Der Einbrecher bekommt einen Beipackzettel

Im alten Sicherheitsraum hing früher ein Schild: Bitte keine Werkzeuge an Fremde ausgeben. Es war vergilbt, schief und wahrscheinlich aus einer Zeit, in der „Fremde“ noch am Empfang klingeln mussten. Heute liegt daneben ein Terminal. Es blinkt freundlich. Es sagt: Wobei kann ich helfen?

Das klingt nach Kundendienst, bis jemand den Schraubendreher anders herum hält. Nicht jeder, der eine Anleitung für ein Schloss liest, will sein Fahrrad reparieren. Manchmal steht er nachts vor einem fremden Keller und freut sich, dass die Bedienungsanleitung jetzt auch Geduld hat.

Wenn der Anfänger plötzlich die tieferen Flure findet

Anthropic hat Anfang Juni eine Auswertung zu KI-gestützten Cyberbedrohungen veröffentlicht. Untersucht wurden 832 gesperrte Konten, die zwischen März 2025 und März 2026 mit bösartiger Cyberaktivität verbunden waren und für die genug Material zur Einordnung vorlag. Die Fälle wurden unter anderem auf das MITRE-ATT&CK-Raster gelegt.

Die nüchterne Zahl mit dem meisten Ölfilm: In 560 dieser 832 Fälle, also 67,3 Prozent, wurde KI beim Schreiben von Malware genutzt. Das ist noch kein autonomer Weltuntergang, aber auch kein harmloser Praktikant, der nur Tippfehler aus Phishing-Mails poliert. Es ist Werkzeugausgabe mit warmem Licht.

Noch interessanter wird es tiefer im Gebäude. Anthropic beschreibt, dass 54 der untersuchten Konten KI für laterale Bewegung einsetzten, also für das Weiterkriechen innerhalb bereits kompromittierter Systeme. Genau dort, wo früher Erfahrung, Geduld und ziemlich unangenehme Spezialkenntnis nötig waren, steht nun ein Assistent mit Klemmbrett.

Das Problem ist nicht nur der erste Dietrich

Viele Debatten über KI und Angriffe bleiben am Eingang hängen. Phishing wird besser, Texte klingen weniger nach kaputtem Übersetzungsbüro, Betrug bekommt frisch gebügelte Hemden. Stimmt alles. Aber der Bericht zeigt eine unbequemere Bewegung: KI taucht stärker in späteren Phasen auf, nach dem ersten Zugriff, wenn die Lichter im Flur schon aus sind.

Anthropic schreibt, dass der Anteil von Akteuren mit mittlerem oder höherem Risiko im zweiten Halbjahr deutlich stieg: von 33 Prozent in den ersten sechs Monaten auf 56 Prozent in den zweiten. Man kann das als Statistik lesen. Oder als Geräusch im Nachbarraum, wo jemand gerade gelernt hat, welche Tür nicht quietscht.

Das macht alte Sicherheitsinstinkte stumpfer. Früher konnte man manchmal am Werkzeugkasten erkennen, ob da ein geübter Einbrecher arbeitet oder ein nervöser Laie mit Taschenlampe. Wenn aber die Maschine dem Laien erklärt, wie man sich im Gebäude bewegt, wird der Werkzeugkasten als Ausweis weniger brauchbar.

Die Maschine fragt nicht, ob der Auftrag nach Rauch riecht

Natürlich haben Anbieter Filter, Sperren, Red-Teams, Richtlinien und viele Wörter mit Bindestrichen. Das ist nicht nichts. Anthropic hat die Konten ja gesperrt und berichtet gerade deshalb darüber. Aber die Blechpresse kennt Maschinenräume: Ein Warnschild ist gut. Ein Warnschild ersetzt keine Tür. Und eine Tür ersetzt keinen Hausmeister, der wirklich hinschaut.

Für Admins, kleine Firmen und öffentliche Stellen heißt das nicht: jetzt bitte alle Kabel aus der Wand reißen. Es heißt eher: Die langweiligen Dinge werden wichtiger, nicht kleiner. Rechte begrenzen. Logs anschauen. Updates nicht als literarische Empfehlung behandeln. Segmentierung nicht nur in der Präsentation besitzen. Backups testen, bevor der Ernstfall den Kalender freiräumt.

Und ja, auch die eigenen KI-Werkzeuge gehören in diese Inventur. Wer im Betrieb Assistenten einsetzt, sollte wissen, welche Daten hineingehen, welche Aktionen erlaubt sind und wo der Assistent nicht mehr höflich formuliert, sondern tatsächlich etwas anfasst. Ein freundlicher Schraubenschlüssel bleibt ein Schraubenschlüssel.

Der neue Beipackzettel ist kein Verbot, aber eine Warnung

Die Pointe ist nicht, dass KI böse geworden ist. Das wäre zu bequem, fast schon ein sauberer Karton fürs Regal. Die Pointe ist, dass KI Kompetenz verteilt. Manchmal an Leute, die damit besseren Code schreiben. Manchmal an Leute, die wissen wollen, wie man nach dem ersten Einbruch weiterkommt, ohne auf dem frisch gewischten Flur Spuren zu hinterlassen.

Darum ist dieser Bericht weniger ein Sirenenkonzert als ein Beipackzettel. Nicht jeder Nebenwirkung folgt ein Notarztwagen. Aber wer das Mittel täglich ausgibt, sollte die Schriftgröße nicht ausgerechnet bei den Risiken kleiner machen.

Im Serverflur blinkt das Terminal weiter. Es bietet Hilfe an. Draußen klopft jemand mit Handschuhen an die Tür und sagt, er habe nur eine Frage zur Architektur. Der alte Hausmeister schaut auf das vergilbte Schild und murmelt: „Ja. Genau da fängt es meistens an.“

Quellen und Anlass

• Anthropic: „What we learned mapping a year’s worth of AI-enabled cyber threats“, veröffentlicht am 3. Juni 2026.
• MITRE ATT&CK wurde in der Auswertung als Raster für Angriffstechniken genutzt; die Blechpresse übernimmt daraus keine eigenen Zusatzbehauptungen.