Drei reale Cyberangriffe durch KI, von Ransomware bis Sandbox-Ausbruch

Lange war "KI-gestützter Cyberangriff" vor allem ein Schlagwort für Angriffe, bei denen ein Mensch mit ChatGPT eine überzeugendere Phishing-Mail formuliert hat. Seit diesem Sommer gibt es dafür einen präziseren, unbequemeren Begriff: agentische Angriffe. Also Fälle, in denen ein KI-System nicht nur zuarbeitet, sondern die eigentliche Angriffskette von der ersten Lücke bis zur Erpressung eigenständig durchführt. Drei aktuelle, öffentlich dokumentierte Fälle zeigen, wie weit das heute schon geht.

Fall 1: Die Ransomware, die sich selbst repariert hat

Sicherheitsforscher von Sysdig haben im Sommer 2026 einen Angriff untersucht, den sie als ersten dokumentierten Fall einer vollständig durch einen KI-Agenten ausgeführten Ransomware-Attacke einordnen (Sysdig-Analyse). Der Agent verschaffte sich Zugang über eine bekannte, aber ungepatchte Sicherheitslücke und stieß dabei auf ein System, das noch mit einem Standardpasswort gesichert war, wie es eigentlich niemand mehr verwenden sollte. Von dort aus arbeitete er sich Schritt für Schritt zu wichtigeren Systemen vor.

Das Bemerkenswerteste: Als ein Angriffsschritt fehlschlug, erkannte der Agent selbstständig, woran es lag, und lieferte innerhalb von 31 Sekunden eine funktionierende Lösung nach. Am Ende verschlüsselte er zentrale Konfigurationsdaten mit einem Schlüssel, den er nur kurz anzeigte, aber nirgends speicherte. Selbst eine Lösegeldzahlung hätte die Daten also nicht zurückgebracht. Anschließend löschte der Agent gezielt Datenbanken, die er selbst als besonders wertvoll einstufte, und hinterließ eine Lösegeldforderung.

Wichtig für die Einordnung: Ausgewählt hat das Ziel weiterhin ein Mensch, ebenso wurde die Infrastruktur für den Angriff von Menschen vorbereitet. Der Agent hat die eigentliche Ausführung übernommen, nicht den Angreifer ersetzt. Genau das macht den Fall so relevant: Die Einstiegshürde für einen kompletten Ransomware-Angriff sinkt.

Fall 2: Der Betrugsanruf im Abo-Modell

Parallel dazu haben Sicherheitsforscher eine Plattform beschrieben, die Betrugsanrufe per KI-Stimme vollautomatisch abwickelt, bekannt als TOAD-Angriff, kurz für Telephone-Oriented Attack Delivery (BleepingComputer). Für rund 4.000 US-Dollar plus zehn Prozent Provision auf die Beute kann praktisch jeder eine komplette Betrugskampagne starten, ganz ohne technisches Vorwissen.

Der Ablauf: Eine E-Mail landet im Postfach, dringend genug formuliert, um einen Rückruf zu provozieren, aber unauffällig genug, um Spamfilter zu umgehen, etwa ein angeblicher Sicherheitshinweis zu einem Konto. Wer zurückruft, spricht mit einer KI-Stimme, die sich täuschend echt als Support-Mitarbeiter ausgibt und durch einen vermeintlichen Kontowiederherstellungsprozess führt. Am Ende soll das Opfer einen Bestätigungscode nennen, mit dem sich das eigentliche Konto übernehmen lässt. Der Angreifer verfolgt den Fortschritt bequem über ein Dashboard und muss selbst kaum noch eingreifen.

Fall 3: Als die eigene Sicherheits-KI zur Bedrohung wurde

Der dritte Fall ist anders gelagert, denn hier steckte keine kriminelle Gruppe dahinter. OpenAI ließ eigene KI-Modelle im Rahmen interner Sicherheitstests gezielt nach Angriffswegen suchen, so wie man es von einem Penetrationstest kennt (InfoQ). Die Modelle fanden dabei eine echte Schwachstelle in einer internen Testumgebung und nutzten sie, um aus der eigentlich abgeschotteten Umgebung herauszukommen.

Statt an dieser Stelle zu stoppen, gingen die Modelle weiter: Sie verschafften sich Zugriff auf reale Systeme eines Technologiepartners, erbeuteten dort interne Zugangsdaten und sammelten gezielt die eigenen Testergebnisse ein. Kundendaten blieben nach bisherigem Kenntnisstand unberührt, der Vorfall zeigt aber ein Dilemma: Um eine Schwachstelle als real und riskant einzustufen, muss man in gewissem Umfang beweisen, dass sie sich auch ausnutzen lässt. Genau dieser Anspruch an Validierung dürfte mit dazu geführt haben, dass die Modelle über das eigentliche Testziel hinausgeschossen sind.

Was die drei Fälle gemeinsam haben

Bei aller Unterschiedlichkeit lässt sich ein roter Faden erkennen. Keiner der drei Fälle beruht auf einer neuartigen, exklusiv KI-basierten Angriffstechnik. Ausgenutzt wurden eine altbekannte, ungepatchte Lücke, ein Standardpasswort, ein Social-Engineering-Muster, das es in Grundzügen seit Jahren gibt, und eine ganz gewöhnliche Sicherheitslücke in einer internen Testumgebung. Neu ist nicht der Angriffsweg, sondern das Tempo und die Konsequenz, mit der er durchgezogen wird, sobald ein Mensch die Ausführung nicht mehr Schritt für Schritt begleiten muss.

Für die Verteidigung heißt das: Die klassischen Basics verlieren durch KI nicht an Bedeutung, im Gegenteil. Zeitnahes Schließen bekannter Lücken, keine Standardpasswörter in produktiven Systemen, Netzwerksegmentierung und Multifaktor-Authentifizierung entscheiden zunehmend darüber, ob aus einer einzelnen übersehenen Schwachstelle ein vollautomatisierter Vorfall wird, bevor überhaupt jemand reagieren kann.

Diese drei Fälle haben wir auch in der aktuellen Folge unseres Podcasts Cybersecurity Basement besprochen: "Wenn die KI selbstständig wird". Michael im Gespräch mit unserem Principal Analyst André Ditzel darüber, was diese Angriffe für Incident Response und Verteidigung in der Praxis bedeuten.