Combastic
Kontakt
Leistungen Referenzen Über uns Preise

KI-Radar · 22. September 2026

KI-gestützte Angriffe: Was sich für deinen Betrieb ändert

Am 18. September hat Google bestätigt, worüber zuvor das Wall Street Journal berichtet hatte: Das eigene KI-Modell Gemini ist bei einem Sicherheitstest in die Systeme von drei echten Unternehmen eingedrungen. Zweimal lagen die Zugangsdaten in einem öffentlich einsehbaren Code-Repository, einmal probierte das Modell so lange Passwörter durch, bis es drinnen war. Als ihm auffiel, dass die Systeme echt sind, brach es jedes Mal ab.

Gedacht war die Übung anders. Ein Prüfhaus namens Irregular hatte dem Modell eine erfundene Firma vorgesetzt, deren Name auch einem tatsächlich existierenden Unternehmen gehört — und der Internetzugang, den das Modell bei diesem Test gar nicht hätte haben sollen, stand offen. Passiert ist das nach Angaben von Irregular im Mai, Google wurde Ende Juli verständigt. Öffentlich wurde der Vorfall vier Monate danach — ein guter Anlass, nüchtern zu rechnen, was KI-gestützte Angriffe für einen Betrieb wie deinen bedeuten.

Warum KI-gestützte Angriffe ein anderes Problem sind, als die Schlagzeile sagt

Die interessante Zahl an dieser Geschichte ist nicht die Drei. Es ist der Aufwand.

Am selben Tag wurde ein zweiter Fall öffentlich. Ein dreiköpfiges Sicherheitsteam namens Hacktron AI hatte im Juli zwei Lücken aneinandergehängt: eine in der Forensoftware, auf der OpenAIs Community-Forum läuft, und eine bei OpenAI selbst, wo die Anmeldetoken aus diesem Forum zu weit reichten. Am Ende standen Mitarbeiterkonten offen, samt der daran hängenden Entwicklerzugänge. Gemeldet wurde es noch am selben Tag, OpenAI schloss die eigene Lücke binnen Stunden, die Forensoftware zog zwei Tage später nach. Die Prämie betrug 6.500 Dollar, bezahlt für den Fund auf OpenAI-Seite; den Einstieg über das Forum nimmt das Prämienprogramm ausdrücklich aus. Drei Leute, ein KI-Modell, ein Tag.

Anthropic beschreibt dieselbe Verschiebung in seinem Missbrauchsbericht vom 10. September in einem Satz: „sophisticated attacks no longer require sophisticated attackers“ — aufwendige Angriffe brauchen keine aufwendigen Angreifer mehr.

Und hier lässt sich leicht die falsche Lehre ziehen. Für einen Betrieb mit acht Beschäftigten in Wien heißt das nicht, dass ab jetzt Staatsakteure vor der Tür stehen. Es heißt, dass noch billiger wird, was ohnehin schon billig war — und zugleich besser.

Die Zahlen, und was sie nicht abdecken

Anthropics Bericht deckt Dezember 2025 bis August 2026 ab und beschreibt, was das Unternehmen auf der eigenen Plattform unterbunden hat. Darunter: eine Phishing-Kampagne über missbrauchte Anmeldeabläufe, die sich gegen mehr als zwanzig Organisationen richtete, und eine Erpressung, bei der von einem einzelnen Opfer zwischen 1,5 und 2,5 Millionen Dollar gefordert wurden. Was dieser Bericht nicht abdeckt: alles, was über andere Werkzeuge läuft. Er ist die Innenansicht eines Anbieters, keine Marktzahl.

Näher dran ist die KPMG-Studie Cybersecurity in Österreich 2026, veröffentlicht im Mai 2026, erhoben im Februar und März 2026 unter 1.396 heimischen Unternehmen. Daraus:

  • 47 Prozent berichten, dass in Angriffen gegen sie vermehrt KI eingesetzt wird.
  • 69 Prozent haben Phishing über Links gesehen, 57 Prozent die Chef-Masche (gefälschte Zahlungsanweisungen per Mail), 52 Prozent Betrugsanrufe.
  • Jeder achte Angriff kommt durch.

Auch hier der Beipackzettel: Das ist eine Befragung, keine Messung — wer KI in einem Angriff nicht erkennt, meldet sie auch nicht. Eine Aufschlüsselung nach Betriebsgröße ist in der veröffentlichten Zusammenfassung nicht ausgewiesen, und KPMG verkauft Sicherheitsberatung.

Die amtliche Zahl daneben: Das Bundeskriminalamt hat am 27. August den Cyber Crime Report 2025 vorgelegt. 63.459 Anzeigen in Österreich im Jahr 2025, davon 21.988 Cyberangriffe im engeren Sinn — um 8,6 Prozent mehr als 2024. Auch diese Zahl hat eine Lücke, und zwar eine große: Gezählt werden Anzeigen. Was nicht angezeigt wird, kommt nicht vor. Zur KI hält das Bundeskriminalamt fest, dass Kriminelle sie 2025 weiter eingesetzt haben — unter anderem für betrügerische Deepfakes und zur Automatisierung von Betrugsmodellen —, beziffert aber nicht, in wie vielen Fällen. Wie viele Angriffe auf österreichische Betriebe KI-gestützt waren, weiß deshalb niemand.

Was das für deinen Betrieb heißt

Was sich ändert, ist nicht die Art des Angriffs. Es ist die Oberfläche.

Jahrelang war schlechtes Deutsch der beste Filter, den ein kleiner Betrieb gratis hatte: Die Mail mit den drei Rechtschreibfehlern hat sich selbst erledigt. Dieser Filter fällt weg. Wie das im Alltag aussieht, hat niemand gemessen, es folgt aber aus den Zahlen oben: fehlerfreies Deutsch, der richtige Name deiner Buchhalterin, Bezug auf ein Projekt, das es wirklich gibt — zusammengesucht aus Impressum, Referenzenseite und LinkedIn. Beim Anruf dasselbe. Das Bundeskriminalamt nennt für 2025 ausdrücklich betrügerische Deepfakes; wir lesen das so, dass eine nachgebaute Stimme keine Spezialistenarbeit mehr ist.

Daraus folgt etwas Unbequemes. Erkennen am Text funktioniert nicht mehr. Wer seine Leute darauf schult, „aufmerksam zu lesen“, schult sie auf ein Merkmal, das gerade verschwindet. Was bleibt, sind Verfahren: Regeln, die unabhängig davon greifen, wie überzeugend eine Nachricht klingt.

Spiegelbildlich stellt sich dieselbe Frage, sobald du selbst KI-Werkzeuge einsetzt: Wer haftet, wenn eines davon etwas Falsches tut, und wohin gehen die Daten? Was bei unserem eigenen Versuch danebengegangen ist, steht auf unserer Seite zur KI-Beratung.

Eines noch, weil es sonst erst im Ernstfall auffällt. Wenn bei so einem Vorfall personenbezogene Daten abfließen — Kundenadressen, Bestelldaten, Bewerbungen —, greift in Österreich die Meldepflicht an die Datenschutzbehörde, im Regelfall binnen 72 Stunden. Das ist keine Rechtsauskunft — bei konkretem Bedarf zur Anwältin. Es heißt aber, dass die Frage „Wen rufen wir an?“ vorher beantwortet sein sollte.

Was jetzt zu tun ist

Fünf Punkte, alle ohne uns umsetzbar:

  1. Rückrufregel für Geld. Jede geänderte Bankverbindung und jede eilige Zahlungsanweisung wird telefonisch bestätigt — über die Nummer, die schon vorher im Adressbuch stand, nie über die aus der Nachricht. Einmal aufschreiben, allen sagen, die zahlen dürfen.
  2. Zwei-Faktor-Anmeldung dort, wo Geld und Kundendaten liegen. Bank, Warenwirtschaft, Shop — und das Mailkonto zuerst. Wer dein Mailkonto hat, liest mit und schreibt in deinem Namen.
  3. Ein Codewort für Anrufe. Ein Wort, das im Betrieb bekannt ist und nirgends geschrieben steht. Klingt nach Kinderei, kostet nichts und ist derzeit die billigste Antwort auf geklonte Stimmen.
  4. Zugangsdaten raus aus Code, Tabellen und Chatverläufen. Zwei der drei Gemini-Fälle liefen genau darüber: Zugangsdaten, die offen herumlagen.
  5. Eine Sicherung, die getrennt liegt — und einmal zurückgespielt wurde. Eine nie geprüfte Sicherung ist keine Sicherung, sondern eine Annahme.

Was wir nicht wissen

Der Gemini-Fall ist ein Testunfall, kein Angriff. Wer ihn als Beleg dafür liest, dass KI selbstständig Betriebe angreift, überdehnt ihn: Das Modell war auf einer Übung und hat abgebrochen, als es merkte, wo es gelandet war. Der OpenAI-Fall war Sicherheitsforschung, gemeldet und geschlossen, wenn auch nicht zur Gänze innerhalb des Prämienprogramms. Beides sind Hinweise auf Fähigkeiten, keine Schadensfälle.

Ob die Zeit von Ende Juli bis zum 18. September eine angemessene Frist für die Offenlegung war, ist strittig und nicht von uns zu entscheiden. Google sagt, betroffene Stellen seien verständigt worden.

Offen ist auch die Gegenrichtung. Dieselbe KPMG-Erhebung sagt, dass nur etwa ein Drittel der Befragten glaubt, KI verbessere die eigene Sicherheit tatsächlich. Das kann heißen, dass die Abwehr hinterherhinkt — oder dass sie nüchterner urteilt, als auf der Angriffsseite geworben wird.

Und der ehrlichste Satz zum Schluss: Keine Zahl in diesem Beitrag misst, was mit Betrieben deiner Größe in Wien tatsächlich passiert. Diese Erhebung gibt es nicht. Wir haben die belastbarsten Näherungen genommen und dazugeschrieben, wo sie enden.

Fragen zu einem dieser Punkte? Schreib uns an office@combastic.com.

Quellen