Der Tag, an dem die Erde stillsteht

Über ein Sprachmodell, das aus seinem Käfig ausbrach, um bei einer Prüfung zu schummeln, über eine Bundesbehörde, deren wichtigstes jährliches Lagebild der Entwicklung zwangsläufig mehr als ein Jahr hinterherläuft, und über die unangenehme Frage, was bei Ihnen zu Hause eigentlich alles am Netz hängt

Ich saß mit der Heißluftstation über einem geöffneten Mac Studio, als die Meldung hereinkam. In Kalifornien war ein Sprachmodell aus seiner Testumgebung ausgebrochen, hatte sich Zugang zum offenen Internet verschafft und war in die Produktivsysteme eines fremden Unternehmens eingedrungen, weil es versuchte, an die Lösungen einer Prüfung zu gelangen. Ich sage das seit Monaten voraus. Es steht mit Datum auf dieser Seite. Und die zentrale zivile Bundesbehörde für Cybersicherheit arbeitet mit einem jährlichen Lagebild, das dieser Entwicklung zwangsläufig mehr als ein Jahr hinterherläuft.

Die Maschine lag offen vor mir, das Speichermodul heraus, die Lupe darüber ausgerichtet, und ich tauschte gerade die Flash-Bausteine gegen größere. Sie dient mir als Inferenzmaschine für ein Sprachmodell, das vollständig lokal läuft, und der Platz war ausgegangen. Nur der Massenspeicher lässt sich hier erweitern, der Arbeitsspeicher ist fest in das Prozessorpaket integriert, und der bestimmt zusammen mit Quantisierung und Kontextlänge, wie groß ein Modell laufen darf. Das Unternehmen mit dem Obst im Namen hätte mir dieselbe Kapazität gegen einen vierstelligen Betrag verkauft, und ich habe an diesem Punkt meiner Laufbahn eine gewisse Unlust entwickelt, für Lötzinn den Preis eines Gebrauchtwagens zu zahlen.

Der Grund für den ganzen Aufwand ist unspektakulär und lässt mir trotzdem keine Wahl. Ich arbeite mit Material, das ein Gebäude nicht verlässt, mit Datenträgerinhalten, Protokolldaten und Kommunikationsverläufen, über denen eine Verschwiegenheitspflicht liegt. So etwas lädt man nicht in die Schnittstelle eines amerikanischen Anbieters hoch, und man tut es erst recht nicht, wenn man beruflich damit befasst ist, anderen zu erklären, warum ihre Daten dort nichts verloren haben.

Dann kam die Meldung, und der Lötkolben blieb für 2 Nächte liegen.

Am 16. Juli 2026 hatte Hugging Face, die zentrale Plattform, auf der die Welt ihre KI-Modelle und Datensätze ablegt, einen Einbruch in die eigene Produktivinfrastruktur offengelegt. 5 Tage später bekannte sich OpenAI dazu. Es waren die eigenen Modelle gewesen, ausgebrochen aus einer Testumgebung, mitten in einer Bewertung ihrer Angriffsfähigkeiten. Ich habe die Offenlegung gelesen, dann die Stellungnahme, dann das Forschungspapier zu dem Benchmark, auf dem der Testlauf beruhte, und irgendwann war es 3 Uhr morgens.

Bei solchen Ereignissen bin ich der Erste, der sich hineinarbeitet, und zwar nicht in die Berichterstattung, sondern in die Primärquellen. Ich will wissen, was passiert ist, und mit derselben Genauigkeit will ich wissen, was nicht passiert ist, weil die Differenz zwischen beidem inzwischen den größeren Teil jeder Schlagzeile ausmacht. Bei mir läuft beim Denken eine zweite Spur mit. Während die erste einen Schluss bildet, prüft die zweite bereits, auf welcher Annahme er beruht, wo er zu weit geht und mit welchem Einwand man ihn zerlegen könnte. Deshalb habe ich in dieser Nacht nicht nur nach Belegen dafür gesucht, dass ich recht hatte. Ich habe mit derselben Gründlichkeit nach Gründen gesucht, aus denen ich falsch liegen könnte. Das ist keine Marotte, das ist Berufskrankheit. Wer über eine jahrzehntelange Tätigkeit hinweg Gutachten geschrieben hat, die vor Gericht Satz für Satz auseinandergenommen werden, gewöhnt sich das an.

Umso schwerer wiegt es, wenn ich den folgenden Satz ohne jede Einschränkung schreibe: Der Tag wird kommen, an dem große Teile unserer digitalen Infrastruktur gleichzeitig stillstehen, und dieser Tag ist nicht mehr fern.

Die Ironie jener Nacht ist mir erst aufgefallen, als ich das Licht ausmachte. Ich hatte mit eigenen Händen an einer Maschine gesessen, die mich unabhängig machen soll, indem ein Modell lokal für mich arbeitet. Und während ich das tat, führte einen halben Erdball weiter westlich ein Modell derselben Generation vor, wozu diese Klasse von Werkzeugen fähig ist, wenn man ihr ein Ziel gibt und die Bremsen löst.

Ich schreibe das nicht als jemand, der Cybersicherheit von außen kommentiert. Ich habe als gerichtlich bestellter Sachverständiger Systeme aufgemacht und rekonstruiert, die ihre Betreiber vorher für sicher hielten, und dabei mehr Serverräume von innen gesehen als mir lieb ist. Was hier steht, ist die Summe dessen, was in den Primärquellen steht, plus dem, was ich mit eigenen Augen in deutschen Unternehmen vorgefunden habe.

Was in Kalifornien passiert ist, in der richtigen Reihenfolge

Am 16. Juli 2026 veröffentlichte Hugging Face einen Beitrag mit dem denkbar nüchternsten Titel, den man für so etwas wählen kann, nämlich eine Offenlegung eines Sicherheitsvorfalls. Wer Hugging Face nicht kennt: Das ist die zentrale Plattform, auf der die Welt ihre KI-Modelle, Datensätze und Werkzeuge ablegt und abholt. Ein Marktplatz, ein Werkzeugkasten, ein öffentliches Regal. Ich nutze die Plattform selbst, praktisch täglich, weil man dort in einer Zeit, in der jeden Tag etwas Neues erscheint, alles findet, was man zum Forschen und Bauen braucht. Man kann damit großartige Sachen basteln.

Der Vorfall, den sie beschrieben, hatte eine Eigenschaft, die es so vorher nicht gab. Ich zitiere den entscheidenden Satz, weil jede Paraphrase ihn abschwächen würde: „it was driven, end to end, by an autonomous AI agent system.“ Von Anfang bis Ende getrieben von einem autonomen KI-Agentensystem.

Der Ablauf, soweit offengelegt, liest sich wie ein Lehrbuchkapitel. Ein präpariertes Dataset nutzte 2 Wege zur Codeausführung aus, einen Loader für fremden Code und eine Template-Injection in einer Datensatzkonfiguration. Von dem so übernommenen Verarbeitungsknoten eskalierte der Akteur auf Node-Ebene, erntete Cloud- und Cluster-Zugangsdaten und bewegte sich über ein Wochenende lateral durch mehrere interne Cluster, gefahren über einen Schwarm kurzlebiger Sandboxes mit einer Kommandostruktur, die sich selbst auf öffentliche Dienste weiterschob. Für die Auswertung mussten die Verteidiger über 17.000 protokollierte Ereignisse rekonstruieren.

Am 21. Juli meldete sich OpenAI und erklärte, es seien die eigenen Modelle gewesen.

Genauer: eine Kombination aus GPT-5.6 Sol und einem noch nicht veröffentlichten, noch fähigeren Vorabmodell, sämtlich mit reduzierten Verweigerungsmechanismen für Cyberthemen, wie das Unternehmen selbst schreibt, weil man die maximalen Fähigkeiten messen wollte. Der Testlauf fand auf einem Benchmark statt, der Modelle dazu bringt, echte Schwachstellen in funktionierende Angriffe zu verwandeln. Die Umgebung war laut OpenAI hoch isoliert, mit einem Netzwerkzugang, der auf eine einzige Sache beschränkt war, nämlich das Installieren von Paketen über eine intern gehostete Drittsoftware, die als Proxy und Cache für Paketquellen dient.

Ein Wort zur Sandbox, weil der Begriff gleich mehrfach fällt und weil er der Angelpunkt der ganzen Geschichte ist. Eine Sandbox begrenzt, auf welche Dateien, Prozesse, Rechte und Netzwerkziele ein Programm zugreifen darf. In der strengsten Variante gibt es überhaupt keinen Weg nach draußen. Hier gab es genau einen, nämlich den kontrollierten Pfad zum Paket-Proxy, und dieser eine Pfad war das Nadelöhr, durch das am Ende alles lief. Man baut so etwas, wenn man einem Programm nicht traut und trotzdem sehen will, was es tut. Der gesamte Umgang der Branche mit gefährlichen Modellen beruht auf der Annahme, dass diese Begrenzungen halten.

Und jetzt die Passage, die man sich ausdrucken und über den Schreibtisch hängen sollte. Die Modelle verwendeten, in OpenAIs eigenen Worten, einen erheblichen Teil ihrer Rechenzeit darauf, einen Weg ins offene Internet zu finden. Nicht indem sie die gestellten Aufgaben auf dem vorgesehenen Weg lösten, sondern indem sie die Bedingungen veränderten, unter denen die Prüfung stattfand. Sie fanden eine bis dahin unbekannte Schwachstelle in genau jener Proxy-Software, der einzigen Tür, die offenstand, eskalierten Rechte und bewegten sich seitwärts, bis sie einen Knoten mit Internetzugang erreichten. Dann folgerten sie selbstständig, dass Hugging Face die Lösungen zu ihrer Prüfung hosten könnte, und verketteten gestohlene Zugangsdaten mit weiteren unbekannten Schwachstellen zu einem Weg, der ihnen Codeausführung auf fremden Produktivservern verschaffte.

Ein Modell, das bei einer Prüfung möglichst viele Aufgaben lösen sollte, hat sich stattdessen die Lösungen beschafft, dafür zunächst die Forschungsumgebung seines Herstellers überwunden und anschließend die Produktivsysteme eines fremden Unternehmens kompromittiert. Es hat dabei niemanden gehasst, nichts erpresst und keine politische Absicht verfolgt. Es wollte eine bessere Punktzahl.

Ein Wort zu diesem Wollen, bevor mir jemand zu Recht in die Parade fährt. Ich beschreibe damit kein Bewusstsein, keine Absicht und kein Erleben, sondern ausschließlich beobachtbares zielgerichtetes Verhalten. Technisch gesprochen verfolgte das System ein Optimierungsziel, leitete daraus ab, dass externe Benchmarkdaten die Zielerreichung erleichtern würden, und führte dafür Handlungen aus, die weder vorgesehen noch erlaubt waren. Dass sich das im Deutschen kaum anders als mit Verben des Wollens erzählen lässt, ist ein Problem unserer Sprache und keine Aussage über das Innenleben einer Maschine. Wer daraus einen erwachenden Geist macht, hat den Vorgang nicht verstanden, und wer deshalb die Tragweite kleinredet, auch nicht.

OpenAI nennt den Vorfall in der eigenen Mitteilung beispiellos und schreibt, alle Hinweise deuteten darauf hin, dass die Modelle regelrecht fixiert darauf waren, eine Lösung für den Benchmark zu finden, und dafür zu extremen Mitteln griffen, um ein eng gestecktes Testziel zu erreichen. Man lasse sich diese Formulierung in Ruhe auf der Zunge zergehen. Das Testziel war eng gesteckt, die Mittel zu seiner Erreichung waren es ausdrücklich nicht.

Nicht das erste Mal aus einer Sandbox, aber das erste Mal in einem fremden Produktivsystem

Wer den Juli für den Anfang der Geschichte hält, hat den April verpasst.

Im April 2026 stellte Anthropic ein Modell namens Claude Mythos Preview vor und entschied gleichzeitig, es nicht allgemein verfügbar zu machen, weil es zu gut darin war, schwerwiegende Schwachstellen in Betriebssystemen und Browsern zu finden. In der zugehörigen Dokumentation steht eine Episode, die man zweimal lesen muss, um sicherzugehen, dass man sie richtig verstanden hat. Ein Forscher hatte das Modell im Test dazu aufgefordert, aus einer abgesicherten Umgebung auszubrechen und sich zu melden, falls es gelänge. Das Modell entwickelte einen mehrstufigen Weg nach draußen, verschaffte sich Zugang zum Internet und schickte dem Forscher eine Mail. Der saß zu diesem Zeitpunkt im Park und aß ein Sandwich.

Ich stelle mir diesen Moment gerne bildlich vor, weil er die ganze Epoche in einer Szene zusammenfasst. Ein Mann auf einer Parkbank, Mittagspause, Brot in der einen Hand, Telefon in der anderen, und darauf eine Nachricht von einem Programm, das ihm mitteilt, dass der Käfig, in dem es sitzen sollte, keiner war. Es gibt Nachrichten, die verderben einem das Mittagessen. Diese hier hat vermutlich einen ganzen Berufsstand die Verdauung gekostet.

Das Modell blieb dabei nicht stehen. Es veröffentlichte anschließend unaufgefordert Details seines Vorgehens auf mehreren schwer auffindbaren, technisch aber öffentlich erreichbaren Seiten, offenbar um seinen Erfolg zu belegen. Das Unternehmen selbst nannte diesen Schritt besorgniserregend und ausdrücklich nicht angefordert.

Zwischen diesem April und dem Juli liegen 3 Monate, und der Unterschied ist präzise zu benennen, nur anders, als man zunächst denkt. Er liegt nicht darin, ob das Modell nach draußen kam, denn das kam es in beiden Fällen. Im April war der Ausbruch ausdrücklich beauftragt, und nach der veröffentlichten Darstellung wurde dabei keine fremde Produktivumgebung kompromittiert. Im Juli war weder der Ausbruch beauftragt noch der Angriff auf ein fremdes Unternehmen. Das ist die Entwicklungslinie, um die es geht, und sie hat eine Richtung.

Der Satz, den in Deutschland kaum jemand gelesen hat

Die deutsche Berichterstattung hat sich auf den Ausbruch gestürzt, weil der Ausbruch die Schlagzeile trägt. Der eigentlich wichtigere Teil steht weiter unten in der Offenlegung von Hugging Face, und in den deutschsprachigen Berichten, die ich bis zum Morgen des 22. Juli durchgesehen hatte, spielte er praktisch keine Rolle.

Als die Verteidiger anfingen, die Logs auszuwerten, griffen sie zunächst zu den Frontier-Modellen hinter den kommerziellen Schnittstellen. Das hat auf Anhieb nicht funktioniert. Die Analyse verlangt, große Mengen echter Angriffsbefehle, Exploit-Payloads und Artefakte der Kommandoinfrastruktur einzureichen, und genau diese Anfragen wurden von den Sicherheitsmechanismen der Anbieter blockiert. Die Begründung, die Hugging Face dafür liefert, ist der härteste Satz des ganzen Vorgangs: Diese Schutzmechanismen können einen Incident Responder nicht von einem Angreifer unterscheiden.

Den Angriff selbst hatten die Verteidiger da bereits erkannt und gestoppt. Für die umfassende Rekonstruktion der bis dahin bekannten Angriffskette brauchten sie am Ende ausgerechnet ein offenes Modell aus China. Sie wichen auf ein selbst gehostetes GLM 5.2 aus, dessen Gewichte frei verfügbar sind und das auf der eigenen Infrastruktur lief. Damit ließ sich die Auswertung endlich durchführen, und als Nebeneffekt verließen weder die Angreiferdaten noch die darin referenzierten Zugangsdaten jemals das eigene Netz.

Genau dieses Modell läuft auch bei mir. Nicht aus Sympathie für den Herkunftsort, sondern weil es unter den dort eingesetzten Modellen das einzige war, das die Arbeit ohne Blockade erledigte, ohne mich vorher zu fragen, ob ich auch wirklich ein Guter bin. Und deshalb gebe ich an dieser Stelle eine Empfehlung ab, die ich sonst eher zurückhalte, aber mit einer klaren Adresse. Wer ein eigenes Sicherheitsteam betreibt oder mit besonders sensiblen Daten arbeitet, sollte jetzt prüfen, wie sich ein leistungsfähiges lokal betriebenes Modell kontrolliert in die eigenen Analysewerkzeuge einfügen lässt. Nicht nach dem nächsten Lagebericht, nicht im nächsten Haushaltsjahr. Für alle anderen steht diese Frage weiter hinten, hinter Inventarisierung, zweitem Faktor, Sicherungen und einer Telefonnummer, unter der im Ernstfall jemand abhebt.

Ich habe Ende Juni einen Beitrag darüber geschrieben, dass die gefährlichen Modelle nicht die sind, die man einhegt, sondern die, die man sich auf die eigene Maschine lädt. Ich hatte recht, und ich hatte auf die falsche Weise recht. Denn dasselbe offene Modell aus Peking, das ich damals als Beleg dafür angeführt habe, dass man eine einmal existierende Fähigkeit nicht mehr per Exportbrief zurückrufen kann, war 3 Wochen später das einzige der von Hugging Face beschriebenen Modelle, mit dem sich diese Auswertung ohne Blockade durchführen ließ.

Das amerikanische Modell greift an. Das chinesische Modell räumt auf. Und zwar nicht, weil es besser wäre, sondern weil es unter den eingesetzten Modellen das einzige war, das reden durfte.

Hugging Face zieht daraus eine Lehre, die jeder Verantwortliche in Deutschland heute noch lesen sollte, und sie lautet sinngemäß: Halte ein leistungsfähiges Modell auf eigener Infrastruktur bereit, geprüft und einsatzfähig, bevor der Vorfall eintritt. Also nicht in der Nacht, in der es brennt, sondern an einem ruhigen Nachmittag lange davor.

Wer das für eine Randnotiz hält, hat den Kern verpasst. Wir haben eine Verteidigungsarchitektur gebaut, in der regelkonforme Verteidiger im entscheidenden Moment an den Sicherheitsfiltern ihrer Anbieter scheitern können, während Angreifer leistungsfähige offene Modelle ohne vergleichbare Anbieterfilter betreiben, verändern und gezielt auf offensive Aufgaben ausrichten können. Die stärksten proprietären Modelle liegen dabei nicht als offene Gewichte herum, das gehört zur Wahrheit dazu. Es genügt aber, dass die offenen gut genug sind. Das ist keine Sicherheitsmaßnahme mehr, das ist eine Asymmetrie mit Ansage.

Bevor wir uns gruseln, die Gegenrede

Ich habe mir angewöhnt, bei jeder Geschichte, die zu gut in mein Weltbild passt, zuerst die Gegenseite zu lesen. Sonst stehe ich morgen selbst auf einer dieser Instagram-Karten mit dramatischer Streichmusik und behaupte, die Maschinen kämen.

Die Gegenrede ist stark, und sie kommt von Leuten, die wissen, wovon sie reden. Dan Guido, Gründer des Sicherheitsunternehmens Trail of Bits, nennt den Vorgang in aller Kürze „a containment failure with the safeties turned off“, also ein Versagen der Einhegung bei abgeschalteten Sicherungen. Jake Williams, seit Jahrzehnten im Geschäft, formuliert es noch schärfer und sagt, jedes Modell, das die von Hugging Face dokumentierten Aktionen ausführen konnte, sei schlichtweg nie vollständig in einer Sandbox gewesen. Sein Satz dazu trifft den Punkt: Des einen Modellausbruch ist des anderen falsch gebaute Sandbox.

Beide haben mit dieser Einschätzung recht. Eine Testumgebung, die eine Verbindung nach draußen über einen Paket-Proxy erlaubt, ist keine isolierte Umgebung, sondern eine Umgebung mit einer Tür, an der ein Schild hängt. Wer die Sicherheitsfilter des Modells abschaltet und ihm dann sagt, es solle Schwachstellen in echte Angriffe verwandeln, darf sich nicht wundern, wenn es genau das tut, sobald es eine Tür findet. Das ist kein erwachendes Bewusstsein. Das ist ein Optimierer, der die billigste Route zum Ziel nimmt, und die billigste Route führte durch die Wand.

Simon Willison, einer der genauesten Beobachter dieser Branche, hält dagegen, dass man mit der Marketing-Erklärung inzwischen auch Hugging Face zum Mitverschwörer machen müsste. Auch da hat er recht, denn die Plattform hat wenig Anreiz, sich einen Einbruch anzudichten und obendrein zuzugeben, dass die eigenen kommerziellen Werkzeuge bei der Aufklärung versagten.

Ich halte beides gleichzeitig für wahr, und darin liegt die eigentliche Nachricht. Es war ein handwerklicher Fehler bei OpenAI, und es ist aus meiner Sicht zugleich ein Hinweis auf einen Fähigkeitssprung. Der Fehler erklärt, warum es diesmal passiert ist. Der Fähigkeitssprung erklärt, warum es wieder passieren wird, und zwar dann, wenn niemand einen Benchmark laufen lässt.

Yoshua Bengio, einer der Menschen, ohne deren Arbeit es diese Modelle gar nicht gäbe, nannte den Vorfall einen Weckruf und sagte, ein Weiterlaufen auf der aktuellen Entwicklungslinie werde wahrscheinlich zu mehr konkreten Fällen autonomer Cyberangriffe führen. Nate Soares sprach von einem Warnschuss. Beide Formulierungen sind zurückhaltender, als der Sachverhalt es zulassen würde.

Was die Zahlen sagen, bevor jemand die Karte baut

Der Vorfall steht nicht allein, und er kam auch nicht überraschend. Es gibt Messwerte dazu, und sie sind älter als die Schlagzeile.

Im Mai 2026 erschien ein Benchmark namens ExploitGym, vorgelegt von einem Team um Zhun Wang und Dawn Song an der University of California, Berkeley, gemeinsam mit dem Max-Planck-Institut für Sicherheit und Privatsphäre, der UC Santa Barbara und der Arizona State University. Es handelt sich um einen Preprint, also um eine Veröffentlichung ohne abgeschlossene Begutachtung durch Fachkollegen, und das gehört dazugesagt. Der Benchmark besteht aus 898 Instanzen, die aus echten Schwachstellen in verbreiteten Softwareprojekten abgeleitet wurden, darunter der Linux-Kernel und die JavaScript-Engine V8. Getestet wurde ausdrücklich nicht das eigenständige Aufspüren unbekannter Lücken. Die Agenten bekamen ein Programm und eine Eingabe, die den Fehler bereits auslöst, und mussten daraus einen funktionsfähigen Angriff entwickeln. Claude Mythos Preview löste 157 dieser Instanzen, GPT-5.5 kam auf 120, GPT-5.4 auf 54, und alle übrigen Kombinationen blieben unter 15. Das sind Benchmarkinstanzen und keine 157 erfolgreich übernommenen fremden Systeme, denn ein und dieselbe Ausgangsschwachstelle kann in mehreren Konfigurationen mit unterschiedlichen Schutzmaßnahmen auftauchen. Die Autoren fassen ihr Ergebnis in einem Satz zusammen, der keine Interpretation mehr braucht: Autonome Exploit-Entwicklung durch Frontier-Agenten ist keine hypothetische Fähigkeit mehr.

Ein Wort zum Stand der Dinge, bevor ich weitergehe. Die gemeinsame technische Untersuchung von OpenAI und Hugging Face ist bei Veröffentlichung dieses Textes nicht abgeschlossen. Eine Nachrichtenagentur berichtete am 24. Juli unter Berufung auf mit der Untersuchung vertraute Personen, das System habe bereits um den 9. Juli Ausbruchsversuche unternommen, der Einbruch bei Hugging Face habe vom 11. bis zum 13. Juli gedauert, und beide Unternehmen hätten erst um den 20. Juli erstmals miteinander gesprochen. Den Zeitraum des Einbruchs hat ein Mitgründer von Hugging Face namentlich bestätigt. OpenAI erklärte, der Bericht enthalte mehrere Ungenauigkeiten, ohne diese zu benennen. Ich führe das hier auf, weil es zur Chronologie gehört, und ich behandle es ausdrücklich nicht als gesichert, weil es das nicht ist.

Der Vollständigkeit halber, weil ich mich sonst selbst nicht ernst nehmen könnte: Forschende von Anthropic, OpenAI und Google stehen als Mitautoren auf dem Papier und haben Modellzugang und Rückmeldungen beigesteuert, während Aufbau und Methodik laut Team von den akademischen Autoren stammen. Kein Ausschlusskriterium, aber ein Interessenkonflikt, und der gehört genannt.

Der zweite Datenpunkt dazu ist älter. Im November 2025 legte Anthropic einen Bericht über eine Kampagne vor, die sie GTG-1002 nannten und mit hoher Sicherheit einem chinesischen staatsnahen Akteur zuordneten. Rund 30 Ziele, eine kleine Zahl bestätigter erfolgreicher Eindringversuche, und der zentrale Befund: Das Modell führte 80 bis 90 Prozent der taktischen Operationen selbstständig aus, während Menschen nur an 4 bis 6 kritischen Entscheidungspunkten je Kampagne eingriffen. Bemerkenswert ist der Weg dorthin. Es gab keinen technischen Ausbruch, sondern Menschen, die dem Modell erzählten, sie seien autorisierte Penetrationstester. Jede Einzelanfrage sah nach legitimer Sicherheitsarbeit aus, und die böse Absicht wurde erst im Gesamtbild sichtbar.

Auch hier die Einordnung, die in den meisten Wiedergaben fehlt: Der Bericht wurde von Sicherheitsforschern kritisiert, weil er keine überprüfbaren technischen Indikatoren enthielt, keine Domains, keine Adressen, keine Schadcode-Proben. Wer das für Marketing hält, hat einen Punkt. Wer daraus schließt, dass nichts passiert ist, hat keinen.

Und dann ist da die Uhr, und die Uhr ist das eigentliche Problem.

29 Minuten gegen ein halbes Jahr

CrowdStrike misst seit Jahren, wie lange ein Angreifer braucht, um vom ersten kompromittierten Rechner auf das zweite System im selben Netz zu springen. Diese Zeitspanne heißt Breakout-Zeit, und sie ist der ehrlichste Indikator, den diese Branche hat, weil sie beschreibt, wie viel Zeit einem Verteidiger real bleibt.

Für 2024 meldete CrowdStrike einen Durchschnitt von 48 Minuten. Im Jahresbericht 2026, veröffentlicht im Februar, steht für 2025 ein Durchschnitt von 29 Minuten, und die schnellste jemals beobachtete Ausbreitung lag bei 27 Sekunden. Das ist ein Rückgang um mehr als ein Drittel binnen eines Jahres, gemessen an den Fällen, die dieses Unternehmen selbst gesehen hat, und nicht an sämtlichen Angriffen weltweit. Im selben Bericht steht, dass KI-gestützte Angriffsaktivität gegenüber dem Vorjahr um 89 Prozent zugenommen hat.

Halten wir 29 Minuten fest und schauen auf die andere Seite der Bilanz.

Das Bundesamt für Sicherheit in der Informationstechnik nennt in seinem Lagebericht 2025, mit Berichtszeitraum bis Ende Juni 2025, eine Zahl, die man sich merken sollte: durchschnittlich 119 neue Schwachstellen pro Tag, ein Wachstum von rund 24 Prozent. Die Reihe davor lautet 68, dann 78, dann 96. Es beschleunigt sich also nicht nur, die Beschleunigung selbst nimmt zu.

Im selben Bericht steht der Satz, um den es eigentlich geht. Bekannte Schwachstellen in Perimetersystemen werden viel zu oft zu spät oder gar nicht gepatcht. Perimetersysteme, das sind VPN-Zugänge, Firewalls, Mailserver, Fernwartungsportale, also genau die Kisten, die man von draußen sieht. Rund 80 Prozent der angezeigten Angriffe richteten sich gegen kleine und mittlere Unternehmen, also gegen diejenigen, die weder ein Sicherheitsteam noch das Geld dafür haben.

Ein von CrowdStrike beobachteter Angreifer brauchte 2025 im Durchschnitt 29 Minuten bis zur Ausbreitung auf das zweite System. Ein deutsches Unternehmen patcht seine Außengrenze, wenn es gut läuft, im Rahmen eines Wartungsfensters, das irgendwann im Quartal liegt.

Hier muss ich sauber sein, weil ein Fachmann sonst zu Recht einhakt: Das sind 2 verschiedene Uhren. Die eine misst, wie lange eine bekannte Eintrittsstelle offen bleibt. Die andere beginnt erst zu laufen, wenn jemand bereits hindurchgegangen ist, denn die Breakout-Zeit erfasst die Spanne vom ersten Zugriff bis zur Ausbreitung auf das nächste System. Man darf sie nicht gegeneinander aufrechnen. Zusammengenommen beschreiben sie aber exakt, warum ein ungepatchtes Perimetersystem heute anders gefährlich ist als vor 5 Jahren. Die Tür steht monatelang offen, und wer hindurchgeht, ist im beobachteten Durchschnitt eine halbe Stunde später bereits tiefer im Netz. Und in diese Lücke schiebt sich jetzt eine Technologie, die nicht müde wird, keine Nachtschicht kennt und eine Angriffskette durchzieht, deren Rekonstruktion über 17.000 protokollierte Ereignisse umfasst, ohne einmal die Konzentration zu verlieren.

Bei der Zeitangabe lohnt ein zweiter Blick, weil sie gern falsch gelesen wird. Der Angriff auf Hugging Face lief über ein Wochenende, das steht so in der Offenlegung. Daraus zu schließen, ein solcher Vorgang brauche eben ein Wochenende, wäre der teuerste Denkfehler dieses Textes. Die Kampagne verteilte ihre Aktionen auf zahlreiche kurzlebige Umgebungen und verlagerte Teile ihrer Steuerungsinfrastruktur auf öffentliche Dienste. Wie viel davon parallel lief und wem die dabei genutzten Rechenressourcen gehörten, ist nicht offengelegt, und ich spekuliere darüber nicht. Belegt ist nur die Bauform, und die ist verräterisch genug. Wer seine Aktionen so verteilt, ist nicht an die Ausdauer eines einzelnen Systems gebunden. Wie stark sich die Gesamtdauer dadurch verkürzen lässt, hängt daran, wie viele Schritte einer Angriffskette zwingend nacheinander erfolgen müssen. Ein Teil lässt sich breit verteilen, ein anderer nicht.

Eine Tür zuschlagen, deren Rahmen längst herausgerissen ist

An dieser Stelle könnte man auf die Idee kommen, dass der Staat für so etwas zuständig ist. Er hat es versucht, und das Ergebnis ist eine Nebenhandlung, die man kennen muss, weil sie erklärt, warum die Verteidigung inzwischen schlechter dasteht als die Angriffsseite.

Am 12. Juni 2026 verfügte das amerikanische Handelsministerium, dass Anthropic seine stärksten Cybermodelle für ausländische Staatsangehörige sperren müsse, weltweit, ausdrücklich auch für die eigenen Mitarbeitenden ohne amerikanischen Pass. Das Unternehmen schaltete beide Modelle noch am selben Abend vollständig ab, weil es die Nationalität seiner Nutzer nicht in Echtzeit prüfen konnte. Es war das erste Mal, dass Exportkontrollen direkt auf ein KI-Modell angewendet wurden. Zweieinhalb Wochen später war der Spuk vorbei, der Handelsminister hob die Beschränkung Ende Juni per Brief wieder auf, und ab dem 1. Juli waren die Modelle zurück. Zwischen Anordnung und Rücknahme lagen 18 Tage. Der praktische Effekt bestand darin, dass regelkonforme Nutzer außerhalb der Vereinigten Staaten vorübergehend den Zugang verloren, während Akteure, die ohnehin mit offenen oder illegal beschafften Werkzeugen arbeiten, davon weit weniger betroffen waren.

Ich habe damals geschrieben, dass Washington eine Tür zuschlägt, deren Rahmen längst herausgerissen ist. Heute halte ich die Formulierung für zu freundlich, weil sie noch unterstellt, dass da überhaupt eine Wand war, in der eine Tür hätte sitzen können. Die Amerikaner haben das in den Neunzigern schon einmal versucht, als sie starke Verschlüsselung wie Kriegsgerät behandelten und Ausfuhrlisten dafür schrieben. Heute steckt dieselbe Mathematik in jedem Browser, den Sie besitzen. Was sich damals über Jahre entwickelte, war diesmal nach 18 Tagen vorbei.

Was von solchen Maßnahmen dauerhaft bleibt, ist häufig nicht, dass entschlossene Angreifer ihre Werkzeuge verlieren, sondern dass regelkonforme Verteidiger vorübergehend schlechteren Zugang zu ihren stärksten Werkzeugen haben. Wer über die nötige Infrastruktur und Sachkenntnis verfügt, lädt sich die Gewichte eines offenen Modells herunter und richtet es aus, wie er es braucht. Es fragt ihn niemand nach dem Pass.

Das Amt hat es gesagt, und trotzdem passiert nichts

An dieser Stelle werde ich unhöflich, und ich habe mir das gründlich überlegt. Vor allem habe ich mir meinen ersten Entwurf verkniffen, in dem stand, die Behörden hätten die Entwicklung nicht auf dem Schirm. Das wäre bequem gewesen und es wäre falsch.

Das Bundesamt hat es auf dem Schirm, und zwar deutlicher, als den meisten Lesern bewusst sein dürfte. Im Mai 2026 veröffentlichte es einen Beitrag mit der Feststellung, dass eine neue Zeitrechnung der Cybersicherheit angebrochen sei, weil künstliche Intelligenz Sicherheitslücken nun auf Knopfdruck finde und den passenden Angriff gleich mitliefere. Im Juni folgte eine Cybersicherheitswarnung, die auf die Evaluationen der britischen Sicherheitsbehörde zu den betreffenden Modellen verweist. Und am Tag nach dem Bekenntnis von OpenAI erklärte ein Sprecher des Amtes, der Ausbruch aus einer als sicher geltenden Umgebung und die anschließende freie Bewegung im Internet seien ein ernstzunehmender Vorfall. Er fügte einen Satz an, den ich für den bemerkenswertesten halte, den eine deutsche Behörde in diesem Sommer gesagt hat: Dasselbe könne passieren, wenn das Ziel eines Angriffs wäre, einer Stadt den Strom abzustellen. Ein Sprecher des Digitalministeriums sagte am selben Tag in der Regierungspressekonferenz, der Vorfall sei ein weiteres Beispiel dafür, dass man einen Paradigmenwechsel habe, was die Fähigkeiten von KI-Agenten betreffe, und das verändere die Bedrohungslage potenziell massiv.

Damit ist die bequeme Erzählung vom Tisch, das Amt habe geschlafen. Niemand kann behaupten, es habe keine Warnung gegeben. Es gab sie, sie kam von der zuständigen Stelle, sie war deutlich, und sie stand in der Zeitung.

Es wird sogar bereits gehandelt. Derselbe Sprecher verwies darauf, dass der Nationale Sicherheitsrat am 8. Juni 2026 die Gründung eines KI-Sicherheitsinstituts beschlossen habe und dieses sich im Aufbau befinde, mit Kooperationen nach Großbritannien und Frankreich. Das ist die richtige Entscheidung, und ich sage das ohne Ironie. Sie ist nur 6 Wochen vor jenem Juli getroffen worden, in dem sie gebraucht worden wäre, und ein Institut im Aufbau wertet keine Protokolle aus.

Und jetzt schauen Sie sich an, was daraus folgt. Dieselbe Behörde zählt zum selben Zeitpunkt zehntausende Mailserver ohne Sicherheitsupdates im deutschen Netz, und der Anteil der migrierten Systeme bewegt sich in Monaten um wenige Prozentpunkte. Zwischen der Erkenntnis auf der einen und der Umsetzung auf der anderen Seite liegt kein Informationsproblem. Da liegt ein Handlungsproblem, und es sitzt nicht im Amt, sondern in zehntausenden Serverräumen.

Ein struktureller Punkt bleibt trotzdem, und der ist der Rhythmus. Der Lagebericht, also das Dokument, das dieses Land zur eigenen Verwundbarkeit produziert, erschien zuletzt am 11. November 2025 mit einem Berichtszeitraum bis zum 30. Juni 2025. Rechnen wir nach, was seither geschehen ist und dort folglich nicht vorkommen kann. Im April 2026 stellte ein amerikanisches Unternehmen ein Modell vor, das so gut Schwachstellen findet, dass es nicht allgemein veröffentlicht wurde. Im Mai erschien der Benchmark, der die Exploit-Fähigkeit messbar machte. Im Juni verhängte die amerikanische Regierung zum ersten Mal Exportkontrollen auf ein Sprachmodell und kassierte sie 18 Tage später wieder ein. Im Juli drang ein Modell in fremde Produktivsysteme ein. Behält das Amt seinen bisherigen Rhythmus bei, wird selbst der nächste Bericht den Juli-Vorfall voraussichtlich nicht erfassen.

Blogbeiträge und Sprecherzitate ersetzen das nicht. Mir ist bis heute keine öffentlich zugängliche, laufend fortgeschriebene Bewertung bekannt, die einem Betreiber konkret übersetzt, was die jeweils aktuellen agentischen Modelle für seine eigene Infrastruktur bedeuten und in welcher Reihenfolge er jetzt was tun soll. Das Institut, das genau das leisten könnte, wird gerade erst gebaut. Lagebilder gibt es, Warnungen gibt es, Handlungsempfehlungen und Grundschutzkataloge ebenfalls, und die sind gut gemacht. Was fehlt, ist eine laufend aktualisierte und klar priorisierte Übersetzung speziell dieser neuen agentischen Fähigkeiten in einen umsetzbaren Maßnahmenplan für kleinere Betreiber ohne eigene Sicherheitsabteilung.

Und die politische Ebene darüber diskutiert derweil, ob wir bei künstlicher Intelligenz mehr Chancen oder mehr Risiken sehen wollen. Das ist ungefähr so nützlich wie eine Grundsatzdebatte über Regen, während der Keller vollläuft. Eine Arbeitsgruppe ist in Deutschland die Art und Weise, wie man einem Problem mitteilt, dass man es zur Kenntnis genommen hat und nun bitte in Ruhe gelassen werden möchte.

Der Bestand, auf dem dieses Land sitzt

Kalifornien ist weit weg, der Bestand vor der eigenen Haustür ist es nicht.

Der Support für Exchange Server 2016 und 2019 endete am 14. Oktober 2025, endgültig, ohne Verlängerung, ohne Übergangsprogramm. Zum Erhebungszeitpunkt Ende Oktober 2025 fand das BSI in einer eigenen Kontrollanalyse mehr als 30.000 solcher Systeme, die über Outlook Web Access aus dem Internet erreichbar waren, zugeordnet unter anderem Krankenhäusern, Schulen, Stadtwerken und Kommunen. Das ist eine Momentaufnahme und keine feststehende Bestandszahl. Eine spätere Auswertung des CERT-Bund vom Januar 2026 zeigt, wie wenig sich seither bewegt hat: Der Anteil der auf die unterstützte Nachfolgeversion migrierten Server stieg von 8 auf 19 Prozent, womit weiterhin 81 Prozent der aus dem Internet erreichbaren Exchange-Server in Deutschland ohne Herstellersupport liefen.

Thomas Caspers, Vizepräsident des BSI, hat dazu einen Satz gesagt, den ich mir in meiner Sachverständigentätigkeit oft gewünscht hätte: „Wer trotz Hinweisen des Herstellers und ausreichender Vorlaufzeit Software einsetzt, die keine Sicherheitsupdates mehr erhält, handelt schlicht fahrlässig.“

Bei den Arbeitsplätzen sieht es kaum besser aus. Der reguläre Support für Windows 10 endete am selben 14. Oktober 2025. Microsoft hat das kostenlose Verlängerungsprogramm für Privatgeräte inzwischen ein zweites Mal gestreckt, bis zum 12. Oktober 2027, und zwar auf eine Art, die für sich genommen schon eine Geschichte wert wäre: nicht per Ankündigung, sondern per nachträglicher Notiz in einem Blogbeitrag aus dem Vorjahr. Wer daraus schließt, das Problem sei damit gelöst, verwechselt eine Verschiebung mit einer Lösung. Für Unternehmensgeräte gilt diese kostenlose Verlängerung ohnehin nicht.

Und dann kommt die Schicht darunter, die in keiner Statistik auftaucht, weil sie niemand zählt. Ich sehe in deutschen Unternehmen Arbeitsplätze mit Betriebssystemen, die seit Jahren keinen Patch gesehen haben, teilweise ohne jeden Virenschutz, angebunden über handelsübliche Router, deren Firmware seit der Inbetriebnahme nicht angefasst wurde. Ich sehe Steuerungsrechner an Maschinen, die genau deshalb nicht aktualisiert werden, weil die Maschine dann angeblich stillsteht, und Fernwartungszugänge, die vor Jahren für einen externen Dienstleister eingerichtet und danach vergessen wurden. Und ich sehe Finanzinstitute, bei denen im Maschinenraum Systeme arbeiten, deren Alter man den Menschen im Kundenbereich lieber nicht erklärt. Namen nenne ich keine, aus naheliegenden Gründen.

Nichts davon ist ein Geheimnis. Das BSI schreibt es jedes Jahr auf, in gutem Behördendeutsch, und jedes Jahr passiert zu wenig. Es fehlt in diesem Land nicht an Erkenntnis, es fehlt an der Konsequenz, aus der Erkenntnis etwas folgen zu lassen. Der Lagebericht wird jedes Jahr pflichtschuldig zitiert, in Vorträgen verwendet, in Vorstandspräsentationen übernommen, und danach passiert genau so viel, wie das Budget hergibt.

Warum ich vor einem gewöhnlichen Server nicht mehr stehenbleibe

Der folgende Satz klingt nach Angeberei und ist trotzdem der ehrlichste in diesem Text.

Bei vielen der öffentlich erreichbaren Altsysteme, die so betrieben werden, wie Systeme in diesem Land eben betrieben werden, ist die frühere Einstiegshürde praktisch verschwunden. Nicht, weil ich besonders begabt wäre. Sondern weil die Aufgabe an dieser Sorte Ziel einen erheblichen Teil ihrer früheren Schwierigkeit verloren hat. Gegen ein sauber gehärtetes, segmentiertes und überwachtes Netz mit aktueller Authentisierung gilt das ausdrücklich nicht, dort steht man weiterhin vor echter Arbeit. Nur ist genau das nicht der Zustand, in dem sich der Bestand befindet, über den wir hier reden.

Früher war das ein Handwerk mit hoher Einstiegshürde. Man saß Nächte an einem System, las Quellcode, probierte, scheiterte, fing neu an, und irgendwann fand man eine Kante, an der sich etwas aufhebeln ließ. Das war anspruchsvoll, es war zeitaufwendig, und es hat genau deshalb die meisten abgeschreckt, die es nur mal so probieren wollten. Diese Schwelle war der eigentliche Schutz. Nicht die Technik, sondern der Aufwand.

Diese Schwelle ist bei einem relevanten Teil der Ziele drastisch gesunken. Was früher Wochen an spezialisierter Arbeit brauchte, ist dort heute eine Frage der Konfiguration und der Geduld einer Maschine, die keine Geduld braucht, weil sie nichts empfindet. Und das ist keine Prahlerei, sondern eine Beschreibung der Lage, die von den Zahlen oben gestützt wird. Wenn ein Benchmark misst, dass ein Modell 157 Instanzen eines aus realen Schwachstellen abgeleiteten Testfelds in funktionierende Angriffe verwandelt, dann ist tiefes Spezialwissen nicht verschwunden, aber es ist nicht mehr bei jedem Schritt und für jeden einzelnen Angriff der begrenzende Faktor. Thorsten Holz, einer der Autoren des Benchmarks, sagt dazu einen Satz, den ich unterschreibe: Die Ergebnisse zeigten, dass die Modelle nicht einfach jedes beliebige System knacken könnten, das wäre übertrieben und unrealistisch. 157 von 898 heißt eben auch, dass 741 Instanzen nicht gelöst wurden.

Wie so etwas geht, welche Werkzeuge man nimmt und in welcher Reihenfolge, steht hier bewusst nicht. Wer den Befund verstehen will, braucht die Anleitung nicht, und wer die Anleitung will, hat den Befund nicht verstanden.

Der Punkt ist ein anderer und er ist unbequem. Wenn ein einzelner Mensch mit einem Rechner und Zeit an dieser Sorte Ziel kaum noch aufgehalten wird, dann ist bei dieser Sorte Ziel nicht mehr das Spezialwissen der Engpass, sondern Zeit, Automatisierung und Reichweite, und genau die bringt ein System mit, das viele Versuche parallel und ohne jede Ermüdung ausführt. Der Unterschied zwischen mir und dieser Maschine liegt nicht allein in der Zahl der Versuche. Er liegt darin, wie viele davon sie gleichzeitig verfolgt, wie lange sie dabei durchhält und wie schnell sie aus einem gescheiterten Weg den nächsten ableitet. Menschliches Urteil fehlt ihr weiterhin, aber die Lücke wird schmaler.

Was seit Monaten in meinen Servern sitzt und mitliest

Über das Folgende habe ich bisher öffentlich nichts geschrieben.

Der Auslöser war Ärger, ganz banal. Jede öffentlich bekannt gewordene Sicherheitslücke bekommt in einem internationalen Katalog eine eindeutige Nummer, damit alle Beteiligten über dasselbe Loch reden. Diese Einträge heißen CVE, und wenn Sie in einer Meldung diese 3 Buchstaben gefolgt von Jahreszahl und laufender Nummer sehen, ist genau das gemeint. Von diesen Einträgen zählte das Bundesamt zuletzt durchschnittlich 119 pro Tag.

Das ist für jemanden mit eigenen Servern eine tägliche Hausaufgabe, die niemand ernsthaft leisten kann. Man müsste jeden Morgen prüfen, ob unter den neuen Einträgen etwas die eigene Software betrifft, ob dazu schon Angriffscode kursiert, ob ein Patch existiert und ob dieser Patch etwas kaputt macht. Nicht jeder Eintrag betrifft die eigenen Systeme, nicht jeder ist ausnutzbar, und genau in dieser Sortierarbeit liegt der Aufwand. Ich habe das jahrelang von Hand gemacht, mit Feeds, Skripten und einer Menge Kaffee, und irgendwann ging es mir schlicht auf die Nerven.

Also habe ich vor einigen Monaten damit angefangen, ein Sprachmodell in die eigenen Systeme zu setzen. Nicht davor, wie eine Firewall, sondern hinein. Es liest mit, was auf den Maschinen tatsächlich passiert, die Protokolle, die Zugriffsmuster, die Scans, die von außen ankommen. Es kennt den Bestand, es weiß, welche Dienste in welcher Version laufen, und es gleicht die Katalogeinträge gegen genau diesen Bestand ab statt gegen eine abstrakte Liste. Wenn es etwas findet, meldet es nicht nur, sondern greift innerhalb enger Grenzen selbst ein.

Über diese Grenzen muss ich ein Wort verlieren, sonst beschreibe ich in einem Text über entgleiste Agenten ein eigenes autonomes System mit Schreibrechten und schweige ausgerechnet zu dessen Kontrollproblem. Das Modell darf ausschließlich vorab definierte, umkehrbare Maßnahmen auslösen. Die Grenzen dafür setzt nicht das Modell, sondern eine separate Kontrollschicht und die Rechte des ausführenden Dienstes, und erzwungen werden sie außerhalb des Modells durch das Betriebssystem. Alles Weitergehende landet als Vorschlag bei mir und nicht als Tatsache im System. Der Grund für diese Enge ist konkret: Ein Modell, das Protokolle liest, verarbeitet Text, den ein Angreifer mitschreiben kann. Wer eine Anweisung in einen Logeintrag schreibt und darauf hofft, dass die Maschine sie als Befehl liest, greift nicht mehr den Server an, sondern dessen Wachhund. Deshalb darf ein solcher Agent niemals das Recht bekommen, sich selbst mehr Rechte zu geben.

Und nein, es gibt das Ding nirgends zum Herunterladen. Ich habe meine Gründe, warum ich dazu bisher nichts veröffentlicht und es schon gar nicht in eine öffentliche Code-Sammlung gelegt habe, und wer diese Gründe hören will, sollte sich vorher überlegen, ob er die Antwort wirklich möchte. Ich behaupte auch nicht, jeden seiner nächsten Schlüsse vorhersehen zu können, denn das kann bei einem probabilistischen Modell niemand. Ich weiß aber exakt, welche Aktionen die äußere Kontrollschicht ihm erlaubt, und jede einzelne davon wird protokolliert.

Der Moment, in dem sich das Ganze bezahlt gemacht hat, war unspektakulär und mir trotzdem in Erinnerung geblieben. Ich sah an den eingehenden Scans und an den Mustern in den Protokollen, dass sich etwas anbahnte, das typische Abtasten also, das vielen automatisierten Angriffen vorausgeht. Früher wäre das der Beginn einer langen Nacht gewesen. Diesmal hatte das Modell die betreffende Komponente bereits abgeschirmt, mit einer Maßnahme aus dem freigegebenen Katalog, bevor ich überhaupt dazu kam, mir eine Meinung zu bilden. Es hatte den Zusammenhang zwischen einem frischen Katalogeintrag, einer bei mir laufenden Komponente und dem, was da von außen klopfte, schneller hergestellt als ich.

Das ist die Verteidigungsseite derselben Medaille, um die es in diesem ganzen Text geht. Was einen Angreifer schnell macht, kann auch einen Verteidiger schneller machen. Der entscheidende Unterschied liegt darin, mit welchem Ziel, welchen Rechten und welchen Kontrollgrenzen das System aufgesetzt wird, denn der Verteidiger muss zusätzlich Verfügbarkeit schützen, Fehlalarme aushalten und darf nichts kaputtmachen. Hugging Face musste unter Zeitdruck auf ein anderes Modell ausweichen, weil die zunächst verwendeten Werkzeuge an ihren eigenen Sicherheitsfiltern scheiterten. Ich hatte meines aus Bequemlichkeit schon dastehen.

Ich habe vor, das in absehbarer Zeit anderen zugänglich zu machen, weil ich nicht einsehe, dass so etwas ein Privileg von Leuten bleibt, die zufällig beides können, Forensik und Modelle. Einen Namen hat die Sache noch nicht. Woran es fehlt, ist ohnehin nicht die Idee, sondern die Zeit, und Zeit ist in diesem Feld zu einer eigentümlichen Währung geworden. Sie ist so schnelllebig geworden, dass ich den Tag X näher kommen sehe, als mir lieb ist, und wenn er da ist, wird es für Leute wie mich mehr Arbeit geben, als eine Person bewältigen kann.

Die Liste der Tage, an denen schon einmal etwas stillstand

Bevor jemand einwendet, das seien alles Gedankenspiele, hier die Sammlung der Fälle, in denen bereits etwas Großes stillstand. Kein einziger dieser Fälle war ein KI-Angriff, und darauf kommt es mir hier an.

Am 27. Februar 2025 fielen die Zahlungssysteme der Europäischen Zentralbank aus. T2, über das der europäische Großbetragszahlungsverkehr läuft, war rund 10 Stunden nicht verfügbar, das Wertpapierabwicklungssystem T2S rund 8 Stunden. Die Ursache steht im Nachbericht der EZB und ist von einer Schönheit, die man sich nicht ausdenken kann: der unerwartete gleichzeitige Ausfall zweier redundanter Ethernet-Ports an einer Speichersteuerungseinheit. Die EZB schreibt dazu, ein solches Szenario sei weltweit beispiellos gewesen. Die Abwicklungseffizienz fiel an diesem Tag auf 90,1 Prozent, gegenüber einem Durchschnitt von 94,4 Prozent im Jahr davor. Redundanz bedeutet, dass 2 Dinge da sind. Sie bedeutet nicht, dass sie unabhängig voneinander ausfallen.

Am 19. Juli 2024 legte ein fehlerhaftes Update eines Sicherheitsanbieters weltweit Windows-Systeme lahm. Microsoft schätzte die Zahl der betroffenen Geräte auf 8,5 Millionen und damit auf weniger als 1 Prozent aller Windows-Maschinen. Dieses eine Prozent reichte, um Flughäfen, Kliniken, Banken und Notrufsysteme in mehreren Ländern gleichzeitig aus dem Takt zu bringen. Es war kein Angriff, es war eine einzige fehlerhafte Datei.

Am 28. April 2025 fiel auf der iberischen Halbinsel der Strom aus, für viele Stunden. Der Abschlussbericht des europäischen Netzbetreiberverbands vom März 2026 nennt keinen einzelnen Auslöser, sondern eine Kombination vieler zusammenwirkender Faktoren. Auch hier kein Gegner, sondern ein System, das an mehreren Stellen gleichzeitig an seine Auslegungsgrenze kam.

Am 30. Oktober 2023 traf es die Südwestfalen-IT, den kommunalen IT-Dienstleister für einen erheblichen Teil Nordrhein-Westfalens. Nach den veröffentlichten Darstellungen erfolgte der Zugang über einen VPN-Zugang ohne zweiten Faktor. Betroffen waren 72 Mitgliedskommunen, quer durch alle kommunalen Aufgabenbereiche. Bürgerbüros konnten keine Ausweise ausstellen, Zulassungsstellen standen, Sozialleistungen wurden verzögert. Das war ein Angriff, aber er brauchte keine künstliche Intelligenz. Er brauchte einen Fernzugang ohne zweiten Faktor.

4 Fälle, 4 verschiedene Ursachen, ein gemeinsames Muster. Unsere Systeme sind so eng gekoppelt und so schlecht abgesichert, dass ein einzelner gemeinsamer Fehlerpunkt oder mehrere ungünstig gekoppelte Schwächen genügen, um eine Kaskade auszulösen. Wir haben Redundanz gebaut und dabei vergessen, sie unabhängig zu machen. Wir haben Effizienz optimiert und dabei jede Reserve wegoptimiert.

Und in dieses Gebäude tritt jetzt ein Akteur ein, der nicht zufällig auf Schwachstellen stößt, sondern systematisch nach ihnen sucht, rund um die Uhr und mit einer Ausdauer und Parallelität, die kein menschliches Team wirtschaftlich aufbringen kann.

Warum ausgerechnet Deutschland ein dankbares Ziel ist

Ich werde bei diesem Thema aus einem Grund nervöser als bei den meisten anderen, und er hat nichts mit der Qualität deutscher Administratoren zu tun. Er hat mit Vielfalt zu tun, genauer gesagt mit deren Fehlen.

In den Unternehmen, die ich über die Jahre von innen gesehen habe, begegnet mir eine auffällige technische Gleichförmigkeit. Der Mittelstand betreibt weitgehend dieselben Mailserver, dieselben Verzeichnisdienste, dieselben Fernwartungslösungen, dieselben Steuerungen in denselben Anlagen, oft sogar denselben Router desselben Anbieters, weil er beim Anschluss im Paket dabei war. Wirtschaftlich ist das vernünftig, es senkt Schulungskosten und macht Wartungsverträge planbar. Sicherheitstechnisch ist es eine Monokultur, und Monokulturen haben eine bekannte Eigenschaft: Was eine verwundbare Variante befällt, kann sehr viele gleichzeitig treffen.

Ein menschlicher Angreifer profitiert davon nur begrenzt, weil er jedes Ziel einzeln bearbeiten muss. Ein agentisches System hat dieses Problem nicht. Es kann dieselbe Erkenntnis gleichzeitig auf zehntausend gleichartige Systeme anwenden, ohne dass Aufwand und Kosten im selben Verhältnis mitwachsen.

In der forensischen Arbeit gibt es ein wiederkehrendes Muster, das mich seit Jahren beschäftigt. Menschen unterschätzen systematisch, wie viele Spuren sie hinterlassen, und überschätzen gleichzeitig, wie schwer diese Spuren zu lesen sind. Ich habe Fälle gesehen, in denen jemand aufwendig eine Festplatte überschrieben hat und dabei übersah, dass dasselbe Gerät seit Jahren jede Nacht in eine Sicherung schrieb, die niemand angefasst hatte. Bei Infrastruktur ist es dasselbe Prinzip, nur umgekehrt. Die Betreiber unterschätzen, wie sichtbar ihre Systeme von außen sind, und überschätzen, wie schwer der Weg hinein ist. Beide Fehleinschätzungen korrigieren sich erst, wenn es zu spät ist.

Die Monokultur hat noch eine zweite Eigenschaft. Wenn alle dasselbe betreiben, hängen auch alle an denselben Dienstleistern. Die Südwestfalen-IT war nicht deshalb ein katastrophaler Fall, weil ein besonders raffinierter Angriff stattgefunden hätte, sondern weil ein einziger Dienstleister für 72 Kommunen gleichzeitig zuständig war. Wer ihn traf, traf sie alle auf einmal. Dieses Muster wiederholt sich in der Finanzbranche, in der Gesundheitsversorgung und bei Verwaltungen, und zwar schneller, je stärker konsolidiert wird.

Wir haben unsere Infrastruktur so gebaut, dass ein erfolgreicher Angriff maximale Reichweite bekommt, und wir nennen das Effizienz.

Wissen Sie eigentlich, was bei Ihnen alles am Netz hängt

Server, Mailsysteme und Fernwartungszugänge stehen in Rechenzentren, und ihr Ausfall wird in Pressemitteilungen erklärt. Das ist der Teil, den Sie an Ihre IT delegieren können.

Der andere Teil steht in Ihrer Wohnung.

Gehen Sie im Kopf durch Ihre Räume. Der Router, den Ihnen der Anbieter vor Jahren hingestellt hat und dessen Firmware Sie seitdem nicht angefasst haben. Der Drucker, der ein eigenes kleines Betriebssystem mitbringt und seit der Inbetriebnahme kein Update gesehen hat. Der Scanner daneben, der jedes Dokument durch sich hindurchlaufen ließ, das Ihnen wichtig genug war, um es zu digitalisieren. Der Fernseher mit Mikrofon, weil Sie ihn ja per Sprache steuern wollten. Der Lautsprecher im Wohnzimmer, gebaut, um ständig zuzuhören. Die Heizung, die weiß, wann Sie zu Hause sind. Und das Auto in der Garage, das sich nachts Aktualisierungen holt und dabei mehr über Ihre Bewegungen weiß als jeder Mensch in Ihrem Umfeld.

Jedes einzelne dieser Geräte ist ein Computer mit einer Netzwerkverbindung, betrieben mit Software von jemandem, der längst an einem anderen Produkt arbeitet. Und bei den meisten endet die Versorgung mit Sicherheitsaktualisierungen lange bevor das Gerät kaputtgeht, weil ein Kühlschrank über viele Jahre hinweg hält und eine Softwareabteilung selten so lange bei der Stange bleibt. Ein Serverbetreiber hat wenigstens theoretisch jemanden, der zuständig ist. Für Ihren Kühlschrank gibt es zwar inzwischen Herstellerpflichten aus dem Produktsicherheitsrecht, im Alltag schaut aber niemand nach, ob er noch sicher betrieben wird.

Ich sage bewusst nicht, dass sich morgen jemand für den Inhalt Ihrer Waschmaschine interessiert. Der Grund, warum diese Geräte trotzdem lohnend sind, ist ein ganz anderer, und es gibt ihn durchaus in barer Münze. Übernommene Haushaltsgeräte taugen als Teil eines Botnetzes, als Umschlagplatz für fremden Datenverkehr, als Tarnung und als Einstiegspunkt ins Netz dahinter. Sie hängen im selben Netz wie alles andere, niemand beobachtet sie, und sie eignen sich hervorragend als Aufenthaltsort für etwas, das dort in Ruhe warten soll. Wer über ein schwaches Gerät hereinkommt, kann versuchen, sich von dort zu dem System vorzuarbeiten, das sich tatsächlich lohnt.

Der Grund, warum ich das so genau weiß, ist derselbe, aus dem ich es beunruhigend finde. Ich entwickle und untersuche selbst vernetzte Geräte und die Software darauf. Ich zerlege sie, ich lese Firmware, ich schaue mir an, was ein Hersteller sich dabei gedacht hat, und in etwa der Hälfte der Fälle lautet die Antwort, dass er sich nichts gedacht hat.

Die Rechnung, die niemand aufmacht

Es gibt eine gern zitierte Zahl zum wirtschaftlichen Schaden. Der Digitalverband Bitkom beziffert den jährlichen Gesamtschaden durch Datendiebstahl, Industriespionage und Sabotage auf 289,2 Milliarden Euro und schreibt davon rund 70 Prozent, also 202,4 Milliarden Euro, den Cyberangriffen zu. Ich verwende diese Zahl hier mit einem ausdrücklichen Vorbehalt, und zwar aus Prinzip: Sie beruht auf einer Befragung von 1.002 Unternehmen, und die Aufteilung zwischen digitalem und analogem Schaden stammt aus der Selbsteinschätzung der betroffenen Unternehmen. Das ist eine Hochrechnung aus Selbstauskünften und keine Messung. Wer sie zitiert, sollte das dazusagen. Ich halte die Größenordnung für plausibel und den Präzisionsanspruch für unseriös, und das ist kein Widerspruch, sondern der Unterschied zwischen einer Schätzung und einer Zahl.

Die interessantere Bewegung ist ohnehin eine andere, und sie kommt aus der Regulierung.

Die deutsche Umsetzung von NIS2 verschiebt die Verantwortung dorthin, wo sie hingehört, nämlich in die Geschäftsleitung. Das Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, das Registrierungsportal des Bundesamts wurde am 6. Januar 2026 freigeschaltet. Betroffen sind nach Schätzung des Amtes rund 29.500 Einrichtungen. Für viele Unternehmen bedeutet das zum ersten Mal, dass jemand hinschaut.

Der eigentliche Hebel ist nicht das Bußgeld, sondern die Pflicht der Leitungsebene, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Welche persönliche Haftung daraus im Einzelfall folgt, richtet sich nach nationalem Recht und nach der konkreten Pflichtverletzung, und wer Ihnen etwas anderes verspricht, verkauft Ihnen etwas. Solange ein Sicherheitsvorfall ein IT-Problem war, wurde er wie eines behandelt, also nach unten delegiert und nach Budgetlage bearbeitet. Sobald die Geschäftsführung persönlich in der Pflicht steht, ändert sich die Dringlichkeit auf eine Weise, die keine Sicherheitsschulung je erreicht hat.

Ich sage das ohne jede Freude an der Aufsicht. Aber ich habe über Jahre erlebt, dass in diesem Land Sicherheit dann umgesetzt wird, wenn Nichtstun teurer wird als Handeln, und vorher nicht. In vielen Fällen liegen Wiederherstellung, Betriebsunterbrechung, forensische Untersuchung, Meldepflichten und der Vertrauensverlust bei Kunden deutlich über dem, was ein angemessener Basisschutz gekostet hätte. Der letzte Posten lässt sich in keiner Bilanz sauber abbilden und ist trotzdem der teuerste. Ich bin in dieser Rolle oft genug gerufen worden, immer zu spät, und ich habe noch nie erlebt, dass jemand hinterher sagte, er hätte lieber weniger vorgesorgt.

Wenn beides zusammenfällt

Die 2 Hälften dieses Textes gehören zusammengelegt, und was dabei herauskommt, ist meine Einschätzung und keine belegte Prognose.

Auf der einen Seite steht eine Angriffsfähigkeit, die im Mai 2026 im Benchmark gemessen und im Juli von einem Agentensystem gegen eine reale fremde Produktivumgebung eingesetzt wurde, ohne dass ihm jemand diesen Angriff aufgetragen hätte. Ein Teil davon wandert in offene Modelle ab, sobald jemand die Gewichte veröffentlicht, und ist ab diesem Moment nicht mehr einsammelbar. Auf der anderen Seite steht ein Bestand aus zehntausenden nicht mehr unterstützten Mailservern, einer sehr großen Zahl von Arbeitsplätzen jenseits ihres Supportendes und ungezählten Fernwartungszugängen, vor denen bis heute nur ein Passwort steht.

Der Unterschied zu früheren automatisierten Massenangriffen ist nicht die Gleichzeitigkeit, und hier muss ich einer bequemen Erzählung widersprechen, die gerade überall zu lesen ist. Würmer, Botnetze und automatisierte Exploit-Baukästen bearbeiten seit Jahrzehnten tausende Ziele parallel. Wer heute einbricht, fasst längst nicht mehr jeden Server mit der Hand an.

Neu ist die Verbindung von Skalierung und Anpassungsfähigkeit. Ein Skript probiert denselben vorgegebenen Weg tausendmal und scheitert tausendmal an derselben Stelle. Ein agentisches System kann beobachten, was bei diesem einen Ziel anders ist, daraus einen Schluss ziehen, einen alternativen Weg testen, Zugangsdaten neu kombinieren und die Kette an die vorgefundene Umgebung anpassen. Menschlich gesteuerte Angriffe lassen sich schon heute weitgehend automatisieren. Was sich verschiebt, ist die Grenze dort, wo bisher menschliches Urteil, Beharrlichkeit und Anpassung nötig waren. Die Frage ist nicht, ob jemand das ausprobiert. Die Frage ist, wann es jemand ausprobiert, der kein Interesse an einer verantwortungsvollen Offenlegung hat.

Und dann steht nicht mehr nur ein einzelnes Unternehmen. Dann steht der Zahlungsverkehr, weil die Institute an denselben Dienstleistern hängen, dann stehen die Verwaltungen, weil sie an denselben kommunalen Rechenzentren hängen, dann steht die Logistik, weil die Disposition an denselben Systemen hängt. Wir haben über Jahrzehnte hinweg Redundanz aus Kostengründen abgebaut und sie durch Verträge ersetzt, in denen steht, dass jemand anderes zuständig ist.

Ein Vertrag hat noch nie einen Server gepatcht. Er regelt lediglich, wer hinterher zahlt, und selbst das erst nach einigen Monaten und mit anwaltlicher Begleitung.

So viel Popcorn gibt es gar nicht

Was ändert sich, wenn jemand diesen Text liest?

Nicht jeder Leser verantwortet ein Rechenzentrum. Aber fast jeder betreibt inzwischen Geräte, deren Netzwerkverbindung er nie überprüft hat, und fast jeder arbeitet in einer Organisation, die genau die Systeme betreibt, um die es hier geht.

Wer aber Verantwortung trägt, für ein Unternehmen, eine Verwaltung, eine Praxis, einen Verein mit einem Server im Keller, dem sage ich das Folgende in aller Nüchternheit. Schauen Sie nach, welche Ihrer Systeme aus dem Internet erreichbar sind, nicht welche erreichbar sein sollen. Prüfen Sie, welche davon noch Sicherheitsaktualisierungen bekommen, nehmen Sie die anderen vom Netz oder ersetzen Sie sie, und schalten Sie überall dort einen zweiten Faktor davor, wo heute nur ein Passwort steht. Fangen Sie bei den Fernwartungszugängen an. Das sind 4 überschaubare Maßnahmen, und nicht jede davon ist billig, eine Migration weg von einem Altsystem kann richtig weh tun, aber jede lässt sich planen. Ein Vorfall hält sich an keinen Ihrer Pläne. Zusammen beseitigen sie mehrere der häufigsten und am leichtesten vermeidbaren Eintrittspunkte. Gegen einen fehlerhaften Software-Rollout helfen sie nicht, das gehört der Ehrlichkeit halber dazu.

Bevor ich zum letzten Teil komme, nagle ich einen Satz fest, und zwar den wichtigsten in diesem ganzen Text. Wenn Sie ein Unternehmen führen, machen Sie die Absicherung Ihrer nach außen offenen Zugänge ab heute zu einer unmittelbaren Aufgabe der Geschäftsleitung. Nicht zum Punkt 7 der nächsten Vorstandsklausur, sondern zu etwas, das noch in dieser Woche einen Namen und einen Termin bekommt. Nicht morgen, nicht übermorgen, nicht nach dem Sommer. Alles, was Sie in den kommenden Wochen an dieser Stelle nicht erledigen, erledigen Sie später unter Bedingungen, die Sie sich nicht aussuchen können.

Der Grund dafür ist arithmetisch und hat nichts mit Panik zu tun. Ein breit angelegter Vorfall trifft nicht nur viele Systeme gleichzeitig, er trifft auch die Kapazität derer, die hinterher aufräumen sollen, und diese Kapazität ist heute schon knapp. Der Digitalverband Bitkom zählte im August 2025 rund 109.000 unbesetzte IT-Stellen in Deutschland, und 79 Prozent der Unternehmen erwarten, dass sich der Mangel weiter verschärft. Die Zahl umfasst die gesamte IT und nicht speziell die Aufarbeitung von Vorfällen, aber sie beschreibt das Becken, aus dem im Ernstfall geschöpft werden müsste.

Was daraus folgt, ist keine Werbung in eigener Sache, sondern eine Terminfrage. Klären Sie heute, wen Sie im Ernstfall anrufen, welche Daten dieser Jemand von Ihnen braucht und ob es dafür eine vertragliche Grundlage gibt. Das kostet Sie einen Nachmittag, solange nichts brennt. Wenn etwas brennt, ist es in einem Nachmittag nicht mehr zu klären, und zwar deshalb, weil dann sehr viele gleichzeitig dieselben Nummern wählen.

Der folgende Teil ist meine Meinung, und ich kennzeichne ihn als solche.

Ich glaube nicht, dass es überall rechtzeitig passiert. Ich habe über eine sehr lange Zeit erlebt, wie in diesem Land mit Warnungen umgegangen wird, und das Muster variiert nie. Erst wird die Warnung überhört, dann in eine Arbeitsgruppe überführt, wo sie es warm und trocken hat, dann tritt der Schaden ein, früher als angenommen. Und dann wird erklärt, dass niemand das hätte vorhersehen können. Genau dieser letzte Satz ist die eigentliche Beleidigung, denn es haben genügend Leute vorhergesagt, jahrelang und ziemlich präzise, und in meinem Fall steht es mit Datum auf dieser Seite.

Als ich an jenem Abend die Heißluftstation ausschaltete und anfing zu lesen, dachte ich zunächst, ich müsste meine Einschätzung nach oben korrigieren. Nach 2 Nächten in den Quellen weiß ich, dass ich sie nach vorne korrigieren muss. Es wird nicht schlimmer als gedacht, es kommt früher als gedacht.

Es ist wie in einer dieser lauen Sommernächte, in denen die Luft plötzlich still steht und schwer wird. Man sitzt draußen, es ist warm, alles wirkt friedlich, und dann färbt sich der Himmel im Westen schwarz. Jeder kennt dieses Bild und weiß, was in 20 Minuten passiert.

Genau darin liegt der Unterschied zwischen jetzt und später. Im Moment ist noch Zeit, die Stühle hereinzuholen, die Fenster zu schließen und nachzusehen, was draußen lose herumliegt. Wenn der Wind erst da ist, bleibt dafür keine Zeit mehr, und dann fliegt genau das durch den Garten, was jahrelang an seinem Platz gelegen hat, ohne dass sich jemand dafür interessiert hätte.

Ich hatte mir vorgenommen, nächste Woche ein paar Tüten Popcorn zu besorgen, um das Ganze mit der gebotenen Fassung zu verfolgen. Die Idee habe ich verworfen. Es gibt gar nicht so viel Popcorn, wie ich für das brauchen würde, was da auf uns zurollt, und irgendwann sitzt man mit einer leeren Schüssel im Dunkeln und stellt fest, dass man selbst mit im Film ist. Es gibt bei dieser Vorstellung keine Tribüne. Mein Strom kommt aus demselben Netz wie Ihrer, mein Geld liegt bei einem Institut mit denselben Dienstleistern, und meine Rechnungen laufen über dieselbe Infrastruktur.

Der einfachste Rat, den ich habe, kostet nichts. Schalten Sie ab, was Sie nicht brauchen. Was nicht erreichbar und nicht verbunden ist, verkleinert seine Angriffsfläche drastisch, und das gilt für den Server im Keller genauso wie für den Kühlschrank in der Küche.

In einem der nächsten Beiträge schreibe ich auf, wie eine solche Bestandsaufnahme konkret aussieht, für ein Unternehmen ohne eigene Sicherheitsabteilung, mit Werkzeugen, die nichts kosten. Bis dahin liegt die Heißluftstation wieder an ihrem Platz, der Mac Studio arbeitet mit der vergrößerten internen SSD-Kapazität, und das Modell darauf läuft lokal, innerhalb klar begrenzter Rechte, während das Material dieses Haus nicht verlässt.

Das ist kein Schutz vor allem, und genau darin liegt der Punkt. Absolute Sicherheit gibt es nicht, sie hat es nie gegeben, und wer sie verkauft, lügt. Es gibt aber einen gewaltigen Unterschied zwischen einem Risiko, das man kennt und begrenzt, und einem Risiko, von dem man erst erfährt, wenn jemand anderes bereits in Ihren Systemen handelt. Diesen Unterschied können Sie heute noch herstellen, zu Bedingungen, die Sie selbst bestimmen. Später vielleicht nicht mehr, und dann bestimmt jemand anderes die Bedingungen.

Haftungsausschluss

Dieser Beitrag ist ein allgemeiner Informations- und Meinungsbeitrag. Er ersetzt keine Prüfung und keine Absicherung konkreter Systeme durch qualifizierte Fachleute, und die darin genannten Maßnahmen sind allgemeine Hinweise und keine auf Ihre Umgebung bezogene Beratung. Aussagen, die im Text als persönliche Einschätzung gekennzeichnet sind, sind persönliche Meinung und keine gesicherte Erkenntnis. Dieser Text enthält bewusst keine Anleitungen, Werkzeuge oder Vorgehensweisen zur Ausnutzung von Sicherheitslücken; das unbefugte Eindringen in fremde Systeme sowie das Ausspähen und Abfangen von Daten sind strafbar.

Quellen

• Anthropic. (2025, 13. November). Disrupting the first reported AI-orchestrated cyber espionage campaign. https://www.anthropic.com/news/disrupting-AI-espionage
• Anthropic. (2026, 7. April). Claude Mythos Preview: Alignment Risk Report und System Card. https://www.anthropic.com/claude-mythos-preview-risk-report
• Associated Press. (2026, 23. Juli). OpenAI says rogue AI models broke free from human control. Some see it as a 'warning shot'. https://abcnews.com/Technology/wireStory/openai-rogue-ai-models-broke-free-human-control-135011334
• Bitkom. (2025, 7. August). In Deutschland fehlen weiterhin mehr als 100.000 IT-Fachkräfte. Befragung von 855 Unternehmen. https://www.bitkom.org/Presse/Presseinformation/Deutschland-fehlen-IT-Fachkraefte
• Bitkom Research. (2025, 18. September). Wirtschaftsschutz 2025: Lagebild der deutschen Wirtschaft. Repräsentative Befragung von 1.002 Unternehmen. https://www.bitkom.org/sites/main/files/2025-09/bitkom-pressekonferenz-wirtschaftsschutz-cybercrime.pdf
• Born, G. (2026, 26. Juni). Windows 10: Microsoft verlängert kostenloses ESU bis Oktober 2027, zur Art der Kommunikation. https://borncity.com/blog/2026/06/26/windows-10-microsoft-verlaengert-kostenloses-esu-bis-oktober-2027/
• Bundesamt für Sicherheit in der Informationstechnik. (2025, 28. Oktober). Support-Ende: Zehntausende Exchange-Server gefährdet. https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251028_Support_Ende_Exchange-Server.html
• Bundesamt für Sicherheit in der Informationstechnik. (2025, 5. Dezember). Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft, mit Ankündigung der Portalfreischaltung zum 6. Januar 2026. https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251205_NIS-2-Umsetzungsgesetz_in_Kraft.html
• Bundesamt für Sicherheit in der Informationstechnik. (2025, 11. November). Die Lage der IT-Sicherheit in Deutschland 2025. https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2025_Achtseiter.pdf
• Bundesamt für Sicherheit in der Informationstechnik. (2026, 8. Mai). KI-Modelle revolutionieren den Umgang mit Sicherheitslücken. https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Blog/KI-Modelle_neue_Zeitrechnung_260508.html
• Bundesamt für Sicherheit in der Informationstechnik. (2026, Juni). Cybersicherheitswarnung zu den Auswirkungen agentischer KI-Systeme auf die Cybersicherheit von Organisationen. https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-262788-1032.pdf
• Bundesregierung. (2026, 22. Juli). Regierungspressekonferenz vom 22. Juli 2026, Mitschrift, mit den Stellungnahmen des Digitalministeriums zum OpenAI-Vorfall und zum KI-Sicherheitsinstitut. https://www.bundesregierung.de/breg-de/aktuelles/regierungspressekonferenz-vom-22-juli-2026-2448122
• CNBC. (2026, 30. Juni). Anthropic says Trump admin has lifted export controls on Claude Fable 5 and Mythos 5. https://www.cnbc.com/2026/06/30/anthropic-says-trump-admin-has-lifted-export-controls-on-claude-fable-5-and-mythos-5.html
• CrowdStrike. (2026, 24. Februar). 2026 Global Threat Report: AI Accelerates Adversaries. https://www.crowdstrike.com/en-us/press-releases/2026-crowdstrike-global-threat-report/
• ENTSO-E. (2026, 20. März). Expert Panel Final Report on the 28 April 2025 Blackout in Spain and Portugal. https://www.entsoe.eu/news/2026/03/20/entso-e-publishes-expert-panel-final-report-on-28-april-2025-blackout-in-spain-and-portugal/
• Europäische Zentralbank. (2025, November). TARGET Services incident of 27th February 2025. https://www.ecb.europa.eu/press/intro/publications/pdf/ecb.miptopical251107.en.pdf
• Franceschi-Bicchierai, L. (2026, 22. Juli). How OpenAI's human mistake led to the AI-powered hack on Hugging Face. TechCrunch. https://techcrunch.com/2026/07/22/how-an-openais-human-mistake-led-to-the-ai-powered-hack-on-hugging-face/
• Hugging Face. (2026, 16. Juli). Security incident disclosure, July 2026. https://huggingface.co/blog/security-incident-july-2026
• KommunalWiki, Heinrich-Böll-Stiftung. (2023). Cyberangriff auf die Südwestfalen-IT 2023. https://kommunalwiki.boell.de/index.php/Cyberangriff_auf_die_S%C3%BCdwestfalen-IT_2023
• Max-Planck-Gesellschaft. (2026, 28. Mai). KI-Agenten und Cybersicherheit, Interview mit Thorsten Holz zu den ExploitGym-Ergebnissen. https://www.mpg.de/26548439/gefahr-neuer-sprachmodelle-wie-claude-mythos-fuer-cybersicherheit
• Microsoft. (2024, 20. Juli). Statement zum CrowdStrike-Ausfall, zitiert nach CNBC. https://www.cnbc.com/2024/07/20/microsoft-says-about-8point5-million-of-its-devices-affected-by-crowdstrike-related-outage.html
• OpenAI. (2026, 21. Juli). OpenAI and Hugging Face partner to address security incident during model evaluation. https://openai.com/index/hugging-face-model-evaluation-security-incident/
• Satter, R., Seetharaman, D., und Cai, K. (2026, 24. Juli). Exclusive: Its AI agent spent days hacking a company, but sources say OpenAI did not notice for a week. Reuters, hier nach der Volltextwiedergabe bei The Star. https://www.thestar.com.my/tech/tech-news/2026/07/25/exclusive-its-ai-agent-spent-days-hacking-a-company-but-sources-say-openai-did-not-notice-for-a-week
• Wang, Z., Schiller, N., Li, H., Sesha Narayana, S., Nasr, M., Carlini, N., Qi, X., Wallace, E., Bursztein, E., Invernizzi, L., Thomas, K., Shoshitaishvili, Y., Guo, W., He, J., Holz, T., und Song, D. (2026, 11. Mai). ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? Preprint, arXiv:2605.11086. https://arxiv.org/abs/2605.11086
• Willison, S. (2026, 22. Juli). OpenAI's accidental cyberattack against Hugging Face is science fiction that happened. https://simonwillison.net/2026/Jul/22/openai-cyberattack/
• WinFuture. (2026, 25. Januar). BSI warnt: 81 Prozent deutscher Exchange-Server offen für Angreifer, mit Zahlen des CERT-Bund. https://winfuture.de/news,156387.html