Anthropic-Bedrohungsbericht: Was ändert sich für die Abwehr?

Anthropic-Bedrohungsbericht: KI-Agenten bauen Schadsoftware um, bis kein Scanner anschlägt

Michael Dobler

Autor Dr. Web

11. September 2026

2 Min. Lesezeit

Anthropic hat seinen Bedrohungsbericht am 10. September 2026 veröffentlicht. Ein Befund darin trifft jede IT-Abteilung: Angreifer lassen KI-Agenten den eigenen Schadcode so lange gegen gängige Schutzprogramme testen und umbauen, bis kein Produkt mehr anschlägt.^[1] Raketensteuerung und Biologie füllen die Schlagzeilen zum Bericht. Für den Alltag deutscher Unternehmen zählt das erste Kapitel.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Das Wichtigste in Kürze

Der Bericht dokumentiert acht Monate von Dezember 2025 bis August 2026 und sortiert die Fälle in sieben Schadensfelder.
Eine russlandnahe Gruppe ließ ihre Agenten am Schadcode feilen, bis kein Sicherheitsprodukt mehr ansprang.
Mehr als 20 Organisationen standen im Visier dieser einen Operation, darunter Ministerien, Botschaften und Zulieferer der Drohnenindustrie.
Anthropic räumt ein, dass aktuelle Modelle die Schwelle zur biologischen Gefahr nicht mehr sicher unterschreiten.

Wie hebelt ein KI-Agent die Signaturerkennung aus?

Haufenweise Schlüssel, die aus einer kleinen, industriellen Metallpresse quellen — Russische Hacker der Operation Midnight Blizzard entwickeln Schadcode iterativ weiter, bis Sicherheitsprodukte ihn nicht mehr erkennen

Die Schleife schließt sich beim Angreifer. Anthropic führt eine Gruppe unter der Kennung GTG-20006 und hält die Zuordnung zur russischen Operation Midnight Blizzard für schlüssig. Deren Agenten überwachten laufend, ob Sicherheitsprodukte den ausgelieferten Schadcode erkannten. Schlug ein Produkt an, änderten die Agenten den Code selbstständig und bauten ihn neu, bis die Erkennung ausblieb. Erst danach landete die Datei auf Wegwerf-Servern, von denen die Opfer sie abholten.^[1] Anthropic zieht daraus einen nüchternen Schluss: Die Kosten kippen zurück auf die Verteidiger. Früher bremste eine frische Signatur das Tempo des Angreifers. Heute schließt der Angreifer die Lücke schneller, als die Hersteller neue Erkennungsmuster ausliefern.

Welche Ziele traf diese eine Operation?

Mehr als 20 Organisationen. Ministerien, Nachrichtendienste, Botschaften, Denkfabriken und Rüstungsunternehmen tauchten in Planung, Aufklärung oder laufendem Angriff auf, vor allem in der Ukraine und in Europa. Besonderes Interesse galt der Drohnen-Lieferkette. Die Gruppe exportierte die Postfächer von mindestens zwei Zulieferern komplett und entwendete ein vollständiges Software-Entwicklungspaket für ein Drohnen-Bildsystem samt Stückliste und Lieferantenliste.^[1] Für mittelständische Betriebe wiegt der Umweg schwerer: Um an einzelne Personen heranzukommen, kaperte die Gruppe drei Dienstleister für Hotel-Gäste-WLAN und lenkte den Verkehr der Gäste per manipulierter DNS-Einträge auf eigene Server.

Der Satz, der deutsche Firmen wirklich betrifft, steht nicht bei den Raketen, sondern im Kapitel davor: Angreifer testen ihre Schadsoftware selbst gegen die Schutzprodukte und liefern erst aus, was durchkommt. Eine allein signaturbasierte Abwehr dokumentiert damit nur noch, was gestern schon aufgefallen ist.
— Markus Seyfferth, Chefredakteur Dr. Web

Kein Einzelfall. Das Betriebsmodell, das Anthropic im November 2025 noch bei einer einzelnen staatsnahen Kampagne beschrieb, findet sich inzwischen bei jedem untersuchten Akteurstyp.^[1] Frei verfügbare Angriffs-Frameworks liefern dieselbe Mechanik zum Herunterladen. Die Münchener Rück beobachtet denselben Effekt in ihrer Schadenstatistik und beschreibt den Cyberangriff als Massengeschäft. Wie billig das Werkzeug inzwischen ist, zeigte die Verdopplung des chinesischen Angriffsvolumens mit DeepSeek. Auch OpenAI stuft sein Modell Astra als kritisch für Cyberfähigkeiten ein.

Acht Monate KI-Missbrauch in Zahlen

Anthropic-Bedrohungsbericht, dokumentierter Zeitraum Dezember 2025 bis August 2026

Schadensfelder, von Cyberangriffen über Überwachung bis zur Waffenentwicklung

20+

Organisationen im Visier der Gruppe GTG-20006, darunter Ministerien und Botschaften

1,8 Mio.

Android-Apps, die ein Erpresser-Netzwerk automatisiert nach fest eingebauten Zugangsdaten durchsuchte

Fälle zu konventionellen Waffen: drei in China, zwei in Russland, einer im Jemen

Die Kette, die der Agent übernimmt

Schritt 1

Agenten sammeln Ziele aus öffentlichen Quellen und richten Domains sowie Versandwege für die Phishing-Mails ein

Schritt 2

Agenten testen den Schadcode gegen gängige Sicherheitsprodukte und bauen ihn bei jedem Treffer neu

Schritt 3

Agenten ordnen hunderte Gigabyte erbeuteter Daten und halten den Zugang über eingeschleuste Geräte offen

Was verlangt die EU von Anbietern und Betreibern?

Meldepflicht auf zwei Seiten. Für Anbieter allgemeiner KI-Modelle mit systemischem Risiko gilt seit dem 2. August 2025 Artikel 55 der KI-Verordnung: Schwerwiegende Vorfälle gehen unverzüglich an das Büro für Künstliche Intelligenz und an die zuständigen nationalen Behörden.^[2] Anthropic hat den Bericht aus eigenem Antrieb veröffentlicht; die Meldepflicht gegenüber der Aufsicht bleibt davon unberührt. Auf der Gegenseite stehen die Betreiber. Artikel 32 DSGVO verlangt von ihnen den Stand der Technik. Für Einrichtungen unter dem BSIG kommt die NIS2-Haftung hinzu. Eine Abwehr, die allein auf bekannte Muster wartet, genügt diesem Maßstab nicht mehr.

Zwei Schritte lohnen kurzfristig. Der erste betrifft den Endpunktschutz: Reagiert er auch ohne passende Signatur auf auffälliges Verhalten? Der zweite betrifft die Lieferkette: Genau dort setzte GTG-20006 an, deshalb gehört jeder Dienstleister mit Zugang zu Netz oder Postfach auf eine Liste. Den Rahmen dafür liefern die Cybersecurity-Grundlagen für den Mittelstand.