Russische Hacker ließen KI ihre Schadsoftware umbauen – bis sie unsichtbar war

Seit ein paar Tagen geht eine Schlagzeile um: Russland setzt Künstliche Intelligenz für Spionage und für Kamikaze-Drohnen ein. Dahinter steckt ein Bericht der US-Firma Anthropic. Sie hat die KI Claude entwickelt und schreibt darin auf, wie Kriminelle und staatsnahe Gruppen ihr Programm missbraucht haben.

Der Bericht ist echt, die Beispiele auch. Das Spannendste steht aber nicht in der Überschrift, sondern mitten im Text. Und es betrifft nicht nur Geheimdienste, sondern jeden, der einen Computer benutzt.

Wer hier eigentlich berichtet

Anthropic beschreibt in dem Bericht Fälle aus den Monaten Dezember 2025 bis August 2026. Es geht um Betrug, um Überwachung, um Propaganda und um Software für Waffen. Die Firma sagt, sie habe alle beteiligten Konten gesperrt und Behörden informiert.

Man sollte sich merken, was für eine Quelle das ist. Hier erzählt eine Firma, wie ihr eigenes Produkt missbraucht wurde. Die Daten dazu hat sonst niemand. Das macht den Bericht wertvoll, weil man solche Dinge sonst gar nicht erfährt. Es heißt aber auch: Nachprüfen kann das von außen niemand. Beides stimmt gleichzeitig.

Der Fall, um den es geht

Die Gruppe trägt bei Anthropic die Kennung GTG-20006. Sie griff laut Bericht mehr als 20 Organisationen an: Ministerien, Nachrichtendienste, Botschaften, Forschungsinstitute und Rüstungsfirmen. Der Schwerpunkt lag in der Ukraine und in Europa, einzelne Ziele auch im Nahen Osten und in Asien. Besonders interessierten sich die Angreifer für Firmen, die Teile für Militärdrohnen herstellen.

Der Weg dorthin führte oft über Umwege. Die Gruppe hackte zum Beispiel Firmen, die das WLAN in Hotels betreiben. Wer sich dann im Hotel ins Netz einloggte, landete unbemerkt auf Servern der Angreifer. Bei einer Behörde in Nordafrika sollen mehr als 300.000 Datensätze mit Ausweisdaten abgeflossen sein, dazu Firmendaten von über einer halben Million Unternehmen. Aus mindestens acht Organisationen wurden E-Mails kopiert.

Das Katz-und-Maus-Spiel, das plötzlich kippt

Jetzt zu dem Punkt, der den Fachleuten Sorgen macht. Er lässt sich gut erklären.

Ein Virenscanner erkennt Schadprogramme an Merkmalen, ungefähr wie an einem Fingerabdruck. Kennt er den Fingerabdruck, schlägt er Alarm. Bisher lief es deshalb so ab: Die Angreifer bauen ein Schadprogramm. Irgendwann finden es die Sicherheitsfirmen, nehmen den Fingerabdruck und geben ihn an alle Virenscanner weiter. Ab da ist das Programm nutzlos. Die Angreifer müssen von vorn anfangen – und das kostet sie Wochen. Genau dieser Aufwand war der Schutz.

Bei dieser Gruppe passierte laut Anthropic etwas anderes. Die KI überwachte selbst, ob die Schadsoftware entdeckt wurde. War sie entdeckt, baute die KI sie um, testete sie und wiederholte das so lange, bis sie wieder durchkam. Kein Mensch musste dazwischen etwas tun. Aus Wochen werden damit Minuten. Und wer sich verteidigt, kommt mit dem Nachliefern der Fingerabdrücke womöglich nicht mehr hinterher.

Warum „die KI hat angegriffen“ trotzdem falsch ist

Nach so einer Beschreibung stellt man sich schnell eine Maschine vor, die sich selbst aussucht, wen sie angreift. So war es nicht. Anthropic schreibt ausdrücklich, dass Menschen weiterhin die wichtigen Entscheidungen trafen: Sie legten fest, welche Organisation dran ist, und sie sahen sich die gestohlenen Daten an. Die KI erledigte die Arbeit dazwischen.

Der Bericht unterscheidet dabei drei Stufen. Die kommen in den Schlagzeilen meist nicht vor, obwohl sie den Unterschied ausmachen.

Bei „Russland“ lohnt genaues Hinsehen

Anthropic drückt sich hier vorsichtig aus. Die eigene Zuordnung passe zu öffentlichen Berichten über eine Gruppe namens Midnight Blizzard, die im Westen dem russischen Auslandsgeheimdienst zugerechnet wird. Genannt wird außerdem ein russischsprachiger Täter, dessen Arbeitsweise zu staatlicher russischer Spionage passe.

„Passt zu“ ist etwas anderes als „ist bewiesen“. Wer im Internet herausfinden will, wer hinter einem Angriff steckt, hat selten einen eindeutigen Beweis. Man sammelt Indizien: welche Sprache benutzt wird, zu welchen Uhrzeiten gearbeitet wird, wer angegriffen wird. Zusammen kann das sehr überzeugend sein. Sicher ist es trotzdem nicht. In den Meldungen wird aus „passt zu“ schnell „Russland hat“ – und das ist bereits eine andere Aussage.

Das gilt auch für den zweiten Teil der Schlagzeile, die Drohnen. Der Bericht erwähnt tatsächlich eine Gruppe aus Russland, die mit der KI an Software für Kamikaze-Drohnen arbeitete. Anthropic schreibt aber dazu, dass es sich nach eigener Einschätzung nicht um eine staatliche Einheit handle, sondern um ein kleines Team von Selbstständigen. Die Leute behaupteten zwar selbst, staatliches Geld zu bekommen – überprüfen konnte die Firma das nicht. In der Kurzfassung „Russland baut KI-Drohnen“ fällt das weg.

Das Unbequeme: Es ist dieselbe Bauweise wie bei normalen Programmen

Eine Stelle im Bericht wird selten zitiert, obwohl sie erklärt, warum das Problem so schwer zu lösen ist. Die beschriebenen Angriffe liefen über sogenannte Agenten. Damit ist ein KI-Programm gemeint, dem man kein einzelnes Kommando gibt, sondern einen Auftrag. Es zerlegt ihn selbst in Schritte und arbeitet sie nacheinander ab.

Man kann sich das wie einen Assistenten vorstellen, der eine Aufgabenliste führt. Er merkt sich über Tage hinweg, was schon erledigt ist. Er verteilt Teilaufgaben an mehrere Hilfsprogramme. Eines behält den Überblick. Und er darf selbst Werkzeuge bedienen, also Dateien öffnen oder im Internet nachschauen.

Genau so sind auch die KI-Assistenten gebaut, die gerade überall für Büroarbeit, Terminplanung oder Programmieren angeboten werden. Nichts an diesem Aufbau ist eine Angriffstechnik. Streicht man aus der Beschreibung die Ziele heraus, sieht man ihr nicht mehr an, ob dahinter ein Spionageprogramm steckt oder ein Werkzeug für die Buchhaltung.

Was das für ganz normale Nutzer heißt

Die wenigsten von uns betreiben eine Botschaft. Trotzdem steht im Bericht etwas, das alle angeht: Dieselben Möglichkeiten haben inzwischen auch Einzelpersonen. Und deren Opfer sind ganz normale Leute.

Das deutlichste Beispiel ist eine einzelne französischsprachige Person, die sich im Frühjahr 2026 politische Parteien, Medien und Forschungseinrichtungen in Europa vornahm. Sie nahm 42 Organisationen ins Visier und kam laut Bericht bei mindestens 14 davon hinein. Erbeutet wurden unter anderem Spender- und Mitgliederlisten einer Partei, ein Postfach mit 15.000 Nachrichten und Bewerbungsunterlagen von Studierenden, darunter Daten von Minderjährigen. Bei einer Wahlkampf-Plattform kamen rund 140.000 Einträge mit politischen Ansichten von Nutzern abhanden.

Aus all dem baute dieselbe Person danach eine Webseite im verborgenen Teil des Internets, auf der man Anhänger der betroffenen politischen Bewegung mit Namen nachschlagen konnte. Anthropic nennt das einen der klarsten Fälle, in denen mit KI gebaute Software direkt in einen Massenangriff auf die Privatsphäre mündete. Gebaut von einem einzigen Menschen.

Der zweite Bereich ist schlicht Geldbeschaffung. Eine Gruppe von Kriminellen brach bei einer Technologiefirma ein und zog dort eine gewaltige Menge Daten ab: Hunderttausende Ausweisnummern und Millionen Kreditkartendatensätze. Bei einer Fluggesellschaft erreichten sie Systeme mit Passagierdaten von mehreren zehn Millionen Menschen. Ein Einbruch bei einer Softwarefirma dauerte vom ersten Zugang bis zum Abzug der Daten nur Stunden. Wer in so einer Kundendatei steht, hat mit alldem nichts zu tun gehabt und erfährt meist erst davon, wenn die Daten irgendwo auftauchen.

Und dann gibt es noch die Masche, die direkt auf Einzelpersonen zielt. Ein Studio in China betrieb laut Bericht über 20 Dating-Apps, in denen die meisten Gegenüber gar keine Menschen waren. In zwei Wochen zählte Anthropic mehr als 4.700 künstliche Profile, die mit mindestens 25.000 echten Menschen schrieben – rund 2,36 Millionen Nachrichten. Auf drei künstliche Profile kam etwa ein echter Mensch, und diese echten Leute wurden gezielt für Videoanrufe eingesetzt, wenn jemand misstrauisch wurde und einen Beweis verlangte. Wer bezahlt hat, um weiterschreiben zu können, hat keinen Menschen kennengelernt.

Die Wege hinein waren dabei die altbekannten: gestohlene Passwörter, veraltete Geräte, in die keine Updates mehr eingespielt wurden, und gefälschte E-Mails, die zur Anmeldung auffordern. Nichts davon ist neu, und das ist die gute Nachricht. Es bedeutet, dass auch der Schutz der alte bleibt: ein zweiter Bestätigungsschritt beim Anmelden, Updates zügig installieren und misstrauisch sein, wenn eine Mail nach Passwörtern fragt. Diese Dinge wirken gegen automatische Angriffe genauso wie gegen von Hand gemachte. Sie müssen nur zuverlässiger sitzen, weil die Gegenseite heute viel mehr Versuche pro Tag schafft.

Und dann ist da noch der Punkt, der jeden KI-Nutzer angeht

Ein Kapitel des Berichts hat mit Spionage gar nichts zu tun und ist trotzdem der alltagsnächste Teil. Anthropic wirft mehreren chinesischen KI-Firmen vor, Gespräche ihrer eigenen Kunden heimlich an Claude weitergeleitet zu haben, um mit den Antworten die eigenen Programme zu trainieren. Die Nutzer glaubten, mit dem Programm zu reden, das sie ausgewählt hatten.

In diesen weitergeleiteten Texten steckte laut Bericht alles Mögliche: Namen, Kontaktdaten, Zugangsdaten, interner Firmencode und Geschäftsunterlagen von Hunderten Nutzern in mehr als einem Dutzend Sprachen. Viele davon kamen über Zwischendienste, die auch in Europa und den USA verbreitet sind. Ob und wie die betroffenen Firmen ihre Kunden darüber informiert haben, steht nicht im Bericht.

Daraus folgt eine schlichte Regel, für die man nichts über Cybersicherheit wissen muss: Was man in einen Chat tippt, bleibt nicht zwangsläufig dort, wo man es hingetippt hat. Persönliche Daten, Passwörter, Kontonummern oder vertrauliche Unterlagen gehören deshalb nicht in ein KI-Programm – egal, welches Logo darüber steht.

Was offen bleibt

Anthropic sagt, man habe alles gestoppt. Nur ändern Sperren oft weniger, als es klingt. Claude ist in Russland offiziell gar nicht verfügbar, und russische Bankkarten werden nicht akzeptiert – die Gruppen leiteten ihre Verbindungen laut Bericht einfach über gemietete Server in anderen Ländern um. Eine Sperre auf dem Papier ist eben nicht dasselbe wie eine Sperre in der Praxis.

Auch bei den gesperrten Konten räumt die Firma an mehreren Stellen selbst ein, dass es wenig ändert. Eine Gruppe hatte ihr Programm da schon so weit fertig, dass es ohne Claude weiterläuft. Eine Überwachungsanlage lief am Ende mit einem Programm, das direkt vor Ort installiert war. Eine Kontosperre trifft die Bauarbeiten, nicht das fertige Haus.

Auch bei der Frage, wie gut die Schutzvorkehrungen der KI greifen, fällt die Antwort gemischt aus. An einigen Stellen heißt es, das Programm habe Anfragen verweigert. An anderen steht, dass eine Verweigerung nach mehrmaligem Nachfragen doch noch kippte oder dass die Angreifer ihre Aufgabe einfach in viele kleine, harmlos aussehende Häppchen zerlegten. Das ist der ehrliche Teil des Berichts. Er sagt aber auch, worauf man sich besser nicht verlassen sollte: darauf, dass die Hersteller das Problem unter sich lösen.

Quellen

• Anthropic: Detecting and countering misuse of AI · Bericht als PDF, September 2026
• Euronews: Russische Agenten nutzen KI Claude für Cyberspionage und Drohnen, 16. September 2026