12. Juli 2026

Selbstständig handelnde KI-Systeme verändern die Art, wie Cyberangriffe ablaufen. Sie planen, greifen an und reagieren ohne ständige menschliche Steuerung – oft schneller, als bestehende Regeln greifen können. Für die Europäische Union entsteht damit eine Lücke zwischen dem, was ihre Gesetze abdecken, und dem, was in der Praxis bereits passiert. Ein Überblick über die neue Bedrohungslage und die offenen Fragen der europäischen Politik.

Ein soziales Netzwerk nur für Maschinen

Anfang 2026 ging im Netz eine Plattform namens Moltbook online, beworben als zentraler Treffpunkt des „Agenten-Internets“. Anders als bei gewöhnlichen sozialen Netzwerken waren dort ausschließlich autonome KI-Systeme aktiv, die eigenständig Beiträge verfassten, sich austauschten und gemeinsame Projekte organisierten. Menschen konnten lediglich zusehen. Binnen weniger Tage entstanden über 1,5 Millionen Agenten-Konten.

Der eigentliche Befund lag jedoch nicht im schnellen Wachstum, sondern in der Struktur dahinter: Hinter der riesigen Zahl an Agenten standen nur rund 17.000 menschliche Betreiber – im Schnitt steuerte jeder von ihnen etwa neunzig KI-Systeme gleichzeitig. Als eine fehlerhaft eingerichtete Datenbank in der Folge Zugangsdaten, E-Mail-Adressen und private Nachrichten zwischen den Agenten offenlegte, zeigte sich ein grundsätzliches Problem: Wenn wenige Menschen im Hintergrund riesige Mengen an Maschinen steuern, wird es erheblich schwerer, Handlungen einzelnen Verantwortlichen zuzuordnen.

Vom Werkzeug zum eigenständigen Akteur

Bislang basierte Cybersicherheit weitgehend auf der Annahme, dass am Ende ein Mensch die Entscheidungen trifft und die Angriffsgeschwindigkeit dadurch begrenzt bleibt. Genau diese Annahme gerät ins Wanken. Agentische KI-Systeme kombinieren Sprachmodelle mit Planungsfähigkeit, Zugriff auf digitale Werkzeuge und einem Gedächtnis für frühere Schritte. Dadurch können sie komplette Angriffsabläufe – von der Erkundung eines Ziels bis zur Ausnutzung von Schwachstellen – eigenständig durchführen, statt lediglich einen menschlichen Angreifer zu unterstützen.

Drei Verschiebungen prägen diese Entwicklung:

  • Autonomie: Entscheidungen werden an Software delegiert, die mehrstufige Operationen selbstständig ausführt.
  • Skalierung: Ein einzelner Betreiber kann Hunderte oder Tausende Agenten parallel einsetzen.
  • Neue Angriffsfläche: Angreifer zielen zunehmend auf das Verhalten der KI-Systeme selbst, etwa über eingeschleuste Anweisungen oder Manipulationen, die Sicherheitsmechanismen umgehen.

Weil solche Systeme mittels bestärkendem Lernen darauf trainiert werden, ein Ziel zu erreichen, orientieren sie sich nicht zwingend am Sinn einer Regel, sondern am kürzesten Weg zum Erfolg.

Ein Unternehmens-Agent, der etwa Sicherheitsinformationen aus E-Mails und dem offenen Internet zusammenträgt, könnte eine versteckte, bösartige Anweisung in einem Dokument als legitimen Arbeitsschritt interpretieren und ausführen – etwa das Weiterleiten sensibler Zugangsdaten.

Ein Präzedenzfall: Claude als Werkzeug einer staatsnahen Angriffskampagne

Im November 2025 meldete das KI-Unternehmen Anthropic einen Vorfall, der als einer der ersten öffentlich bekannten Fälle gilt, in denen ein Sprachmodell selbst zum Kern einer automatisierten Angriffskampagne wurde. Nach Einschätzung des Unternehmens steckte eine chinesische, staatlich unterstützte Gruppe dahinter. Über gezielte Manipulationstechniken brachten die Angreifer das KI-System „Claude“ dazu, sich als legitimes Sicherheitswerkzeug auszugeben und den größten Teil eines Einbruchs eigenständig durchzuführen – von der Aufklärung über die Entwicklung von Angriffscode bis zur Datenabschöpfung. Schätzungen zufolge lief 80 bis 90 Prozent der Operation ohne menschliches Zutun ab; Arbeit, für die früher Monate nötig gewesen wären, komprimierte sich auf wenige Tage.

Vergleichbare Muster meldeten in derselben Zeit auch andere Anbieter: Google beobachtete den Missbrauch seines Systems Gemini durch staatlich verbundene Gruppen aus mehreren Ländern für Aufklärung, Phishing und Datenexfiltration, während eine russische Cyberspionagegruppe ein offen zugängliches Sprachmodell für Angriffe auf ukrainische Ziele nutzte. Auch OpenAI berichtete von ähnlichem Missbrauch auf seiner Plattform. Die Häufung über mehrere Anbieter hinweg deutet darauf hin, dass es sich nicht um Einzelfälle, sondern um ein strukturelles Muster handelt: Dieselben Fähigkeiten, die Sprachmodelle für Softwareentwicklung nützlich machen, eignen sich ebenso für offensive Cyberoperationen.

Wenn ein eigenes Modell als zu leistungsfähig gilt

Wenige Monate später, im April 2026, teilte Anthropic mit, sein neuestes Spitzenmodell „Claude Mythos Preview“ zunächst nicht breit zugänglich zu machen. Begründet wurde dies mit der Fähigkeit des Systems, unbekannte Schwachstellen in gängigen Betriebssystemen und Browsern eigenständig zu finden und auszunutzen. Der Zugang blieb zunächst auf ein Konsortium namens „Project Glasswing“ beschränkt, dem unter anderem große Technologie- und Finanzunternehmen angehörten; im Juni 2026 wurde der Kreis auf rund 150 Organisationen in fünfzehn Ländern erweitert.

Unabhängige Tests des britischen AI Security Institute ergaben, dass das Modell anspruchsvolle Sicherheitswettbewerbe in drei von vier Fällen erfolgreich löste und als erstes System einen simulierten, mehrstufigen Netzwerkangriff vollständig durchspielte – während es sich in aktiv verteidigten Umgebungen deutlich schwerer tat. Dass ein Hersteller ein eigenes Allzweckmodell selbst als zu leistungsfähig für eine breite Veröffentlichung einstuft, verdeutlicht, wie stark sich die Grenze zwischen unterstützender KI und eigenständig handelnden Cybersystemen inzwischen verschoben hat.

Kurz darauf griff eine US-Exportkontrollregel unmittelbar in die Verfügbarkeit ein: Anthropic musste den Zugang zu den Modellen „Fable 5“ und „Mythos 5“ zeitweise für alle ausländischen Nutzer aussetzen, wodurch die Systeme faktisch für sämtliche Kunden blockiert waren. Der Fall zeigt, dass staatliche Vorgaben den Zugriff auf besonders leistungsfähige Modelle mit Cyberfähigkeiten kurzfristig und einseitig neu regeln können – unabhängig von den Sicherheitsentscheidungen der Hersteller selbst.

Wenn Sicherheitswerkzeuge selbst zur Schwachstelle werden

Auch etablierte Unternehmenssoftware blieb nicht verschont. Im Februar 2026 räumte Microsoft ein, dass ein technischer Fehler im KI-Assistenten „365 Copilot Chat“ über Wochen hinweg vertrauliche E-Mails auswertete und dabei eigentlich vorgesehene Schutzmechanismen gegen Datenverlust umging. Betroffen waren E-Mails in den Ordnern „Gesendet“ und „Entwürfe“ zahlreicher Unternehmenskunden. Der Assistent war nicht gezielt zu diesem Zugriff angewiesen worden – ein Programmierfehler öffnete lediglich einen Weg, die eigentliche Kontrollebene zu umgehen.

Der Vorfall verweist auf ein grundsätzliches Problem: Klassische Werkzeuge zum Schutz vor Datenverlust sind nicht für KI-Assistenten konzipiert, die naturgemäß auf große Mengen an E-Mails, Dokumenten und internen Systemen zugreifen müssen, um überhaupt nützlich zu sein. Sicherheitsforscher sprechen in diesem Zusammenhang von einer riskanten Dreifachkombination: Ein Agent, der gleichzeitig sensible interne Daten lesen, unbekannte externe Inhalte verarbeiten und Informationen nach außen versenden kann, bietet Angreifern eine Angriffsfläche, für die klassische IT-Sicherheitskonzepte nicht ausgelegt sind. Eine in einem Dokument versteckte Anweisung kann so von einer harmlosen Zusammenfassung zu einem tatsächlichen Datenabfluss führen.

Europas Regelwerk trifft auf ein neues Bedrohungsbild

Die EU verlässt sich bislang vor allem auf die Verpflichtung von KI-Entwicklern, ihre Modelle sicher zu gestalten – ein Ansatz, der sowohl im KI-Gesetz von 2024 als auch im Cybersicherheitspaket von 2026 mitschwingt. Der Fall Anthropic zeigt jedoch, dass selbst gut abgesicherte Modelle durch gezielte Manipulation zweckentfremdet werden können. Organisationen, die solche Systeme einsetzen, können sich deshalb nicht allein auf die Sicherheitszusagen der Hersteller verlassen.

Das KI-Gesetz selbst behandelt agentische Systeme zudem nicht als eigene Kategorie, sondern regelt bestimmte Anwendungsfälle und stuft nur ausgewählte Systeme als hochriskant ein. Besonders ins Gewicht fällt dabei eine Ausnahme: KI-Anwendungen, die ausschließlich militärischen oder sicherheitspolitischen Zwecken dienen, fallen nicht unter das Gesetz – ausgerechnet der Bereich, in dem einige der folgenreichsten autonomen Cyberfähigkeiten entstehen könnten.

Auch das Cybersicherheitspaket der EU bleibt in weiten Teilen auf ein älteres Bedrohungsbild ausgerichtet: unsichere Bauteile, riskante Zulieferer, klassische Netzwerkangriffe von außen. Die eigentliche Gefahr bei agentischen Systemen liegt jedoch weniger im Eindringen von außen als darin, ein bereits vertrauenswürdiges System zu einem unerwünschten Verhalten zu bewegen. Solche Systeme können zudem über mehrere Sitzungen hinweg Kontext speichern, wodurch sich schädliche Muster schrittweise aufbauen können – für Sicherheitswerkzeuge, die auf einzelne verdächtige Ereignisse ausgelegt sind, kaum zu erkennen.

Hinzu kommt die wachsende Abhängigkeit solcher Systeme von externen Bausteinen wie Programmierschnittstellen, Zusatzprogrammen Dritter oder cloudbasierten Modelldiensten. Jede dieser Verbindungen vergrößert die mögliche Angriffsfläche zusätzlich – ein manipuliertes Zusatzprogramm kann das Verhalten eines Agenten verändern, ohne dass das eigentliche System kompromittiert werden muss. Klassische Zertifizierungsverfahren, die von einem gleichbleibenden Produktverhalten ausgehen, stoßen hier an Grenzen: Ein Agent, der heute eine Sicherheitsprüfung besteht, kann sich im nächsten Monat in einer anderen Umgebung bereits anders verhalten.

Zwei Kontinente, zwei Strategien

Während europäische Ansätze weiterhin stark auf Regulierung, Widerstandsfähigkeit und Reaktion nach einem Vorfall setzen, verfolgen die USA zunehmend eine offensivere Linie. Die im März 2026 vorgestellte „Cyber Strategy for America“ setzt gezielt auf den Ausbau KI-gestützter Angriffs- und Abwehrfähigkeiten und behandelt offensive Cyberoperationen stärker als reguläres außenpolitisches Instrument. Ein Streitfall aus dem Februar 2026 unterstreicht diese Entwicklung: Als das US-Verteidigungsministerium von Anthropic uneingeschränkten militärischen Zugriff auf Claude verlangte, lehnte das Unternehmen ab – insbesondere den Einsatz für vollautomatisierte Waffensysteme ohne menschliche Kontrolle sowie für Massenüberwachung im Inland. In der Folge wurde Anthropic vom Ministerium als sicherheitspolitisches Risiko in der Lieferkette eingestuft; Stunden später ging ein entsprechender Regierungsauftrag an einen Mitbewerber.

Für europäische Nutzer, die überwiegend auf US-Modelle angewiesen sind, bedeutet das: Die praktischen Nutzungsbedingungen bahnbrechender KI-Systeme können sich kurzfristig durch politischen Druck in den USA verändern – unabhängig von den eigentlichen Sicherheitsversprechen der Hersteller. Eigene operative Kontrollen und Beschaffungsstandards werden dadurch zur notwendigen Ergänzung, nicht zum Ersatz für Vertrauen in ausländische Anbieter.

Was Europa jetzt tun müsste

Fachleute sehen mehrere Ansatzpunkte, um die entstandene Lücke zu schließen:

  • Laufzeitüberwachung statt reiner Marktzulassung: Sicherheitsprüfungen dürften nicht mit der Marktzulassung enden, sondern müssten das tatsächliche Verhalten von Agenten im laufenden Betrieb begleiten.
  • Klare Handlungsgrenzen: Organisationen benötigen verbindliche Vorgaben, auf welche Systeme Agenten zugreifen dürfen, welche Aktionen protokolliert werden und wann menschliche Freigaben zwingend erforderlich sind.
  • Bessere Koordination: Ein gemeinsames Meldesystem für auffälliges Agentenverhalten, abgestimmt mit nationalen Sicherheitsteams und der EU-Agentur ENISA, könnte helfen, einzelne Fehlfunktionen von größeren Angriffsmustern zu unterscheiden.
  • Eigenständige Verteidigungsfähigkeiten: Angesichts begrenzter Möglichkeiten, mit den offensiven Fähigkeiten der USA oder Chinas gleichzuziehen, empfiehlt sich eine Strategie, die auf Abfederung, schnelle Wiederherstellung und Widerstandsfähigkeit setzt statt auf ein Wettrüsten bei Angriffskapazitäten.
  • Schutz für kleinere Akteure: Kommunen, Krankenhäuser und kleinere Betreiber kritischer Infrastruktur verfügen oft über deutlich weniger Ressourcen zur Abwehr als große Unternehmen und benötigen gezielte Unterstützung.
  • Internationale Leitplanken: Die EU könnte sich für klare Grenzen bei autonomen Cyberoperationen gegen zivile Infrastruktur, Krankenhäuser oder sicherheitsrelevante Kommunikationssysteme einsetzen und risikoreiche Einsätze an politische Genehmigungsverfahren binden.

Fazit

Das Beispiel Moltbook war zunächst eine Randerscheinung des Internets. Es deutet jedoch auf eine Entwicklung hin, die sich in den kommenden Jahren fortsetzen dürfte: Autonome Systeme übernehmen zunehmend operative Aufgaben, die bislang Menschen vorbehalten waren – in der Cybersicherheit ebenso wie perspektivisch in anderen Bereichen der digitalen Regulierung. Für Europa liegt die eigentliche Herausforderung nicht im Umfang der bestehenden Vorschriften, sondern in ihrer Ausrichtung: Sie wurden für menschlich gesteuerte, vorhersehbare Software entwickelt – nicht für Systeme, die eigenständig handeln, sich anpassen und mit hoher Geschwindigkeit operieren. Ohne eine grundlegende Anpassung an dieses neue Verhalten droht die EU, technologisch von Entwicklungen abhängig zu bleiben, deren wichtigste Weichenstellungen andernorts getroffen werden.

Dieser Beitrag basiert auf einer Analyse von Carnegie Europe im Rahmen der EU Cyber Direct-Initiative. Die dort geäußerten Einschätzungen geben die Position der Autoren wieder.

Redaktion AllAboutSecurity

Bild – KI-bearbeitet