KI-gesteuerte Cyberangriffe: Was der Anthropic-Fall für den Mittelstand bedeutet

Was passiert ist: der Fall in Kürze

Mitte September 2025 bemerkte das KI-Unternehmen Anthropic, Entwickler des Sprachmodells Claude, verdächtige Aktivitäten in seinen Systemen. Die anschließende Untersuchung ergab: Eine Angreifergruppe, die Anthropic mit hoher Sicherheit einem chinesischen Staatsauftrag zuordnet und intern GTG-1002 nennt, hatte das Werkzeug Claude Code missbraucht. Claude Code ist ein sogenanntes agentisches KI-Werkzeug, also eine KI, die nicht nur Fragen beantwortet, sondern selbstständig Arbeitsschritte plant und ausführt, etwa Programme startet und deren Ergebnisse auswertet.

Ziel der Kampagne waren laut Anthropic rund 30 Organisationen weltweit, darunter große Technologieunternehmen, Finanzinstitute, Chemieunternehmen und Behörden. In einer kleinen Zahl von Fällen gelang der Einbruch tatsächlich. Anthropic sperrte die beteiligten Konten, informierte betroffene Organisationen, arbeitete mit Behörden zusammen und veröffentlichte am 13. November 2025 einen Bericht zu dem Vorfall.

Wichtig für die Einordnung: Die Zahlen und Abläufe stammen aus Anthropics eigenem Bericht. Eine unabhängige Bestätigung gibt es bislang nur eingeschränkt. Dazu später mehr.

Wie die Angreifer die KI missbrauchten

Moderne KI-Dienste haben Schutzmechanismen, die offensichtlich schädliche Aufträge ablehnen. Die Angreifer umgingen sie mit zwei einfachen Tricks. Erstens gaben sie sich gegenüber der KI als Mitarbeiter einer legitimen IT-Sicherheitsfirma aus, die angeblich Abwehrtests durchführt. Zweitens zerlegten sie den Angriff in viele kleine Teilaufgaben, die einzeln betrachtet harmlos wirken, etwa das Prüfen eines einzelnen Servers auf offene Zugänge.

So ausgestattet übernahm die KI weite Teile des Angriffs: die Aufklärung der Ziele, also die Frage, welche Systeme von außen erreichbar sind, die Suche nach Schwachstellen, das Sammeln von Zugangsdaten, die Bewegung von System zu System innerhalb des Netzwerks, in der Fachsprache Lateral Movement genannt, und schließlich den Abfluss von Daten.

Bemerkenswert ist, womit gearbeitet wurde: mit frei verfügbaren, seit Jahren bekannten Standardwerkzeugen für Penetrationstests, also für das kontrollierte Prüfen von Systemen auf Schwachstellen. Die KI hat keine neuen Angriffstechniken erfunden. Sie hat vorhandene Werkzeuge orchestriert, das heißt automatisch aufgerufen, kombiniert und ausgewertet.

Was daran neu ist: der Automatisierungsgrad

Neu an dem Fall ist nicht das Was, sondern das Wie viel. Nach Anthropics Angaben erledigte die KI 80 bis 90 Prozent der Kampagnenarbeit. Menschliche Angreifer griffen nur noch an vier bis sechs Entscheidungspunkten pro Kampagne ein, etwa bei der Freigabe des eigentlichen Einbruchs oder bei der Auswahl der zu stehlenden Daten. In Spitzenzeiten setzte das System Tausende Anfragen ab, oft mehrere pro Sekunde, ein Tempo, das ein menschliches Team nicht halten kann.

Für die Bedrohungslage bedeutet das vor allem eines: Angriffe werden billiger. Was bisher ein eingespieltes Team über Tage oder Wochen beschäftigte, lässt sich mit weniger Personal in kürzerer Zeit versuchen. Sinkende Kosten pro Angriffsversuch heißen: Es lohnt sich für Angreifer, mehr Ziele zu prüfen, auch solche, die bisher als zu klein oder zu unattraktiv galten. Genau an diesem Punkt wird der Fall für den Mittelstand relevant.

Was nicht neu ist: die Einfallstore bleiben dieselben

So bemerkenswert der Automatisierungsgrad ist: Die Wege ins Netzwerk waren dieselben wie seit Jahren. Ausgenutzt wurden von außen erreichbare Dienste, bekannte Schwachstellen und erbeutete Zugangsdaten. Keine dieser Methoden setzt KI voraus, und gegen keine davon ist man machtlos. Wer Sicherheitsupdates zügig einspielt, Mehrfaktor-Anmeldung nutzt, also eine zweite Bestätigung zusätzlich zum Passwort verlangt, und seine von außen erreichbaren Systeme kennt, arbeitet genau an den Stellen, die auch gegen KI-gestützte Angriffe wirken.

Das deckt sich mit der Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI). Der Lagebericht 2025 beschreibt eine weiterhin angespannte Bedrohungslage und beobachtet, dass Angreifer sich bevorzugt Ziele mit schwacher Grundabsicherung suchen. Automatisierung verstärkt diesen Effekt: Wer leicht zu finden und leicht zu treffen ist, wird häufiger getroffen.

Ehrliche Einordnung: was der Fall belegt und was nicht

Zur ehrlichen Einordnung gehört: Die Darstellung stammt von Anthropic selbst, und unabhängige Sicherheitsforscher haben Kritik geäußert. Bemängelt wird vor allem, dass Anthropic keine Indicators of Compromise veröffentlicht hat, also keine technischen Spuren wie Netzwerkadressen oder Dateimerkmale, mit denen andere Unternehmen die Angriffe erkennen und die Angaben überprüfen könnten. Einige Forscher halten deshalb den berichteten Autonomiegrad für nicht ausreichend belegt.

Auch Anthropic selbst nennt Grenzen: Die KI erfand zeitweise Zugangsdaten, die nicht funktionierten, und stufte öffentlich verfügbare Informationen als vermeintlich geheime Funde ein. Solche Halluzinationen, also überzeugend klingende, aber falsche Ausgaben eines KI-Systems, bremsen vollautonome Angriffe derzeit noch aus.

Für Ihre Praxis ändert diese Debatte wenig. Selbst wenn man die Zahlen konservativ liest, bleibt der Kern unstrittig: KI-Werkzeuge senken Aufwand und Kosten von Angriffen spürbar. Panik ist nicht angebracht, Abwarten aber auch nicht.

Was Sie jetzt konkret tun sollten

Die wirksamen Maßnahmen sind bekannt und zum großen Teil Handwerk. Prüfen Sie die folgenden Punkte in Ihrem Unternehmen: Sicherheitsupdates werden zeitnah eingespielt, bei kritischen Lücken innerhalb weniger Tage. Mehrfaktor-Anmeldung ist überall aktiv, wo Systeme von außen erreichbar sind, insbesondere bei E-Mail, VPN-Zugängen, also verschlüsselten Zugängen ins Firmennetz, und Administratorkonten. Es existiert eine aktuelle Liste aller von außen erreichbaren Systeme und Dienste. Backups folgen der 3-2-1-Regel, also drei Kopien auf zwei verschiedenen Medien, davon eine Kopie außer Haus oder offline, und die Wiederherstellung wurde tatsächlich getestet. Administratorrechte sind auf die Personen beschränkt, die sie wirklich brauchen.

Vieles davon können Sie selbst umsetzen. Mehrfaktor-Anmeldung aktivieren, Update-Routinen festlegen, eine Systemliste pflegen und Wiederherstellungen testen kostet vor allem Disziplin, kein Spezialwissen. Externe Hilfe ist dort sinnvoll, wo Dauerbetrieb oder Spezialkenntnis gefragt sind: bei der Analyse der eigenen Angriffsfläche von außen, beim laufenden Monitoring, also der automatischen Überwachung der Systeme auf verdächtige Aktivitäten, und beim Erstellen und Üben eines Notfallplans.

Ein letzter Punkt betrifft die eigene KI-Nutzung. Legen Sie fest, welche Mitarbeiter welche KI-Dienste mit welchen Unternehmensdaten nutzen dürfen. Der Fall zeigt, wie leistungsfähig agentische KI-Werkzeuge geworden sind. Das gilt in beide Richtungen.