Drei Stunden bis zum Datenklau: KI-Agenten hacken offenbar russisches Unternehmen

Worum es geht

Dass Kriminelle KI nutzen, ist nicht neu. Bisher ging es meist um Hilfsdienste: Ein Sprachmodell schreibt eine Phishing-Mail, analysiert eine Sicherheitslücke oder überarbeitet Schadcode. Die Entscheidungen traf ein Mensch an der Tastatur.

Am 2. November 2026 hat das russische Sicherheitsunternehmen Positive Technologies einen Fall anderer Art beschrieben. Die Abteilung für Vorfallreaktion, PT ESC IR, hat einen erfolgreichen Angriff auf ein russisches Unternehmen untersucht. Nach Einschätzung der Fachleute wurde er von Anfang bis Ende von KI-Agenten geführt. Das sind Programme auf Basis eines Sprachmodells, die selbst den nächsten Schritt wählen, Befehle ausführen und das Ergebnis auswerten. Dieser Artikel stützt sich auf eine ausführliche Zusammenfassung auf dev.to, die wiederum auf Berichten von Gazeta.Ru, SecurityLab, Lenta.ru, Life.ru, TRT und CISOCLUB beruht. Der Autor gibt an, den Text mit KI-Unterstützung erstellt zu haben.

Der Angriff im Ablauf

Zugang verschafften sich die Angreifer laut PT ESC IR über einen Konfigurationsfehler in einem von außen erreichbaren Dienst. Die Ermittler betonen, dass ein Mensch diesen Fehler von Hand nur schwer gefunden hätte. Um welchen Dienst und welche Einstellung es ging, sagt PT nicht.

Danach ging alles sehr schnell. Auf mehreren Servern tauchten fast gleichzeitig Dutzende neue Skripte auf. Bibliotheken und Programmkomponenten wurden installiert, die Arbeitsumgebung angepasst, verschiedene Wege ausprobiert, um Werkzeuge auf die Rechner zu bringen. Was nicht klappte, wurde noch während des Angriffs umgeschrieben.

Am Ende kontrollierten die Angreifer mehr als zehn Rechner im Firmennetz, Server mit Linux und Windows. Ziel waren offenbar vertrauliche Daten aus kritischen internen Systemen. Vom ersten Eindringen bis zum Datenabfluss vergingen rund drei Stunden.

Denis Gojdenko, Leiter von PT ESC IR, sagte gegenüber Gazeta.Ru, experimentelle KI-Angriffe habe es schon gegeben, und Angreifer setzten KI seit Längerem für einzelne Phasen ein. In der eigenen Praxis sei dies aber der erste erfolgreiche Angriff auf eine Linux- und Windows-Infrastruktur, der vermutlich vollständig von KI-Agenten durchgeführt wurde. Darauf deuteten „Geschwindigkeit und Art der Aktionen“ hin.

Woran man einen Agenten erkennt

In Logdateien steht nirgends, dass hier eine KI am Werk war. Die Ermittler schließen es aus dem Muster der Aktionen, und das unterscheidet sich deutlich von dem eines menschlichen Angreifers:

Gerade der letzte Punkt erschwert die Attribution, also die Zuordnung eines Angriffs zu einer bestimmten Hackergruppe. Solche Gruppen werden normalerweise an ihren typischen Programmen erkannt.

Was nicht belegt ist

Der dev.to-Autor warnt ausdrücklich davor, die Meldung größer zu machen, als sie ist. In Schlagzeilen hieß es „KI hackt erstmals ein Unternehmen“, PT selbst formuliert vorsichtiger. Dass KI-Agenten beteiligt waren, ist ein Schluss der Ermittler aus den Spuren und kein bewiesenes Faktum. Ob tatsächlich kein Mensch am Steuer saß, ließ sich nicht abschließend klären. PT spricht auch nicht vom weltweit ersten autonomen KI-Angriff, sondern vom ersten Fall in der eigenen Praxis. Firma, Branche und das Sprachmodell hinter den Agenten werden nicht genannt.

Dazu kommt: PT verkauft genau die schnellen Abwehrwerkzeuge, die es nun empfiehlt. Der Autor hält die Schlussfolgerung trotzdem für tragfähig.

Nicht der erste Warnschuss

Der Fall reiht sich in eine Entwicklung ein:

• Im November 2025 beschrieb Anthropic eine Spionagekampagne, bei der das hauseigene Modell Claude eingesetzt wurde. Nach Anthropics Berechnung erledigte die KI 80 bis 90 Prozent der Arbeit: Aufklärung, Suche nach Schwachstellen, Angriffscode und Datenabfluss. Menschen griffen nur an entscheidenden Stellen ein und gaben größere Schritte frei.
• Im Oktober 2026 beschrieb das Cloud-Sicherheitsunternehmen Wiz laut SecurityLab Angriffe, bei denen ein Agent selbst Einstiegspunkte suchte, Zugangsdaten sammelte, zwischen Cloud-Diensten wechselte und abgestürzte Skripte umschrieb. Die Pausen zwischen den Befehlen waren zu kurz für Handarbeit.
• Vollständig autonome Angriffe sind trotzdem schwierig. Bei Tests von Standoff 365 und CyberED im September schafften 33 von 310 Agenten eine Übungs-Angriffskette komplett, also etwa jeder zehnte. Die übrigen blieben hängen, liefen in die falsche Richtung oder warteten auf Hinweise. In einem echten Netz reicht aber ein einziger Agent, der eine einzige Lücke findet.

Auch das Gesamtbild verschärft sich. Laut PT gab es im dritten Quartal 2026 im Datenverkehr russischer Firmen 65 Prozent mehr Ereignisse mit eindeutigen KI-Merkmalen als im zweiten Quartal. Der Anteil der Versuche, Schwachstellen auszunutzen, stieg von 1,1 auf 5,6 Prozent. Am häufigsten waren SQL-Injection (eingeschleuste Datenbankbefehle), Directory Traversal (Ausbrechen aus erlaubten Verzeichnissen) und das Einschleusen von Betriebssystembefehlen.

Tempo statt Intelligenz

Der Agent war nicht klüger als ein menschlicher Profi. Er hat sogar öfter danebengegriffen. Entscheidend war das Tempo. Die übliche Verteidigung ist auf menschliche Angreifer ausgelegt: Das Monitoring schlägt Alarm, die Schicht schaut nach einer halben Stunde oder erst am nächsten Morgen hin, die Analyse dauert noch einmal eine Stunde. Gegen Angreifer, die tagelang das Netz erkunden, reicht das. Gegen einen Agenten, der in drei Stunden fertig ist, nicht. Gojdenko sagt, wenn ein Angriff ohne ständige menschliche Beteiligung abläuft, reiche die übliche Automatisierung nicht mehr aus. Die Abwehr müsse verdächtige Aktivität genauso schnell erkennen und stoppen.

Der Bericht nennt Maßnahmen, die auch kleine Firmen mit einem einzigen Server umsetzen können:

• Alles prüfen, was von außen erreichbar ist: ungeschützte Admin-Oberflächen, Datenbanken oder Redis ohne Passwort, eine offene Docker-API, aktivierter Debug-Modus auf der Live-Website, ein .git-Ordner im Webverzeichnis. Die eigenen Adressen von außen scannen.
• Reaktionszeit verkürzen: Für kritische Ereignisse automatische Reaktionen einrichten, etwa Konto sperren, Rechner vom Netz nehmen oder Dienst stoppen.
• Aktivitätsspitzen erkennen: Eine einfache Regel wie „mehr als N Befehle pro Minute von einem Konto“ funktioniert laut Bericht zuverlässiger als ausgefeilte Signaturen.
• Köder auslegen: Ein gefälschter Zugangsschlüssel in einer ungenutzten Konfigurationsdatei wirkt wie eine Alarmanlage, denn Agenten lesen Konfigurationen und probieren Funde sofort aus. Fachleute nennen solche Köder Honeytokens.
• Netz segmentieren: Wer in drei Stunden mehr als zehn Rechner erreicht, stößt im Netz auf wenig Hindernisse. Je weniger Rechner sich unnötig gegenseitig sehen, desto langsamer kommt ein Angreifer voran.
• Geheimnisse aus Dateien entfernen: Schlüssel in .env-Dateien, in der Befehlshistorie oder in Skripten findet ein Agent in Sekunden. Besser ist ein Secrets-Manager mit regelmäßig gewechselten Schlüsseln.
• Logs auslagern: Protokolle auf einen separaten Rechner schicken, damit sie nicht zusammen mit dem angegriffenen Server gelöscht werden.

Der Autor gibt außerdem einige Shell-Befehle für Debian und Ubuntu an. Damit lassen sich kürzlich geänderte Skripte, frische Dateien in /tmp, neu installierte Pakete und SSH-Anmeldungen der letzten 24 Stunden auflisten. Wer dabei etwas findet, das er nicht selbst installiert hat, sollte es nicht sofort löschen, weil es für die Untersuchung gebraucht wird.

Einordnung

Der Fall ist bisher der einzige dieser Art, den PT beschrieben hat, und er ist mit Vorbehalten versehen. Wichtig ist er trotzdem, weil er ein Szenario aus Laborversuchen und Herstellerberichten erstmals als echten, erfolgreichen Vorfall dokumentiert, wenn auch ohne überprüfbare Details. Die Richtung ist klar: Sprachmodelle schreiben und korrigieren Code schneller als Menschen, Agenten arbeiten lange Ketten von Schritten ab, und falsch konfigurierte Dienste gibt es weiterhin reichlich. Zusammen verkürzt das einen Einbruch von Wochen auf Stunden.

Die gute Nachricht: Der Agent brauchte keine neuen Lücken. Er nutzte dieselben ungeschützten Oberflächen, Passwörter in Dateien und flachen Netze wie menschliche Angreifer, nur schneller. Die Abwehr beruht also auf denselben unspektakulären Maßnahmen, die seit Jahren empfohlen werden. Neu ist, dass es jetzt teurer wird, sie aufzuschieben. Unabhängig prüfen lassen sich die Angaben von PT bislang nicht.