Von der KI-Hilfe zum Angriffssystem: Was neue Threat Reports über Cyberangriffe zeigen

Die gemeinsame Kernaussage lautet: KI hat nicht völlig neue Einbruchsarten geschaffen. Sie macht etablierte Angriffstechniken jedoch wiederholbar, schneller und leichter skalierbar. Modelle können Angreifern helfen, Operationen zu planen, Inhalte und Code zu erzeugen, Ergebnisse zu testen, sich anzupassen und Abläufe zu koordinieren – mit weniger Spezialwissen und weniger manueller Arbeit. Am besten belegt ist damit die Beschleunigung vertrauter Angriffe, nicht der Einsatz vollständig selbstständig agierender Systeme ohne relevante menschliche Steuerung. 107

Vom Assistenten zum Teil des Angriffsbetriebs

Googles Threat Tracker beschreibt einen Übergang von einzelnen Eingaben an ein Modell zu integrierten, agentischen Workflows. Dazu zählen automatisiertes Scannen, das Abgreifen von Zugangsdaten, Fehlersuche und die Rotation technischer Infrastruktur. Dadurch kann aus einer Aufgabe, für die früher mehrere Werkzeuge und Personen nötig waren, eine schnell iterierende Angriffskette werden. 11

Microsoft betont zugleich eine wichtige Einschränkung: Der Großteil der beobachteten missbräuchlichen KI-Nutzung konzentriert sich weiterhin auf die Erstellung von Texten, Code oder Medien. KI wird also bislang vor allem als Produktivitäts- und Automatisierungswerkzeug eingesetzt, nicht als autonomer Akteur für eine vollständige Kompromittierung von Anfang bis Ende. 10

Wofür Angreifer KI einsetzen

In den Berichten genannte oder beobachtete Anwendungen reichen von Zielrecherche und Profilbildung über mehrsprachige Spear-Phishing-Nachrichten bis zur Entwicklung und Fehlerbehebung von Malware und Skripten. Hinzu kommen Hilfen beim Aufbau von Infrastruktur, bei der Zusammenfassung gestohlener Daten und bei Social-Engineering-Material. 10

Besonders relevant ist der Kreislauf aus Erzeugen, Testen, Überarbeiten und Ausrollen. Laut den von Anthropic geschilderten Fällen können Angreifer Code anpassen oder neu erstellen lassen, wenn Sicherheitssoftware ihn erkennt. Kompromittierte Zugangsdaten oder API-Schlüssel können dabei als günstiger Zugang zu Rechenleistung dienen. Das Risiko liegt daher weniger in einer einzelnen schädlichen Anfrage als in der Geschwindigkeit dieses Feedback-Zyklus. 87

Staatlich verknüpfte Gruppen und kriminelle Akteure

Anthropic erklärte, Aktivitäten mit Verbindungen zu russischen, chinesischen und iranischen Akteuren sowie zu finanziell motivierten Gruppen unterbrochen zu haben. Die Fallstudien umfassen Cyberoperationen, Einflusskampagnen, Überwachung, Betrug, möglichen Missbrauch im biologischen Bereich, Arbeiten zu konventionellen Waffen und Modelldestillation. Reuters berichtete unter anderem über eine Russland zugeschriebene Operation gegen ukrainische Amtsträger sowie über Anthropic-Vorwürfe zum Claude-Missbrauch durch chinesische KI-Unternehmen. Solche Zuordnungen sind Aussagen des Unternehmens und ausgewählte Fallstudien – keine vollständige Messung aller Bedrohungsaktivitäten. 724

Ein greifbares Beispiel sind Kampagnen gegen Microsoft-365-Konten: Microsoft ordnete Passkey- und Single-Sign-on-Themen als Köder Akteuren zu, die mit ShinyHunters, Helix und verwandten Erpressergruppen verbunden sein sollen. Das Muster: zunächst Aufklärung, dann die Imitation eines IT-Supports, um Zugang zu erlangen und Cloud-Daten zu stehlen. Das steht für klassische Zugangsdaten-Diebstähle, die durch bessere Zielansprache und massenhaft variierbare Köder effizienter werden – nicht für einen Beweis, dass KI den gesamten Einbruch eigenständig ausgeführt hätte. 3

Phishing und Identitätsvortäuschung im großen Maßstab

KI verbessert die Ökonomie von Täuschungen: Glaubwürdig wirkende Support-Seiten, Phishing-Mails, Chat-Interaktionen, mehrsprachige Varianten und potenziell auch nachgeahmte Stimmen oder Bildmaterial können günstig erstellt und laufend verändert werden. Für Verteidiger bedeutet das mehr Nachrichten, stärkere Personalisierung und größere Variation. Filter, die auf bekannte Vorlagen oder auffällige Sprachfehler setzen, verlieren dadurch an Wirkung. Microsoft beobachtete ausdrücklich KI-Einsatz bei Phishing-Ködern und Übersetzungen. 10

Modelldestillation: Wenn das KI-Modell selbst zum Angriffsziel wird

Parallel dazu rückt die systematische Extraktion von Modellfähigkeiten in den Fokus. Google bezeichnete das massenhafte Abfragen von Gemini zur Gewinnung proprietärer Fähigkeiten als „Distillation“ beziehungsweise Model-Extraction-Angriff. Es geht dabei um Diebstahl geistigen Eigentums und um die Sicherheit von Modellfähigkeiten – nicht nur um herkömmliche Cyberkriminalität. 11

Öffentliche Berichte beschreiben Kampagnen mit sehr hohen Prompt-Volumina. Die belastbare Einordnung lautet: Angreifer könnten versuchen, über API-Abfragen nützliches Verhalten leistungsfähiger Modelle nachzubilden. Anbieter versuchen im Gegenzug, missbräuchliche Abfragemuster zu erkennen und Fähigkeiten, Sicherheitsvorkehrungen sowie internes Modellwissen zu schützen. 118

Warum sich die Kostenrechnung für Verteidiger verschiebt

KI senkt die Grenzkosten für Entwürfe, Lokalisierung, Recherche, Programmierhilfe und iterative Täuschung. Dadurch erhalten auch ressourcenärmere Kriminelle oder Hacktivisten Zugriff auf Teile der Kapazitäten, die früher größeren Teams vorbehalten waren. Sicherheitsverantwortliche müssen häufiger unterscheiden, ob individualisierte und ständig veränderte Kommunikation legitim oder bösartig ist. Die Berichte beschreiben damit eine Asymmetrie bei Tempo und Skalierung – keine Garantie, dass jeder KI-gestützte Angriff erfolgreich ist. 610

Die Responsible-AI-Frage reicht über Cybercrime hinaus

Die Fragen zu Zugriff, Fähigkeiten und Überwachung betreffen nicht nur Phishing und Malware. Anthropics Bericht behandelt ausdrücklich auch versuchten Missbrauch im Zusammenhang mit biologischer Forschung und der Entwicklung konventioneller Waffen. Deshalb geht es in der Responsible-AI-Debatte um Missbrauchserkennung, Konto- und API-Kontrollen, Ratenbegrenzungen, die Erkennung von Modellextraktion, den Austausch von Informationen über Vorfälle und Schutzvorkehrungen für besonders folgenschwere Anwendungsfelder. 162

Der wichtigste Vorbehalt bleibt: Die Publikationen dokumentieren erkannte und unterbundene Fälle. Sie zeigen somit Fähigkeiten und entstehende Muster, beweisen aber nicht, dass autonome Angriffe bereits die dominante Form der Cyberkriminalität sind. 7