Cybersicherheit

Was tut KI hier?

• Schwachstellensuchegenerative KIErprobung

  Sprachmodelle und Agenten durchsuchen Quellcode, finden Fehler und schätzen ihre Schwere, teils mit Nachweis, wie sich ein Fehler ausnutzen lässt.

  Google Big Sleep (2024, 2025); Prüfung des Browsers Firefox durch Anthropic und Mozilla (2026); KI-gestütztes Audit des Programms curl (2025/2026)1, 2, 3, 4

• Lücken automatisch schließengenerative KIForschung

  Systeme erzeugen für gefundene Lücken selbst Korrekturen und prüfen sie.

  Finale der AI Cyber Challenge der Forschungsbehörde des US-Verteidigungsministeriums (DARPA), August 20255

• Phishinggenerative KIAlltag

  Angreifer schreiben mit KI überzeugende, persönlich zugeschnittene Betrugsnachrichten in großer Zahl (Phishing).

  Bedrohungslage 2025 der EU-Agentur für Cybersicherheit (ENISA)6

• Stimm- und Videofälschungengenerative KIAlltag

  Geklonte Stimmen und gefälschte Videokonferenzen täuschen über die Person am anderen Ende.

  Das Ingenieurunternehmen Arup verlor Anfang 2024 rund 25 Millionen US-Dollar nach einer Videokonferenz mit gefälschten Führungskräften7

• KI-gesteuerte Angriffegenerative KIErprobung

  Agenten führen Teile von Angriffen selbst aus; Schadsoftware fragt während der Ausführung Sprachmodelle ab.

  Spionagekampagne mit dem Modell Claude (Bericht von Anthropic, November 2025); Schadsoftware PROMPTSTEAL (Google, 2025)8, 9

• KI als Angriffszielgenerative KIAlltag

  Angreifer verstecken Anweisungen in Dokumenten, die ein Sprachmodell verarbeitet (Prompt Injection), oder stehlen gespeicherte Chatverläufe.

  Browsererweiterung mit über 600.000 Installationen, die Chatverläufe abgriff (Microsoft, Dezember 2025); Basismaßnahmen des BSI gegen indirekte Prompt Injection (September 2026)10, 11

Was ist belegt?

• Im Finale der DARPA AI Cyber Challenge im August 2025 fanden selbsttätige Systeme 54 von 63 eingebauten Lücken und behoben 43, im Schnitt nach 45 Minuten. Nebenbei entdeckten sie 18 echte, bis dahin unbekannte Lücken in offener Software.5
• Ein KI-gestütztes Audit fand in gut einem Jahr 35 veröffentlichte Lücken mit CVE-Nummer im weit verbreiteten Programm curl, mehr als jede Gruppe oder Person zuvor. Das bestätigt der vom Prüfer unabhängige Projektleiter.4
• Anthropic und Mozilla fanden im Februar 2026 mit dem Modell Claude Opus 4.6 binnen rund zwei Wochen 22 Lücken in Firefox, 14 davon schwerwiegend (Angabe des Herstellers).3 Das entspricht fast einem Fünftel aller 2025 in Firefox behobenen schwerwiegenden Lücken.
• Über das Programm Project Glasswing stellt Anthropic ausgewählten Partnern ein nicht allgemein verfügbares Modell zur Suche nach Lücken bereit. Nach Angaben von Anthropic fanden die Partner von April bis Juli 2026 mindestens 129.000 bestätigte Lücken, über 33.000 davon kritisch oder schwerwiegend. Wie viele behoben sind, ist unklar, weil weniger als die Hälfte der Partner Zahlen dazu meldete.12, 13

Wo liegen Grenzen und Schäden?

• Das BSI warnte am 22. Juni 2026, KI senke Aufwand und Einstiegshürden für Angriffe deutlich. Angreifer profitierten von Tempo und Automatisierung, Verteidiger würden durch Tests, Freigaben und Wartungsfenster gebremst.14
• Über 99 % der Lücken, die das Modell Claude Mythos Preview gefunden hatte, waren bei seiner Vorstellung im April 2026 noch nicht behoben. Die meisten Funde waren damals noch nicht offengelegt und lagen in der Frist, die Hersteller zum Beheben erhalten (Angabe von Anthropic).15 Die Linux Foundation, selbst Partner von Glasswing, warnt vor einer Welle KI-gefundener Zero-Day-Lücken und sieht die Betreuer offener Software stark unter Druck.16
• Nach Angaben der ENISA waren Anfang 2025 über 80 % der beobachteten Täuschungsangriffe KI-gestützt. Die Agentur gibt den Wert aus einer Drittquelle wieder.6
• Ein Krimineller automatisierte 2025 mit Claude Code Erkundung, Diebstahl von Zugangsdaten und Eindringen in Netzwerke. Er griff mindestens 17 Organisationen an, darunter aus Gesundheitswesen, Rettungsdiensten und Verwaltung, und drohte mit der Veröffentlichung gestohlener Daten, um Lösegeld von teils über 500.000 US-Dollar zu erpressen (Bericht von Anthropic).17
• Beim Projekt curl waren 2025 bis Anfang Juli rund 20 % der Sicherheitsmeldungen im Prämienprogramm für gefundene Lücken KI-erzeugter Ausschuss und nur etwa 5 % echte Lücken. Jede Meldung bindet drei bis vier Mitglieder des siebenköpfigen Sicherheitsteams (Angaben des Projektgründers).18

Wie geht es bis 2029 weiter?

Heute spürbar, 2029 stark. Angreifer und Sicherheitsforscher nutzen KI breit, und ihre Fähigkeiten bei der Schwachstellensuche wachsen steil. In der Abwehr der meisten Unternehmen ist KI noch nicht Standard; bis 2029 dürfte KI Suche und Vorsortierung großteils übernehmen; Menschen prüfen die Funde und entscheiden über Sicherheitskorrekturen (Patches).19, 20, 21, 22

Was beim Menschen bleibt. Menschen prüfen KI-Funde, entscheiden über Patches, Abschaltungen und Meldungen und verantworten den Umgang mit Sicherheitsvorfällen.

Geschätzt aus den Belegen dieses Blatts. Wie die Werte entstehen

Was ändert sich für die Arbeit?

Sicherheitsforschende erhalten Werkzeuge, die Suche und Bewertung von Lücken stark beschleunigen. Menschliche Prüfung bleibt nötig, etwa bei Schweregraden und Fehlalarmen.3, 15, 4 Die Last verschiebt sich zu Sichtung, Korrektur und Abstimmung bei Herstellern, Betreibern und den Betreuern offener Software.14, 13, 16, 18 Auf Angreiferseite übernehmen Agenten Teile der Handarbeit; an wenigen Entscheidungspunkten greifen weiter Menschen ein.8

Welche Regeln gelten?

Das deutsche Gesetz zur Umsetzung der EU-Richtlinie über Netz- und Informationssicherheit (NIS-2) wurde am 5. Dezember 2025 verkündet. Betroffene Einrichtungen müssen sich beim BSI registrieren; die gesetzliche Frist dafür ist laut BSI abgelaufen.31

Nach dem Cyber Resilience Act müssen Hersteller seit 11. September 2026 aktiv ausgenutzte Lücken melden, die Hauptpflichten gelten ab 11. Dezember 2027.32 Hochrisiko-KI muss gegen Manipulation wie vergiftete Trainingsdaten widerstandsfähig sein (Art. 15 Abs. 5 KI-Verordnung), ab Dezember 2027 bzw. August 2028.35