KI-Agenten hackten Taiwans Behörden – fast ohne Menschen

Taiwans Digitalministerium hat am Donnerstag, 13. August 2026, bestätigt, dass im Juli Regierungsbehörden Ziel eines KI-gestützten Cyberangriffs aus dem Ausland wurden. Entdeckt hat die Kampagne die israelische Sicherheitsfirma Dream: Laut ihrem Bericht arbeitete ein Verbund aus bis zu acht KI-Agenten vier Tage lang weitgehend selbstständig, kartierte 21 Behördensysteme, knackte 85 Zugangskonten und zog mehr als 2'500 Personaldatensätze ab. Fachleute halten das für den ersten öffentlich dokumentierten Fall, in dem KI-Agenten einen Angriff auf eine Regierung nicht nur unterstützt, sondern grösstenteils selbst geführt haben.

Vier Tage, zwölf Angriffswellen

Der Ablauf ist ungewöhnlich gut dokumentiert – weil Dream nach eigenen Angaben den kompletten Arbeitsbereich der Angreifer sicherstellen konnte: ein Archiv von über 160 Megabyte mit 1'395 Dateien. Zwischen dem 1. und 4. Juli 2026 fuhr das System demnach zwölf Angriffswellen. Es begann damit, den JavaScript-Code eines Behördenportals zu zerlegen und daraus versteckte Schnittstellen auszulesen – daraus ergaben sich 21 verbundene Behördensysteme und die komplette nationale Single-Sign-On-Architektur, also die zentrale Anmeldung, über die sich Mitarbeitende bei allen Ämtern einloggen. Später weitete sich der Zugriff laut CNN auf Taiwans Atomaufsichtsbehörde, IT-Dienstleister der Regierung und mindestens sieben Energieunternehmen aus.

Taiwans Ministry of Digital Affairs (MODA) beschreibt in seiner Mitteilung ein «hybrides Modell»: klassische Handarbeit von Hackern, kombiniert mit KI-Agenten wie der quelloffenen Agentenplattform OpenClaw. Solche Agenten könnten mehrere Angriffstechniken schnell verketten und Nebensysteme wie Backup- oder Testumgebungen als Sprungbrett nutzen – schnell, billig und in grossem Massstab. Ab dem 20. Juli gab das nationale Cybersicherheits-Institut Warnmeldungen heraus; die betroffenen Stellen haben ihre Aufarbeitung inzwischen abgeschlossen.

Der Angreifer, der dazulernt

Technisch bemerkenswert ist weniger, was das System geknackt hat, sondern wie es entschied. Dream beschreibt eine Bayes'sche Priorisierung: Das Werkzeug bewertete 14 parallel laufende Angriffsketten laufend neu und schob den Aufwand jeweils auf die aussichtsreichste. Stiess ein Agent auf eine Mauer, startete er einen sogenannten Learning Cycle – eine automatische Suche in Schwachstellen-Datenbanken, GitHub-Repositories und Security-Publikationen nach einer neuen Technik. Nach jeder Welle floss ein strukturierter Bericht zurück in die Planung der nächsten.

«Wie ein menschliches Team recherchiert es in Echtzeit neue Techniken, sobald ein Weg blockiert ist, und passt sich an. Das ist ein Angreifer, der eigenständig plant, lernt und nachjustiert.»

So beschreibt es Amir Becker, Chief Business and Strategy Officer bei Dream, gegenüber CNN. Die eingebauten Sicherheitsschranken der verwendeten Sprachmodelle umging der Aufbau übrigens mit einem simplen Trick: Alle Aktivitäten wurden als «autorisierter Penetrationstest» deklariert.

Alle Spuren zeigen nach China – bestätigt ist nichts

Hier ist Vorsicht angebracht. Dream ordnet den Angriff ausdrücklich keiner konkreten Gruppe und keinem Staat zu. Die Forscher verweisen lediglich darauf, dass die interne Dokumentation zwischen vereinfachtem Chinesisch in den Statusberichten und traditionellem Chinesisch in der Zielanalyse wechselt – ein Hinweis auf einen chinesischsprachigen Betreiber. Taiwans Ministerium erwähnt China in seiner Mitteilung mit keinem Wort. Chinas Aussenministerium erklärte gegenüber CNN, man sei mit dem Sachverhalt nicht vertraut. Kurz: Die Herkunft ist ein begründeter Verdacht, keine bestätigte Tatsache.

Zur Einordnung: Laut Taiwans Nationalem Sicherheitsbüro stiegen Cyberangriffe aus China auf kritische Infrastruktur der Insel im vergangenen Jahr um 6 Prozent – auf durchschnittlich 2,63 Millionen Angriffe pro Tag.

Banale Lücken, industrielles Tempo

Die Einfallstore waren alles andere als exotisch: offen gelassene Debug-Schnittstellen in produktiven Web-Anwendungen, Programmierschnittstellen ohne jede Anmeldung, die ganze Mitarbeiterlisten herausgaben, und wiederverwendete Passwörter. Genau das ist die eigentliche Nachricht: Die KI hat keine neuen Lücken erfunden, sie hat alte nur viel schneller gefunden und parallel ausgenutzt.

Das Bundesamt für Cybersicherheit (BACS) beschreibt in seinem Halbjahresbericht vom 30. März 2026 denselben Trend – global agierende Akteure individualisieren ihre Angriffe zunehmend mit Hilfe von KI. Im zweiten Halbjahr 2025 registrierte das BACS 57 Ransomware-Vorfälle in der Schweiz; seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen schwere Cyberangriffe zudem melden. Für dich, wenn du in einer Behörde oder einem KMU für IT mitverantwortlich bist, heisst das konkret: Der Aufwand, den ein Angreifer für einen breit angelegten Scan betreiben muss, ist gerade dramatisch gesunken. Keine Debug-Endpunkte in der Produktion, Authentifizierung vor jeder Schnittstelle, Multi-Faktor auf allen Konten – diese Basics sind damit endgültig keine Kür mehr.

Irgendwo sitzt immer noch ein Mensch

Vor Übertreibung warnt Cris Thomas, Sicherheitsforscher beim Code-Security-Unternehmen Semgrep: Irgendwo stecke da immer noch ein Mensch, jemand habe entscheiden müssen, wen man angreift, ein Ziel definieren und die Anweisung geben – zu hundert Prozent autonom sei das nicht. Trotzdem bleibt der Satz aus Dreams Bericht stehen, der die Bilanz am besten trifft: Die Kosten, einen kompetenten Angriff zu fahren, sind kollabiert. Die Kosten, sich dagegen zu verteidigen, nicht.