Anthropic-Bericht: KI baute erkannte Malware automatisch neu

Wer Erkennung heute noch überwiegend auf Signaturen stützt, hat ein neues Zeitproblem. Bisher galt: Eine neue Erkennungssignatur zwingt Angreifer zu langsamer Handarbeit, weil sie ihr Werkzeug umschreiben müssen. Genau dieser Puffer schrumpft, wenn ein KI-Modell den Umbau übernimmt und die Variante so lange neu baut, bis sie wieder durchrutscht.

Anthropic beschreibt in einem am 11. September 2026 veröffentlichten Threat-Intelligence-Bericht eine Cyberspionage-Operation, die genau so vorging. Vorgehen und Zielauswahl passen laut Anthropic zur russischen staatsnahen Gruppe, die als Midnight Blizzard geführt wird. Für ein kleines oder mittleres Unternehmen ist das kein KI-Zukunftsthema, sondern ein Hinweis darauf, dass verhaltensbasierte Erkennung, Logging und die Pflege der eigenen KI-Zugangsdaten in den nächsten Wartungsfenstern nach oben rutschen sollten. Ein Notfall-Patchlauf ist daraus nicht abzuleiten, denn es geht nicht um eine konkrete Schwachstelle in einem Produkt.

Was ist passiert?

Anthropic hat einen Threat-Intelligence-Bericht publiziert, der Aktivitäten abdeckt, die das Unternehmen zwischen Dezember 2025 und August 2026 identifiziert und unterbunden hat. Der aus Verteidigersicht wichtigste Fall ist eine Cyberspionage-Operation, die Claude nicht nur zum Schreiben von Code nutzte, sondern als Prüfinstanz gegen die eigene Malware.

Der Ablauf, den Anthropic beschreibt: Die Gruppe ließ prüfen, wie gut die eigenen Werkzeuge der Erkennung durch Sicherheitsprodukte entgehen. Wurde ein Werkzeug erkannt, veränderten und bauten KI-Agenten es automatisch neu und setzten es erneut ein, bis es wieder unerkannt blieb. Anthropic bezeichnet das als Verschiebung der Kosten des Erkennungs-Umgehungs-Zyklus zurück auf die Verteidiger. Früher zwangen neue Erkennungssignaturen Angreifer zu einem langsamen manuellen Umschreiben. Jetzt können fähige Akteure diesen Kreislauf schneller schließen, als Verteidiger reagieren.

Die Zielauswahl war breit. Betroffen waren nach Angaben von Anthropic mehr als 20 Organisationen: ukrainische und europäische Ministerien, Verteidigungs- und Nachrichtendienstbehörden, Botschaften und Thinktanks. Weitere Ziele lagen im Nahen Osten und in Asien.

Konkret wurde es bei der Industriespionage. Der Akteur exfiltrierte Postfächer von zwei Herstellern von Drohnenkomponenten und stahl ein vollständiges proprietäres SDK für ein Drohnen-Bildverarbeitungssystem. Mehrere Tage wurden anschließend für das Reverse Engineering von Architektur, Hardware-Stückliste und Zulieferabhängigkeiten aufgewendet. Das ist der Teil, der zeigt, wie tief ein Angreifer in Produktdetails eines Zulieferers einsteigen kann, wenn er einmal im Postfach sitzt.

Zugangswege: Hotel-WLAN und WhatsApp

Zwei der beschriebenen Zugangswege sind für Unternehmen interessant, weil sie nichts mit KI zu tun haben, sondern mit Lieferanten und mit Messenger-Konten von Mitarbeitern.

Erstens: Die Gruppe kompromittierte mindestens drei Hospitality-Dienstleister, die Gäste-WLAN in Hotels betreiben. Mit gestohlenen Admin-Zugangsdaten leitete sie Gästeverkehr per DNS-Hijacking um. Diese Auslieferungsmethode ist nicht nur eine Anthropic-Behauptung: Microsoft hatte sie im Juli unter dem Namen CaptiveCrunch dokumentiert und Midnight Blizzard zugeordnet. Damit liegt hier eine unabhängige Bestätigung eines zweiten Herstellers vor.

Zweitens: Derselbe Akteur übernahm WhatsApp-Konten von Opfern. Dafür verknüpfte er die Konten über Headless-Browser als Companion-Geräte und unterdrückte Lesebestätigungen, um Konversationen unbemerkt zu exportieren. Mindestens zwei ehemalige hochrangige ukrainische Amtsträger waren nach Darstellung von Anthropic so betroffen. Der Mechanismus ist übertragbar: Ein zusätzlich verknüpftes Gerät in einem Messenger-Konto fällt im Alltag praktisch niemandem auf.

KI-Zugänge werden selbst zum Ziel

Der zweite Trend im Bericht ist für Admins mindestens so relevant wie der erste: Angreifer nehmen zunehmend KI-Zugangsdaten und KI-Infrastruktur selbst ins Visier, nicht nur KI als Werkzeug. Ein API-Key für einen LLM-Dienst ist damit kein reines Kostenthema mehr, sondern ein Zugangsdatum wie jedes andere.

Anthropic nennt dazu mehrere Cluster. Die folgende Tabelle fasst die im Bericht beschriebenen Fälle zusammen, soweit sie hier belegt sind.

Akteur oder Cluster	Vorgehen	Quellenlage
Midnight Blizzard (staatsnah, Russland zugeordnet)	Automatisierte Prüfung und Neubau eigener Malware, bis Erkennung umgangen wurde; Spionage gegen mehr als 20 Organisationen	Anthropic ordnet Vorgehen und Zielauswahl der Gruppe zu
Midnight Blizzard, Auslieferungsweg	Kompromittierung von mindestens drei Gäste-WLAN-Dienstleistern, DNS-Hijacking von Gästeverkehr	Von Microsoft im Juli als CaptiveCrunch dokumentiert und zugeordnet
Midnight Blizzard, Messenger	WhatsApp-Konten als Companion-Gerät über Headless-Browser verknüpft, Lesebestätigungen unterdrückt	Darstellung von Anthropic, keine unabhängige Bestätigung im Bericht
GTG-50021	Betrieb eines betrügerischen Claude-Reseller-Dienstes: zahlende Kunden wurden still an ein anderes Modell weitergeleitet, eine mitgelieferte Client-Anwendung griff deren Anthropic-Zugangsdaten zum Weiterverkauf ab	Darstellung von Anthropic
GTG-50020	Finanziell motivierte russischsprachige Gruppe, zuvor gegen Hotelbuchungs- und Fintech-Ziele aktiv. In diesem Zusammenhang nennt Anthropic auch den Diebstahl eines Vorabmodells über Angriffe auf die Infrastruktur von KI-Anbietern	Darstellung von Anthropic, Details zum Modelldiebstahl nur so weit, wie im Bericht genannt

Der Fall GTG-50021 ist der praktisch greifbarste: Wer einen günstigen Wiederverkäufer-Zugang zu einem KI-Modell bucht, bekommt im schlechten Fall ein anderes Modell und verliert zusätzlich seine eigenen Zugangsdaten. Das ist ein klassisches Lieferkettenproblem in neuem Gewand.

Für wen ist das relevant?

Direkt betroffen im Sinne des Berichts sind die genannten Ziele: Ministerien, Verteidigungs- und Nachrichtendienstbehörden, Botschaften, Thinktanks und zwei Hersteller von Drohnenkomponenten. Wer keine dieser Rollen hat, steht nicht auf der Zielliste dieser Operation.

Indirekt relevant ist der Bericht für deutlich mehr Unternehmen:

• Betriebe, deren Erkennung im Wesentlichen auf einem klassischen Virenscanner mit Signaturen beruht, ohne verhaltensbasierte Komponente.
• Zulieferer und Fertiger mit proprietären Entwicklungsdaten, SDKs, Stücklisten oder Konstruktionsunterlagen im Mailverkehr.
• Unternehmen, die LLM-Dienste produktiv nutzen und dafür API-Keys im Einsatz haben.
• Alle, die Reisetätigkeit haben und dabei Gäste-WLAN in Hotels nutzen.
• Betriebe, in denen WhatsApp geschäftlich genutzt wird, auch inoffiziell.

Nicht betroffen im engeren Sinn sind Umgebungen ohne KI-Dienstnutzung, ohne schützenswerte Entwicklungsdaten und ohne mobile Belegschaft. Dort besteht kein Anlass, wegen dieser Meldung kurzfristig etwas zu ändern.

Wie kritisch ist das?

Es gibt hier keine CVE, keinen Patch und keinen CVSS-Wert. Die Meldung beschreibt kein Produktproblem, sondern eine Veränderung im Vorgehen von Angreifern. Entsprechend ist die Dringlichkeit mittel und planbar, nicht akut.

Gesichert ist: Anthropic beschreibt die Aktivitäten selbst, hat sie nach eigenen Angaben unterbunden, die Erkenntnisse zur Härtung der eigenen Schutzmaßnahmen genutzt und Informationen mit Behörden und Industriepartnern geteilt, wo angemessen. Unabhängig bestätigt ist der Auslieferungsweg über Gäste-WLAN, weil Microsoft ihn bereits im Juli als CaptiveCrunch dokumentiert und derselben Gruppe zugeordnet hat.

Nicht unabhängig bestätigt sind die Detailangaben zur Malware-Automatisierung, zur WhatsApp-Übernahme und zu den Clustern GTG-50021 und GTG-50020. Diese Punkte beruhen auf der Darstellung eines Anbieters, der zugleich Betreiber des missbrauchten Dienstes ist. Das entwertet die Angaben nicht, sollte bei der internen Bewertung aber mitgelesen werden. Der Hinweis auf den Diebstahl eines Vorabmodells über Angriffe auf die Infrastruktur von KI-Anbietern wird im Bericht genannt, ist aber in seinen Details nicht weiter aufgeschlüsselt. Wir geben ihn daher nur in diesem Umfang wieder.

Wichtig für die Einordnung: Aus dem Bericht folgt nicht, dass Erkennung nutzlos wird. Er zeigt, dass die Halbwertszeit einer einzelnen Signatur weiter sinkt.

Was sollten Admins jetzt tun?

• Zuerst inventarisieren: Welche Endpoint-Lösung ist im Einsatz, und hat sie neben Signaturen auch verhaltensbasierte Erkennung? Wenn nur Signaturen aktiv sind, die vorhandene Verhaltenskomponente einschalten oder ein Upgrade einplanen.
• Prüfen, ob Telemetrie aus Endpunkten überhaupt zentral ankommt und wie lange sie aufbewahrt wird. Erkennung, die nur lokal auf dem Client läuft und nirgends landet, hilft bei wiederholten Varianten nicht.
• Alle API-Keys für LLM-Dienste zusammentragen: wo liegen sie, wer hat Zugriff, wann wurden sie zuletzt gewechselt. Keys in ein Secrets-Management überführen, Rotation festlegen, Nutzungskosten und Anfragevolumen monitoren, weil ungewöhnlicher Verbrauch der erste Hinweis auf einen abgeflossenen Key ist.
• Keine KI-Zugänge über unbekannte Wiederverkäufer beziehen. Direktvertrag mit dem Anbieter oder einem etablierten Cloud-Marktplatz, sonst greift genau das Muster aus dem Fall GTG-50021.
• Client-Anwendungen von Drittanbietern prüfen, die eigene API-Keys entgegennehmen. Wo möglich Keys mit begrenzter Berechtigung und eigenem Budget ausstellen statt Hauptschlüssel weiterzugeben.
• Lieferantenrisiko erweitern: Gäste-WLAN-Betreiber, Hospitality-Dienstleister und ähnliche Anbieter als Zugangsweg mitdenken, nicht nur klassische IT-Dienstleister.
• Für Reisende eine klare Regel setzen: kein direkter Zugriff auf Unternehmensressourcen über fremdes WLAN ohne VPN, DNS über den Unternehmens-Resolver erzwingen.
• WhatsApp-Companion-Geräte in Mitarbeiterkonten regelmäßig kontrollieren lassen. In den Einstellungen unter den verknüpften Geräten sind unbekannte Einträge sofort zu entfernen und die Sitzung neu aufzubauen.
• Postfächer von Entwicklung, Konstruktion und Einkauf besonders absichern: MFA ohne Ausnahme, Alarmierung bei neuen Weiterleitungsregeln, Auffälligkeiten bei Massenexporten protokollieren.
• Angriffsfläche reduzieren, bevor Erkennung nachgerüstet wird: nicht benötigte Dienste abschalten, Makro- und Skriptausführung einschränken, administrative Konten trennen.
• Backups auf Wiederherstellbarkeit testen, unabhängig von diesem Fall, weil eine erfolgreiche Spionageoperation den Weg für weitere Zugriffe offenhält.

Einordnung für Unternehmen

Die praktische Botschaft dieses Berichts ist unspektakulär und deshalb leicht zu überhören. Sie lautet nicht, dass KI Angriffe erfindet, die es vorher nicht gab. Sie lautet, dass bekannte Angriffsschritte billiger und schneller werden. Wenn das automatisierte Neubauen einer Malware-Variante nur noch Minuten kostet, verliert eine Verteidigung an Wert, die auf dem Wiedererkennen einer bekannten Datei beruht.

Für ein KMU bedeutet das drei Verschiebungen im Budget. Erstens weg von reiner Signaturerkennung hin zu verhaltensbasierten Verfahren und nachvollziehbarem Logging. Zweitens eine Aufwertung der eigenen KI-Zugangsdaten: Ein API-Key für ein LLM ist ein Betriebsgeheimnis mit direktem Geldwert und gehört in dieselben Prozesse wie Passwörter und Zertifikate. Drittens ein realistischerer Blick auf Dritte, deren Netze die eigenen Mitarbeiter benutzen.

Dieser Artikel behandelt den Threat-Intelligence-Bericht vom 11. September 2026 und damit den Missbrauch von Claude durch externe Angreifer. Das ist ein anderer Sachverhalt als die früheren Meldungen über Fehlverhalten des Modells selbst oder über Agentenverhalten in Studienumgebungen. Wer den Hintergrund dazu braucht, findet ihn in den verlinkten Artikeln unten.

Und noch eine nüchterne Einordnung: Der Bericht stammt vom betroffenen Anbieter selbst. Er ist nützlich, weil er Details liefert, die sonst niemand hat. Er ersetzt aber keine unabhängige Prüfung, und die eigene Maßnahmenliste sollte sich an dem orientieren, was im eigenen Netz messbar ist.

Passende Anleitungen auf S-EDV

• Claude griff erneut unautorisiert auf reale Systeme zu behandelt einen anderen Fall: Fehlverhalten des Modells selbst statt Missbrauch durch externe Angreifer. Nützlich als Hintergrund zur Frage, welche Vorfallsarten bei Anthropic bislang öffentlich wurden.
• KI-Agenten absichern: Härtung gegen Prompt Injection zeigt, wie eigene Agenten und deren Werkzeugzugriffe abgesichert werden, wenn KI-Komponenten produktiv laufen.
• KI-Nutzungsrichtlinie im Unternehmen hilft dabei, Zuständigkeiten, erlaubte Dienste und den Umgang mit Zugängen schriftlich festzulegen, statt es der Abteilung zu überlassen.

Quellen

• Anthropic: Detecting and countering misuse of AI, September 2026 (Primärquelle, Bericht vom 11. September 2026)
• SecurityWeek: Anthropic Says Russian Hackers Used Claude AI to Automate Malware Evasion (11.09.2026)
• The Hacker News: Russian State-Sponsored Hackers Use AI (11.09.2026)
• BleepingComputer: Hackers abused Claude to extract secrets from Android apps (11.09.2026)