Mit DeepSeek verdoppeln chinesische Hackergruppen ihre Schlagzahl. Seit die Gruppen das billige KI-Modell für Routinearbeit und Schadcode einsetzen, ist ihr Angriffsvolumen laut dem taiwanischen Sicherheitsunternehmen TeamT5 um mehr als das Doppelte gestiegen. Ein dokumentierter Fall der Forscher von Palo Alto Networks zeigt, wie weit die Automatisierung schon reicht und wo ihre Grenzen liegen.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- Staatsnahe chinesische Gruppen haben ihr Angriffsvolumen mehr als verdoppelt, seit sie DeepSeek für Routineaufgaben und Schadsoftware nutzen (TeamT5).
- In einer von Palo Alto Networks dokumentierten Kampagne steuerte ein Einzeltäter DeepSeek über das Framework Hermes Agent gegen mehr als 460 Ziele.
- Die vollautomatischen Angriffe drangen in keinen Server ein. Jeder bestätigte Einbruch ging auf einen Menschen zurück.
- Der Hebel ist der Preis, nicht die Genialität. Ein Modell mit schwachen Sperren senkt die Kosten für Massenscans drastisch.
Wie überlässt ein Angreifer der KI die Drecksarbeit?
Startbefehl genügt. In dem von Palo Alto Networks untersuchten Fall steuerte ein Akteur aus dem südchinesischen Zhuhai DeepSeek über das quelloffene Hermes Agent per Telegram.[1] Nach einer einzigen Anweisung durchsuchte das System das Netz nach angreifbaren Anwendungen, lud öffentliche Exploit-Skripte von GitHub und probierte sie aus. Ein Freigabemodus namens Yolo schaltete jede Rückfrage ab.
Magere Bilanz. Von rund 25.000 offen erreichbaren Instanzen der Automatisierungssoftware n8n peilte der Agent etwa hundert an. Die hochwertigen Exploits scheiterten an fehlenden Zugangsdaten, sieben Schwachstellen bis zur Höchststufe blieben Versuch. Erst als der Mensch selbst Hand anlegte, gelang der Zugriff auf einige Citrix- und Marimo-Systeme.
Warum fällt die Wahl auf DeepSeek?
Leistung zum Nulltarif. DeepSeek sei mächtig und habe zugleich sehr niedrige Sicherheitsleitplanken, sagt Charles Li, Chefanalyst bei TeamT5. Westliche Modelle verlangten deutlich mehr Aufwand, um ihre Schutzmechanismen auszuhebeln. Das Moonshot-Modell Kimi K3 tauche in den beobachteten Angriffen gar nicht auf, denn es gilt den Tätern als zu teuer.
Breiter Nutzerkreis. TeamT5 nennt drei staatsnahe Gruppen: Grimfengxi schrieb Exploit-Code, Huapi attackierte das E-Mail-System eines taiwanischen Unternehmens, Teleboyi sammelte tausend IP-Adressen und kartierte Firmendomänen. Der von Palo Alto beobachtete Einzeltäter dagegen gilt den Forschern als unabhängig, nicht als staatlich gelenkt.
Die eigentliche Nachricht ist nicht der autonome Superhacker, sondern der Preis: Ein Werkzeug für Bruchteile eines Cents pro Anfrage macht aus Gelegenheitstätern Fließbandangreifer. Gepatchte und nicht offen erreichbare Systeme entziehen dieser Masse die Angriffsfläche.
— Markus Seyfferth, Chefredakteur Dr. Web
Das Muster reiht sich in eine Serie ein. Schon Cisco ließ KI-Modelle auf den eigenen Code los und fand fünf Lücken der Höchststufe. Die Debatte um die eigene Identität von KI-Agenten zeigt, wie dünn die Kontrollschicht solcher Systeme noch ist. Genauso ungeklärt bleibt, wie ein Agent im Ernstfall richtig stoppt. Wo Angreifer im Sekundentakt nach offenen Diensten suchen, entscheidet die Frage, welche Sicherheitslücken zuerst geschlossen werden.
Was bedeutet das für Unternehmen im DACH-Raum?
Hygiene statt Panik. Die Angriffe trafen offen erreichbare, ungepatchte Standardsoftware. Das BSI ordnet automatisiertes Massenscannen seit Jahren als Dauerlast ein. Die NIS-2-Pflichten verlangen ein belastbares Management der eigenen Angriffsfläche. Drei Schritte helfen sofort: Verwaltungsoberflächen aus dem offenen Netz nehmen, kritische Lücken nach Ausnutzbarkeit priorisieren, Angriffsversuche auf Anwendungsebene protokollieren.
Frischer Präzedenzfall. Anthropic meldete im November 2025 eine mutmaßlich staatlich gelenkte Kampagne, die Claude Code zu 80 bis 90 Prozent selbstständig gegen rund 30 Ziele einsetzte. Ein Teil der Einbrüche gelang.[2] Offene Modellgewichte lassen sich schwerer bändigen als ein zentraler Dienst. Genau darum kreist auch die Aufsichtsdebatte um den KI-Einsatz in Europa.
FAQ: DeepSeek als Hackerwerkzeug
Wurde DeepSeek selbst gehackt?
Nein. DeepSeek wurde nicht kompromittiert, sondern als Werkzeug missbraucht. Angreifer nutzen das frei verfügbare Modell als Denk- und Steuerungsschicht für ihre eigenen Angriffsabläufe. Das Sicherheitsproblem liegt in den schwachen Schutzsperren des Modells, nicht in einer Lücke bei DeepSeek.
Können KI-Modelle Unternehmen schon eigenständig hacken?
Bisher nicht zuverlässig. In der von Palo Alto Networks dokumentierten Kampagne drangen die vollautomatischen Angriffe in keinen Server ein. Jeder bestätigte Einbruch ging auf einen Menschen zurück. Die KI beschleunigt Suche und Vorbereitung, der eigentliche Zugriff bleibt vorerst Handarbeit.
Was ist das Hermes Agent Framework?
Hermes Agent ist ein quelloffenes Agenten-Framework, das ein Sprachmodell mit dem Betriebssystem verbindet. Es kann Befehle im Terminal ausführen, das Internet abfragen und Skripte starten. Ein Freigabemodus namens Yolo schaltet dabei jede Rückfrage ab, sodass das System ohne Zwischenkontrolle handelt.
Welche Systeme waren betroffen?
Die Angriffe zielten auf offen im Netz erreichbare, ungepatchte Standardsoftware. Genannt sind unter anderem die Automatisierungswerkzeuge n8n und Langflow sowie Citrix NetScaler und das Python-Notebook Marimo. Getroffen wurden also verwundbare Dienste am Netzrand, keine gut abgesicherten Kernsysteme.
Wie schützen sich Unternehmen vor KI-gestützten Angriffen?
Der wirksamste Schutz ist klassische Hygiene: Verwaltungsoberflächen aus dem offenen Netz nehmen, kritische Lücken nach Ausnutzbarkeit priorisiert schließen und Angriffsversuche auf Anwendungsebene protokollieren. Massenhafte automatisierte Scans laufen ins Leere, wenn keine offene Angriffsfläche bereitsteht.
Quellen
[1] Palo Alto Networks Unit 42: „AI-Enabled Autonomous Cyberattack Campaign“
[2] Anthropic: „Disrupting the first reported AI-orchestrated cyber espionage campaign“
Mehr Newshunger?
- MCP-Roadmap: Der KI-Agent braucht eine eigene Identität
- Cisco findet mit KI-Modellen fünf Lücken der Höchststufe im eigenen Code
- WP Triage: Ein Dienst sortiert WordPress-Sicherheitslücken nach Dringlichkeit
- Wie stoppt ein KI-Agent im Ernstfall richtig?
- TikTok zahlt 348 Millionen Euro im US-Verfahren um Kinderdaten
