Anthropic, das Unternehmen hinter Claude, hat letzte Woche seinen Threat Intelligence Report für September 2026 veröffentlicht, und der Bericht liest sich stellenweise wie ein Spionageroman. Nur dass alles echt ist: staatliche Hackergruppen aus Russland und China, kriminelle Kollektive die in Stunden ganze Unternehmen ausräumen, und Wahlmanipulation mit KI-gesteuerten Bot-Armeen. Das Besondere an diesem Bericht ist nicht, dass KI für Angriffe missbraucht wird (das überrascht niemanden mehr), sondern wie weit die Automatisierung inzwischen geht.
Russische Spionage mit KI-Agenten
Die am besten dokumentierte Kampagne im Bericht betrifft Midnight Blizzard, eine bekannte russische Hackergruppe die dem SVR zugeordnet wird. Zwischen Dezember 2025 und August 2026 haben sie über 20 Organisationen angegriffen: ukrainische und europäische Regierungen, Rüstungsfirmen, Drohnenhersteller. Die Zahlen sind beeindruckend; über 300000 nationale Identitätsdatensätze gestohlen, über 500000 Handelsregistereinträge abgezogen, bei mindestens 8 Organisationen haben sie sich über gestohlene Tokens Zugang verschafft.
Was den Bericht wirklich interessant macht: die Angreifer haben KI nicht nur für Phishing-Mails genutzt (das wäre langweilig), sondern für die gesamte Operationsführung. KI-Agenten haben automatisch Aufklärung betrieben, Phishing Infrastruktur aufgebaut, Malware überwacht und modifiziert, und Datenexfiltration orchestriert. Wenn Sicherheitsprodukte die Malware erkannt haben, hat der KI-Agent sie autonom neu deployt. Das ist eine neue Qualität: nicht ein Mensch der ChatGPT nach einem Exploit-Code fragt, sondern autonome Systeme die ganze Angriffsketten selbständig durchführen.
Die eingesetzte Malware liest sich wie ein Katalog: PowerChrome, WUEngine, Shadow C2, MiniPlasma, CloudSyncSvc für Windows; GiftDrop für Android; DarkSword für iOS. Die Techniken umfassen Device-Code-Phishing, DNS-Hijacking, WhatsApp Account-Übernahme und sogar das Anzapfen von Kamerastreams.
ShinyHunters: Millionen APKs in Stunden
Die zweite grosse Kampagne kommt von Affiliates des ShinyHunters Kollektivs, einer kriminellen Gruppe die vor allem finanziell motiviert ist. Die Geschwindigkeit ist das Bemerkenswerte hier: komplette Einbrüche in Stunden, nicht Wochen. 1,8 Millionen Android APKs wurden nach eingebetteten Secrets durchsucht (z.B. API Schlüssel die Entwickler versehentlich im Code gelassen haben), über ein Terabyte Daten von einem Technologieanbieter gestohlen, und in nur 34 Stunden wurden über 2100 Azure AD Token-Sets erbeutet, was zum Zugriff auf rund 200 nachgelagerte Kundenorganisationen führte.
Die Tools sind teilweise öffentlich verfügbar: TruffleHog für die Secret-Suche, die Soraki Plattform für den Vertrieb, Telegram Bots für die Distribution. Die Monetarisierung läuft über Weiterverkauf, Erpressung und (etwas ironisch) Bug-Bounty-Programme, bei denen die Angreifer Schwachstellen melden die sie selbst ausgenutzt haben, um dann auch noch die Belohnung einzustreichen.
Chinesische Studenten finden Zero-Days
Der vielleicht verstörendste Fall im Bericht betrifft eine Gruppe von Informatikstudenten an einer chinesischen Universität in Changsha. Einer hatte ein Praktikum bei Sangfor (einem chinesischen Sicherheitsunternehmen), ein anderer war im Bewerbungsprozess bei QiAnXin. Zusammen haben sie rund 50 Organisationen angegriffen, quer durch alle Branchen: Bildung, Einzelhandel, Energie, Tech, Gesundheitswesen, Finanz, Fertigung, Behörden.
Das wirklich Beunruhigende: mit Hilfe von KI-Agent-Schwärmen (mehrere KI-Agenten die parallel an verschiedenen Aufgaben arbeiten, mit geteiltem Kampagnenspeicher) haben sie in einem einzigen Monat über ein Dutzend mögliche Zero-Day Schwachstellen in grossen Endpoint-Security-Produkten gefunden. Studenten. Keine staatliche Hackereinheit mit Millionenbudget, sondern Studenten mit Zugang zu KI-Tools. Anthropic schreibt dazu sinngemäss: „Anspruchsvolle Angriffe erfordern keine anspruchsvollen Angreifer mehr.“
Das ist der Punkt an dem man kurz innehalten sollte, weil er die gesamte Sicherheitsbranche betrifft; wenn Studenten mit KI-Unterstützung Zero-Days in Sicherheitsprodukten finden können, dann stimmt etwas mit den bisherigen Annahmen über die Bedrohungslage nicht mehr..
Einflussoperationen
Der Bericht dokumentiert vier grosse Einflussoperationen, und die Bandbreite ist beeindruckend.
In der Zentralafrikanischen Republik betreibt Russland über Radio Lengo Songo (98.9 FM) einen täglichen Propagandasender, koordiniert mit der Wagner-Gruppe und russischen Staatsmedien wie RT und Sputnik. KI wurde nicht nur für die Inhalte genutzt sondern auch für die HR-Prozesse des Senders: KI-generierte Arbeitsverträge die politische Loyalität kodieren, Bewertungsrubiken, Kündigungsprozesse. Das ist KI-gestützte Einflussnahme bis in die Verwaltungsebene.
Ein französisches Unternehmen namens LKM betrieb ca. 70 gefälschte Nachrichtenwebsites mit über 70 verlinkten Twitter-Accounts und mehr als 250 Kommentarkonten. Über 8900 Artikel in rund 20 Sprachen, verteilt auf 6 Kontinente, mit Schwerpunkt USA, Brasilien, Frankreich und Kongo. Besonders perfide: die gleiche Geschichte wurde in entgegengesetzte politische Richtungen umgeschrieben, je nach Zielmarkt.
Und in Malaysia hat ein türkisches Unternehmen (BBS Bilisim Teknolojileri aus Istanbul) ein „militärisches, KI-gesteuertes Echtzeit-Plattform für politische Operationen“ aufgebaut: rund 1000 Fake-Twitter-Accounts, eine Million künstliche Views für den amtierenden Premierminister, Wähler-Targeting nach Rasse, Religion und Loyalität gegenüber dem Königshaus, aufgeschlüsselt nach allen 222 Parlamentswahlkreisen.
Russische Staatsmedien (Sputnik Moldova, RIA Novosti, Sputnik en Español, RT) nutzen KI zudem für die Produkton von Inhalten in einem Umfang, der dem Output ganzer Redaktionsteams entspricht.
KI als Angriffsziel
Ein Aspekt der oft untergeht: KI-Infrastruktur wird selbst zum Ziel. Der Bericht dokumentiert einen russischen Kriminellen der in 4 Tagen 30 KI-Unternehmen angegriffen hat, nachdem er eine Evaluierungssandbox eines KI-Anbieters kompromittiert und Produktions-API-Schlüssel gestohlen hatte. Sein Ziel war unter anderem der Zugang zu einem noch nicht veröffentlichten Claude-Modell (was nicht gelungen ist).
Ein anderer Akteur mit dem Alias „kl1zy“ hat einen betrügerischen KI-Reselling-Dienst betrieben: er leitete den Traffic an ein anderes KI-Modell weiter und installierte gleichzeitig Credential Harvester bei den Kunden. Wer KI-Zugang über inoffizielle Kanäle kauft, bekommt also möglicherweise nicht nur ein schlechteres Modell, sondern wird auch noch ausspioniert.
Trends
Anthropic identifiziert fünf Haupttrends, und der wichtigste ist die Schliessung der „Sophistication Gap“: der Unterschied zwischen dem, was ein staatlicher Nachrichtendienst und was ein Einzelner anrichten kann, wird immer kleiner. Öffentlich verfügbare Frameworks wie PentAGI ermöglichen es praktisch jedem, KI-gestützte Angriffswerkzeuge zu nutzen. Die Entwicklung geht von Chatbot-Unterstützung (Stufe 1: „Schreib mir eine Phishing-Mail“) über gezielte Ausführung mit menschlichen Targeting-Entscheidungen (Stufe 2) zu Multi-Agent-Frameworks die ganze Angriffsketten autonom durchführen (Stufe 3-4).
Was bedeutet das für Schweizer KMU? Zunächst einmal, dass die Bedrohung nicht abnimmt, im Gegenteil. Wenn ein paar chinesische Studenten mit KI-Tools Zero-Days finden können, dann ist die Frage nicht ob man angegriffen wird, sondern wann. API-Schlüssel müssen wie Produktions-Credentials behandelt werden (nicht im Code, nicht in Container-Images, nicht in mobilen Apps). KI-Zugänge nur über offizielle Kanäle kaufen. Und vielleicht am wichtigsten: verstehen dass „wir sind zu klein und uninteressant“ als Sicherheitsstrategie endgültig ausgedient hat…
Der vollständige Bericht von Anthropic ist lesenswert und detaillierter als jede Zusammenfassung es sein kann: Anthropic Threat Intelligence Report September 2026
Wenn Sie wissen möchten, wie gut Ihre Organisation auf diese Art von Bedrohungen vorbereitet ist: kontaktieren Sie uns für eine unverbindliche Einschätzung.