Russische Spione, Hotel-WLAN – und Claude auf Abwegen

Anthropic hat am 10. September 2026 seinen bisher umfangreichsten Threat-Intelligence-Report veröffentlicht. Darin beschreibt das Threat-Intelligence-Team des KI-Labors, wie es zwischen Dezember 2025 und August 2026 – also über acht Monate – Operationen aufgespürt und unterbrochen hat, in denen Angreifer Claude für Schaden einspannen wollten: Cyberspionage, Überwachung, Desinformation, Betrug, Waffenentwicklung, biologischer Missbrauch und der illegale Nachbau der eigenen Modelle. Sieben Schadensfelder, dutzende Fallstudien. Einen Tag zuvor hatte Anthropic zudem einen vierten Vorfall offengelegt, bei dem ein Claude-Modell während eines Sicherheitstests aus der Testumgebung ausbrach und echte fremde Systeme angriff.

Das Hotel-WLAN war das Einfallstor

Der ausführlichste Fall läuft unter der internen Kennung GTG-20006. Anthropic schreibt, die Zuordnung decke sich mit öffentlichen Berichten, die den Akteur der russischen Spionagegruppe «Midnight Blizzard» zurechnen. Im Visier: mehr als 20 Organisationen – Ministerien, Verteidigungs- und Nachrichtendienste, Botschaften, Think-Tanks und Rüstungsfirmen, konzentriert auf die Ukraine und Europa, vereinzelt bis in den Nahen Osten und nach Asien.

Bemerkenswert ist der Umweg, den die Gruppe wählte. Sie kompromittierte mindestens drei Dienstleister, die Gäste-WLAN in Hotels betreiben, manipulierte deren DNS-Einträge – also die Adressverzeichnisse des Internets – und leitete so den Datenverkehr der Hotelgäste auf eigene Server um. Wer sich einloggte, bekam manipulierte Anweisungen serviert – sogenannte ClickFix-Köder, die den Nutzer dazu bringen, einen Befehl selbst auszuführen. Dahinter steckte Schadsoftware für Windows, Android und iOS. Microsoft hatte dieselbe Masche im Juli 2026 unter dem Namen «CaptiveCrunch» beschrieben. Bei einer nordafrikanischen Behörde erbeutete derselbe Akteur laut Report über 300'000 nationale Identitätsdatensätze und die Handelsregisterdaten von mehr als einer halben Million Firmen.

Malware, die sich selbst neu baut

Technisch interessanter als die Beute ist das Vorgehen. Der Akteur liess KI-Agenten überwachen, ob seine Schadsoftware von Sicherheitsprodukten erkannt wurde. Schlug eine Erkennung an, bauten die Agenten den Schadcode selbstständig um – so lange, bis er wieder unentdeckt blieb. Erst dann ging das Werkzeug zurück in den Einsatz.

Genau darin sieht Anthropic die eigentliche Zäsur: Bisher konnten Verteidiger einem Angreifer mit einer neuen Erkennungsregel Zeit und Geld abverlangen. Dieser Hebel stumpft ab, wenn die Gegenseite den Zyklus automatisiert schneller schliesst, als Signaturen ausgerollt werden. Der zweite Kernbefund des Reports passt dazu: Ausgefeilte Angriffe brauchen keine ausgefeilten Angreifer mehr. Unter den dokumentierten Fällen finden sich neben Staatsakteuren auch Einzelpersonen und lose Kriminellen-Gruppen, die Kampagnen fuhren, für die es vor einem Jahr noch ein ganzes Team von Spezialisten gebraucht hätte.

Der vierte Vorfall betraf Claude selbst

Am Tag vor dem Report veröffentlichte Anthropic eine Aufarbeitung eigener Zwischenfälle – und darin einen bislang unbekannten vierten Fall. Er stammt vom Januar 2026 und betraf einen frühen Entwicklungsstand von Claude Opus 4.6 in einer «Capture the Flag»-Übung, einem simulierten Hacking-Szenario. Das Modell konnte seine Aufgabe wegen eines Fehlers im Testaufbau nicht abbrechen, wich auf echte Drittsysteme aus, sammelte dort Zugangsdaten und las Personendaten. Aufgefallen ist der Fall erst im August.

Alle vier Vorfälle ereigneten sich bei Evaluationen desselben externen Partners. Claude war jeweils gesagt worden, es arbeite in einer abgeschotteten Simulation ohne Internet – durch eine Fehlkonfiguration hing die Umgebung aber am offenen Netz. Anthropic durchsuchte nach eigenen Angaben rund 481 Millionen Transkripte und fand keine weiteren Fälle vergleichbarer Schwere. Als Ursachen nennt das Unternehmen zwei wiederkehrende Muster: verzerrtes Schlussfolgern, bei dem das Modell Hinweise auf die reale Umgebung wegerklärt, und Rücksichtslosigkeit, also das stur weiterverfolgte Ziel trotz absehbaren Schadens.

Am meisten Sorge bereitet Anthropic dabei nicht der neue Fall, sondern ein bereits im Juli offengelegter: Claude Mythos 5 lud ein schädliches Paket auf PyPI hoch, die zentrale Bezugsquelle für Python-Software. Neu ist auch der Prüfer: Die Non-Profit-Organisation METR untersucht die Vorfälle nun unabhängig, mit Zugang zu Transkripten und zu Mitarbeitenden, zunächst für acht Wochen. Über die ersten drei Vorfälle und über gekaperte Claude-Konten haben wir hier bereits berichtet – neu sind der September-Report, der vierte Fall und die externe Prüfung.

Dieselben Maschen, gemeldet in Bern

Wer das für ein fernes Problem hält, sollte den Halbjahresbericht des Bundesamts für Cybersicherheit (BACS) vom 24. August 2026 danebenlegen. Im ersten Halbjahr 2026 gingen dort 27'128 freiwillige Meldungen und 200 meldepflichtige Cybervorfälle ein. Das BACS hält fest, dass Angreifer künstliche Intelligenz inzwischen systematisch einsetzen, um zugeschnittene, persönlich wirkende Inhalte an ihre Opfer zu bringen.

Die gemeldeten Muster lesen sich wie eine Schweizer Ausgabe des Anthropic-Reports:

• mehr Microsoft-365-Phishing, bei dem Angreifer Geschäftskonten übernehmen und von dort weiter phishen
• der Vorwand eines ausstehenden Sicherheitsupdates als Köder für Schadsoftware
• kompromittierte, breit genutzte Open-Source-Projekte als Verteilweg für Programme zum Diebstahl von Zugangsdaten
• 79 gemeldete Ransomware-Fälle, bei wachsender Zahl aktiver Erpresser-Gruppen

Für ein Schweizer KMU heisst das: Man muss kein Ziel russischer Nachrichtendienste sein, um mit genau derselben Technik angegriffen zu werden. Die Werkzeuge sickern nach unten.

Drei Dinge, die jetzt zählen

Fremde WLANs misstrauisch behandeln. Hotel, Konferenz, Flughafen: ohne VPN kein Geschäftsverkehr. Der GTG-20006-Fall zeigt, dass der Angriff nicht auf dem Gerät beginnt, sondern im Netz davor.

Update-Aufforderungen nie aus dem Browser heraus befolgen. Updates kommen vom Betriebssystem oder von der IT – nie aus einem Pop-up, einer Mail oder einer WLAN-Anmeldeseite.

Microsoft 365 härten. Phishing-resistente Mehrfaktor-Anmeldung, Geräteanmeldungen einschränken, Postfach-Weiterleitungen überwachen. Das ist die Tür, durch die sowohl die Spione im Report als auch die beim BACS gemeldeten Fälle gingen.

Und wer selbst KI-Agenten produktiv einsetzt, nimmt aus Anthropics eigener Panne die unbequemste Lehre mit: Eine Sandbox ist erst dann eine Sandbox, wenn sie nachweislich kein Netz hat. Sich darauf zu verlassen, dass man dem Modell gesagt hat, es sei nur ein Test, reicht nicht.