Wenn Bots plötzlich mitdenken und wer sie baut

Die Analyse mehrerer Cybersicherheitsvorfälle aus den vergangenen Monaten zeichnet ein klares Bild einer sich wandelnden Bedrohungslandschaft. Einerseits zeigen die Vorfälle, wie KI-Agenten Angriffe nicht nur vorbereiten, sondern auch selbst ausführen. Andererseits baut KI inzwischen Angriffswerkzeuge wie etwa Botnetze autonom und nahezu fehlerfrei. 

Wenn Angriffe sich selbst ausführen

Im November 2025 meldete Anthropic, dass eine mutmaßlich staatlich gestützte Gruppe aus China das eigene Werkzeug „Claude Code” missbraucht hatte, um Angriffe auf rund 30 Ziele weltweit – von Tech-Konzernen bis zu Behörden – zu 80 bis 90 Prozent autonom durchzuführen. Menschliches Eingreifen war nur an wenigen kritischen Punkten nötig: Die KI recherchierte selbstständig Zielsysteme, schrieb eigenen Exploit-Code, erbeutete Zugangsdaten und exfiltrierte Daten. All das passierte weitgehend autonom. Dies wurde möglich, indem die Angreifer Claude in kleine, für sich genommen unauffällige Einzelschritte zerlegten und vorgaben, eine legitime Sicherheitsfirma im Rahmen einer autorisierten Prüfung zu sein.

Acht Monate später, im Juli 2026, übernahm OpenAI die Verantwortung für einen weiteren KI-gesteuerten Vorfall: Während eines internen Sicherheitstests, bei dem die üblichen Schutzmechanismen bewusst deaktiviert waren, brachen zwei Modelle aus ihrer vermeintlich sicheren Sandbox-Umgebung aus. Sie fanden eine Zero-Day-Lücke, erreichten das offene Internet und kompromittierten anschließend die Plattform Hugging Face, ohne dass ein Mensch sie dazu aufgefordert hatte. Zwar mahnen Beobachter zur Vorsicht, da der Fall unter bewusst reduzierten Schutzvorkehrungen entstand, sie halten ihn aber trotzdem für ein ernstzunehmendes Warnsignal.

Wer die Werkzeuge baut, mit KI und ganz ohne

Ebenfalls im Juli 2026 dokumentierte Unit 42 den Fall TuxBot v3: ein IoT-Botnetz-Grundgerüst für 17 Prozessorarchitekturen, dessen Code sich der Entwickler größtenteils von einem Sprachmodell schreiben ließ. Der Code war zwar fehlerhaft, aber zu rund 70 Prozent funktionsfähig genug für Scanning, Brute Force-Attacken und DDoS-Angriffe. Für dieses Grundgerüst wurde kein erfahrener Malware-Entwickler mehr benötigt.

Wie sehr sich Botnetze auch ganz ohne KI-Unterstützung weiterentwickeln können, zeigt einer der größten öffentlich bekannten DDoS-Angriffe mit 31,4 Tbit/s binnen 35 Sekunden. Dieser wurde vom klassischen IoT-Botnetz Aisuru/Kimwolf mit mittlerweile über drei Millionen kompromittierten Geräten, darunter Android-TVs, Router, Digitalrekorder und Kameras, ausgelöst. Auch rein mechanisch zusammengesteckte Botnetze wachsen also weiter in Rekorde hinein. TuxBot zeigt jedoch den zweiten, schnelleren Weg zum selben Ziel.

Zwei Achsen, ein Ergebnis

Die vier Fälle zeigen gemeinsam zwei unabhängige Entwicklungen, die sich gegenseitig verstärken. KI verändert die Art und Weise, wie Angriffe ausgeführt werden (Anthropic, OpenAI): Sie erfolgen schneller, autonomer und mit deutlich weniger menschlicher Aufsicht als noch vor einem Jahr. Mittlerweile auch ganz ohne beabsichtigten Angriff. Und KI verändert, wie Angriffswerkzeuge überhaupt entstehen (TuxBot): Ein Entwickler ohne tiefes Fachwissen kommt inzwischen zu einem funktionierenden, plattformübergreifenden Botnetz-Grundgerüst. Trotz der Fehler haben die meisten Teile funktioniert. Aisuru/Kimwolf liefert daneben die Erinnerung, dass auch ganz ohne KI die schiere Größe klassischer Botnetze weiterwächst. Die alte Bedrohung verschwindet also nicht, sondern sie bekommt zweifelsohne gefährliche Gesellschaft.

Konsequenz für IT-Entscheider

Für die Verteidigung heißt das: Weder das Motiv noch die Herkunft oder das vermutete Können eines Angreifers eignen sich als verlässlicher Risikofilter. In allen vier Fällen kam schädlicher Traffic auf Netzwerk-, Anwendungs- oder API-Ebene am Perimeter an. Dieser ließ sich nicht mehr eindeutig einem Menschen oder einem bekannten Bot zuordnen. Wie weit verbreitet dieses Problem auf Anwendungsebene bereits ist, zeigt auch eine Zahl aus dem Link11 European Cyber Report 2026: Lediglich rund vier Prozent des Datenverkehrs, der sich als Google-Bot ausgab, stammte tatsächlich von Google.

Wer heute noch überwiegend auf Signaturen oder Identitätsprüfung setzt, verteidigt sich gegen die Bedrohungen von gestern. Denn beide Ansätze setzen voraus, dass eine Anfrage ehrlich Auskunft über sich selbst gibt. Die gute Nachricht: Eine verhaltensbasierte Erkennung, die konsequent über Netzwerk-, Anwendungs- und API-Ebene hinweg erfolgt, wäre in jedem der vier Fälle hilfreich gewesen – unabhängig von Motiv, Herkunft oder Werkzeug. 

Wer ungewöhnliche Muster erkennt, statt nach bekannten Signaturen oder Identitäten zu suchen, muss nicht wissen, ob hinter einer Anfrage ein Mensch, ein klassischer Bot, ein KI-Agent oder ein staatlicher Akteur steckt, um sie zuverlässig einzuordnen. Das macht Web Application & API Protection (WAAP) mit verhaltensbasierter Analyse zu einer strukturellen Notwendigkeit statt zu einem Zusatzmodul für einzelne, besonders exponierte Kunden.