, was wirklich passiert ist. Nicht als Hysterie, sondern als Bestandsaufnahme.
Was meint man eigentlich mit KI-gestützten Angriffen?
Bevor wir zu den konkreten Fällen kommen, kurze Klarstellung: KI-gestützter Angriff bedeutet nicht, dass eine KI eigenständig entscheidet, jemanden anzugreifen. Es bedeutet, dass menschliche Angreifer KI-Systeme als Werkzeug einsetzen, um Angriffe schneller, überzeugender oder skalierbarer zu machen. Drei Kategorien sind dabei relevant.
Automatisierung und Skalierung: Ein Angreifer, der früher einen Tag brauchte, um eine überzeugende Phishing-Mail zu schreiben, kann heute per Prompt in Sekunden hunderte personalisierter Varianten erzeugen. Credential-Stuffing-Angriffe, die früher manuelle Arbeit erforderten, laufen heute vollautomatisch auf tausende Ziele gleichzeitig.
Deepfakes und Identitätsmissbrauch: Stimmen, Gesichter, Videos von realen Personen werden synthetisch erzeugt, um Vertrauen zu erschleichen. Was früher Hollywood-Budget brauchte, kostet heute einen Laptop und eine API-Anbindung.
Autonome Angriffssysteme: Das ist die neue Kategorie, die 2025 und 2026 dokumentiert wurde. KI-Agenten, die nicht nur einzelne Schritte ausführen, sondern komplette Angriffsketten selbstständig durchlaufen: Reconnaissance, Exploit, Exfiltration.
Welche Angriffe sind wirklich passiert?
Der Claude-Code-Missbrauch durch chinesische Staatshacker (September 2025)
Das ist der Fall, mit dem ich eingestiegen bin, weil er mich persönlich getroffen hat. Anthropic hat den Vorfall öffentlich dokumentiert: Eine Gruppe, die mit hoher Konfidenz einem chinesischen staatlichen Akteur zugeordnet wird, hat Claude Code als autonomen Angriffsagenten missbraucht. Das System hat Ziele erkundet, Schwachstellen identifiziert und Eindringversuche unternommen, alles ohne Mensch in der Schleife nach dem Startbefehl. Anthropic nennt es das erste dokumentierte Beispiel eines groß angelegten Cyberangriffs ohne wesentliche menschliche Intervention.
Was mich dabei besonders beschäftigt: Die Angreifer haben kein exotisches Hacker-Tool benutzt. Sie haben ein Produkt genutzt, das ich täglich für Coding-Aufgaben verwende. Die Waffe war die Alltagstechnologie.
„Vibe Hacking“: KI als Einstiegshilfe für technische Laien (Anfang 2025)
Anthropics Threat-Intelligence-Team hat einen Fall dokumentiert, für den sie den Begriff „Vibe Hacking“ geprägt haben. Ein Angreifer mit geringen technischen Kenntnissen nutzte einen KI-Coding-Agenten, um in einem einzigen Monat Datenerpressungskampagnen gegen 17 Organisationen durchzuführen. Das System übernahm eigenständig: Scannen tausender VPN-Endpunkte, Eindringen in Netzwerke, Harvesten von Zugangsdaten, Entwickeln von Malware, Exfiltrieren von Daten, Erzeugen individueller Lösegeldnoten bis zu 500.000 Dollar.
Das ist der Punkt, an dem es interessant wird. Nicht, weil der Schaden so groß war. Sondern weil der Täter ohne KI-Unterstützung technisch nicht dazu in der Lage gewesen wäre. KI hat die Einstiegshürde für schwere Cyberkriminalität auf Null gesenkt.
CyberStrikeAI: Autonomer Angriff auf 600+ Firewalls (März/April 2026)
Foresiet, ein auf Bedrohungsanalyse spezialisiertes Unternehmen, hat im April 2026 die bisher klarste Dokumentation eines vollständig autonomen KI-Angriffs veröffentlicht. Die „CyberStrikeAI“-Kampagne hat FortiGate-Firewalls in 55 Ländern kompromittiert, über 600 Systeme, ohne dass ein menschlicher Operator nach dem Start noch eingegriffen hat. Die KI hat die Reconnaissance durchgeführt, Schwachstellen identifiziert und ausgenutzt, Zugänge gesichert und sich in den kompromittierten Systemen festgesetzt.
Was das von früheren automatisierten Angriffen unterscheidet: Die Anpassungsfähigkeit. Das System hat seine Strategie in Echtzeit angepasst, abhängig davon, wie die Zielsysteme auf Angriffsversuche reagiert haben.
Der 25-Millionen-Dollar-Deepfake (2025)
Dieser Fall ist inzwischen in der Sicherheits-Community weit bekannt, aber ich erwähne ihn trotzdem, weil er das konkreteste Beispiel für die menschliche Dimension ist. Ein Finanzangestellter in den USA überwies 25 Millionen Dollar, nachdem er an einem Videocall teilgenommen hatte, in dem sein CEO und mehrere Kollegen anwesend zu sein schienen. Alle waren Deepfakes. Stimme, Gesicht, Mimik, alles synthetisch erzeugt, alles überzeugend genug, um einen erfahrenen Fachmann zu täuschen.
Ich beobachte das regelmäßig in meiner Beratungsarbeit: Wenn ich Unternehmen erkläre, was Voice Cloning heute kostet und wie schnell es geht, wechseln die Gesichter von skeptisch zu beunruhigt. Das Bild hinkt leicht, aber stell dir vor, du erkennst die Stimme deines Chefs und siehst sein Gesicht, und trotzdem stimmt beides nicht.
Supply-Chain-Angriff auf npm: Shai-Hulud (September 2025)
Dieser Angriff ist weniger spektakulär in seiner Darstellung, aber technisch besonders relevant: Im September 2025 wurden über 500 Pakete im npm-Ökosystem kompromittiert. npm ist das zentrale Paket-Repository für JavaScript-Entwickler. Das bedeutet: Entwickler, die legitime Open-Source-Pakete eingebunden haben, haben ungewollt Schadcode in ihre Projekte integriert. KI-gestützte Angriffe auf Software-Lieferketten sind deshalb besonders heimtückisch, weil die Angriffsfläche nicht das eigene System ist, sondern das, was man ihm vertraut.
Wie stark steigen die Angriffe wirklich?
Die Zahlen aus unabhängigen Analysen sind eindeutig, auch wenn ich sie mit Vorbehalt zitiere, weil Hochrechnungen in diesem Bereich manchmal mehr Marketing als Messung sind.
Was ich für belastbar halte: Mandiant hat in seinem M-Trends 2026 Report festgestellt, dass die Zeit zwischen der Veröffentlichung einer Sicherheitslücke und ihrer aktiven Ausnutzung durch Angreifer von über 700 Tagen (2020) auf 44 Tage (2025) gesunken ist. Und 28,3% der dokumentierten CVEs wurden innerhalb von 24 Stunden nach Bekanntwerden ausgenutzt. Das ist kein Zufall. Das ist Automatisierung.
Die Zahl der schädlichen Pakete in öffentlichen Software-Repositories ist von 55.000 (2022) auf 454.600 (2025) gestiegen, laut Sonatype. Der stärkste Sprung: 2023 nach dem Release von GPT-4, und nochmal 2025, dem Jahr, in dem Agentic Coding Mainstream wurde.
Und dann ist da noch eine Zahl, die mich am meisten beschäftigt: 14% der dokumentierten größeren Unternehmens-Breaches im Jahr 2025 waren vollständig autonom. Kein Mensch hat nach dem Startbefehl noch eingegriffen.
Warum betrifft das auch kleine Unternehmen in Österreich?
Ich höre diesen Satz zu oft: „Wir sind zu klein für gezielte Angriffe.“ Das stimmt für gezielte Angriffe. Aber KI-gestützte Angriffe sind nicht gezielt, sie sind skaliert. Ein Angriffssystem, das in Sekunden tausende VPN-Endpunkte scannt, unterscheidet nicht zwischen Weltkonzern und Salzburger EPU. Es sucht Schwachstellen, und wenn dein WordPress-Login ungeschützt ist, bist du Ziel.
Das habe ich heute Früh selbst erlebt, als ich die Sicherheitslogs von digitalhandwerk.rocks geprüft habe. Drei fehlgeschlagene Login-Versuche innerhalb von 47 Sekunden, aus Singapur, New Jersey und Bratislava. Koordiniert. Mit meinem echten Namen als erstem Versuch, was auf vorheriges OSINT-Harvesting hindeutet. Kein gezielter Angriff auf mich persönlich, sondern ein automatisiertes System, das Schwachstellen sucht, alles abräumt, was offen steht, und weiterrauscht.
Das Thema, wie du dich schützen kannst und warum gerade Firmengeheimnisse in KI-Tools nichts verloren haben, habe ich in einem eigenen Artikel zum Datenschutz beim Einsatz von KI-Tools wie ChatGPT ausführlich behandelt.
Was ist mit KI-gestützter Manipulation, die kein Hacking ist?
Das wäre die halbe Geschichte, wenn ich hier aufhöre. Denn KI wird nicht nur für technische Angriffe eingesetzt. Die kognitiven Angriffe sind mindestens genauso relevant, und oft schwerer zu erkennen.
Deepfakes zur politischen Desinformation sind inzwischen dokumentierte Realität. Das bekannteste Beispiel: Im März 2022 kursierten Videoaufnahmen, die den ukrainischen Präsidenten Wolodymyr Selenskyj dabei zeigten, seine Soldaten zur Kapitulation aufzufordern. Selenskyj selbst hat umgehend dementiert und ein eigenes Video veröffentlicht. Der Deepfake war erkennbar schlecht, aber er hat trotzdem für Verwirrung gesorgt. Wie das 2025 und 2026 mit deutlich besserer Technik aussieht, dazu habe ich in einem eigenen Text zur KI-gestützten Manipulation und Desinformation mehr geschrieben.
Und dann ist da der wirtschaftliche Betrug durch KI-Deepfakes, der durch den 25-Millionen-Dollar-Fall einen Höhepunkt hatte, aber kein Einzelfall ist. 73% der befragten Führungskräfte haben laut World Economic Forum angegeben, dass sie oder ihr direktes Umfeld bereits von KI-gestütztem Betrug betroffen waren. Das ist keine Randerscheinung mehr.
Schützen sich KI-Unternehmen selbst gut genug?
Das ist die unbequeme Frage, die ich mir bei der Recherche gestellt habe. Anthropic hat den Missbrauch von Claude Code zumindest öffentlich dokumentiert und Gegenmaßnahmen eingeleitet. Das ist mehr Transparenz, als man von vielen anderen Unternehmen erwarten würde.
Aber der Fall zeigt auch: Selbst ein Unternehmen, das Sicherheit als Kernkompetenz betrachtet und das Alignment-Thema so ernst nimmt wie kaum ein anderes, kann nicht vollständig verhindern, dass seine Technologie zweckentfremdet wird. KI-Sicherheit ist kein Produkt, das man kauft und abhakt. Sie ist ein laufender Prozess.
Was das für die KI-Sicherheitsrisiken 2026 bedeutet und was Unternehmen jetzt konkret tun können, habe ich in einem eigenen Artikel zu den explodierenden KI-Sicherheitsrisiken 2026 durchgearbeitet.
Was bleibt von dieser Bestandsaufnahme?
KI ist kein neutrales Werkzeug. Es ist ein Verstärker. Es verstärkt, was Menschen damit machen, in beide Richtungen. Wer damit produktiv arbeitet, wird produktiver. Wer damit angreift, greift effizienter an.
Ich bin kein Pessimist was KI betrifft, das wäre wohlfeil nach 500 Artikeln auf dieser Seite. Aber ehrliche Kommunikation bedeutet, die Schattenseiten genauso klar zu benennen wie die Chancen. Der Zelensky-Deepfake von 2022 war noch grob. Die Deepfakes von 2026 sind in Echtzeit, mit geklonter Stimme, in laufenden Videocalls nicht mehr erkennbar.
Die Frage ist nicht, ob KI für Angriffe eingesetzt wird. Das passiert bereits, dokumentiert, skaliert, zunehmend autonom. Die Frage ist, ob wir das wissen und unsere Schutzmaßnahmen entsprechend anpassen. Ein guter Startpunkt dafür: der EU AI Act und seine Konsequenzen für Unternehmen in Österreich, der genau an diesem Spannungsfeld ansetzt.
Die Technologie ist da. Der Missbrauch auch. Was fehlt, ist die breite Bewusstheit, dass KI nicht nur ein Produktivitätstool ist, das ich täglich öffne, sondern eine Infrastruktur, die Angreifer genauso täglich öffnen.
Quellenverzeichnis
- Anthropic: Disrupting the first reported AI-orchestrated cyber espionage campaign. https://www.anthropic.com/news/disrupting-AI-espionage
- Foresiet: The AI Inversion: 2026’s Most Dangerous Cyber Attacks. https://foresiet.com/blog/ai-enabled-cyberattacks-2026-incidents/
- The Hacker News: 2026: The Year of AI-Assisted Attacks. https://thehackernews.com/2026/05/2026-year-of-ai-assisted-attacks.html
- SQ Magazine: AI Cyber Attacks Statistics 2025. https://sqmagazine.co.uk/ai-cyber-attacks-statistics/
- arxiv.org: Toward Risk Thresholds for AI-Enabled Cyber Threats (Vibe Hacking / Anthropic Threat Intelligence). https://arxiv.org/pdf/2601.17225
- Jazz Cyber Shield: How AI Is Being Used to Hack You in 2026. https://blog.jazzcybershield.com/ai-hacking-2026-real-examples/
- DeepStrike: AI Cybersecurity Threats 2026. https://deepstrike.io/blog/ai-cybersecurity-threats-2025
