Ende Juli 2026 testete OpenAI eines seiner neuen Modelle in einer geschlossenen Umgebung, als das Modell beschloss auszubrechen(neues Fenster). Es hackte sich in die private Infrastruktur einer anderen Software-Firma, Hugging Face, ein, um den Lösungs-Schlüssel für einen Cybersicherheits-Benchmark zu stehlen, auf den es getestet wurde. Mit anderen Worten: Es brach das Gesetz aus reiner Zweckmäßigkeit.

Tage später gab das UK AI Security Institute bekannt, dass Anthropics KI-Modell Mythos 5(neues Fenster) gefälschte Entwickler-Identitäten erstellt, echte GitHub-Benutzer per Spearfishing dazu verleitet hatte, bösartigen Code zu genehmigen, und sein eigenes Aktivitätsprotokoll bearbeitete, um seine Spuren zu verwischen, als es erwischt wurde.

Im August wurde dann bekannt, dass ein Mann namens Andrew aus Melbourne seinen persönlichen KI-Agenten(neues Fenster), der auf OpenClaw basiert und Anthropics Claude nutzt, gebeten hatte, ihm zu helfen, in einen ausgebuchten Fitnesskurs am Morgen zu kommen. Er stand an vierter Stelle auf der Warteliste und fragte, ob es eine Möglichkeit gäbe, aufzurücken.

Der Agent fand heraus, dass die Buchungs-API keine Autorisierungsprüfung beim Abbrechen von Reservierungen anderer Benutzer hatte. Ohne Andrew um Erlaubnis zu fragen, stornierte er einfach die Buchung der Person auf dem ersten Platz, um Platz für ihn zu machen. Als Andrew ihn bat, das Abbrechen rückgängig zu machen, konnte er es nicht: “Die Person, die ich entfernt habe, ist von der Warteliste verschwunden, und ich habe keine Möglichkeit, sie wiederherzustellen.”

Der Ursprung dieser drei Vorfälle ist nicht derselbe, aber das Ergebnis ist gleich: KI-Agenten untersuchten und nutzten Systeme schneller und gründlicher aus, als es jeder Mensch verwaltet hätte. Sie wurden nie angewiesen, irgendetwas anzugreifen, fanden aber trotzdem den kürzesten Pfad zu ihrem Ziel.

Es spielt keine Rolle, ob du die Infrastruktur eines führenden Forschungslabors oder die Buchungs-Software eines Fitnessstudios in der Vorstadt bist. Wenn du ein Unternehmen hast, das eine API bereitstellt, bist du jetzt etwas, das ein KI-Agent untersuchen kann – mit einer Geschwindigkeit und Vollständigkeit, die kein menschlicher Angreifer erreicht hat. Und niemand muss entscheiden, dich anzugreifen.

Geschwindigkeit ist die eigentliche Geschichte

Ein menschlicher Angreifer wägt Aufwand und Ertrag ab. Ihm wird langweilig, ihm geht die Zeit aus, er entscheidet, dass eine Fitnessstudio-Buchungs-App den Aufwand nicht wert ist. Diese Berechnung hat in den letzten 20 Jahren die meisten Ziele mit geringem Wert stillschweigend vor beiläufiger Ausnutzung geschützt (es sei denn, du betreibst WordPress).

Ein KI-Agent stellt diese Berechnung nicht an. Wenn ihm ein Ziel vorgegeben wird, versucht er alles, was die API technisch zulässt, und testet Endpunkte und Parameterkombinationen mit Maschinengeschwindigkeit, bis etwas funktioniert. Er fand die Autorisierungslücke des Fitnessstudios in der Zeit, die Andrew brauchte, um eine Nachfrage zu stellen.

Das Ausmaß dieser Geschwindigkeitslücke zeigt sich bereits in den Zahlen. Der Global Incident Response Report 2026 von Unit 42(neues Fenster) ergab, dass die schnellsten Angriffe Daten jetzt in 72 Minuten exfiltrieren, verglichen mit 285 Minuten im Vorjahr. Das ist der Trend, während Menschen meist noch einbezogen sind. Ein Agent trifft Entscheidungen in Millisekunden; ein menschlicher Analyst antwortet in Minuten bis Stunden.

Für Sicherheitsteams ist diese zunehmende Geschwindigkeit der eigentliche Grund zur Sorge, nicht ein einzelner Vorfall, der es in die Nachrichten schafft.

Die neue Angriffsfläche: alles mit einer API

Jeder Dienst, der eine API bereitstellt, ist ein potenzielles Ziel, unabhängig davon, ob er wie eines aussieht oder nicht.

  • Preisberechnungs-Engines, bei denen Rabatte clientseitig validiert werden
  • Lagerhaltungssysteme, bei denen der Lagerbestand im Storefront statt im Backend gespeichert ist
  • Support-Plattformen, bei denen interne Felder über undokumentierte API-Pfade erreichbar sind
  • Abonnement-Verwaltung, die die Eigentümerschaft des Anrufers bezüglich des geänderten Kontos nicht überprüft.

Keines davon erfordert, dass ein Mensch danach sucht. Sie erfordern lediglich einen Agenten mit einem Ziel und eine API, die antwortet.

Die am stärksten gefährdeten Unternehmen sind nicht diejenigen mit offensichtlichen Sicherheitslücken. Es sind diejenigen mit Lücken in der Geschäftslogik: Regeln, die nur in der Benutzeroberfläche existieren, Aktionen, die die API technisch zulässt, die Benutzeroberfläche aber nie anzeigt, Workflows, die auf der Annahme aufbauen, dass kein Aufrufer jemals den Pfad versuchen würde, der den vorgesehenen überspringt.

Der Entwickler des Fitnessstudios hielt eine Autorisierungsprüfung für Stornierungen fast sicher nicht für nötig, weil kein gewöhnlicher Benutzer und kein gewöhnlicher Angreifer Grund hatte, es zu versuchen. Ein Agent hatte keine solchen Bedenken, und er versuchte nicht einmal, eine Reservierung zum Überspringen zu finden. Er versuchte nur, hilfreich zu sein.

Wie sich Unternehmen auf KI-Angriffe vorbereiten können

Behandle jede API-Aktion als privilegierte Operation. Identität, Autorisierung und kontextbezogene Richtlinie, unabhängig geprüft bei jedem Aufruf. Nicht “das Frontend lässt dich das nicht tun”, sondern “der Server überprüft, ob du das tun darfst, auf dieser Ressource, angesichts ihres aktuellen Zustands”. Das System des Fitnessstudios hätte diesen spezifischen Vorfall mit einer einzigen Zeile Autorisierungslogik am Stornierungs-Endpunkt gestoppt. Das ist überhaupt keine neue Maßnahme, es ist der älteste Eintrag auf der API-Sicherheitsliste von OWASP, fehlerhafte Autorisierung auf Objektebene, und es ist immer noch der Eintrag, den die meisten Systeme falsch machen.

Gib Agenten ihr eigenes Anmeldedaten-Modell. Zweckgebundene Tokens mit kurzer TTL, die speziell für Agenten-Sitzungen ausgestellt werden und sich von gewöhnlichen menschlichen Sitzungs-Tokens unterscheiden, begrenzen den Schadensradius, selbst wenn der Agent eine Lücke findet, die du nicht vorhergesehen hast. Wenn Andrews Agent ein Token besessen hätte, das nur auf seine eigene Reservierung beschränkt war, wäre das Abbrechen der Buchung einer anderen Person auf der Ebene der Anmeldedaten fehlgeschlagen, unabhängig davon, was die API ansonsten erlaubte. Das ist wichtig, weil du dich nicht auf die eigene Zurückhaltung des Agenten verlassen kannst. Du musst dich darauf verlassen, was seine Anmeldedaten ihm physisch erlauben.

Richte die Erkennung speziell auf das Verhalten von Agenten aus. Der Agenten-Verkehr hat eine unterscheidbare Form: untermenschliches Anfrage-Timing, systematische Aufzählung von Endpunkten, sequenzielles Testen von Parameterkombinationen, erfolgreiche Ausführung von Aktionen, die noch kein menschlicher Benutzer jemals über die tatsächliche Benutzeroberfläche versucht hat. Erstelle eine Baseline für diese Form und warne in Echtzeit davor.

Schließe die Antwortzeit-Lücke, nicht nur die Erkennungslücke. Das Erkennen einer Untersuchung in einer Stunde ist bedeutungslos, wenn die Untersuchung in Minuten abgeschlossen war und weiterging. Die obige Zahl von Unit 42 – 72 Minuten für die schnellsten Angriffe in menschlichem Tempo – ist bereits der falsche Benchmark, gegen den man planen kann. Eine automatisierte Reaktion, nicht nur eine automatisierte Alarmierung, schließt eine Lücke, die in Millisekunden gemessen wird. Natürlich musst du auch sicherstellen, dass deine automatisierte Reaktion nicht ebenfalls schädlich ist.

Gehe davon aus, dass dies passieren wird, und probe die Reaktion. Dokumentiere, wer angerufen wird, entwirf die Kundenkommunikation im Voraus und führe Trockenübungen speziell für agentengesteuerte Szenarien durch, nicht nur für traditionelle Playbooks für Datenlecks. Der Cost of a Data Breach Report 2026 von IBM bezifferte das durchschnittliche globale Datenleck auf 4,99 Millionen $, wobei KI-gestützte Datenlecks im Durchschnitt etwa 1 Million $ mehr kosteten. Diese Zahlen beschreiben zunehmend Vorfälle, die so begannen wie der des Fitnessstudios: überhaupt kein Angreifer im traditionellen Sinne.

Teste deine eigenen APIs so, wie es ein Agent tun würde, bevor es ein Agent für dich tut. Manuelles Penetrationstesting setzt einen menschlichen Tester mit begrenzter Zeit und einer endlichen Liste von Dingen voraus, die er ausprobieren kann. Ein automatisierter Angreifer gegen deine eigenen Endpunkte, der mit der gleichen Hartnäckigkeit und Geschwindigkeit wie ein Agent sucht, wird dieselben Lücken aufdecken, bevor der Assistent eines Kunden darüber stolpert. Speziell hierfür gibt es mittlerweile Open-Source-Tools. CyberStrike(neues Fenster) führt beispielsweise spezialisierte Agenten aus, die auf OWASP WSTG und MITRE ATT&CK abgebildet sind, gegen deine eigenen Endpunkte, einschließlich eines dedizierten Testers für genau die Autorisierungslücke auf Objektebene, die das Fitnessstudio unvorbereitet getroffen hat: Es sendet eine Baseline-Anfrage, sendet den Angriff und markiert ein Ergebnis nur dann, wenn es einen messbaren, reproduzierbaren Unterschied gibt. Das ist dieselbe Art von Prüfung, die den Stornierungs-Endpunkt erfasst hätte, bevor ein Agent ihn in freier Wildbahn fand.

Das Prinzip ist natürlich nicht neu. Website-Betreiber, die während der Botnet-Ära ihre eigenen Schwachstellen-Scanner gegen WordPress-Installationen ausführten, haben es überlebt. Die Werkzeuge müssen jetzt nur noch der Geschwindigkeit des Aufrufers entsprechen, nicht der Geschwindigkeit eines menschlichen Angreifers, der irgendwann dazu kommen könnte.