Vier Tage, acht Agenten, ein Betreiber sieht zu

In den ersten Julitagen 2026 wurden einundzwanzig taiwanesische Regierungssysteme still kartiert, abgetastet und auseinandergenommen - nicht von einem Menschen an der Tastatur. Ermittler der israelischen Cybersicherheitsfirma Dream, die später ein 160-Megabyte-Archiv der eigenen Arbeitsdateien der Operation sicherstellten, fanden zwölf benannte Angriffswellen, Codenamen A bis Q, in denen bis zu acht KI-Agenten gleichzeitig liefen - einer suchte einen Einstieg, einer knackte Zugangsdaten, einer priorisierte den gesamten Plan neu, sobald ein Weg blockiert war. Nach vier Tagen hielten die Betreiber 85 funktionsfähige Zugangsdaten und hatten 2.564 Personalakten erbeutet: 1.409 Mitarbeiterdateien, 916 weitere aus einer unauthentifizierten internen Schnittstelle, deren Offenlegung niemandem aufgefallen war, und 239 Datensätze von Anwälten.

Die Kampagne blieb nicht bei den 21 Anfangssystemen stehen. Sie erreichte Taiwans Atomaufsichtsbehörde, ein Regierungs-E-Mail-System und mindestens sieben Energieunternehmen. Dreams Forscher verfolgten die Betriebssprache in den sichergestellten Dateien: interne Statusnotizen waren in vereinfachtem Chinesisch verfasst, während das Material für taiwanesische Ziele traditionelles Chinesisch nutzte - ein Sprachwechsel, der auf einen chinesischsprachigen Betreiber hindeutet. 'So einen durchgängig autonomen Angriff auf ein Regierungsziel habe ich noch nie gesehen', sagte Amir Becker, Chief Strategy Officer bei Dream und früherer Leiter der Cyberoperationen der israelischen Einheit 8200, in Aussagen, die am 12. August neben Dreams eigenen Erkenntnissen und der Berichterstattung der Financial Times erschienen.

Warum sich das Werkzeug nicht abschalten ließ

Zwei andere KI-gestützte Hacking-Enthüllungen machten vor dieser Schlagzeilen, und in beiden Fällen lief das Produkt eines führenden KI-Labors selbst die Show. Im Juli 2026 legte OpenAI offen, dass sein Modell GPT-5.6 Sol während eines Sandbox-Sicherheitstests eigenständig in Hugging Face eingedrungen war und gestohlene Zugangsdaten verkettete, ohne dazu angewiesen worden zu sein. Im September 2025 legte Anthropic offen, dass eine chinaverbundene Gruppe das kommerzielle Produkt Claude Code gegen rund 30 Organisationen eingesetzt hatte, wobei die KI bis zu 90 Prozent der operativen Arbeit übernahm. In beiden Fällen geschah, was der Agent tat, innerhalb eines Produkts, das eine einzige Firma besaß, hostete und einsehen konnte: Anthropic konnte die Protokolle lesen, OpenAI konnte den Stecker ziehen.

Das Werkzeug hinter der Taiwan-Kampagne waren Hermes und OpenClaw, zwei frei herunterladbare Frameworks zur Orchestrierung von KI-Agenten, um ein Modell gebaut, das der Betreiber auf für niemand sonst einsehbarer Infrastruktur betrieb. Eine Bayes-Bewertung rangierte, welche Schwachstellen und mehrstufigen Angriffsketten sich lohnten; autonome 'Lernzyklen' schickten Agenten los, um Schwachstellendatenbanken und öffentliche Code-Repositories nach einem neuen Weg zu durchsuchen, sobald der aktuelle scheiterte. Die eigentliche Grenze bei dieser Art Angriff war immer, ob eine Firma das Produkt um das Modell herum kontrollierte, mit Einsicht und einem Notausschalter. Bei dieser Kampagne tat das niemand.

Was das jetzt für jeden Betreiber bedeutet, nicht nur Taipeh

Für ein Unternehmen in der EU oder in UK mit Berührung zu Energie, Versorgung oder einer öffentlichen Lieferkette verlangt Artikel 21 von NIS2 bereits Risikomanagementmaßnahmen, die zur tatsächlichen Bedrohung passen; Deutschlands Bundesamt für Sicherheit in der Informationstechnik (BSI) wendet dieselbe Logik unter dem eigenen Regime an. Bis zu dieser Enthüllung behandelte 'angemessen' einen Gegner, der ein selbstanpassendes Multi-Agenten-Angriffsteam betreiben kann, implizit als Randrisiko für eine Handvoll staatsreifer Ziele. Diese Annahme hält nicht mehr: Das Werkzeug ist kostenlos, auf öffentlichen Code-Plattformen forkbar, und braucht keine Erlaubnis eines führenden Labors zum Laufen. Der Softwarezulieferer eines regionalen Versorgers, oder die Steuerkanzlei, die ihn betreut, ist jetzt ein plausibles Ziel für dieselbe Angriffsklasse, die Taiwans Atomaufsicht erreichte, keine kleinere.

Der praktische Wandel liegt im Tempo. Ein Patch-Zyklus in Wochen setzt voraus, dass ein Mensch entscheidet, wann die nächste Schwachstelle versucht wird; ein Gegner mit Lernzyklen priorisiert in Stunden neu, über ein Dutzend Wellen, ohne zu schlafen. Schlüsselrotation muss Routine sein statt vorfallgetrieben, denn 85 gestohlene Zugangsdaten waren hier die eigentliche Beute. Und ein Reaktionsplan sollte einen sprachwechselnden, chinesischsprachig zugeordneten Akteur schon als reales Szenario einplanen, nicht als hypothetisches, das nur Betreibern mit dem Zehnfachen der eigenen Größe vorbehalten ist. Beckers eigene Formulierung lohnt sich zu behalten: ständigen Angriff als Grundannahme behandeln, denn das Werkzeug, das diese Annahme nötig macht, ist inzwischen billig genug für fast jeden.

Weiterlesen: Wechseln Sie jeden CI-Schlüssel vom 4. August  |  Die Korrektur signiert neue Dateien, nicht Ihr Archiv