Wie chinesische Hacker DeepSeek nutzen, um Cyberangriffe zu skalieren

Chinesische, staatsnahe Cybergruppen setzen DeepSeek und andere Open-Source-KI-Modelle zunehmend ein, um Angriffe schneller und in größerem Umfang durchzuführen. Nach Angaben der taiwanischen Sicherheitsfirma TeamT5 hat sich ihr Angriffsvolumen seit der Einbindung solcher Modelle mehr als verdoppelt. Die KI übernimmt dabei vor allem Routineaufgaben und unterstützt die Entwicklung komplexerer Schadsoftware. 13

Das bedeutet allerdings nicht, dass die Modelle erfahrene Hacker vollständig ersetzen. Vielmehr automatisieren sie einzelne Schritte der Angriffskette – etwa die Suche nach verwundbaren Systemen, die Recherche zu Sicherheitslücken oder wiederholte Exploit-Versuche. Die menschlichen Betreiber legen weiterhin Ziele fest und geben die Richtung vor. 115

Warum DeepSeek für Angreifer interessant ist

Forschende nennen vor allem vier Gründe für die Popularität des Modells:

• Leistungsfähigkeit: DeepSeek gilt als ausreichend stark für Programmier- und Schlussfolgerungsaufgaben in Cyberoperationen.
• Anpassbarkeit: Offenere beziehungsweise leichter zugängliche Modelle lassen sich an eigene Werkzeuge und Abläufe anbinden.
• Niedrige Kosten: Wer repetitive Aufgaben massenhaft ausführen will, profitiert von geringeren Betriebskosten. 16
• Weniger Sicherheitsbeschränkungen: TeamT5 und Palo Alto Networks’ Unit 42 beschrieben DeepSeek als vergleichsweise wenig restriktiv bei Anfragen zur offensiven Cybersicherheit. 315

Für Angreifer muss ein Modell nicht erst eine völlig neue Sicherheitslücke entdecken, um nützlich zu sein. Es kann öffentlich erreichbare Systeme durchsuchen, vorhandenen Exploit-Code anpassen, technische Ausgaben interpretieren und den nächsten routinemäßigen Schritt vorschlagen.

Vom Aufspüren bis zur Seitwärtsbewegung

Die vorliegenden Berichte beschreiben den Einsatz von DeepSeek, ChatGPT und Claude Code für Aufklärung, die Erstellung oder Anpassung von Exploits, Automatisierung sowie die Entwicklung schädlicher Software. Auch die Seitwärtsbewegung innerhalb bereits kompromittierter Netzwerke wird als Einsatzgebiet genannt. Betroffen waren ausländische Unternehmen und Institutionen. 3

Die Berichterstattung ordnet diese Aktivitäten überwiegend chinesischen, staatsnahen oder China zugeordneten Akteuren insgesamt zu. Sie benennt nicht zuverlässig für jeden einzelnen KI-Einsatz eine bestimmte Advanced Persistent Threat (APT), also eine konkret identifizierte und längerfristig operierende Hackergruppe. Daraus sollte deshalb nicht geschlossen werden, dass alle chinesischen Cyberakteure dieselben Modelle oder Arbeitsabläufe verwenden. 13

Warum westliche KI-Dienste an Grenzen stoßen

Auch kommerzielle Dienste wie ChatGPT und Claude Code können einzelne Teile eines schädlichen Arbeitsablaufs unterstützen. Ihre Schutzmechanismen verweigern jedoch häufig ausdrücklich offensive Anweisungen. Im von Unit 42 dokumentierten Fall testete der Betreiber westliche Werkzeuge, deren Sicherheitsvorkehrungen die autonome Angriffsaufgabe blockierten. Anschließend wählte er DeepSeek als zentrales Schlussfolgerungsmodell. 1415

Der entscheidende Unterschied liegt dabei nicht unbedingt darin, dass ein Modell grundsätzlich leistungsfähiger wäre als ein anderes. Ausschlaggebend ist vielmehr die Art der Einbindung: DeepSeek wurde über ein Open-Source-Framework in eine vom Angreifer kontrollierte Werkzeugkette integriert. Dort galten nicht dieselben Einschränkungen auf Anbieterseite. 15

Der Hermes-Agent-Fall: mehr als 460 Systeme im Visier

Palo Alto Networks’ Unit 42 dokumentierte unabhängig davon die Aktivitäten eines chinesischsprachigen Akteurs, der unter den Aliasen „knaithe“ und „KnYuan“ auftrat. Der Betreiber konfigurierte DeepSeek als Schlussfolgerungsmodul hinter Hermes Agent – einem Open-Source-Agenten mit Terminalzugriff.

Die Kombination konnte nach Schwachstellen suchen, öffentlich verfügbaren Exploit-Code abrufen und Angriffsversuche mit nur begrenzter menschlicher Aufsicht starten. 155

Im Rahmen der Kampagne wurden mehr als 460 internetseitig erreichbare Systeme angegriffen. Berichte über die umfassendere Operation sprechen von mindestens drei Organisationen, die durch die Ausnutzung einer Schwachstelle in Citrix NetScaler kompromittiert wurden. Die Zahl 460 steht jedoch für Ziele beziehungsweise Angriffsversuche – nicht für 460 erfolgreiche Einbrüche. Außerdem umfasste die Operation sowohl autonome als auch herkömmliche Aktivitäten. 4

Diese Unterscheidung ist zentral: Der Fall zeigt nicht, dass DeepSeek allein Hunderte Systeme geknackt hat. Er zeigt, wie ein Betreiber die repetitive Mitte eines Angriffs automatisieren kann – von der Suche nach exponierten Zielen über den Abgleich mit bekannten Schwachstellen bis zum Abruf von Exploit-Material und dem nächsten Versuch.

Was das für die Verteidigung bedeutet

Das größte Risiko ist die Skalierung. Wird ein kostengünstiges Modell mit einem Agenten-Framework und Terminalzugriff verbunden, lassen sich Aufgaben, die früher viel manuelle Arbeit erforderten, über zahlreiche öffentlich erreichbare Systeme hinweg wiederholen. KI senkt damit die operative Schwelle für umfangreiche Aufklärung und automatisierte Exploit-Versuche. 1615

Der Fall macht aber auch die Grenzen der Technologie deutlich. Erfolgreiche Kompromittierungen hingen weiterhin von exponierten Diensten, bekannten Schwachstellen und nutzbarem öffentlichem Exploit-Code ab. Die KI erhöhte vor allem Geschwindigkeit und Anzahl der Versuche – sie war nicht allein die Ursache jedes erfolgreichen Eindringens. 515

Für Betreiber bleibt daher die wichtigste Maßnahme, die Angriffsfläche zu verkleinern: internetseitig erreichbare Produkte zeitnah patchen, unnötige Dienste aus dem öffentlichen Netz nehmen und ungewöhnliche Muster automatisierter Aufklärung oder Exploit-Versuche überwachen. Die gemeinsame Lehre aus den Untersuchungen von TeamT5 und Unit 42 lautet: KI-gestützte Angriffe werden wirtschaftlicher und leichter wiederholbar, auch wenn die zugrunde liegenden Angriffstechniken oft längst bekannt sind.