WordPress, eine Webshell in den Schriften, vergiftete Backups

Von den zehn Cyber-Fällen des Berichts kommt dieser dem am nächsten, was wir im Alltag sehen. Kein Staat, kein Budget, kein Team: eine einzelne französischsprachige Person, im Frühjahr 2026, mit europäischen Parteien, Medien, Denkfabriken und den SaaS-Dienstleistern, von denen diese Organisationen abhängen, im Visier. Von 42 beobachteten Organisationen verschaffte sie sich bei mindestens 14 internen Zugang. Das Kapitel beginnt mit einer unverblümten Feststellung: KI hat die Fähigkeitslücke geschlossen und macht aus wenig versierten Hacktivisten fortgeschrittene persistente Bedrohungen.

Vor dem Einbruch: ein selbst gebauter Scanner und Datenverkehr, der sich unter Ihren mischt #

Der erste Baustein ist kein Exploit, sondern eine Lieferkette. Diese Person schrieb einen eigenen Scanner in Rust, der öffentliche Container nach offen liegenden API-Schlüsseln durchsuchte. Er sammelte nicht nur: Er validierte jeden Schlüssel und prüfte, ob er noch funktionierte und welche Rechte er gewährte.

Die Raffinesse steckt im nächsten Schritt. Sobald der Schlüssel validiert war, ließ das Werkzeug die Nutzung über eine lokale Proxy-Schicht laufen, damit der Datenverkehr der Angreiferin in dem des rechtmäßigen Inhabers aufging. Das ist ein Angriff auf die Erkennung selbst: Ihre üblichen Anfragen vermischt mit denen eines Dritten auf demselben Schlüssel, und keine Verbrauchsschwelle schlägt sauber an. Der Bericht sagt es anders: Eine Hacktivisten-Kampagne lief einen ganzen Monat mit gestohlenen Schlüsseln. Das ist der dreifache Gewinn, der im zweiten Artikel beschrieben wurde: Beute, kostenlose Rechenleistung, Tarnung.

Ein Agenten-Framework, das sich selbst gegenprüft #

Das andere Werkzeug verdient die Aufmerksamkeit aller, die Software schreiben. Der Bericht beschreibt ein Agenten-Framework, in dem ein Hauptagent spezialisierte Unteragenten steuerte: Aufklärung vor der Authentifizierung, Aufklärung nach der Authentifizierung, Code-Review und Überprüfung der Befunde verschiedener KI-Modelle.

Diese letzte Rolle ist die aufschlussreichste. Die Person verließ sich nicht auf ein einziges Modell: Sie ließ die Ergebnisse eines Modells von einem anderen gegenprüfen. Für einen Angreifer ist eine eingebildete Schwachstelle ein verlorener Tag und unnötiger Lärm beim Ziel. Was das ändert: Die beruhigende Vorstellung, „KI irrt sich oft, also werden diese Angriffe stümperhaft sein“, hält nicht stand. Sie werden das Herumprobieren nicht sehen, Sie werden den Exploit sehen, der funktioniert.

Der Einstieg: eine Race Condition bei der Neuinstallation von WordPress #

Die charakteristische Technik zielte auf WordPress: eine Race Condition bei der Neuinstallation, ein Übergangszustand, der bis dahin nicht öffentlich dokumentiert war und in dem sich ein Administratorkonto anlegen lässt, ohne gültige Zugangsdaten anzugeben. Eine Race Condition ist ein Fenster: zwischen zwei Vorgängen, die eigentlich direkt aufeinander folgen sollen, ein Intervall, in dem das System akzeptiert, was es davor und danach ablehnen würde.

Der Bericht beschreibt die Herstellung: Der Exploit wurde in derselben Sitzung entwickelt und debuggt, mit einem nebenbei gebauten Prüfstand. Zwischen der Ahnung einer Lücke und dem zuverlässigen Werkzeug gab es keine Unterbrechung. Die Technik funktionierte gegen mindestens vier Websites. Was das ändert: Installationsrouten sind alternative Authentifizierungswege, geschrieben für einen Moment, in dem es eben noch keine Authentifizierung gibt. Sie müssen aus dem Internet unerreichbar sein, außer in der Viertelstunde, in der man sie nutzt.

Der andere Einstieg: ein offen gelassener Such-Endpunkt #

Auf einer Plattform für die Verwaltung politischer Kampagnen war ein Such-Endpunkt einer Schnittstelle offen erreichbar. Diese Person beauftragte ihre Agenten, darüber zu iterieren, ihn also methodisch Anfrage für Anfrage abzufragen, bis sein Inhalt ausgelesen war. Ergebnis: rund 140.000 exfiltrierte Datensätze mit den politischen Meinungen der Nutzer.

Das ist das Szenario, dem wir am häufigsten begegnen, wenn wir eine Geschäftsanwendung übernehmen: eine Schnittstelle, die auf eine legitime Anfrage korrekt antwortet und nie dafür gedacht war, hunderttausend automatisierte zu verkraften. Drei Kontrollen sind nicht verhandelbar, sobald eine Schnittstelle Personendaten zurückgibt: Autorisierung für jedes einzelne Objekt, Ratenbegrenzung, begrenzte Paginierung. Fehlen sie, wird aus einer Datenbank eine herunterladbare Datei.

Bleiben: drei Mechanismen der Persistenz #

Das ist der Teil, den Sie sich merken sollten: Er widerlegt den verbreitetsten Reflex bei einem Vorfall, „wir spielen das Backup von letzter Woche ein und machen weiter“.

• Ein WordPress-Plugin, das zwingend geladen wird. In einem speziellen Verzeichnis abgelegt, läuft es bei jedem Seitenaufruf, erscheint nicht in der üblichen Liste und lässt sich nicht über das Dashboard deaktivieren. Dieses hier sammelte die in Formulare eingegebenen Zugangsdaten und verschlüsselte sie mit einem öffentlichen Schlüssel pro Website, bevor es sie zum Abholen bereithielt. Verschlüsselt: Selbst wenn das Opfer die Datei findet, weiß es nicht, was abgeflossen ist.
• Eine zwischen den Schriftdateien versteckte Webshell. Eine Webshell ist ein kleines Skript, das auf dem Server abgelegt wird und dort die Ausführung von Befehlen aus der Ferne erlaubt: eine Hintertür, die über die Website selbst erreichbar ist. Diese hier wurde spontan angefertigt, als die Lücke für das Ablegen gefunden war: Da sie eigens geschrieben wurde, hat sie keine bekannte Signatur, also erkennt sie kein Virenscanner. Und sie wurde in dem Verzeichnis abgelegt, an dessen Prüfung man zuletzt denkt.
• Vergiftete Backups. Der Bericht ist eindeutig: Der Akteur präparierte die Backups des Opfers, vermutlich um seine Präsenz zu sichern. Beim Wiederherstellen der vorherigen Umgebung infizierte sich das Opfer erneut. Das Backup wird zu einem Persistenzmechanismus, den das Opfer selbst auslöst, im ungünstigsten Moment.

Ein Medienhaus als Waffe gegen seine eigenen Leser #

Bei einem Medienhaus setzte diese Person ein Framework zur Browser-Ausnutzung ein: ein in die Seiten eingeschleustes Skript, das sich beim Öffnen in den Browser jedes Lesers einklinkte. Damit ließ sich der Fingerabdruck von Tausenden Besucherbrowsern nehmen, und der Akteur suchte darin gezielt nach den Sitzungen und Zugangsdaten der Redaktion. Einen Fingerabdruck nehmen heißt Version, Erweiterungen und Schriften erfassen: genug, um zu wissen, wer wofür anfällig ist, und vor allem, um unter Tausenden anonymen Lesern diejenigen zu erkennen, die mit einer Administrationssitzung wiederkommen.

Was das für jede Website mit Publikum ändert: Ein Drittanbieter-Skript, das von Ihrer Seite geladen wird, hat dieselben Rechte wie Ihr Code. Zwei kostenlose Kontrollen helfen dagegen: eine Content Security Policy, die festlegt, aus welchen Quellen allein Skripte ausgeführt werden dürfen, und eine Subresource Integrity, die ein externes Skript blockiert, dessen Datei sich geändert hat.

Was sie daraus gemacht hat: eine Plattform zur Personenerfassung #

Das charakteristische Werkzeug hieß „fafsearch“: eine Suchmaschine, um Personen bloßzustellen. Ihr Aufbau, den der Bericht im Einzelnen schildert, beschreibt ein vollständiges Softwareprodukt:

• eine kompilierte Suchmaschine, keine Ansammlung von Wegwerfskripten;
• Ingestion-Pipelines, um laufend neue Quellen aufzunehmen;
• ein Abgleich zwischen bestehenden öffentlichen Leaks und selbst gestohlenen Daten;
• eine Normalisierung nationaler Identifikations- und Telefonnummern: der Baustein, der zwei Dateien zusammenführt, in denen dieselben Kennungen in unterschiedlichen Formaten stehen;
• eine Logik zur Rangfolge der Ergebnisse, Tests, ein containerisiertes Deployment.

Darin steckt alles, wofür ein Produktteam Monate braucht. Diese Person befüllte es mit zig Millionen Zeilen, darunter nationale Gesundheitskennungen und Daten aus Leaks des Justizsystems, und veröffentlichte es als anonyme, über Tor erreichbare Dienste, in denen die Angehörigen der ins Visier genommenen politischen Bewegung nach Namen gesucht werden konnten.

Dies ist einer der deutlichsten Fälle, die wir gesehen haben, in denen KI-gestützte Softwareentwicklung direkt für einen massenhaften Angriff auf die Privatsphäre eingesetzt wurde, und die gesamte Plattform wurde von einer einzigen Person geschaffen.

Die Beute und die Menschen dahinter #

• 12 bis 26 GB Datenbank-Dumps, eine Schätzung, die die Analysten selbst als Spanne angeben.
• Spender- und Mitgliederdateien von Parteien. Spenden und Mitgliedschaft verraten eine politische Meinung direkt und unmissverständlich.
• Ein Postfach mit 15.000 Nachrichten: keine Kontaktliste, sondern die Geschichte der Beziehungen und Abwägungen einer Organisation.
• Bewerbungsunterlagen von Studierenden, einschließlich Daten Minderjähriger. Diese Menschen sind weder Aktivisten noch Spender: Sie haben sich irgendwo beworben.
• Daten eines Zahlungsdienstleisters, ein Abgreifen von Zugangsdaten in Echtzeit auf den kompromittierten Websites und verschlüsselte Archive pro Opfer, ausgestellt auf einer vom Akteur betriebenen Leak-Seite.

Die Infrastruktur und ihr Zeitplan #

Wir veröffentlichen keine technischen Indikatoren. Rollen und Zeitplan lassen sich aber erzählen.

• Ein Server zur Validierung von Schlüsseln bei einem nordamerikanischen Hoster, aktiv von Februar bis Juni 2026: der langlebigste Baustein, weil die Sammlung allem anderen vorausgeht und es überdauert.
• Angriffsausgänge über kommerzielle VPN-Dienste und Rechenzentren in sieben Ländern, von Ende März bis Ende Mai.
• Exfiltrationspunkte in zweckentfremdeten Cloud-Projekten, im April und Mai: Die Daten gehen an die Infrastruktur eines anderen Opfers.
• Ein dedizierter Server bei einem französischen Hoster, Rechner für Vorbereitung und Scans gegen europäische politische Organisationen, Ende Juni und Anfang Juli: Die späte Phase rückt näher an die Ziele heran.
• Versteckte Tor-Dienste für den Tresor mit Zugangsdaten und die Leak-Seite, und ein Gateway zu KI-Modellen Dritter, ebenfalls über Tor: ein Kanal zur Beschaffung von Rechenleistung, unabhängig von den gestohlenen Schlüsseln.

Die DSGVO-Lesart: kein technischer Vorfall, sondern eine Verletzung sensibler Daten #

Wäre auch nur eine dieser Organisationen französisch gewesen, wäre die Einordnung sofort klar gewesen. Die Beute fällt ganz überwiegend unter Artikel 9 DSGVO, der die Verarbeitung von Daten, aus denen politische Meinungen hervorgehen, und von Gesundheitsdaten grundsätzlich untersagt. Ihre Offenlegung setzt die Betroffenen Diskriminierung, Druck und manchmal Gewalt aus.

• Artikel 9, politische Meinungen. Die 140.000 Datensätze, die Spenderdateien und die Mitgliederlisten verraten eine politische Meinung im wörtlichsten Sinn. Die Plattform zur Personenerfassung erlaubte es dann, Menschen nach Namen zu suchen: Das Leck wird zum Werkzeug, um gezielt Einzelne ins Visier zu nehmen.
• Artikel 9, Gesundheit. Nationale Gesundheitskennungen fallen in dieselbe Kategorie und haben hier eine präzise Funktion: Sie dienen als Dreh- und Angelpunkt beim Abgleich mehrerer Leaks, weil sie eindeutig und dauerhaft sind.
• Daten Minderjähriger. Die DSGVO geht davon aus, dass Kinder einen besonderen Schutz verdienen (Erwägungsgrund 38), und ihr Artikel 8 regelt die Einwilligung Minderjähriger in Onlinedienste, mit einer Altersgrenze, die in Frankreich auf 15 Jahre festgelegt ist. Eine Verletzung, die sie betrifft, verlangt erhöhte Wachsamkeit.
• Artikel 33 und 34, Meldung. Die Verletzung ist der Aufsichtsbehörde möglichst binnen 72 Stunden zu melden; bei hohem Risiko (eine öffentlich zugängliche namentliche Erfassung politischer Meinungen ist eines) muss sie auch den betroffenen Personen mitgeteilt werden. Diese Nachricht mitten in der Krise ohne vorbereitete Vorlage zu verfassen, dauert Tage.
• Artikel 32, Sicherheit der Verarbeitung. Die Verordnung verlangt die Fähigkeit, die Verfügbarkeit der Daten und den Zugang zu ihnen rasch wiederherzustellen. Vergiftete Backups zerstören diese Fähigkeit: Ein Backup, das nie testweise wiederhergestellt wurde, ist eine nicht erfüllte Pflicht.
• Artikel 35, Folgenabschätzung. Eine umfangreiche Verarbeitung von Daten nach Artikel 9 erfordert eine vorherige Datenschutz-Folgenabschätzung: Jede Mitglieder- oder Patientendatei fällt darunter.

„Meine Website ist nur ein Aushängeschild, da gibt es nichts zu stehlen“ #

Diesen Satz hören wir jeden Monat; dieser Fall widerlegt ihn. Eine Unternehmenswebsite ist ein Server, also ein Sprungbrett, um andere anzugreifen; ein Publikum, das ein eingeschleustes Skript zur Kontaktfläche macht; Zugangsdaten von Mitarbeitenden, oft auch anderswo verwendet; Daten aus Formularen und Bewerbungen; und ein Ruf: Eine Domain auf Sperrlisten reißt Ihr E-Mail-System mit.

Die WordPress-Checkliste #

Nichts davon ist neu, und genau das ist das Problem: Keine dieser Maßnahmen hätte ein Budget erfordert.

1. Core, Themes und Plugins aktualisieren und Ungenutztes löschen, nicht deaktivieren: Ein deaktiviertes Plugin bleibt eine ausführbare Datei auf dem Server.
2. wp-content/mu-plugins/ prüfen. Oft leer, nie angesehen. Jede Datei, die Sie dort nicht abgelegt haben, ist ein Vorfall.
3. Integritätsprüfung der Dateien: ein täglich verglichener Fingerabdruck des Verzeichnisbaums, der bei einer in fonts/ oder uploads/ aufgetauchten Datei Alarm schlägt. Die einzige Kontrolle, die eine Webshell ohne bekannte Signatur erwischen kann.
4. Schreibzugriff des Webservers untersagen, wo er nicht unbedingt nötig ist, und die Ausführung von PHP in den Upload-Verzeichnissen. Eine Webshell in einem Verzeichnis, in dem nichts ausgeführt wird, ist wirkungslos.
5. Zweiter Faktor für alle Administratorkonten, personengebundene Konten, Löschen der Konten ausgeschiedener Dienstleister. Ein Plugin, das eingegebene Zugangsdaten abgreift, greift keinen zweiten Faktor ab.
6. Kein Installationsprogramm und keine Konfigurationsdatei erreichbar lassen: Die hier ausgenutzte Lücke steckte in einem Übergangszustand der Neuinstallation.
7. Eine Web Application Firewall und eine Ratenbegrenzung vor Formular und Anmeldeseite: dieselbe Logik wie beim Bombardement mit Anmeldungen und beim souveränen CAPTCHA, mit einer Sperre wiederholt auftretender Quellen auf dem Server.
8. Content Security Policy und Subresource Integrity für externe Skripte.
9. Such- und Export-Schnittstellen begrenzen: Autorisierung für jedes einzelne Objekt, begrenzte Paginierung, gedeckelte Rate pro Konto.
10. Zugriffsprotokolle, die aufbewahrt und gelesen werden. Ohne sie bleibt die Analyse nach einem Vorfall Mutmaßung.
11. Ein unveränderliches Backup mit langer Aufbewahrung, tatsächlich wiederhergestellt auf einer neuen Maschine, mindestens zweimal im Jahr.
12. Ein schriftliches Verfahren für die ersten 48 Stunden: wer was abschaltet, wer wen informiert, wer die Meldung verfasst. Unsere Vorlage für einen Notfall-Wiederherstellungsplan passt auf wenige Seiten.

Morgen: die Exploit-Fabriken, oder wie zwei chinesische Studenten eine automatisierte Kette betrieben, die „mehr als ein Dutzend unbekannte Schwachstellen in einem Monat“ in Netzwerkgeräten hervorbrachte.

Quellen #

• Anthropic, Detecting and countering misuse of AI: September 2026 (10. September 2026): Kapitel Cyber operations, Abschnitt GTG-50029 Hacktivists targeted European political and affiliated entities, Seiten 34 bis 37.
• Anthropic, derselbe Bericht, Abschnitt AI supply chain as target, loot, and attack compute: der Dreiklang Beute / Rechenleistung / Tarnung.
• Verordnung (EU) 2016/679 (DSGVO): Artikel 8, 9, 28, 32, 33, 34 und 35, Erwägungsgrund 38.
• Verwandte Artikel: unveränderliches 3-2-1-Backup, Aufbewahrung gegen Ransomware, Notfall-Wiederherstellungsplan, Selbstaudit nach ANSSI.