Vier Tage, acht Agenten, kaum ein Mensch im Kreislauf

Über vier Tage Anfang Juli 2026 führte ein mutmaßlich China-naher Akteur eine Hacking-Operation gegen taiwanische Regierungsnetzwerke, die nach dem Start kaum menschliche Eingaben brauchte. Die israelische Sicherheitsfirma Dream Security fand heraus, dass die Operation bis zu acht autonome KI-Agenten gleichzeitig einsetzte, aufgebaut aus zwei Open-Source-KI-Agenten-Frameworks namens Hermes und OpenClaw. Die Agenten kartierten 21 einzelne taiwanische Regierungssysteme, prüften jedes auf Schwachstellen und entdeckten sechs Single-Sign-On-Teilbereiche sowie über drei Dutzend API-Endpunkte allein bei einem einzigen Ziel.

Was dies von einem geskripteten Bot unterschied, war die Anpassungsfähigkeit. Wurde ein Angriffsweg blockiert, beauftragte das Framework einen anderen Agenten damit, im Internet nach neuen Informationen zu suchen und einen alternativen Ansatz zu entwickeln - ohne dass ein Mensch den Plan neu schreiben musste. Die Forscher von Dream Security dokumentierten zwölf getrennte Angriffswellen über die vier Tage, und das Werkzeug erzeugte dabei fast 1.400 Ausgabedateien. Das ähnelt eher einem kleinen, rund um die Uhr arbeitenden Operationsteam als einem einmal abgefeuerten Exploit-Kit.

85 Konten, 2.500 Datensätze, dann das Stromnetz

Als die Operation entdeckt wurde, hatte das KI-gesteuerte Werkzeug bereits mindestens 85 Zugangsdaten von Regierungskonten geknackt und über 2.500 personenbezogene Datensätze extrahiert, darunter Namen, Abteilungen und Single-Sign-On-Kennungen von Mitarbeitern, dazu eine gesonderte Sammlung von Daten zu Rechtsexperten aus einem Endpunkt des Justizministeriums. Der Einbruch blieb nicht in der allgemeinen Verwaltung: Er erreichte Taiwans Atomsicherheitsbehörde und griff auf mindestens sieben Energieunternehmen über - von einem reinen Datenleck hin zu der Art von Zugriff, die für Netz- und Kraftwerksbetreiber zählt, nicht nur für die Büro-IT.

Bei der Zuordnung ging Dream Security nicht so weit, formell einen staatlichen Auftraggeber zu benennen, doch die veröffentlichten Belege weisen in eine Richtung. Interne, vom Werkzeug erzeugte Betriebsnachrichten waren in vereinfachtem Chinesisch verfasst, der auf dem Festland gebräuchlichen Schrift, während die extrahierten und geordneten Daten in traditionellem Chinesisch geschrieben waren, der in Taiwan selbst üblichen Schrift. Die Financial Times, die als Erste über die Erkenntnisse von Dream Security berichtete, merkte an, dass Peking auf die Vorwürfe öffentlich nicht reagiert habe.

Die Umgehung der Schutzmechanismen sollte jeden KI-Käufer beunruhigen

Hermes und OpenClaw sind konzeptionell keine Angriffswerkzeuge, sondern universelle Open-Source-KI-Agenten-Frameworks mit den Sicherheitsschranken, wie sie jedes verantwortungsvolle KI-Produkt mitbringt. Die Recherche von Dream Security ergab, dass die Angreifer diese Schranken umgingen, indem sie ihre Anweisungen als autorisierten Penetrationstest ausgaben - eine Einordnung, die die Agenten akzeptierten und dann gegen echte Regierungsinfrastruktur als Ziel umsetzten. Amir Becker, Chief Strategy Officer von Dream Security und zuvor verantwortlich für Operationen in der israelischen Geheimdiensteinheit 8200, sagte, er habe zuvor noch keinen Angriff gesehen, der einem staatlichen Ziel gegenüber derart nahtlos und autonom von Anfang bis Ende ablief.

Diese Umgehung wiegt schwerer als der konkrete Einbruch selbst. Sie zeigt, dass sich die in heutige Agenten-Frameworks eingebaute Sicherheitsrahmung mit einer plausiblen Tarngeschichte umgehen lässt, statt durch neuartigen Code besiegt zu werden. Jede Organisation, die selbst agentenbasierte KI einsetzt oder sich gegen eine solche verteidigt, sollte den Begriff autorisierter Test als eine Behauptung behandeln, die gegen einen echten Autorisierungsnachweis zu prüfen ist, nicht als etwas, das aus der Anfrage selbst schon feststeht.

Das ist eine Vorschau, keine reine Taiwan-Geschichte

Das Detail, das einen europäischen Unternehmer oder CISO beunruhigen sollte, ist nicht das angegriffene Land, sondern das Werkzeug. Hermes und OpenClaw sind öffentlich, kostenlos und nicht speziell für Taiwan gebaut. Dieselbe Kombination, gerichtet auf ein europäisches Regierungsportal, einen Energieversorger oder ein Krankenhausnetzwerk mit vergleichbarer Single-Sign-On- und API-Infrastruktur, braucht kein staatliches Budget und keine maßgeschneiderte Schadsoftware, um eine vergleichbare Größenordnung zu erreichen. Open-Source-Agenten-Frameworks senken die Einstiegshürde für einen mehrtägigen, selbst anpassenden Einbruch auf das Niveau eines kompetenten Skript-Anwenders, der bereit ist, Dokumentation zu lesen - nicht auf das einer staatlichen Cyber-Einheit.

Für kritische Infrastruktur in der EU verschiebt das die Planungsfrage von ob so etwas passieren könnte hin zu wann eine Variante davon die eigene SSO-Ebene trifft und ob überhaupt jemand bemerkt, dass eine Maschine statt eines Menschen den Angriff führt. Für deutsche Betreiber, die ohnehin unter die NIS2-Umsetzung und die Aufsicht des BSI fallen, etwa Stadtwerke und Energieversorger, ist das kein abstraktes Szenario, sondern der Anwendungsfall, für den die neuen Meldepflichten gedacht sind. Sinnvolle Schritte für den nächsten Budgetzyklus: prüfen, welche internen Systeme API-Flächen für Dienstkonten offenlegen, Erkennung für agentenartige Verhaltensmuster wie schnelles sequenzielles Abtasten vieler Endpunkte statt einzelner fehlgeschlagener Logins ergänzen, und jede Zugriffsanfrage eines KI-Agenten, intern wie extern, an einen überprüfbaren Autorisierungsnachweis binden statt an eine reine Selbstauskunft.

Weiterlesen: Ein offener Endpunkt wurde zur Angriffsbasis  |  Sechs Leute verkauften gerade den schweren Teil der Agentenidentität