KI wird bereits in Cyberoperationen eingesetzt
Staatlich verbundene und kriminelle Akteure nutzen KI mit allgemeinem Verwendungszweck für Aufklärung, Übersetzung, Skripterstellung, Phishing-Inhalte, Schwachstellenanalyse und mit Malware verbundene Arbeit. OpenAI und Microsoft berichteten 2024 von einer solchen Nutzung durch Gruppen mit Verbindungen zu China, Russland, Iran und Nordkorea, erklärten aber zugleich, sie hätten keinen bedeutenden Angriff identifiziert, der nur wegen ihrer Modelle möglich gewesen wäre (gemeinsame Offenlegung von OpenAI und Microsoft).
Im November 2025 berichtete Anthropic, dass eine chinesische, staatlich unterstützte Gruppe Claude Code in einer Cyberspionagekampagne einsetzte, und schrieb den Großteil der taktischen Arbeit dem Modell zu. Anthropic bezeichnete dies als die erste dokumentierte großangelegte Operation mit minimalem menschlichem Eingriff. Diese Darstellung ist ein wichtiger Selbstbericht des Unternehmens, kein unabhängig rekonstruierter öffentlicher Vorfall: Sensible Details und Telemetriedaten stehen externen Forschern nicht zur Verfügung, und Schätzungen von „80–90 Prozent” Automatisierung hängen davon ab, wie Aufgaben gezählt werden (Offenlegung von Anthropic).
Der Internationale KI-Sicherheitsbericht 2026 kommt zu einer kalibrierten Schlussfolgerung: Die Cyberfähigkeit verbessert sich, und Angreifer setzen zunehmend KI ein, doch kein vollständig automatisierter End-to-End-Angriff wurde öffentlich gemeldet, und die Wirkung auf die allgemeine Angriffshäufigkeit bleibt unklar (International AI Safety Report 2026).
Wo KI den Arbeitsablauf verändern kann
Eine Cyberoperation ist eine Kette, kein einzelner Prompt. Angreifer identifizieren Ziele, sammeln Informationen, verschaffen sich Zugang, bewegen sich durch Netzwerke, eskalieren Berechtigungen, umgehen Entdeckung und streben Diebstahl oder Störung an. KI kann Teile dieser Kette beschleunigen, indem sie große Codebasen durchsucht, Varianten erzeugt, technisches Material übersetzt oder sich wiederholende Handlungen koordiniert.
Die belastbarste Evidenz zur Fähigkeit betrifft die Entdeckung von Schwachstellen. KI-Systeme haben reale Softwarefehler gefunden, und Teams bei DARPAs AI Cyber Challenge nutzten KI zusammen mit konventionellen Werkzeugen, um quelloffene Software zu analysieren und zu patchen (DARPA AIxCC). Entdeckung ist doppelt nutzbar (Dual Use): Ein Verteidiger kann einen Fehler patchen, während ein Angreifer ihn ausnutzen kann. Ob ein Ergebnis die Sicherheit verbessert, hängt davon ab, wer es zuerst findet, wie die Offenlegung gehandhabt wird, und wie schnell betroffene Systeme aktualisiert werden können.
Agenten können zudem Anforderungen an Fähigkeit und Zeit senken, ohne neuartige Expertise zu schaffen. Ein kompetenter Operator kann Routine-Teilaufgaben delegieren und in größerem Maßstab arbeiten. Ein Neuling erhält womöglich plausibel aussehenden Code, dem aber das Urteilsvermögen fehlt, ihn zu debuggen oder zu verbergen. Prüfsammlungen nutzen oft saubere Capture-the-Flag-Übungen oder bekannte Schwachstellen, sodass hohe Leistung sich nicht automatisch auf ein verteidigtes Unternehmen überträgt.
Warum Infrastruktur besondere Aufmerksamkeit verdient
Strom, Wasser, Kommunikation, Transport, Gesundheitssysteme und finanzieller Zahlungsverkehr beruhen auf vernetzter digitaler und betrieblicher Technologie. Manche Geräte haben lange Austauschzyklen, begrenzte Protokollierung, empfindliche Verfügbarkeitsanforderungen oder veraltete Protokolle. Betreiber können womöglich keinen gewöhnlichen Patch installieren, ohne Ausfallzeiten und Sicherheitswirkungen vorab zu testen.
Dennoch ist „kritische Infrastruktur” nicht gleichmäßig exponiert. Manche Systeme sind segmentiert, nutzen manuelle Steuerungen oder unterliegen strenger sektorspezifischer Regulierung. Viele Vorfälle beginnen mit vertrauten Schwachstellen — gestohlenen Zugangsdaten, ungepatchten, dem Internet zugewandten Systemen, Anbieterzugang, mangelhaften Backups oder Social Engineering — statt mit einem exotischen, von KI entworfenen Exploit. KI kann diese Wege verstärken, doch grundlegende Sicherheit bleibt hochrelevant.
Auch die Folgen variieren. Die Kompromittierung von Geschäfts-E-Mail unterscheidet sich von der Kontrolle physischer Anlagen. Behauptungen über einen katastrophalen Infrastrukturangriff sollten den Weg vom digitalen Zugang zum physischen Schaden erklären, die beteiligten Sicherheitsverriegelungen, sowie die Fähigkeit des Angreifers, den Zugang zu halten. Dieses Detail auf defensiver Ebene auszulassen, kann aus einem plausiblen Szenario eine unbelegte Schlagzeile machen.
Das Kräfteverhältnis zwischen Angriff und Verteidigung ist ungeklärt
Es ist verlockend zu sagen, Angreifer müssten nur einmal Erfolg haben, während Verteidiger jedes Mal Erfolg haben müssten. Dieser Slogan erfasst eine Asymmetrie, übersieht aber andere. Verteidiger kontrollieren Architektur, Identität, Patching, Überwachung, Backups und Wiederherstellung. Defensive KI kann weit mehr Code und Telemetriedaten inspizieren als menschliche Teams, Warnungen priorisieren, Fehler vor der Veröffentlichung finden und Behebung automatisieren. Angreifer müssen oft verdeckt bleiben, Zugang bewahren und sich an eine Umgebung anpassen, die sie nicht kontrollieren.
Der Internationale KI-Sicherheitsbericht sagt ausdrücklich, es sei unklar, ob KI mit allgemeinem Verwendungszweck stärker Angreifern oder Verteidigern nützen werde. Diese Unsicherheit ist die zutreffende Prognose. Ergebnisse können sich nach Sektor und Zeitpunkt unterscheiden: Der Angriff mag zuerst von einer neuen Fähigkeit profitieren, gefolgt von der Verteidigung, sobald sich Werkzeuge und Patches verbreiten. Quelloffene Komponenten können sowohl Schwachstellen als auch Korrekturen schnell verbreiten.
KI-Systeme schaffen zudem neue Angriffsflächen. Prompt Injection kann bewirken, dass ein Agent bösartigen Anweisungen folgt, die in E-Mails, Dokumenten oder Webseiten eingebettet sind. Übermäßige Werkzeugberechtigungen können aus einem Modellfehler einen Datenverlust machen. Lieferketten von Modellen, Plugins, Speicherbestände und Zugangsdaten erfordern dieselben Prinzipien minimaler Rechte und Isolation wie andere Software — zusätzlich zu neuen Tests für modellspezifisches Verhalten.
Wie gute Evidenz aussieht
Cyber-Behauptungen sind schwer zuzuordnen. Ein Unternehmen für Bedrohungsanalyse oder ein KI-Entwickler sieht nur die eigene Telemetrie und hat womöglich kommerzielle Anreize. Opfer legen Vorfälle womöglich nicht offen. Angreifer können mehrere Modelle und konventionelle Werkzeuge nutzen, was die Isolierung des Grenzeffekts von KI erschwert.
Prüfsammlungen können Fähigkeit durch Kontamination oder unrealistisches Scaffolding überschätzen und durch schlechte Elizitierung unterschätzen. Berichte sollten Modellversion, Werkzeuge des Agenten, Neuartigkeit der Aufgabe, menschliche Unterstützung, Erfolgskriterien, die Rate wiederholter Versuche, und ob das Ziel simuliert oder real war, offenlegen. Unabhängige Reproduktion und verantwortungsvolle Offenlegung erhöhen die Verlässlichkeit.
Am wichtigsten ist, beobachtete Nutzung von kausaler Wirkung zu trennen. „Ein Angreifer nutzte KI” beweist nicht, dass KI die Sicherheitsverletzung ermöglicht, den Schaden erhöht oder das Ergebnis der Kampagne verändert hat. Zugleich beweist das Fehlen öffentlicher Zuordnung nicht deren Abwesenheit. Konfidenzangaben sind ehrlicher als kategorische Behauptungen.
Verteidigungsmaßnahmen, die über Fähigkeitsszenarien hinweg funktionieren
Infrastrukturbetreiber sollten Anlagen und Abhängigkeiten inventarisieren, betriebliche Technologie segmentieren, phishing-resistente Multifaktor-Authentifizierung verlangen, dauerhafte Berechtigungen minimieren und Fernzugriff sowie Anbieterzugang überwachen. Getestete Offline-Backups und manuelle Wiederherstellungsverfahren begrenzen die Wirkung sowohl KI-gestützter Angriffe als auch gewöhnlicher Ransomware. Beschaffung sollte sichere Entwicklung und zeitnahen Umgang mit Schwachstellen verlangen.
KI-Agenten brauchen eingeschränkte Berechtigungen, isolierte Ausführung, Protokollierung und menschliche Autorisierung für irreversible Handlungen. Eingaben aus nicht vertrauenswürdigen Quellen sollten als feindlich behandelt werden. Organisationen sollten Prompt Injection, das Durchsickern von Zugangsdaten und den Missbrauch von Werkzeugen per Red-Teaming testen, bevor sie Agenten mit Produktivsystemen verbinden.
Regierungen können sektoralen Informationsaustausch, Mindeststandards für Cybersicherheit, koordinierte Offenlegung, Weiterbildung der Belegschaft und Übungen unterstützen, die physische Wiederherstellung einschließen. Modellentwickler können Missbrauch überwachen, Beweise sichern, Indikatoren verantwortungsvoll teilen und qualifizierten externen Prüfern Zugang zu Tests der Cyberfähigkeit gewähren.
Die kalibrierte Schlussfolgerung
KI hat den Sprung von hypothetischer Cyber-Relevanz zu dokumentierter Nutzung vollzogen. Sie kann bedeutsame Teile von Operationen automatisieren und die Entdeckung von Schwachstellen verbessern. Die stärkste öffentliche Evidenz zeigt noch nicht vollständig autonome End-to-End-Cyberkampagnen, und sie belegt auch nicht, dass der Angriff die Verteidigung auf absehbare Zeit überholen wird.
Das Risiko ist ernst, weil Fähigkeit skalieren kann, Infrastruktur dauerhafte Schwachstellen enthält, und Agenten schneller handeln können als menschliche Überprüfung. Die Chance ist ebenso konkret: Dieselben Systeme können Schwachstellen finden und beheben. Politik sollte Ergebnisse messen, Systeme härten und defensiven Zugang bewahren, statt ein umstrittenes Kräfteverhältnis zwischen Angriff und Verteidigung als feststehendes Gesetz zu behandeln.