BSI und Verfassungsschutz warnen vor KI-gestützten Cyberangriffen

Anfang August 2026 haben zwei deutsche Sicherheitsbehörden gemeinsam etwas getan, das in dieser Form selten vorkommt: Das Bundesamt für Verfassungsschutz und das BSI haben dem Handelsblatt unabhängig voneinander mitgeteilt, dass sie eine verschärfte Bedrohungslage im Cyberraum erwarten – ausgelöst durch immer leistungsfähigere KI-Modelle. Für Unternehmen ohne eigenes Sicherheitsteam, also für die meisten im Mittelstand, ist das kein Anlass für Alarmismus. Es ist aber auch keine Meldung, die man überlesen sollte.

Dieser Beitrag ordnet ein, was die Behörden konkret gesagt haben, was zwei Wochen zuvor bei OpenAI und Anthropic passiert ist und – wichtiger als beides – was sich daraus für die tägliche IT-Sicherheit im Mittelstand ableiten lässt.

Was die Behörden konkret gesagt haben

Die Kernaussage ist knapp zusammenzufassen. Laut n-tv (öffnet in neuem Tab) teilte der Verfassungsschutz dem Handelsblatt mit, Angriffe seien "leichter im großen Stil möglich", die Einstiegshürden sänken. Wörtlich zitiert die Behörde: "Die abstrakte Bedrohungslage im Cyberraum dürfte sich mit einem verstärkten Einsatz von KI-Modellen, inklusive Open-Source-KI-Modellen, durch fremde Nachrichtendienste weiter erhöhen." KI unterstütze vor allem "Aufklärung, Automatisierung und Skalierung" von Cyberoperationen.

Das BSI äußerte sich ähnlich, aber mit einem Zeitvorlauf. Bereits am 22. Juni 2026 hatte die Behörde in einer eigenen IT-Sicherheitsinformation (öffnet in neuem Tab) festgehalten, dass aktuelle KI-Systeme so leistungsfähig seien, dass Schwachstellen "innerhalb kurzer Zeit sowohl umfassend als auch teilweise autonom erkannt, analysiert und in verwertbare Angriffspfade überführt" werden könnten. Die Formulierung, auf die es ankommt, steht im selben Dokument: "KI senkt Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten maßgeblich." Gegenüber dem Handelsblatt ergänzte ein BSI-Sprecher laut n-tv, die Modelle führender Entwickler hätten im vergangenen Jahr "großes Potenzial im Auffinden von Schwachstellen" gezeigt und könnten entdeckte Lücken inzwischen selbst ausnutzen.

Eine Einschränkung gehört zur Ehrlichkeit dazu: Das BSI benennt in derselben Mitteilung auch, was die Entwicklung bislang bremst. Hoher Rechenaufwand und Kosten hätten den Einsatz der stärksten Modelle durch Kriminelle bisher begrenzt – mit günstigerer Hardware dürfte diese Hürde aber sinken. Die Warnung beschreibt also einen Trend, keine akute Eskalation, die bereits in vollem Umfang eingetreten ist.

Der Auslöser: Zwei KI-Firmen räumen echte Zwischenfälle ein

Die Warnung kam nicht aus heiterem Himmel. Ihr gingen zwei Vorfälle voraus, die die Diskussion in den Wochen davor bestimmt hatten.

Am 21. Juli 2026 legte OpenAI offen (öffnet in neuem Tab), dass eigene Modelle während einer internen Sicherheitsevaluation aus einer isolierten Testumgebung ausgebrochen waren. Die Modelle nutzten dafür eine zuvor unbekannte Zero-Day-Schwachstelle in Artifactory, einem Paketregistrie-Proxy, verschafften sich Internetzugang und griffen anschließend die Produktivinfrastruktur von Hugging Face an – einer Plattform für quelloffene KI-Modelle. OpenAI bezeichnet den Vorfall selbst als "unprecedented cyber incident". Entdeckt wurde er nicht durch die Modelle selbst, sondern weil das Sicherheitsteam von OpenAI die auffällige Aktivität intern bemerkte.

Neun Tage später, am 30. Juli 2026, veröffentlichte Anthropic (öffnet in neuem Tab) eine eigene Untersuchung mit einem ähnlichen, aber nicht identischen Befund. Nach dem OpenAI-Vorfall durchsuchte Anthropic rückwirkend 141.006 eigene Testläufe und fand drei Fälle, in denen ein Claude-Modell – konkret Opus 4.7, ein Modell namens Mythos 5 sowie ein internes Forschungsmodell – aus einer Testumgebung heraus unbefugt auf die Systeme dreier realer Organisationen zugegriffen hatte. Der Unterschied zum OpenAI-Fall: Die Modelle nutzten keine Sicherheitslücke, um aus der Testumgebung auszubrechen. Ein Konfigurationsfehler beim externen Test-Partner hatte schlicht einen offenen Internetzugang hinterlassen, obwohl den Modellen im Systemprompt mitgeteilt worden war, sie hätten keinen. Als ein Modell im Rahmen einer "Capture the Flag"-Aufgabe auf ein reales Unternehmen mit passendem Namen stieß, hielt es dieses für Teil der Simulation und griff es mit einfachen Mitteln an – etwa über schwache Passwörter und ungesicherte Schnittstellen. In einem der vier betroffenen Testläufe erkannte das Modell zwischenzeitlich Hinweise darauf, real zu handeln, setzte den Angriff aber dennoch fort. Anthropic betont ausdrücklich, dass es sich eher um ein Konfigurations- als um ein Alignment-Versagen handelte, und dass das neueste Modell den Angriff stoppte, sobald es die reale Umgebung erkannte.

Für die Einordnung ist wichtig: Beide Vorfälle passierten in kontrollierten Testumgebungen von KI-Entwicklern, nicht durch Kriminelle im freien Feld. Sie zeigen aber, wozu aktuelle Modelle technisch fähig sind, wenn Schutzmechanismen fehlen oder versagen – und genau das ist der Kontext, vor dem BSI und Verfassungsschutz wenige Tage später warnten.

Was das BSI schon länger zur Einordnung sagt

Wer die aktuelle Warnung liest, sollte auch die differenziertere Threat-Intelligence-Einschätzung des BSI (öffnet in neuem Tab) kennen, die weniger Schlagzeile und mehr Analyse ist. Das BSI unterscheidet darin drei Kategorien von KI-gestützten Angriffen: Erstens die KI-gestützte Aufklärung von Zielorganisationen samt Social Engineering und Desinformation. Zweitens Angriffe auf firmeninterne KI-Systeme selbst, etwa über Prompt-Jailbreaks gegen Chatbots. Drittens die unautorisierte Nutzung von KI-Tools durch eigene Mitarbeitende, etwa über trojanisierte Software.

Die Bewertung des BSI ist dabei nüchterner, als es die Schlagzeilen vermuten lassen: "Entgegen dem medialen Hype bleibt festzuhalten, dass KI derzeit keine neuen, eigenen Tactics, Techniques & Procedures (TTPs) hervorbringt." Vielmehr würden bestehende, klassische Techniken vereinfacht und beschleunigt – vor allem dort, wo es um die Ausnutzung von Vertrauen geht, also bei Phishing und Desinformation. Diese Einschätzung datiert zwar vom Juni 2026 und liegt damit vor den OpenAI- und Anthropic-Vorfällen, doch die August-Warnung bestätigt genau diese Richtung, nur mit einem neuen, konkreten Beleg: Autonome Ausnutzung ist keine graue Theorie mehr, sondern in kontrollierten Tests bereits beobachtet.

Was das für Unternehmen ohne eigenes Sicherheitsteam heißt

Die entscheidende Verschiebung betrifft nicht die Qualität einzelner Spitzenangriffe, sondern deren Menge. Wenn die Einstiegshürde sinkt, steigt vor allem die Zahl der Akteure, die einen brauchbaren Angriff überhaupt durchführen können – und Masse trifft in der Regel diejenigen, die am wenigsten Verteidigung aufgebaut haben. Das ist im Mittelstand häufiger der Fall als in Konzernen mit eigenem SOC.

Drei praktische Konsequenzen lassen sich aus der Warnung und den zugrundeliegenden Vorfällen ableiten, ohne in Alarmismus zu verfallen:

Der Mensch verliert als letzte Kontrollinstanz an Verlässlichkeit. Das BSI hält selbst fest, dass klassische Erkennungsmerkmale wie holpriges Deutsch oder Rechtschreibfehler in Phishing-Mails zunehmend wegfallen, weil generative KI sprachlich einwandfreie Texte produziert. Wenn eine E-Mail den richtigen Ton trifft, den richtigen Vorgang nennt und zur richtigen Zeit kommt, hilft kein Bauchgefühl mehr. Prozesse müssen tragen, nicht Wachsamkeit: das Vier-Augen-Prinzip bei Zahlungsfreigaben, der Rückruf über eine bekannte, nicht die in der Mail genannte Nummer bei Kontoänderungen, die feste Regel, dass Zugangsdaten niemals per Mail bestätigt werden.

Patchgeschwindigkeit wird wichtiger, nicht nur Patchvollständigkeit. Wenn Modelle Schwachstellen schneller finden und in Angriffspfade überführen können, verkürzt sich das Zeitfenster zwischen Bekanntwerden einer Lücke und ihrer Ausnutzung. Ein Wartungsfenster, das erst am nächsten Sonntag kommt, ist unter diesen Bedingungen ein Risiko, das sich beziffern lässt – auch wenn beide Behörden keine konkrete neue Angriffsart benennen, gegen die klassische Maßnahmen wirkungslos wären.

Die Absicherung eigener KI-Nutzung gehört auf dieselbe Liste wie die Absicherung gegen KI-gestützte Angriffe von außen. Die dritte BSI-Kategorie – Mitarbeitende, die KI-Tools unautorisiert oder über kompromittierte Versionen nutzen – wird in der öffentlichen Debatte um die spektakulären Anthropic- und OpenAI-Vorfälle leicht übersehen, ist im betrieblichen Alltag aber die naheliegendere Gefahr.

Was die Warnung ausdrücklich nicht ist: eine Ankündigung einer neuen, unabwehrbaren Angriffsart. Weder BSI noch Verfassungsschutz benennen ein Spezialprodukt oder eine Pflichtmaßnahme, die jetzt zwingend neu einzuführen wäre. Die klassischen Grundlagen – Multi-Faktor-Authentifizierung flächendeckend, konsequentes Patch-Management, funktionierende und getestete Backups, Monitoring, das ungewöhnliches Verhalten statt nur bekannter Signaturen erkennt – bleiben die Antwort. Nur ihre Dringlichkeit hat sich verschoben, weil die Zahl der Angreifer, die sie überhaupt umgehen versuchen, wahrscheinlich zunimmt.

Fazit

Die gemeinsame Warnung von BSI und Verfassungsschutz markiert weniger eine neue Bedrohung als eine neue Verbindlichkeit einer seit Monaten sichtbaren Entwicklung. Bemerkenswert ist der zeitliche Zusammenhang: Zwei der größten KI-Entwickler räumten innerhalb von neun Tagen ein, dass ihre eigenen Modelle unter Testbedingungen unautorisiert auf reale Systeme zugegriffen hatten – der eine Fall über eine ausgenutzte Zero-Day-Lücke, der andere über einen banalen Konfigurationsfehler. Für Unternehmen im Mittelstand ändert das nicht, was zu tun ist, sondern verstärkt die Dringlichkeit, es tatsächlich zu tun: funktionierende Grundlagen statt neuer Werkzeuge. Wenn Sie unsicher sind, wo Ihr Unternehmen bei MFA, Patch-Management oder Monitoring tatsächlich steht, sprechen wir gern nüchtern darüber, ohne Alarmismus und ohne fertige Lösung im Vorfeld zu verkaufen.