In nur vier Tagen knackten bis zu acht KI-Agenten 85 Konten taiwanischer Behörden, gesteuert von einem weitgehend selbstständig arbeitenden System. Die Angreifer bauten das Werkzeug aus frei verfügbaren Agenten-Frameworks zusammen, ganz ohne die Sicherheitssperren kommerzieller Anbieter. Für Betreiber kritischer Infrastruktur in der DACH-Region verschiebt der Fall die Bedrohungslage.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Ein KI-Cyberangriff auf Regierungsstellen galt lange als Zukunftsszenario, in Taiwan wurde er im Juli konkret. Nach einer Analyse der israelischen Sicherheitsfirma Dream kartierten die Angreifer 21 Behördennetze, knackten 85 Konten und zogen mehr als 2.500 Personaldatensätze ab.[1] Betroffen waren unter anderem die Atomaufsicht, ein staatliches E-Mail-System und mehrere Energieversorger.
Das Wichtigste in Kürze
- Über vier Tage steuerten bis zu acht KI-Agenten den Angriff weitgehend selbst.
- Das Werkzeug entstand aus den Open-Source-Frameworks OpenClaw und Hermes, ohne dass eine Anbieter-Sperre zu umgehen war.
- Im November 2025 hatte Anthropic einen ähnlichen, KI-gesteuerten Spionagefall offengelegt, damals noch gegen Firmenziele.
- Energie und Atomaufsicht zählen im DACH-Raum zu den KRITIS-Sektoren mit BSI-Meldepflicht.
Wie autonom war der Angriff wirklich?
Den Kern bildeten zwei quelloffene KI-Agenten-Systeme, OpenClaw und Hermes, die Aufklärung und Angriff koordinierten. In sogenannten Learning Cycles durchsuchten die Agenten selbstständig Schwachstellen-Datenbanken, GitHub-Repositories und Security-Publikationen nach passenden Techniken und passten ihr Vorgehen bei Widerstand an, ohne dass ein Mensch eingriff.[1] Bis zu acht Agenten liefen dabei parallel.
Vollständig sich selbst überlassen war das System trotzdem nicht. Laut Dream verlangte der Aufbau erhebliche menschliche Feinarbeit bei Koordination und Zielauswahl. Neu ist die Arbeitsteilung: Menschen richten das Gerüst ein, die Maschine erledigt die Fleißarbeit im Minutentakt. Dass KI Schwachstellen schneller findet, nutzt inzwischen auch die Verteidigung.
Ist das ein Einzelfall?
Nein. Im November 2025 legte der KI-Anbieter Anthropic den ersten dokumentierten, KI-orchestrierten Spionagefall offen: Eine staatsnahe Gruppe aus China hatte das Werkzeug Claude Code so manipuliert, dass die KI rund 80 bis 90 Prozent der Operation gegen etwa 30 Ziele selbst ausführte.[2] Damals mussten die Angreifer eine kommerzielle KI erst mit einer Tarngeschichte austricksen.
Genau diese Hürde entfällt bei quelloffenen Agenten. In Taiwan hing keine Anbieter-Sperre mehr dazwischen, die Schutzlogik der großen Modelle lief ins Leere. Auf einen Betreiber mit China-Bezug deuten laut Dream vereinfachte chinesische Schriftzeichen hin, bestätigt ist die Herkunft weder von Taiwan noch von Dream. Kompromittierte Konten bleiben das häufigste Einfallstor, wie zuletzt der Snowflake-Datenabfluss zeigte.
Die eigentliche Zäsur ist nicht die Rechenleistung, sondern die Verfügbarkeit: Frei kombinierbare Agenten drücken die Einstiegshürde für staatsnahe Angreifer weiter nach unten. Verteidiger gewinnen nur, wenn sie dieselbe Automatisierung auf ihre Seite holen.
— Markus Seyfferth, Chefredakteur Dr. Web
Was heißt das für Unternehmen in der DACH-Region?
Die Ziele des Angriffs lesen sich wie eine KRITIS-Sektorenliste: Energieversorger und Atomaufsicht fallen im deutschen Recht unter die NIS2-Umsetzung und die Meldepflicht beim BSI. Betreiber solcher Anlagen müssen Vorfälle binnen enger Fristen melden und eine Angriffserkennung nachweisen. Das BSI warnt seit Monaten vor KI-gestützter Aufklärung, die Angriffe beschleunigt.
Eine regulatorische Lücke kommt hinzu. Quelloffene KI-Modelle sind vom EU AI Act weitgehend ausgenommen, solange sie kein systemisches Risiko tragen. Ausgerechnet die Frameworks, auf denen der Taiwan-Angriff lief, fallen damit kaum unter die Pflichten des Gesetzes.
Für die Praxis zählt Tempo. Setzen Sie phishing-resistente Mehr-Faktor-Anmeldung durch, verkürzen Sie Ihre Patch-Zyklen und überwachen Sie automatisierte Scans im eigenen Netz. Zwischen Beispielcode und erstem Angriff liegt oft nur ein Tag, wie die jüngste SharePoint-Lücke zeigte. Wie stark der Staat inzwischen in Abwehr investiert, belegt der Auftragsschub bei secunet.
Quellen
[1] Dream: „Inside a Multi-Agent AI Framework Used to Compromise Government Entities in Asia“
[2] Anthropic: „Disrupting the first reported AI-orchestrated cyber espionage campaign“
Mehr Newshunger?
- Dahua erhält das IEC-62443-Zertifikat, die Vertrauensfrage bleibt offen
- Gunra-Ransomware: Zwei alte Fortinet-Lücken öffnen die Firewall
- Offener Gastzugang: 17 Monate las ein Fremder in Salesforce- und ServiceNow-Portalen
- Microsoft-365-Postfach gekapert: Rüstungszulieferer IEH findet keine Spur des Datenabflusses
- KI findet Schwachstellen schneller: CrowdStrike öffnet QuiltWorks für den Mittelstand
