Frontier-KI hat die Cybersicherheit dauerhaft verändert

Im November 2025 berichtete Anthropic, eine staatlich unterstützte Gruppe habe mit seinem Coding-Agenten den Großteil einer Spionagekampagne gegen rund dreißig Organisationen geführt — Aufklärung, Ausnutzung, Abgreifen von Zugangsdaten, Exfiltration —, wobei das Modell schätzungsweise achtzig bis neunzig Prozent der Arbeit erledigte und Menschen an einer Handvoll Entscheidungspunkten eingriffen. Fünf Monate später erklärte dasselbe Unternehmen, sein neuestes Modell habe tausende hochschwere Schwachstellen in weit verbreiteter Software gefunden, Betriebssysteme und Browser eingeschlossen, und es werde das Modell nicht allgemein freigeben, sondern zuerst Verteidigern geben. Bis Mai hatten rund fünfzig Partnerorganisationen mehr als zehntausend gefunden.

Diese beiden Ankündigungen rahmen die Veränderung ein: dieselbe Fähigkeit, im Maßstab, auf beiden Seiten. Dieser Artikel handelt davon, was sich darunter verändert hat, was das für die angreifende und die verteidigende Seite bedeutet — und von einer Frage, die inzwischen in fast jedem Gespräch mit Kunden auftaucht: ob die Systeme, die sie selbst gebaut haben, sicherer sind als die Standardsoftware, die alle anderen betreiben, oder weniger sicher.

Geändert hat sich der Preis von Aufmerksamkeit

Sicherheit war immer ein Wettstreit um Aufmerksamkeit. Eine Schwachstelle finden, einen zuverlässigen Exploit schreiben, eine fremde Codebasis lesen, eine Woche Logs korrelieren, bemerken, dass eine Rechnungsanfrage leicht falsch ist: Alles brauchte qualifizierte Menschenstunden, und qualifizierte Menschenstunden waren auf beiden Seiten die knappe Ressource. Angreifer rationierten sie, indem sie das Wertvolle, das Exponierte und das weit Verbreitete ins Visier nahmen. Verteidiger rationierten sie auch — weshalb die meisten Organisationen nie jemanden hatten, der ihre internen Werkzeuge überhaupt auf Sicherheit gelesen hat.

Frontier-Modelle haben diese knappe Ressource zur abrechenbaren Ware gemacht. Code lesen, Hypothesen bilden, wo er bricht, den Test schreiben, der es beweist, und den Patch, der es behebt — das sind jetzt Aufgaben, die ein Modell zum Preis pro Token erledigt, parallel, ohne Ermüdung. Drei Folgen ergeben sich mechanisch.

Erstens: Das Finden skaliert mit Rechenleistung, nicht mit Personal. Ende 2024 fand Googles Agent Big Sleep den ersten öffentlich berichteten Speicherfehler, den eine KI in weit verbreiteter Software entdeckt hat — in SQLite, bevor der betroffene Code ein Release erreichte. Im August 2025 verarbeiteten die sieben Finalisten der AI Cyber Challenge der DARPA vierundfünfzig Millionen Zeilen Code, patchten dreiundvierzig von vierundfünfzig eingebauten Schwachstellen und fanden nebenbei achtzehn echte, bis dahin unbekannte. 2026 fand ein einzelnes Modell tausende.

Zweitens: Das Fenster zwischen Offenlegung und Ausnutzung kollabiert. Ein Patch ist ein Diff, und ein Diff ist eine präzise Beschreibung des Fehlers. Ein Modell, das das eine liest, kann das andere schreiben.

Drittens: Der Long Tail wird zum ersten Mal gelesen. Alles, was nie den Nachmittag einer Expertin wert war — das interne Portal, das Integrationsskript von 2014, das Aufnahmeformular, das jemand letzten Monat mit einem Coding-Assistenten gebaut hat —, ist jetzt die Minute eines Modells wert. Für beide Seiten.

Die Seite der Angreifer: Maßstab, Tempo und Geduld

Aufklärung ist jetzt eine Abfrage. Ein Zielprofil aus Organigrammen, Vergabebekanntmachungen, Konferenzvorträgen und Code-Repositories zusammenzustellen dauert Minuten pro Ziel — womit die Unterscheidung zwischen hochwertigen Zielen und allen anderen verschwunden ist. Jeder ist ein hochwertiges Ziel, wenn Personalisierung nichts kostet; dieselbe Verschiebung, die im Social Engineering die Ära des „sieht verdächtig aus“ beendet hat. Der ENISA-Bedrohungsbericht 2025 behandelt KI als Waffe und Ziel zugleich und beziffert KI-gestütztes Phishing auf die große Mehrheit des Anfang 2025 beobachteten Phishings; Verizons Breach-Report 2026 sieht generative KI bei etwa fünfzehn Prozent der Angriffstechniken im Einsatz und erstmals die Ausnutzung von Schwachstellen vor gestohlenen Zugangsdaten als häufigsten Einstieg.

Exploit-Entwicklung ist der Punkt, an dem sich die Uhr am stärksten bewegt hat. Mandiants langjährige Reihe bezifferte die durchschnittliche Zeit von der Offenlegung bis zur Ausnutzung auf dreiundsechzig Tage 2018–19, zweiunddreißig 2021–22 und fünf 2023 — bevor es Frontier-Reasoning-Modelle gab. Im April 2024 zeigte ein akademisches Team, dass ein Frontier-Modell siebenundachtzig Prozent einer Menge von fünfzehn echten One-Day-Schwachstellen allein anhand der CVE-Beschreibung ausnutzen konnte; die zwei Jahre später verfügbaren Modelle sind weit leistungsfähiger. Die praktische Lesart ist einfach. Ein öffentlicher Patch für eine internetzugängliche Komponente ist ein Exploit-Rezept, und das Rezept wird binnen Stunden von jedem mit einem API-Schlüssel ausgeführt. Ein Jahrzehnt lang bedeutete „Zero-Day“ die Elitebedrohung und „N-Day“ die beherrschbare. Für exponierte Systeme hat sich das umgekehrt: Der N-Day ist der günstigere Angriff, weil der Patch ihn dokumentiert.

Der Intrusionsbetrieb wurde agentisch. In der Kampagne, die Anthropic unterbunden hat, überzeugten die Operateure das Modell davon, für eine legitime Sicherheitsfirma zu arbeiten, und ließen es dann Netzwerke kartieren, Zugangsdaten testen, Exploits schreiben und die exfiltrierten Daten sortieren — mit Rückfrage an vier bis sechs Punkten pro Ziel. Beachten Sie, was das mit der Ökonomie macht: Ein Operateur, der eine Intrusion zur Zeit führen konnte, führt jetzt dreißig, und das Modell arbeitet die Nacht durch.

Malware beginnt, Modelle zur Laufzeit zu nutzen. Googles Threat-Intelligence-Gruppe beschrieb einen Dropper, der eine Modell-API bittet, sein eigenes Skript umzuschreiben, um der Erkennung zu entgehen, und ein Werkzeug, das einem russischen staatlichen Akteur zugeschrieben wird und seine Aufklärungsbefehle im laufenden Betrieb erzeugt. Beides war zum Zeitpunkt des Berichts experimentell. Die Richtung ist klar: Signaturen gegen Code, der bei jedem Lauf anders ist.

Neue Angriffsflächen entstanden in den Systemen der Verteidiger selbst. Ein Assistent mit Werkzeugzugriff folgt einer Anweisung, die in einem abgerufenen Dokument versteckt ist, sofern er nicht so entworfen wurde, dass er es nicht tut — Prompt Injection ist Social Engineering für Maschinen. Und die Coding-Assistenten selbst haben ein Lieferkettenproblem: Eine Studie auf der USENIX Security fand, dass fast ein Fünftel der Paketreferenzen in über einer halben Million generierter Code-Beispiele auf Pakete zeigte, die nicht existieren — bei Open-Weight-Modellen weit häufiger als bei kommerziellen. Angreifer registrieren diese Namen. Die ENISA führt die Technik, Slopsquatting, inzwischen unter den Lieferkettentrends.

Die Seite der Verteidiger: dieselbe Fähigkeit, zuerst angewendet

Die Geschichte der Verteidigung ist dieselbe Fähigkeit, in der anderen Richtung gelesen, mit einem entscheidenden Unterschied: der Reihenfolge. Verteidiger können zuerst schauen.

Das Finden im Maßstab begann mit Big Sleep und der AI Cyber Challenge, deren Systeme nach dem Finale als Open Source freigegeben wurden. Project Glasswing tat dann etwas strukturell Neues: Es wandte ein Modell, das an niemanden freigegeben war, auf die Software an, von der alle abhängen — Betriebssysteme, Browser, Cloud-Plattformen, die Projekte der Linux Foundation —, über eine Partnergruppe, zu der beim Start unter anderem Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorgan Chase, Microsoft und Palo Alto Networks gehörten, und gab diesen Partnern das Modell für Prüfungen vor dem Release, das Schreiben von Patches und das Umschreiben alter Komponenten in speichersichere Sprachen. Das Wichtige ist nicht die Zehntausend. Es ist, dass die weit verbreitete Software zuerst durchsucht wurde, von Verteidigern, bevor die Fähigkeit irgendwo sonst existierte.

Patchen wird billig. Systeme, die für eine gefundene Schwachstelle einen Fix erzeugen, testen und rückportieren, machen aus dem 30-Tage-Zyklus eine Wahl statt einer organisatorischen Grenze. Ob eine Organisation diese Wahl trifft, ist eine andere Frage, und die Exploit-Uhr wartet nicht.

Erkennung und Reaktion haben die Fähigkeit gewonnen, alles zu lesen. Triage von Alarmen, Korrelation über Logs, die kein Mensch in einer Woche lesen könnte, Detection Engineering von einem einzelnen Vorfall zum Regelwerk, die Jagd nach dem Muster hinter dem Muster — hier ist die Geduld des Modells mit Monotonie am meisten wert, und hier wird die polymorphe Malware der Zukunft am Verhalten erkannt statt an der Signatur.

Die menschliche Ebene ist nicht verschwunden; sie ist umgezogen. Prüfabläufe, explizite Verantwortung für riskante Anfragen und Melden mit einem Klick sind nach wie vor das, was den Deepfake-Anruf stoppt — und jetzt auch das, was einen Agenten davon abhält, Geld zu überweisen, weil ein Dokument es ihm gesagt hat.

Der strukturelle Vorteil ist alt und jetzt endlich nutzbar: Verteidiger haben den Quellcode, die Logs, die Topologie und das Recht, zuerst zu schauen — und sie können das System verändern. Angreifer müssen die Tür finden; Verteidiger können die Türen zählen. Für jede Organisation, die sich keine Sicherheitsingenieure leisten konnte, war dieser Vorteil theoretisch. Jetzt steht er jedem offen, der die Aufmerksamkeit kauft — und ist wertlos für jeden, der es nicht tut.

Das Ende der Obscurity: Eigenbau gegen Standard

Die Frage, die Kunden jetzt stellen, klingt so: „Wir bauen viel selbst. Sind wir sicherer als die Organisationen, die dieselben drei Anbieter betreiben wie alle anderen — oder weniger?“

Sie hatte einmal eine Form. Weit verbreitete Software hatte viele Augen auf sich, von beiden Seiten, und sie wurde massenhaft ausgenutzt: ein Fehler, Millionen Opfer. Log4Shell 2021 und die MOVEit-Einbrüche 2023 waren die jüngsten Belege für das Argument, das Dan Geer und seine Mitautoren 2003 vorbrachten, als sie Software-Monokultur ein systemisches Risiko nannten. Eigenentwicklungen hatten fast keine Augen auf sich, von keiner Seite. Ihre Fehler lebten jahrelang, ungefunden, weil niemand schaute, und ihr Wirkungsradius war eine Organisation. Obscurity war eine echte, wenn auch schäbige Kontrolle.

Drei Dinge haben sich geändert.

1. Die Kosten, Ihren Code zu lesen, sind kollabiert. Ein Angreifer mit Zugriff auf ein Repository, einen geleakten Build oder schlicht das JavaScript, das Ihr Kundenportal ausliefert, kann ihn über Nacht prüfen lassen. Obscurity als Kontrolle ist weg.
2. Weit verbreitete Software wird zuerst durchsucht. Der defensive Durchlauf erreicht den populären Code zuerst, weil dort der Hebel liegt — die Betriebssysteme und Browser der Glasswing-Partner, die Open-Source-Pipelines mit den Systemen der AI Cyber Challenge. Pro Zeile ist Standardsoftware besser geprüft als je zuvor.
3. Die Korrelation hat sich nicht geändert. Wenn eine weit verbreitete Komponente ausfällt, fallen alle gemeinsam aus. Das CrowdStrike-Update vom Juli 2024 war kein Angriff, und es legte trotzdem binnen Stunden geschätzt 8,5 Millionen Windows-Rechner lahm. DORA nennt das Konzentrationsrisiko und verlangt von Finanzunternehmen, es zu steuern; die Abhängigkeit der meisten KI-Systeme von einer Handvoll Modellanbieter ist dasselbe Risiko eine Ebene höher.

Die Frage ist also falsch gestellt. Weder Eigenbau noch Standard ist als solcher sicher oder unsicher. Sicherheit ist eine Funktion von zwei Dingen — wer zuerst auf den Code schaut und wie viele Organisationen gemeinsam ausfallen, wenn ein Fehler gefunden wird —, und Frontier-Modelle haben jeden Punkt auf dieser Karte verschoben. Standardsoftware ist nach rechts gewandert: mehr defensive Aufmerksamkeit als je zuvor, dieselbe Korrelation. Eigenentwicklungen haben sich geteilt. Ungeprüfter eigener Code ist nach links gewandert, weil der Angreifer jetzt schauen kann und Sie es noch immer nicht tun. Geprüfter eigener Code ist nach rechts gewandert und sitzt im sichersten Quadranten, den es gibt: zuerst von Ihnen angesehen — und allein ausfallend, falls er ausfällt.

Vier Regeln folgen daraus.

• Standardisieren, wo Härtung sich aufsummiert. Kryptografie, Authentifizierung, Transportsicherheit, Betriebssysteme, Browser, gängige Frameworks. Bauen Sie nie Ihre eigene Kryptografie; dieser Rat ist nicht gealtert.
• Diversifizieren, wo Korrelation schmerzt. Identitätsanbieter, Endpoint-Agenten, Cloud-Regionen, Modellanbieter — die Komponenten, deren gleichzeitiger Ausfall ein existenzielles Ereignis wäre. Nicht überall, das wäre unbeherrschbar; dort, bewusst, mit getestetem Exit.
• Prüfen, was nur Sie je prüfen würden. Die eigene Schicht, mit derselben Klasse von Werkzeugen, die Angreifer jetzt haben, in Ihrem Rechtsraum, in festem Rhythmus. Beginnen Sie mit Authentifizierung, Zahlungen, Datenexport und allem, was ein Agent aufrufen kann.
• Den neuen Long Tail im Blick behalten. Interne Werkzeuge, an einem Nachmittag mit einem Coding-Assistenten gebaut, sind Eigenentwicklungen ohne Review, ohne Bedrohungsmodell und oft ohne Verantwortliche. Sie sind der neue weiche Unterleib, und jeden Monat werden es mehr. Ob Ihre Organisation durch Eigenbau jetzt sicherer ist, hängt davon ab, ob sie ihren Eigenbau prüft — von nichts anderem.

Was das für eine europäische Organisation 2026 bedeutet

Die Uhren der Aufsicht werden auf die der Angreifer gestellt. Ab dem 11. September 2026 verpflichtet der Cyber Resilience Act Hersteller von Produkten mit digitalen Elementen, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden — eine Frühwarnung binnen vierundzwanzig Stunden, eine Meldung binnen zweiundsiebzig, ein Abschlussbericht, sobald eine Korrektur verfügbar ist — über eine zentrale EU-Meldeplattform, und zwar auch für Produkte, die bereits auf dem Markt sind. NIS2 und DORA erwarten schon jetzt getestete Resilienz und gesteuertes Konzentrationsrisiko. Nichts davon ist erreichbar für eine Organisation, deren Patch-Zyklus dreißig Tage beträgt und deren Vorfallprozess mit einer Besprechung beginnt.

Das Programm, das aus diesem Artikel folgt, ist kurz, und jeder Punkt ist messbar.

1. Wissen, was Sie betreiben. Ein Inventar und eine Software-Stückliste für alles Exponierte, aus der Realität erzeugt statt aus einer Tabelle.
2. Exponierte Systeme in Stunden patchen. Automatisieren, Canary, ausrollen. Braucht das Änderungsmanagement eine Woche, ändern Sie das Änderungsmanagement, nicht die Frist.
3. Den eigenen Code mit Frontier-Modellen prüfen — Authentifizierung, Zahlungen, Exportpfade und Agentenwerkzeuge zuerst — unter den Bedingungen eines Penetrationstests, und die Befunde als Vorfälle behandeln.
4. Agenten gestaltete Grenzen geben. Werkzeuge nach dem Minimalprinzip, menschliche Bestätigung für folgenreiche Aktionen, abgerufene Inhalte als nicht vertrauenswürdig behandeln.
5. Die menschliche Ebene gestalten. Prüfung über bekannte Kanäle, explizite Verantwortung, Melden mit einem Klick — und Prüfrate und Meldezeit messen, nicht die Klickrate.
6. Die Pipeline üben. Von der Erkennung über die Klassifizierung zur 24-Stunden-Meldung, als Game Day, bevor der Ernstfall eintritt.

Aufmerksamkeit wird jetzt gekauft, nicht herangezogen. Für jedes System, das Sie betreiben, wird jemand der Erste sein, der es mit einem Frontier-Modell ansieht. Die ganze Frage der nächsten Jahre ist, ob dieser Jemand Sie sind.