KI greift an, KI verteidigt: Was die neue Bedrohungslage für KMU bedeutet

Noch vor zwei Jahren war ein Cyberangriff Handarbeit. Jemand musste Ziele auskundschaften, Lücken suchen, Schadcode anpassen, Zugangsdaten durchprobieren und bei jedem Fehlschlag neu ansetzen. Das kostete Zeit, und diese Zeit war der grösste Verbündete der Verteidiger. Genau dieser Verbündete ist gerade dabei, sich zu verabschieden.

An der Swiss Cyber Storm in Bern und an der Global Cyber Conference in Zürich drehte sich in diesem Herbst vieles um eine einzige Frage: Was passiert, wenn künstliche Intelligenz nicht mehr nur Texte schreibt, sondern Angriffe selbständig führt? Die Antwort ist unbequem, aber sie ist nicht hoffnungslos. Denn dieselbe Technologie steht auch den Verteidigern zur Verfügung. Wir möchten Ihnen in diesem Beitrag verständlich zeigen, was sich verändert hat, was in den letzten Monaten tatsächlich passiert ist und was Sie als Unternehmen jetzt konkret tun sollten.

Was «agentische» Angriffe sind, und warum sie anders sind

Bisher nutzten Angreifer KI als Werkzeug: Ein Sprachmodell formulierte die Phishing-Mail in fehlerfreiem Deutsch oder half beim Schreiben von Schadcode. Der Mensch blieb am Steuer. Ein KI-Agent ist etwas anderes. Er bekommt ein Ziel, etwa «Verschaffe dir Zugang zu diesem Netzwerk und hole die Kundendaten», und arbeitet dann selbständig: Er untersucht das Ziel, wählt die nächste Methode, probiert sie aus, wertet das Ergebnis aus und passt sein Vorgehen an. Scheitert ein Schritt, versucht er einen anderen. Ohne Pause, ohne Feierabend und bei Bedarf mit mehreren Kopien gleichzeitig.

Man kann sich das wie den Unterschied zwischen einem Werkzeugkasten und einem Mitarbeiter vorstellen. Der Werkzeugkasten tut nichts von allein. Der Mitarbeiter arbeitet die Aufgabe ab und meldet sich erst, wenn er fertig ist oder nicht mehr weiterkommt. Für Angreifer bedeutet das drei Dinge:

• GeschwindigkeitWas früher Tage dauerte, passiert heute in Minuten. Eine Lücke wird gefunden, ausgenutzt und ausgeweitet, bevor jemand im Betrieb überhaupt eine Warnmeldung gelesen hat.
• SkalierungEin einzelner Angreifer kann hunderte Ziele parallel bearbeiten lassen. Kleine Betriebe, die früher «zu unwichtig» waren, rücken damit automatisch ins Visier.
• AnpassungsfähigkeitBlockiert eine Abwehrmassnahme den ersten Weg, sucht der Agent selbständig den zweiten. Er diagnostiziert eigene Fehler und korrigiert sie innert Sekunden.

Was in den letzten Monaten tatsächlich passiert ist

Das ist keine Zukunftsmusik. Hier sind Vorfälle aus dem laufenden Jahr, alle öffentlich dokumentiert, alle von den betroffenen Organisationen oder von Sicherheitsforschern bestätigt:

• Taiwan, Juli 2026: Behörden in vier Tagen durchleuchtetZwischen dem 1. und 4. Juli griffen KI-Agenten in zwölf Wellen Regierungssysteme an. Sie kartierten 21 verbundene Systeme, übernahmen 85 Konten und kopierten über 2'500 Personaldatensätze. Bis zu acht Teil-Agenten arbeiteten parallel, lösten Captchas, erzeugten Passwort-Varianten und umgingen die Schutzregeln der KI, indem sie sich selbst als «autorisierter Sicherheitstest» ausgaben. Das Digitalministerium bestätigte den Angriff im August.
• Google-Bericht, September 2026: Tausende Zugangsdaten in unter sechs StundenDie Threat-Intelligence-Abteilung von Google dokumentierte einen finanziell motivierten Angreifer, der mit einem Verbund mehrerer KI-Agenten eine Cloud-Umgebung durchsuchte, Schwachstellen fand und Zugangsdaten in grossem Stil abgriff. Von Beginn bis Abschluss vergingen weniger als sechs Stunden, mit minimalem menschlichem Eingreifen.
• Niederlande, 21. September 2026: Zwei unbekannte Lücken, Root in SekundenDas niederländische Institut für Schwachstellenmeldung DIVD wurde über sein Ticketsystem Zammad angegriffen. Ein KI-Agent kombinierte zwei bis dahin unbekannte Sicherheitslücken, übernahm eine Sitzung, führte eigenen Code aus und erlangte innert Sekunden volle Systemrechte. Dass eine Maschine am Werk war, erkannte das Team am Tempo, mit dem nach jeder Aktion sofort der nächste Schritt folgte, und an ausführlichen Kommentaren im Schadcode. Zammad ist auch bei vielen Schweizer KMU im Einsatz. Unser eigenes Ticketsystem läuft bereits auf Version 7, bei der die erste der beiden Lücken nicht ausnutzbar ist.
• Weltweit, ab 25. September 2026: Über 100 Firmen für rund 5'000 DollarEine einzelne, chinesischsprachige Person liess KI-Agenten auf Onlineshops in den USA, Kanada, Australien und Japan los. Über 1'200 Einbruchsversuche, mehr als 100 erfolgreich kompromittierte Firmenwebsites, darunter laut Reuters bekannte Konzerne. Die Anweisung an die Agenten umfasste weniger als 100 Schriftzeichen, die Kosten lagen bei rund 5'000 Dollar an KI-Rechenzeit. Aufgeflogen ist die Kampagne, weil der Angreifer seine Steuerkonsolen offen im Internet stehen liess.
• Der Vorläufer, November 2025: 30 Ziele, 90 Prozent ohne MenschAnthropic, der Hersteller des KI-Modells Claude, meldete die erste dokumentierte Spionagekampagne, in der eine staatlich unterstützte Gruppe ein KI-Programmierwerkzeug als Angriffsplattform missbrauchte. Rund 30 Organisationen wurden angegriffen, 80 bis 90 Prozent der Arbeit erledigte die KI selbständig. Die Angreifer zerlegten den Angriff in viele harmlos wirkende Einzelaufgaben, damit die Schutzmechanismen der KI nicht anschlugen.

Und in der Schweiz?

Die Schweiz ist kein Zuschauer. Die Zahlen aus den letzten Wochen sprechen eine deutliche Sprache:

Beim Bundesamt für Cybersicherheit BACS gingen im ersten Halbjahr 2026 über 27'000 Meldungen ein, dazu 200 meldepflichtige Vorfälle von Betreibern kritischer Infrastrukturen. Besonders aufschlussreich ist der Halbjahresbericht des BACS: Angreifer setzen KI inzwischen «systematisch» ein, um massgeschneiderte, glaubwürdige Inhalte an ihre Opfer zu bringen. Die klassischen Erkennungsmerkmale einer Phishing-Mail, holpriges Deutsch, unpersönliche Anrede, offensichtlich falscher Kontext, sind damit weitgehend verschwunden. Was zunimmt, sind täuschend echte Microsoft-365-Anmeldeseiten, gefälschte Stellenangebote und Nachrichten, die den Namen der Chefin, das aktuelle Projekt und den richtigen Tonfall kennen. Und der Fall Ricardo zeigt die Mechanik dahinter: Wo gestohlene Adressdaten auf KI treffen, entsteht innert Tagen ein personalisierter Betrugsversuch für jedes einzelne Opfer.

Dazu kommen Deepfakes. Der bekannteste Fall bleibt jener des Ingenieurkonzerns Arup, bei dem ein Mitarbeiter in Hongkong in einer Videokonferenz sass, in der ausser ihm jede einzelne Person künstlich erzeugt war, und daraufhin rund 25 Millionen Dollar überwies. Heute reichen wenige Sekunden Tonmaterial aus einem LinkedIn-Video oder einem Podcast, um eine Stimme überzeugend zu klonen. Ein Anruf «vom Chef», der eine dringende Zahlung verlangt, ist technisch kein Kunststück mehr.

Die gute Nachricht: Verteidiger haben dieselben Werkzeuge

Hier kommt der Teil, der an den Fachtagungen oft zu kurz kommt. Künstliche Intelligenz hat die Abwehr in den letzten zwei Jahren mindestens so stark verändert wie den Angriff. Der Unterschied: Die neuen Verteidigungswerkzeuge sind weniger spektakulär und schaffen es seltener in die Nachrichten. Dabei sind sie heute für Betriebe jeder Grösse verfügbar.

• Verhaltensbasierte Erkennung auf jedem GerätModerne Endpunktschutz-Lösungen (Fachbegriff EDR beziehungsweise XDR) arbeiten nicht mehr mit Listen bekannter Schadprogramme, sondern beobachten Verhalten: Warum verschlüsselt dieses Programm plötzlich hunderte Dateien? Warum meldet sich dieser Rechner nachts um drei bei einem unbekannten Server? Ein Angreifer, der sich an jede Abwehr anpasst, hinterlässt trotzdem Muster, und genau die erkennt ein trainiertes Modell.
• KI gegen KI im PostfachWenn Phishing-Mails perfekt formuliert sind, hilft kein Rechtschreibfilter mehr. Was hilft, ist eine KI, die Inhalt, Absicht und Kontext einer Nachricht beurteilt. Microsoft meldet für seinen Phishing-Triage-Agenten eine um 78 Prozent schnellere Bearbeitung gemeldeter Mails bei deutlich höherer Trefferquote. Wir gehen einen ähnlichen Weg mit unserer lokal betriebenen KI auf dem Mailserver, bei der keine Mail das Haus verlässt.
• Anomalie-Erkennung im NetzwerkSysteme, die den normalen Datenverkehr eines Betriebs lernen und bei Abweichungen reagieren, erkennen auch Angriffe, für die es noch keinen Namen gibt. Im Fall DIVD war es genau diese Netzwerktrennung, die den Agenten gestoppt hat, bevor er weiterkam.
• Automatische Reaktion in SekundenGegen einen Angreifer in Maschinengeschwindigkeit hilft nur eine Abwehr in Maschinengeschwindigkeit. Ein befallenes Gerät wird automatisch vom Netz getrennt, ein kompromittiertes Konto gesperrt, eine verdächtige Verbindung gekappt, noch bevor ein Mensch die Meldung liest. Der Mensch prüft danach, was passiert ist, statt vorher zu entscheiden, ob er reagieren soll.
• Priorisierung von SchwachstellenMicrosoft misst inzwischen, dass zwischen dem Bekanntwerden einer Lücke und ihrer aktiven Ausnutzung im Mittel weniger als 24 Stunden liegen. KI-gestützte Werkzeuge helfen, aus hunderten Meldungen die zwei herauszufiltern, die heute noch geschlossen werden müssen.
• Kontrolle über die eigene KIEin neues Feld: Werkzeuge, die überwachen, welche Daten Mitarbeitende in ChatGPT, Copilot und Co. eingeben. Die «Schatten-KI» war das Hauptthema der Swiss Cyber Storm 2026, und sie ist für viele KMU das grösste unbeachtete Datenleck.

Klassische und KI-gestützte Abwehr im Vergleich

Die letzte Zeile ist uns wichtig, weil sie ehrlich ist: KI-gestützte Abwehr ist kein Produkt, das man einmal kauft und dann vergisst. Sie erzeugt Meldungen, die jemand einordnen muss, sie braucht Pflege, und sie ist nur so gut wie die Grundlagen darunter. Genau deshalb beziehen immer mehr KMU diese Leistung als Dienst, statt sie selbst zu betreiben.

Was ein KMU jetzt konkret tun sollte

Eine Erkenntnis zieht sich durch alle Berichte, von Microsoft über Google bis zum BACS: Die Angreifer gewinnen nicht, weil ihre KI so brillant ist, sondern weil die Grundlagen bei den Opfern fehlen. In Dänemark wurden im Oktober fast neun Millionen Personendatensätze über ein Konto mit dem Passwort «123456» gestohlen. Kein Agent der Welt hätte das gebraucht. Daraus ergibt sich eine klare Reihenfolge:

• 1. Phishing-sichere Anmeldung, überallMehrfach-Authentifizierung ist Pflicht, besonders für Microsoft 365. Noch besser sind Passkeys oder Hardware-Schlüssel, die sich auch mit einer perfekten Fälschung der Anmeldeseite nicht abgreifen lassen. Das BACS nennt diesen einen Schritt als wirksamste Einzelmassnahme gegen Kontoübernahmen.
• 2. Updates innert 24 Stunden für alles, was von aussen erreichbar istWebserver, Ticketsysteme, Fernzugänge, Firewalls. Wenn Angreifer eine neue Lücke im Mittel in unter einem Tag ausnutzen, muss das Update-Fenster kürzer sein. Alles andere darf eine Woche warten.
• 3. Angriffsfläche verkleinernMuss das Ticketsystem, die Verwaltungsoberfläche, der Fernzugriff wirklich direkt im Internet stehen? Jedes System hinter einem VPN ist für einen scannenden Agenten unsichtbar. Unser kostenloser Website-Check zeigt in einer Minute, was Ihre Website von aussen preisgibt.
• 4. Verhaltensbasierter Schutz auf jedem Gerät, mit jemandem, der hinschautEin moderner Endpunktschutz gehört auf jeden Rechner und Server. Entscheidend ist aber, dass die Meldungen auch ausserhalb der Bürozeiten jemand sieht und versteht. Genau das leisten wir mit unseren Managed IT Services.
• 5. Netz trennen, Abfluss begrenzenWer das Netzwerk in Zonen unterteilt und kontrolliert, welche Systeme nach aussen sprechen dürfen, nimmt einem eingedrungenen Agenten den Spielraum. Im Fall DIVD war das die Massnahme, die den Schaden begrenzt hat.
• 6. Eine Rückruf-Regel gegen DeepfakesJede Zahlungsanweisung, jede Änderung von Bankverbindungen und jede «dringende Ausnahme» wird über eine bekannte, intern gespeicherte Telefonnummer bestätigt. Ein vereinbartes Codewort für den Ernstfall kostet nichts und entwaffnet jeden geklonten Anruf. Vier-Augen-Prinzip bei Zahlungen, ohne Ausnahme, auch nicht für die Geschäftsleitung.
• 7. Backups, die ein Angreifer nicht löschen kannMindestens eine Sicherung muss unveränderbar oder vom Netz getrennt sein, und die Wiederherstellung muss geübt sein. Was ein Tag Stillstand kostet, rechnet Ihnen unser Ausfallkosten-Rechner vor.
• 8. Spielregeln für KI im eigenen BetriebWelche Daten dürfen in welches KI-Werkzeug? Wer darf einen KI-Agenten mit Zugriff auf Mail oder Dateien einsetzen? Ohne Regeln entsteht die Schatten-KI, die an der Swiss Cyber Storm als blinder Fleck Nummer eins bezeichnet wurde. Für sensible Daten empfehlen wir selbst gehostete Lösungen, bei denen nichts das Haus verlässt.
• 9. Schulung mit echten BeispielenNicht die jährliche Pflichtpräsentation, sondern kurze, regelmässige Einheiten mit aktuellen Fällen und simulierten Angriffen. Mitarbeitende, die wissen, dass eine Mail heute perfekt formuliert sein kann und trotzdem Betrug ist, sind die beste Ergänzung zu jeder Technik.

Unser Fazit

Die Zeit, in der ein kleiner Betrieb darauf zählen konnte, zu unwichtig für einen gezielten Angriff zu sein, ist vorbei. Wenn ein einzelner Angreifer für den Gegenwert eines gebrauchten Laptops über hundert Firmen gleichzeitig angreifen kann, ist jede erreichbare Lücke ein Ziel, unabhängig davon, wem sie gehört. Das ist die Seite der Bedrohung.

Die andere Seite ist, dass dieselbe Technik den Verteidigern mehr bringt als je zuvor, wenn die Grundlagen stimmen. Saubere Anmeldung, schnelle Updates, wenig Angriffsfläche, ein Schutz, der Verhalten versteht, und Menschen, die wissen, worauf sie achten müssen. Das ist kein Hexenwerk, aber es ist Arbeit, und sie muss jemand verlässlich machen.

Wenn Sie wissen möchten, wo Ihr Betrieb heute steht, beginnen Sie mit unserem kostenlosen Sicherheits-Check. Zwölf Fragen, fünf Minuten, eine ehrliche Auswertung. Und wenn Sie das Ergebnis lieber mit jemandem besprechen: Wir schauen es gerne gemeinsam mit Ihnen an und sagen Ihnen offen, was zuerst Sinn macht und was warten kann.