13.2 — AI als Angreiferwerkzeug

Worum es geht

Diese Einheit beschreibt konzeptuell, wie ein AI-gestützter Angriff abläuft. Es geht nicht darum, wie man einen solchen Angriff durchführt, sondern wie man ihn erkennt, einordnet und in der eigenen Bank-Verteidigung antizipiert.

Das didaktische Vorbild ist die Cyber Kill Chain — das Modell, das Lockheed Martin 1998 veröffentlichte, um Verteidigern eine Sprache für Angriffsphasen zu geben. Niemand hat damals argumentiert, dieses Modell sei eine Anleitung zum Angreifen. Es war eine Anleitung zum Verteidigen, indem es zeigte, wo in der Angriffskette welche Kontrolle greifen kann.

Wir nutzen hier eine moderne Vier-Phasen-Variante, die zum Zuschnitt AI-gestützter Angriffe besser passt als die urspruengliche Sieben-Phasen-Lockheed-Version. Die folgende Grafik fasst die vier Phasen mit dem Tempo-Sprung durch AI zusammen — der entscheidende strukturelle Unterschied zwischen 2022 und 2026:

Mausrad: Zoom · Ziehen: Verschieben · Doppelklick: Reset

Im Detail betrachten wir alle vier Phasen — für jede drei Fragen: Was war früher? Was leistet AI heute strukturell? Was bedeutet das für eine deutsche Bank?

Phase 1 — Aufklärung

Früher: Aufklärung war Handarbeit. Ein Angreifer suchte über Suchmaschinen, soziale Netze, Mitarbeiterprofile auf LinkedIn, technische Subdomains, veröffentlichte Bibliotheken im Frontend-Quelltext. Ein gewissenhafter OSINT-Lauf gegen ein mittelgroßes Institut konnte Tage dauern und brauchte Erfahrung darin, welche Hinweise relevant sind.

Heute: Ein Coding Agent erledigt diese Arbeit in Minuten und mit höherer Vollständigkeit. Er crawlt automatisiert, korreliert öffentliche Datenquellen, identifiziert Versionen eingesetzter Bibliotheken im Frontend-Quelltext, gleicht sie mit aktuellen CVE-Datenbanken ab und priorisiert Angriffsflächen nach Erfolgswahrscheinlichkeit. Die menschliche Erfahrung, welche Hinweise wichtig sind, ist im Modell konserviert.

Banking-Lens: Eine Bank hat eine große externe Angriffsfläche — Online-Banking, Mobile Apps, Brokerage-Portale, Mitarbeiter-Webmail, Partner-APIs, Kommunikation mit Aufsichtsbehörden über Spezialprotokolle. Jeder dieser Endpunkte hatte schon immer einen Datenfußabdruck im offenen Internet. Was sich ändert, ist nicht der Fußabdruck — sondern die Geschwindigkeit, mit der ein Angreifer ihn vollständig erfasst und Schwachpunkte identifiziert. Verteidigungs-Konsequenz: Asset-Inventar und Attack-Surface-Management sind keine jährliche Übung mehr, sondern eine kontinuierliche Funktion.

Phase 2 — Vulnerability-Discovery

Früher: Schwachstellen wurden entweder durch Forschungsteams gefunden (zeitaufwendig, teuer) oder durch zufällige Berichte aus Bug-Bounty-Programmen. Die meisten Banken hatten keine eigene Vulnerability-Forschung jenseits jährlicher Pentests.

Heute: Autonome Vulnerability-Discovery ist Realität. Die DARPA AIxCC-Finals im August 2025 zeigten, wie 54 Schwachstellen in 4 Stunden Rechenzeit über 54 Millionen Codezeilen gefunden wurden. Google Big Sleep entdeckte im selben Monat 20 echte Zero-Days in Open-Source-Projekten wie FFmpeg und ImageMagick. Die Linux-Kernel-Maintainer berichten seit Anfang 2026 von einer Verfünffachung der eingehenden Bugmeldungen — anfangs viel Schrott, später zunehmend belastbare Funde. AI-gestützte Vulnerability-Discovery ist nicht mehr eine Capability weniger Labs, sondern eine Marktoption.

Banking-Lens: Die Bank selbst entwickelt typischerweise weniger Code, als sie integriert. Der weitaus größte Teil ihres Software-Stacks kommt von Drittanbietern und Open-Source-Projekten. Wenn diese Projekte plötzlich Hunderte zusätzliche bekannte Schwachstellen pro Quartal aufweisen, verändert sich der Patch-Management-Aufwand fundamental — auch wenn die eigene Codebasis sauber bleibt. Verteidigungs-Konsequenz: Software-Bill-of-Materials (SBOM) und ein präzises Verständnis der eigenen Abhängigkeitsbäume werden zu einer Pflichtaufgabe.

Phase 3 — Exploit-Entwicklung

Früher: Aus einer öffentlich bekannten Vulnerability einen funktionierenden Exploit zu bauen, war fachliches Handwerk. Memory Corruption, Heap-Layouts, Sandbox-Escapes — das sind Fähigkeiten, die jahrelange Spezialisierung voraussetzen. Die Lücke zwischen „CVE veröffentlicht” und „Exploit in freier Wildbahn” lag historisch bei Monaten.

Heute: Im April 2026 dokumentierte Anthropic in einer Reproduktion mit Firefox, dass ein Frontier-Modell aus einer einzigen Anweisung 181 funktionierende Exploits erzeugte — gegenüber zwei Exploits beim Vorgängermodell unter identischen Bedingungen. Selbst wenn man diesen Sprung als oberen Rand der Capability einordnet, ist die Richtung eindeutig: Exploit-Entwicklung, die früher hochspezialisiertes Wissen brauchte, lässt sich zunehmend automatisieren. Das Zero Day Clock-Modell zeigt die Konsequenz: Time-to-Exploit fiel von Monaten in 2022 auf Stunden in 2026 (siehe 13.1).

Banking-Lens: Das ist die Phase, in der die deutsche Bank-IT am verwundbarsten ist, weil hier ihre Patch-Logik strukturell nicht mehr passt. Ein CVE wird Mittwoch um 14 Uhr veröffentlicht. Mittwoch um 17 Uhr existiert ein funktionierender Exploit. Der nächste Release-Slot des Kernbankensystems ist in zwei Wochen. Das Fenster dazwischen kann nicht mit „schneller patchen” geschlossen werden. Es muss mit anderen Kontrollen überbrückt werden — Mikrosegmentierung, Egress-Filterung, Web Application Firewalls mit virtuellem Patching, zeitweise Deaktivierung der betroffenen Funktion. Verteidigungs-Konsequenz: Banken brauchen einen vordefinierten Mitigationskatalog für unpatchbare Lücken.

Phase 4 — Initial Access

Früher: Der Erstzugriff erfolgte typischerweise über Phishing (manuell zugeschnitten, mäßige Erfolgsquote) oder über bekannte, ungepatchte externe Systeme. Die Erfolgsquote pro Phishing-Welle lag selten über einstelligen Prozentbereich.

Heute: Zwei Dinge verändern sich. Erstens skalieren AI-gestützte Phishing-Operationen — siehe die MagicCat-Fallstudie in Modul 3 — auf eine Industrieproduktion zugeschnittener Köder. Zweitens ermöglicht ein Coding-Agent dem Angreifer, in der gleichen Zeit, in der früher ein Phishing-Versuch gebaut wurde, dutzende parallele Angriffsvektoren zu probieren — Web-Schwachstellen, Cloud-Misskonfigurationen, exponierte Verwaltungsoberflächen. Anthropic offenbarte im November 2025, dass eine staatlich gesteuerte chinesische Gruppe einen Coding-Agent für komplette autonome Angriffsketten über rund 30 globale Ziele eingesetzt hatte — die menschlichen Operatoren wurden nur an wenigen Entscheidungspunkten gebraucht.

Banking-Lens: MFA, insbesondere phishing-resistente Verfahren wie FIDO2/WebAuthn, bleiben hier extrem wirksam. Das ist eine wichtige Nachricht: Die Verteidigungs-Hebel, die in der Bank-IT bereits ausgerollt sind, behalten ihre Wirkung. Was sich ändert, ist die Bedeutung der Endpunkte, die noch nicht MFA-gesichert sind — Service-Accounts, Legacy-Schnittstellen, technische Administrations-Zugänge. Verteidigungs-Konsequenz: Die Inventur der „letzten Meilen” ohne moderne Authentifizierung wird dringlicher als sie es früher war.

Was nach dem Erstzugriff passiert — Lateral Movement und Persistenz

Die vier Phasen oben enden mit dem Erstzugriff. Was danach passiert — wie sich ein Angreifer im Netz ausbreitet und sich verankert — ist keine eigene „Phase 5”, sondern die Folge eines erfolgreichen Initial Access. Wir behandeln sie hier dennoch, weil sie didaktisch wichtig ist und in der AI-getriebenen Lage den größten Tempo-Sprung zeigt.

Früher: Hat ein Angreifer den Erstzugriff geschafft, brauchte er Zeit und Geschick, um sich im Netz auszubreiten — Credentials aus dem Speicher lesen, sich zu privilegierten Konten hocharbeiten, in benachbarte Systeme springen. Die Lateral Movement-Phase dauerte oft Tage oder Wochen und bot Verteidigern Fenster zum Erkennen.

Heute: Sysdig dokumentierte im Februar 2026 einen Vorfall, bei dem ein automatisierter Angriff in einer Cloud-Umgebung von der ersten Erkundungsanfrage bis zu Administrator-Rechten acht Minuten brauchte. Es gab keinen menschlichen Operator am Werkzeug. Die Pipeline aus Aufklärung, Exploit und Privilegieneskalation lief weitgehend autonom. Die Persistenz-Schritte — also das Verstecken im System für späteren Zugriff — folgten ebenfalls automatisiert.

Banking-Lens: Das ist die Phase, in der traditionelle Detection-Strategien am stärksten unter Druck stehen. Ein SIEM, das stündliche Korrelationsfenster fährt und auf Analysten-Triage am nächsten Werktag setzt, ist gegen einen 8-Minuten-Angriff strukturell zu langsam. Was hilft: vorab autorisierte Containment-Aktionen, harte Netzsegmentierung mit identitätsbasierter Trennung, automatisches Isolieren von Endpunkten bei bestimmten Verhaltensmustern, Honeypots als Frühwarnsystem. Verteidigungs-Konsequenz: Reaktionsgeschwindigkeit wird zur Architektur-Frage, nicht zur Personalfrage.

Vier dokumentierte Vorfälle, die das Bild stützen

Die folgenden vier Fälle sind öffentlich dokumentiert und mit Berichten der jeweiligen Sicherheitsforschungs-Teams belegt. Sie dienen nicht als Show-Effekt, sondern als Belege, dass die Beschreibung der Phasen oben nicht hypothetisch ist.

Banking-Szenario: Die xbank am Tag X

Was AI nicht magisch macht

Eine Lehre dieser Einheit ist mindestens so wichtig wie die Phasen selbst: AI hebt nicht alle Verteidigungs-Hebel aus den Angeln. Diese Erkenntnis ist wichtig für die Bank-IT, weil sie Panik vermeidet und Investitionen schützt, die sich auch in der neuen Lage rentieren:

• Phishing-resistente MFA (FIDO2/WebAuthn) bleibt wirksam. Ein AI-Angreifer kann perfekte Phishing-Seiten in jeder Sprache erzeugen — er kann aber keinen Hardware-Token kopieren.
• Egress-Filtering auf wirklich nur das, was die Anwendung braucht — hat die Log4j-Welle 2021 in vielen Unternehmen blockiert, obwohl ihre Anwendungen verwundbar waren. Das funktioniert weiterhin.
• Mikrosegmentierung mit identitätsbasierter Trennung begrenzt Lateral Movement, auch wenn der Angreifer Maschinengeschwindigkeit hat.
• Secrets-Rotation und kurze Token-Lebensdauern entwerten gestohlene Zugangsdaten schneller als ein automatisierter Angreifer sie ausnutzen kann.
• Identitäts- und Zugriffsmanagement mit Just-in-Time-Berechtigungen halten die ausnutzbare Angriffsfläche pro Konto klein.

Diese Maßnahmen sind nicht neu. Sie sind seit Jahren in den Empfehlungen von BSI, BaFin und ISO 27001. Was sich ändert, ist ihre relative Priorität: Sie waren bisher Schutz neben anderen Schutzschichten. Sie werden in der AI-getriebenen Lage zur Kernarchitektur, weil Patching alleine nicht mehr ausreicht.

Was du aus dieser Einheit mitnimmst

1. Die vier Phasen einer Angriffskette (Aufklärung, Vulnerability-Discovery, Exploit-Entwicklung, Initial Access) plus die Folgeschritte Lateral Movement und Persistenz sind dieselben wie immer — AI beschleunigt sie und entkoppelt sie von menschlicher Fachkenntnis.
2. Die Stellen, in denen AI strukturell am meisten verändert, sind Vulnerability-Discovery, Exploit-Entwicklung und Lateral Movement. Hier muss die Verteidigung neu kalibriert werden.
3. Phishing-resistente MFA, Egress-Filtering, Mikrosegmentierung und Identitäts-Management behalten ihre Wirkung. Sie werden wichtiger, nicht weniger wichtig.
4. Reale Vorfälle aus 2025 und 2026 zeigen, dass die Bedrohung dokumentiert und reproduzierbar ist — nicht hypothetisch.
5. Für eine deutsche Bank ist die entscheidende Frage nicht „wie patchen wir schneller”, sondern „wie bauen wir Verteidigungslogiken, die ohne sofortigen Patch tragen”.

In 13.3 drehen wir die Perspektive: Wie nutzen Verteidiger AI für ihre Seite — über reine Vulnerability-Discovery hinaus, in GRC, Incident Response, Audit und Operations?

Quellen und weiterführendes Material

• Sysdig Threat Research Blog — Dokumentation des 8-Minuten-Angriffs und weitere Cloud-Threat-Reports
• Anthropic — Disclosure-Berichte — Veröffentlichungen zur chinesischen Spionageoperation und zu Project Glasswing
• Zero Day Clock — die Datenbasis für Time-to-Exploit-Aussagen
• BSI — Lageberichte zur IT-Sicherheit in Deutschland — deutsche Aufsichts-Perspektive, jährliche Auflage
• Modul 3 dieser Academy — Grundlagen der Cyber Kill Chain und Phishing-as-a-Service (MagicCat-Fallstudie)
• Modul 4 dieser Academy — Schutzmechanismen und Defense in Depth
• Modul 9 dieser Academy — Vorfallmanagement nach ISO 27035