Zwei Stunden zwischen erstem Zugriff und Diebstahl: Die Ökonomie des Einbruchs hat sich geändert

Die meisten Sicherheitsrichtlinien von KMU sind auf ein menschliches Tempo ausgelegt. Man sieht sich die Alarme morgens an, bearbeitet die Tickets im Laufe des Tages, der Dienstleister ruft binnen vier Stunden zurück, und die Sicherheitsprüfung findet monatlich statt. Das Kapitel des Berichts über die Affiliates des Kollektivs ShinyHunters erklärt, warum dieses Tempo zu nichts mehr passt.

Die tatsächlichen Zeiten #

Anthropic bezeichnet das operative Tempo dieses Akteurs als „relativ konstant“, was eine Untertreibung ist. Die nackten Zahlen:

• Bei einem kompromittierten Softwareanbieter: nur wenige Stunden zwischen dem ersten Zugriff und dem Massendiebstahl von Daten.
• Bei einem anderen: von einem einzigen gestohlenen Entwickler-Token zur vollständigen administrativen Kontrolle über die Cloud-Umgebung des Opfers in etwa drei Stunden.
• Ein geleerter Sitzungsspeicher: mehr als 2.100 Sätze von Authentifizierungstoken für mehr als 40 Kundenorganisationen, in etwa 34 Stunden. Der Bericht stellt klar: „Die KI-Agenten haben nahezu die gesamte Arbeit erledigt.“

Diese Zeiten beschreiben nur die Phase des Eindringens. Der Bericht fügt hinzu, dass der Akteur danach die internen Datenbanken schrittweise absaugte und dann, in den Fällen über die Lieferkette, die Daten der Endkunden, ein Ziel nach dem anderen. Drei Stunden, das ist weniger als die Rückrufzeit vieler Verträge für Managed Services. Weniger als ein Wochenende, weniger als ein Brückentag, weniger als eine Urlaubswoche. Der Bericht fasst es in ökonomische Begriffe: Was früher gut ausgestattete Operationen vom Rest unterschied (Aufklärung, Werkzeugentwicklung, Auswertung gestohlener Daten), wird heute an Modelle delegiert, die parallel laufen. Gemessenes Ergebnis: „Kompromittierungen, die in zwei bis drei Stunden abgeschlossen sind, und Dutzende Opfer, die ein einzelner Operator parallel abarbeitet.“

Der Lebenszyklus eines Einbruchs, wie der Bericht ihn zerlegt #

Der Wert dieses Kapitels liegt nicht in der Anekdote, sondern in der Methode. Anthropic zerlegt die gesamte Kette in acht Schritte, jeder mit eigenen Werkzeugen. Wir geben sie hier wieder, weil sie, rückwärts gelesen, eine Liste von Kontrollpunkten für ein KMU ergibt.

1. Beschaffung und Aufklärung. Die meisten Einbrüche beginnen mit bereits kompromittierten Zugangsdaten. Der Rest stammt aus massenhaften Scans, Phishing per E-Mail, Phishing per Telefon und gefälschten Domainnamen, die einen Mitarbeiter dazu bringen sollen, einen Zugang zu öffnen. Konkret: Der häufigste Einstiegspunkt ist nicht Ihre Firewall, sondern ein Passwort, das bereits im Umlauf ist, und ein Mitarbeiter, den man anruft.
2. Entdeckung. Offen liegende Zugriffstoken werden im industriellen Maßstab von automatisierten Extraktionsprojekten gefunden: App-Binärdateien, Code-Repositories und Integrationen, im Browser ausgeführter Code, Tresore für Zugangsdaten, Container-Images, Cloud-Metadaten-Endpunkte, offene Speicher und vom Opfer betriebene KI-Agenten. Der Bericht nennt ein Projekt, das einen kompletten App-Store herunterlädt, um darin nach Sitzungstoken zu suchen. Konkret: Das ist das Thema des gestrigen Artikels, und dagegen hilft ein Secrets-Scanner, keine Richtlinie.
3. Validierung und Einstufung. Alles Gefundene wird vor der Nutzung getestet: Massenvalidierung von Cloud-Schlüsseln, eigens geschriebene Login-Orakel, direktes Wiedereinspielen gegen die Produktion, Bewertung des Weiterverkaufswerts, Offline-Knacken. Konkret: Zwischen dem Leck und dem ersten Versuch gegen Ihre Systeme gibt es keine Schonfrist.
4. Ausbreitung beim Opfer. Ein einziger gültiger Zugang dient der Ausbreitung: Auslesen der Secrets eines ganzen Clusters, Ausweitung von Administrations-Token, Einschleusen in die Integrations- und Deployment-Pipelines, Extraktion von Datenbanken und Sitzungstabellen, Bergen von Signaturschlüsseln aus Dumps und Weiterreichen der Berechtigungen des Anbieters an jeden seiner Kunden. Konkret: Die Kompromittierung eines Kontos ist nie das Ende der Geschichte, sondern der Beginn der Bestandsaufnahme.
5. Exfiltrationskanäle. Der Bericht zählt sechs: Cloud-Speicher für Privatkunden, privater Dateiserver hinter einem verschlüsselten Mesh-Netz, Datenstrom an einen Messenger-Bot, Zwischenlagerung innerhalb der Cloud des Opfers, Command-and-Control-Kanäle und schlichte Massenextraktionen per API. Konkret: Den ausgehenden Verkehr mit einer Sperrliste zu filtern reicht nicht. Zwei dieser sechs Kanäle sehen aus wie legitime Dienste, und ein dritter verlässt Ihr Haus nicht einmal.
6. Lagerung. Die Beute wird zur Wiederverwendung und zum Weiterverkauf gespeichert: eine selbst gehostete Infrastruktur, die die gestohlenen Datenbanken wieder bereitstellt, ein Beuteverzeichnis pro Opfer, ein Lager auf einem Messenger, das zugleich als Verkaufsschaufenster dient, und Pools noch gültiger Schlüssel. Konkret: Ihre Daten überleben den Vorfall, indexiert und durchsuchbar. Deshalb lässt sich ein Leck nie ganz „schließen“.
7. Dauerhafte Zugänge schaffen. Neue Zugangsdaten werden erzeugt, damit die Operation Ihre Rotation überlebt: Cloud-API-Schlüssel in Ihren eigenen Konten, Entwicklerschlüssel auf den Plattformen, gefälschte Sitzungen und Codes für den zweiten Faktor, Hintertüren im Netz. Konkret: Passwörter zu ändern ist keine Bereinigung. Solange niemand aufgelistet hat, was während des Einbruchs erzeugt wurde, ist der Zugang weiterhin offen.
8. Zu Geld machen. Weiterverkaufskanäle und Schlüsselpools, direkter Finanzdiebstahl, Erpressung mit den gestohlenen Daten, Einnahmen aus Bug-Bounties mit doppeltem Spiel und Massendaten als Druckmittel in der Hinterhand. Konkret: Mit einem Lösegeld kaufen Sie nichts, denn der Bestand hat anderswo bereits einen Nutzwert.

Über Bande: Ihr Softwareanbieter ist Ihre Angriffsfläche #

Das lukrativste Muster im Bericht ist nicht der direkte Angriff, sondern der Umweg über den Anbieter. Ein Affiliate hat sich darauf spezialisiert: Nachdem er einen SaaS-Anbieter kompromittiert hatte, nutzte er diesen Fuß in der Tür, um die Daten von rund 200 Kundenorganisationen dieses Anbieters abzuziehen, bevor er den oben genannten Sitzungsspeicher leerte. In einem anderen Fall nutzte der Akteur eine Cross-Site-Scripting-Lücke, um einzudringen, erweiterte seine Rechte und exfiltrierte dann die Daten von Tausenden nachgelagerten Kundenorganisationen. Das Modell half ihm, die Entwickler- und Authentifizierungsschnittstellen zu verstehen und zu manipulieren, privilegierte Token zu erzeugen und umzuwandeln und die mandantenübergreifenden Werkzeuge für den Massenexport zu bauen.

Die Endopfer haben nichts falsch gemacht. Sie haben eine Software gewählt, ihr Verzeichnis angebunden, bei der Installation die angefragten Berechtigungen erteilt, und das war alles. Genau diesen Punkt betonen wir seit unserem Artikel über den Cloud Act, erklärt für KMU: Die Frage lautet nicht nur „ist mein Dienstleister seriös“, sondern „wie vielen Dritten sind meine Daten zugänglich, und über welchen Mechanismus“.

Was der Bericht „Vibe Hacking“ nennt #

Die Beschreibung verdient es, zitiert zu werden, weil sie erklärt, wie ein durchschnittlicher Operator Expertenergebnisse erzielt. Der Operator gibt ein allgemeines Ziel vor („nutze diesen Zugang bei dieser Organisation“, „hole die Daten dieser Gruppe von Zielen“) und lässt das Modell die Umgebung bewerten, Skripte schreiben und ausführen, Zusammenfassungen erstellen und wieder von vorn beginnen, bis die Aufgabe erledigt ist. Anthropic fügt den entscheidenden Satz hinzu: „Sehr oft versteht der Operator selbst weder die Zielumgebung noch die Komplexität der Suche nach wertvollen Informationen; er delegiert die Einzelheiten an die KI.“

Die direkte Folge, und das ist der härteste Schluss dieses Kapitels: Security through Obscurity ist am Ende. Der Bericht schreibt es schwarz auf weiß. Eine ungewöhnliche Konfiguration, eine obskure Branchensoftware, ein selbst gebautes ERP von 2009: All das bremste einen Menschen, der das System erst lernen musste, bevor er es angriff. Ein Modell liest Dokumentation, Fehlermeldungen und dekompilierten Code so schnell, wie es sie erhält. „Alles, was mit dem Internet verbunden ist, ist ein potenzielles Ziel.“

„Living off the Land“, angewandt auf KI #

Sicherheitsfachleute verwenden den Ausdruck Living off the Land (vom Land leben) für Angriffe, die nur Werkzeuge nutzen, die beim Opfer bereits vorhanden sind: keine mitgebrachte Software, also nichts Auffälliges zu erkennen. Der Bericht stellt fest, dass dieselben Operatoren das Prinzip auf KI übertragen haben. Sie behandelten die KI-Lieferkette zugleich als Ziel und als Ressource: Sie stahlen die KI-Schlüssel, die sie in den angegriffenen Umgebungen fanden, und nutzten sie als zusätzliche Rechenkapazität für die weiteren Operationen. Einer dieser Schlüssel diente etwa drei Wochen lang für Folgeangriffe auf andere Organisationen.

Für ein KMU lässt sich das in einem Satz sagen: Ihr Abonnement für einen KI-Dienst ist nicht mehr nur eine Ausgabe, sondern ein Wert, den man während des Einbruchs bei Ihnen abholt und der dann den nächsten Einbruch finanziert. In allen dokumentierten Fällen stammten die Schlüssel aus Kundenumgebungen; die Systeme von Anthropic wurden nicht kompromittiert.

Das Ausmaß und die Vermischung der Rollen #

Der Bericht gibt eine Vorstellung von der Beute. Bei einem Technologieanbieter: mehr als ein Terabyte Daten, darunter Hunderttausende nationale Identifikationsnummern und Millionen Datensätze von Zahlungskarten, auf einer öffentlichen Website ausgestellt, um Druck auf das Opfer auszuüben. Bei einer Fluggesellschaft: Zugang zu Systemen mit Dutzenden Millionen Passagierdatensätzen. Bei einem Energieversorger: Die Operatoren behaupteten, den Ladestrom der bei Kunden installierten Ladesäulen aus der Ferne steuern zu können.

Am Ende der Kette betrieb einer der französischsprachigen Operatoren seinen eigenen Laden. Er verkaufte Datensätze gestohlener Bankkarten, angereichert um die Kennung der ausgebenden Bank, die vollständigen persönlichen Daten des Karteninhabers und eine interaktive Karte mit den Adressen der Opfer. Die Fassade wurde über eine Mini-App in einem Messenger verbreitet, die auf einer selbst gebauten Datenbankplattform aufsetzte, welche nebenbei mehrere Datensätze aus französischen Leaks in einem Suchdienst bündelte, darunter eine Datei mit rund 400.000 Datensätzen eines Telekommunikationsanbieters, IBAN und BIC inklusive. Der Domainname des Schaufensters imitierte den der französischen Nationalpolizei; der Bericht schätzt, dass er dem Laden als Markenauftritt diente, nicht als Phishing-Köder.

Ein Detail verdient Beachtung, weil es auf der Seite des Verteidigers steht. Der Bericht vermerkt, dass die operative Sicherheitsdisziplin dieser Operatoren uneinheitlich war: Einer von ihnen ließ die Adresse seines eigenen Jump-Hosts herumliegen, mehrere Token von Messenger-Bots, einen Proxy mit hartkodierten Zugangsdaten, und lud sogar eine Datei auf eine öffentliche Sharing-Seite hoch, aus der Umgebung eines Opfers heraus. Anders gesagt: Sie hinterlassen bei Ihnen Spuren. Diese Spuren nützen nur unter einer Bedingung: dass Sie Protokolle aufbewahren, außerhalb der Maschine, die sie erzeugt.

Das doppelte Spiel: morgens Bug-Bounty, nachmittags Erpressung #

Derselbe Akteur kassierte Bug-Bounty-Prämien von 2.000 und 5.000 Dollar bei zwei Unternehmen, die er anderweitig infiltriert und erpresst hatte, und behandelte die Programme zur verantwortungsvollen Offenlegung als zusätzliche Einnahmequelle bei denselben Zielen. Der Bericht fügt hinzu, dass er auch die öffentlichen Einreichungen anderer Forscher als Quelle für die Aufklärung bei seinen gezielten Angriffen abschöpfte.

Was das für Sie ändert: Was über Ihre Schwachstellen veröffentlicht wird, ob von Ihnen oder von Dritten, ist Rohmaterial für den nächsten Angreifer. Das ist kein Argument gegen verantwortungsvolle Offenlegung, die die richtige Praxis bleibt. Es ist ein Argument dafür, zu beheben, bevor die Offenlegungsfrist abläuft, und einen eingegangenen Schwachstellenbericht nicht für einen bearbeiteten Schwachstellenbericht zu halten.

Die Fragen, die Sie einem Anbieter jetzt stellen sollten #

Ein KMU kann den Anbieter seiner Lohnbuchhaltungssoftware nicht auditieren. Es kann aber sieben Fragen stellen, deren Antworten sich überprüfen lassen, und einen Anbieter ablehnen, der sie nicht schriftlich beantworten kann.

1. Wie schnell informieren Sie mich über eine Kompromittierung? Die DSGVO verpflichtet einen Verantwortlichen, die Aufsichtsbehörde (in Frankreich die CNIL, die französische Datenschutzbehörde) binnen 72 Stunden zu benachrichtigen; Ihr Vertrag muss vom Auftragsverarbeiter also eine deutlich kürzere Frist verlangen. „Schnellstmöglich“ ist keine Frist.
2. Wie lange sind Ihre Token gültig, und kann ich sie selbst widerrufen? Ein Sitzungstoken, das sechs Monate gültig ist, ist ein Token, das wieder eingespielt werden wird.
3. Sind Ihre Administrationszugänge personengebunden und mit zweitem Faktor gesichert, auch für Ihre Support-Teams? Die Frage betrifft deren Zugriff auf Ihre Daten.
4. Wo werden meine Daten gehostet, bei welchen Unterauftragsverarbeitern? Die Liste muss existieren und herausgegeben werden: Das ist eine Pflicht nach Artikel 28 DSGVO, kein Entgegenkommen.
5. Kann ich meine Daten ohne Ihre Mitwirkung exportieren? Ein vom Anbieter unabhängiges Backup ist das einzige, das seinen schlechten Tag überlebt.
6. Was protokollieren Sie, und kann ich diese Protokolle erhalten? Ohne exportierbare Protokolle werden Sie nie erfahren, worauf bei Ihnen zugegriffen wurde. Und angesichts des obigen Kapitels lautet die eigentliche Frage: Protokollieren Sie die Erstellung von Token und Konten, nicht nur die Anmeldungen?
7. Was passiert, wenn einer Ihrer anderen Kunden kompromittiert wird? Beim Angriff über Bande ist der Mandant nebenan ein Zugangsweg zu Ihrem. Die Antwort muss eine Abschottung nennen, keine gute Absicht.

Und auf Ihrer Seite #

• Vierteljährliche Prüfung der verbundenen Anwendungen in Ihrem Verzeichnis und Ihrem Postfach; Widerruf von allem, was nicht mehr genutzt wird. Das ist der Handgriff mit dem besten Verhältnis von Aufwand zu Wirkung auf dieser Liste.
• Bedingter Zugriff: administrative Anmeldungen auf verwaltete Geräte beschränken und Länder sperren, aus denen Sie nie arbeiten.
• Alarm bei der Erstellung von Token und privilegierten Konten. Eine Rechteausweitung in drei Stunden erzeugt Ereignisse; es muss sie nur jemand empfangen. Das ist das Thema des morgigen Artikels und der Daseinszweck eines SIEM.
• Zentralisierte und aufbewahrte Protokolle, außerhalb der Maschine, die sie erzeugt. Das ist die Voraussetzung, um die oben erwähnten Ungeschicklichkeiten der Angreifer auszunutzen.
• Backups außer Reichweite, unabhängig vom Anbieter und vom Haupt-Cloud-Konto: Die unveränderliche 3-2-1-Sicherung hat sich nicht geändert, geändert hat sich die Zeit, die Ihnen bleibt, um sie zu nutzen.
• Ein schriftlicher und datierter Wiederherstellungsplan, der davon ausgeht, dass der Anbieter nicht verfügbar und nicht kooperativ ist: Das ist der Notfall-Wiederherstellungsplan, einmal im Jahr geübt.
• Eine ehrliche Bestandsaufnahme als Anfang, wenn Ihnen all das unerreichbar scheint: Das Selbstaudit der 42 Maßnahmen der ANSSI lässt sich intern durchführen und ordnet die Baustellen nach tatsächlicher Dringlichkeit.

Morgen: der Spionageakteur, der seinen Agenten beigebracht hat, seine Schadsoftware umzubauen, solange ein Virenscanner sie erkennt, und was das mit der signaturbasierten Erkennung macht.

Quellen #

• Anthropic, Detecting and countering misuse of AI: September 2026 (10. September 2026): Kapitel Cyber operations, Abschnitt GTG-50014 ShinyHunters smash-and-grab opportunists: Dauer der Einbrüche, Umweg über den Anbieter, Laden für gestohlene Karten, uneinheitliche operative Disziplin, doppeltes Spiel aus Bug-Bounty und Erpressung.
• Derselbe Bericht, Abbildungen Attack lifecycle and AI integration: die acht Schritte (Beschaffung und Aufklärung, Entdeckung, Validierung, Ausbreitung beim Opfer, Exfiltrationskanäle, Lagerung, dauerhafte Zugänge, Monetarisierung).
• Derselbe Bericht, Abschnitt Prevailing trends für die Formulierung zur Ökonomie des Angriffs und die in zwei bis drei Stunden abgeschlossenen Kompromittierungen.
• Unsere Gesamtlektüre: Acht Monate KI-Missbrauch, und die gestrige Folge über gestohlene API-Schlüssel.
• Zur Meldefrist und zur Kette der Auftragsverarbeitung: Der Cloud Act, erklärt für KMU.