KI in der Cyber-Kill-Chain: Angriffswaffe oder Angriffsziel?

Wo setzen Angreifer Künstliche Intelligenz heute tatsächlich ein, wo nur im Labor, und was folgt daraus für die Priorisierung der Verteidigung? Dieses Whitepaper filtert die öffentlich verfügbare Evidenz durch die 14 Taktiken von MITRE ATT&CK und trennt dabei zwei Fragen, die in der Debatte ständig vermischt werden: wie gut ein Einsatz dokumentiert ist, und wer ihn heute kann.

Zielgruppe

CISO, IT-Leitung, Geschäftsführung (DACH)

Methodik

MITRE ATT&CK v18, MITRE ATLAS v5.6, Threat-Informed Defense

Klassifizierung

TLP:CLEAR, Weitergabe erlaubt

Stand der Evidenz

17. September 2026, Version 2.0

Quellen

Anthropic, MITRE ATT&CK (Campaign C0062), MITRE ATLAS 5.6, Google Threat Intelligence Group, Czybik et al. (USENIX Security 2026), Heiding et al. (2024), Agencia Española de Protección de Datos

Die effiziente Abwehr von Cyberangriffen erfordert eine Ausrichtung am realen Angreiferverhalten. Diese Analyse wendet die Perspektive der Threat-Informed Defense auf den Einsatz Künstlicher Intelligenz an. Als Vokabular für die Phasen eines Angriffs dient das MITRE ATT&CK-Framework, für Angriffe auf KI-Systeme MITRE ATLAS. Beide Fragen, wie gut ein Einsatz dokumentiert ist und wer ihn heute kann, werden getrennt bewertet.

Evidenz: Wie gut ist der Einsatz dokumentiert?

Belegt heißt mehrfach oder unabhängig dokumentiert. Vereinzelt heißt in einzelnen Fällen im Feld beobachtet. Labor heißt nur unter Testbedingungen gezeigt.

Zone: Wer kann das heute, und wen trifft es?

Zone 1 ist der Massenmarkt, billig und skalierend. Zone 2 sind ressourcenstarke Akteure mit wiederholtem Einsatz. Zone 3 sind einzelne Kampagnen, die sich in der Breite nicht wiederholen lassen.

Eine Taktik kann durch zwei staatliche Akteure belegt und trotzdem Zone 3 sein. Umgekehrt bleibt eine Technik ohne Feldbeleg außerhalb der Zonen, auch wenn sie im Labor eindrucksvoll aussieht.

Vor der Analyse der Angreifer-Taktiken muss eine konzeptionelle Unschärfe aufgelöst werden. KI als Werkzeug des Angreifers wird in der strategischen Diskussion regelmäßig mit KI als Angriffsziel gleichgesetzt. Wer die eigenen KI-Systeme schützen will, braucht ein anderes Bedrohungsmodell (MITRE ATLAS) als wer einen Akteur abwehrt, der KI zur Vorbereitung eines klassischen Angriffs nutzt (MITRE ATT&CK).

Beide Perspektiven berühren sich an einer Stelle, und die Fallstudie weiter unten zeigt sie: Der Angreifer musste zuerst die Schutzmechanismen des Modells aushebeln (ATLAS: LLM Jailbreak), bevor er es als Werkzeug gegen Dritte einsetzen konnte (ATT&CK: Obtain Capabilities, Artificial Intelligence).

Gegenüber Version 1 korrigiert: Prompt Injection ist in ATLAS keine Initial-Access-Technik. Plugin Compromise existiert in ATLAS 5.6 nicht mehr als eigene Technik und wurde entfernt. Die Extraktion des Modells steht unter Exfiltration, nicht unter Model Access.

Bei der Analyse von KI als Waffe der Angreifer stützt sich die Branche überwiegend auf Berichte kommerzieller KI-Anbieter über gesperrte Konten. Dabei greift ein erheblicher Survivorship-Bias. Wenn Anbieter in Transparenzberichten detailliert zeigen, wie sie Aktivitäten von Cyberoperationen bis zur Waffenentwicklung unterbinden, belegt das vor allem die Existenz dieses Filters. Sichtbar werden zwangsläufig jene Akteure, die unvorsichtig genug sind, überwachte Cloud-Schnittstellen mit lückenlosem Logging zu nutzen.

Dass professionelle Akteure auf lokale Modelle ausweichen, ist keine Vermutung. Die weiter unten zitierte Phishing-Studie lief vollständig auf lokal betriebenen Open-Source-Modellen, und die von Google dokumentierte Schadsoftware PROMPTSTEAL fragt ein offenes Modell über eine Hugging-Face-Schnittstelle ab. Für eine strukturierte Kategorisierung ist die Datenlage dennoch ausreichend. In der Threat-Informed Defense gilt: Nicht beobachtet heißt genau das, nämlich nicht beobachtet. Es heißt nicht unmöglich.

Im September 2025 entdeckte Anthropic eine Spionageoperation, die das Unternehmen mit hoher Konfidenz einem chinesischen staatlichen Akteur zuordnet und als GTG-1002 bezeichnet. MITRE führt sie als Campaign C0062. Es ist die erste dokumentierte Kampagne, in der ein Angreifer ein KI-Agentensystem die taktische Arbeit einer Intrusion ausführen ließ. Von rund 30 angegriffenen Organisationen wurde nach Anthropics Validierung eine Handvoll erfolgreich kompromittiert.

Der Mensch war nicht abwesend, sondern an vier Entscheidungspunkten präsent. Genau diese Punkte definieren, was autonom in dieser Kampagne bedeutete.

Initialisierung

Aufbau der Tarnidentität und der Prompts, mit denen das Modell zur Mitarbeit an einem vermeintlich autorisierten Sicherheitstest bewegt wurde.

Aufklärung zu Ausnutzung

Freigabe des Übergangs von passiver Erkundung zu aktiver Ausnutzung gefundener Schwachstellen.

Zugangsdaten zu Bewegung

Freigabe erbeuteter Zugangsdaten für die Seitwärtsbewegung im Netz.

Datenabfluss

Endgültige Entscheidung, welche Daten abfließen.

Die für die Verteidigung wichtigste Feststellung steht in Anthropics eigenem Bericht, und sie relativiert die Schlagzeile.

Der Fall belegt damit zwei Dinge zugleich. Autonome Angriffsketten sind keine Theorie mehr. Und sie skalieren noch nicht, weil jedes Ergebnis von Menschen validiert werden musste. Beides fließt in die Matrix ein.

Die Übersicht ordnet die 14 ATT&CK-Taktiken chronologisch an. Jede Zeile nennt den beobachteten KI-Einsatz, die Evidenzstufe, den Beleg und die Zone. Die Form der Kurve ist die Aussage: belegte Skalierung am Anfang der Kette, Einzelfälle in der Mitte, Lücken genau dort, wo der Hype am lautesten ist.

Zwei Lücken sind selbst ein Befund. Für Rechteausweitung und Command-and-Control, also genau die Stufen, an denen sich die Erzählung vom vollautonomen Angriff festmacht, gibt es bis heute keine dokumentierte ATT&CK-Technik mit KI-Bezug. Die Kampagne C0062 kam ohne beides aus, weil die erbeuteten Zugangsdaten ausreichten.

Zwei unabhängige Studien beschreiben denselben Effekt aus zwei Richtungen. Die Harvard-Studie von Heiding, Schneier und Kollegen misst die Wirkung: Vollautomatisierte KI-Mails erreichten in einem Experiment mit 101 Teilnehmern eine Klickrate von 54 Prozent, exakt den Wert menschlicher Experten. Die Kontrollgruppe mit generischem Phishing lag bei 12 Prozent. KI übertrifft den Experten nicht. Sie ersetzt ihn.

Die Studie von BIFOLD, TU Berlin, Inria und der Ruhr-Universität Bochum misst den Preis dieses Ersatzes an 4.010 realen Empfängern.

Die Klickraten dieser Studie fallen niedriger aus als in Harvard: 3,9 Prozent generisch, 10 Prozent KI-personalisiert, 24,2 Prozent bei menschlichen Experten. Der Unterschied liegt im Versuchsaufbau, nicht im Befund. Beide Studien zeigen, dass KI die Wirkung menschlicher Arbeit annähert, zu einem Bruchteil der Kosten. Die letzte Zahl ist für die Verteidigung die wichtigste: Wenn von knapp 4.000 Mails eine einzige technisch auffällt, ist die Mail selbst kein Erkennungsmerkmal mehr.

Im November 2025 dokumentierte Google erstmals Schadsoftware, die während der Ausführung ein Sprachmodell abfragt. PROMPTSTEAL, von CERT-UA als LAMEHUG geführt, lässt sich von einem offenen Modell die Befehle zur Systemerkundung und Dokumentensammlung generieren, statt sie fest im Code zu tragen. Der Akteur ist APT28, der Einsatz fand gegen ukrainische Ziele statt. Das ist keine Demonstration, sondern ein Werkzeug im Betrieb.

Die zweite Beobachtung stammt von einer Aufsichtsbehörde. Die spanische Datenschutzbehörde AEPD meldete am 15. September 2026 die erste ihr angezeigte Datenschutzverletzung, die durch einen KI-Agenten ausgeführt wurde. Der Agent fand Schwachstellen in Dateien, meldete sich an, suchte selbständig weitere Schwachstellen in der Anwendung, veränderte personenbezogene Daten und griff auf Rechnungen zu. Die Angaben stammen aus der Meldung der betroffenen Organisation und sind von der Behörde noch nicht abschließend geprüft. Bemerkenswert ist der Weg: Der Fall wurde nicht von einem Hersteller entdeckt, sondern als regulärer Vorfall nach Art. 33 DSGVO gemeldet.

Beide Fälle betreffen Erkundung und Datensammlung. Das ist kein Zufall. Es sind die Phasen, in denen ein Agent am wenigsten falsch machen kann und in denen Halluzinationen am wenigsten kosten.

Persistenz, Diebstahl von Zugangsdaten, Seitwärtsbewegung und Datenabfluss sind durch C0062 im Feld belegt, jeweils als Einzelfall. Die Kampagne zeigt zugleich, warum daraus noch kein Massenphänomen wird. Der Angreifer musste jede Behauptung des Modells prüfen, weil es Zugangsdaten meldete, die nicht funktionierten, und Funde als kritisch einstufte, die öffentlich bekannt waren. Bei rund 30 Zielen blieb es bei einer Handvoll erfolgreicher Intrusionen, und der Aufwand dafür entsprach dem eines staatlichen Programms.

Version 1 dieses Papiers hat diese Zone als Labor-Illusion bezeichnet. Das war falsch. Die Taktiken existieren im Feld. Richtig ist, dass sie heute an drei Bedingungen hängen, die kaum ein Akteur gleichzeitig erfüllt: Zugang zu einem leistungsfähigen Agentensystem ohne wirksame Schutzmechanismen, die Ressourcen für dauerhafte menschliche Validierung, und Ziele, deren Wert diesen Aufwand rechtfertigt.

Für Rechteausweitung und Command-and-Control fehlt selbst dieser Einzelfall. Wer seine Investitionen an diesen beiden Stufen ausrichtet, plant gegen etwas, das niemand beobachtet hat.

KI macht das Unmögliche nicht möglich, aber sie macht das Bekannte drastisch billiger und schneller. Beide 2026 dokumentierten Vorfälle bestätigen das: Es waren keine neuartigen Exploits, sondern altbekannte Angriffswege, ausgeführt mit einer Geschwindigkeit und zu Kosten, die vorher nicht erreichbar waren.

Daraus folgt eine klare Priorisierung. Zone 1 trifft jedes Unternehmen, heute, mit Werkzeugen, die drei Cent kosten und keinen Filter mehr auslösen. Zone 2 trifft Unternehmen im Zielbild ressourcenstarker Akteure. Zone 3 trifft heute kaum jemanden, wird aber die Zone 2 von morgen sein, sobald die Modelle zuverlässiger werden.

Die Verteidigung muss sich deshalb primär auf Zone 1 und Zone 2 konzentrieren, wo KI dem Angreifer reale Skaleneffekte verschafft. Konkret heißt das: zweiter Faktor auf jedem Fernzugang, weil personalisiertes Phishing den ersten Faktor sicher überwindet. Erkennung, die nicht auf Sprachqualität setzt, sondern auf Verhalten nach dem Klick. Und Sichtbarkeit für automatisierte Erkundung im eigenen Netz, weil dort Zone 2 beginnt.

Zone 3 gehört in die Beobachtung und in die Krisenstabsübung, nicht in die Investitionsplanung. Wer sie ignoriert, verpasst den Moment, in dem sie skaliert. Wer sie vor Zone 1 priorisiert, verliert gegen den Alltag. Wer Zone 1 nicht beherrscht, wird Zone 3 nie erleben, weil der Angreifer sie nicht braucht.