Der britische Domain-Registrar 123 Reg hat Kunden darüber informiert, dass Angreifer im September Kontodaten ausgelesen haben – Namen, Telefonnummern, gebuchte Produkte, Umsatzsteuer-Identifikationsnummern. Das GoDaddy-Unternehmen spricht von einem „KI-gestützten“ Angriff und sieht einen China-Nexus. Wie viele Kunden betroffen sind, sagt es nicht; unabhängig überprüft ist die staatliche Attribution bislang nicht.
Was abgeflossen ist und was das Unternehmen offenlässt
Rund sechs Wochen nach dem Eindringen haben die ersten Kunden Post bekommen. In der E-Mail, die 123 Reg diese Woche verschickt hat, ist von Kontaktinformationen die Rede, von „zugehörigen Kundenbeziehungsdaten“, von Umsatzsteuer-Identifikationsnummern von Firmenkonten und von „Produktinformationen aus einer Programmierschnittstelle (API)“ 1. Ein Sprecher des Unternehmens schlüsselte gegenüber The Register auf, was das konkret bedeutet: Namen, Telefonnummern, Länder, Sprach- und Währungseinstellungen, das Datum der Kontoeröffnung, die gebuchten Produkte und Marketingpräferenzen 1.
Nicht in der Mitteilung: eine Zahl. Wie viele Kunden betroffen sind, teilt 123 Reg bislang nicht mit 1. Auch zu Passwörtern, Zahlungsdaten oder hinterlegten Karten äußert sich das Schreiben nicht. Die Versicherung, man werde niemals per E-Mail, SMS oder Telefon nach Passwort, Zahlungsdaten oder Bestätigungscodes fragen, ist ein Phishing-Hinweis – keine Entwarnung.
Bemerkenswert ist der Zeitablauf. Nach Darstellung des Unternehmens begann der Angriff am 18. September, die Kundeninformationen erreichten die Empfänger erst Ende Oktober 1. Die 72-Stunden-Frist der Datenschutz-Grundverordnung (Artikel 33) betrifft die Meldung an die Aufsichtsbehörde, nicht die Information der Betroffenen – 123 Reg gibt an, die britische und die EU-Datenschutzaufsicht informiert zu haben 1. Warum zwischen Entdeckung und Kundenbrief sechs Wochen liegen, ist damit nicht erklärt.
Warum 123 Reg von einem KI-Angriff spricht
Die Formulierung des Unternehmens lautet, dies sei „der erste bekannte KI-gestützte Cyberangriff gegen unser Unternehmen“ gewesen 1. Als Belege nennt 123 Reg Artefakte auf den Servern der Angreifer: Kopien von „Skills“, die Anthropic als Open Source veröffentlicht hat, sowie mehrere KI-Exploitation-Frameworks und Skripte 1. Zusätzlich sei das Werkzeug ARTEX beobachtet worden – ein quelloffenes, in China entwickeltes agentisches Penetrationstest-Werkzeug, das im Juli 2026 erschienen ist 1 2.
Damit ist die Einordnung als „KI-gestützt“ plausibel, aber nicht unabhängig geprüft. Die Forensik stammt vom Opfer selbst; das hinzugezogene externe Sicherheitsunternehmen nennt 123 Reg nicht, ein Gutachten ist nicht veröffentlicht 1. Und „KI-gestützt“ beschreibt zunächst das Werkzeug, nicht den Grad der Automatisierung. Agentische Systeme führen Angriffsschritte schneller und parallel aus; aus einem Werkzeug wird dadurch keine autonome Kampagne. CrowdStrike formuliert den Effekt nüchterner als das Opfer: KI-Werkzeuge erlaubten es einem finanziell motivierten Akteur, „mehrere Einbrüche innerhalb kurzer Zeit“ durchzuführen 2.
Viele Behauptungen, wenige gesicherte Details
„Unsere Untersuchung hat IP-Adressen identifiziert, die wir als Kerninfrastruktur der Angreifer bewerten; sie waren in China und Singapur gehostet, was auf einen starken chinesischen Nexus hindeutet“, sagte der Sprecher 1. Hinzu kämen ein Spiegel des Verzeichnisses „anthropic_skills“ und Namenskonventionen der Konten auf den chinesischen Servern, die zur Vorbereitung einer KI-gestützten Operation passten 1.
Das zweite Standbein ist ein Bericht von CrowdStrike vom 7. Oktober 2026. CSA-261162 beschreibt einen unbekannten, wahrscheinlich chinesischsprachigen Akteur, der ab Ende September südkoreanische Finanzinstitute angegriffen hat – im selben Zeitraum wie der Einbruch bei 123 Reg 2. Dieser Akteur nutzte ARTEX, das auch im britischen Fall beobachtet wurde 1 2.
Genau hier beginnt allerdings der Widerspruch. CrowdStrike schreibt ausdrücklich, die Aktivität sei keinem benannten Akteur zugeordnet; die Einschätzung „wahrscheinlich chinesischsprachig, finanziell motiviert“ erfolge mit mittlerer Konfidenz 2. 123 Reg hingegen bringt eine staatlich unterstützte Gruppe ins Spiel, die Claude Code gegen mindestens 30 Organisationen missbraucht habe 1. Ein finanziell motivierter Einzeltäter und eine staatliche Kampagne sind unterschiedliche Bedrohungen – mit unterschiedlichen Gegenmaßnahmen. Öffentlich aufgelöst hat 123 Reg diesen Gegensatz nicht.
Auch die technische Beweislage ist dünn: Eine IP-Geolokation sagt, wo ein Server gemietet wurde, nicht von wem. China und Singapur sind Knotenpunkte, an denen sich Rechenleistung kurzfristig und weitgehend anonym beziehen lässt.
Südkorea zeigt, wie die Kampagne zugeschnitten war
Die Spur nach Asien ist immerhin unabhängig dokumentiert. Nach Angaben von CrowdStrike waren mindestens fünf südkoreanische Institute betroffen, darunter Shinhan Bank, KB Kookmin Bank und Hana Bank 3. Gemeldet wurden für Shinhan rund 25.000 betroffene Kunden, für KB Kookmin 119 und für Hana 89 3. In einem Fall drangen die Angreifer in ein Portal zur Abfrage von Kreditanträgen ein, in einem anderen in ein mobiles Arbeitsunterstützungssystem 3.
Der Vergleich zeigt zweierlei: wie breit die Kampagne gestreut war – und wie unterschiedlich die Ausschläge bei den einzelnen Instituten ausfielen. Das Muster spricht für automatisiertes Abklopfen vieler Ziele statt für einen gezielten Feldzug gegen ein einzelnes Unternehmen.
Welche Lücke ausgenutzt wurde, sagt niemand
Die Kundenmitteilung enthält keinen Hinweis auf die Eintrittspforte. Der einzige technische Anhaltspunkt ist die Erwähnung von „Produktinformationen aus einer API“ – sie beschreibt jedoch, welche Daten gestohlen wurden, nicht wie die Angreifer hineinkamen 1. 123 Reg erklärt lediglich, die Aktivität sei „auf das Lesen“ von Kundendaten beschränkt gewesen, räumt aber ein, dass Kopien erstellt worden sein könnten 1. Genau dieser Satz ist der Grund für die Benachrichtigung.
An Maßnahmen nennt das Unternehmen eine externe Sicherheitsfirma, die Einschaltung der Strafverfolgung, Meldungen an die US-Handelsaufsicht FTC sowie an die britischen und EU-Datenschutzbehörden und die Abschaltung der Angreifer-Server in Singapur gemeinsam mit dortigen Providern 1. Dass die FTC informiert wurde, liegt nahe, weil 123 Reg zum US-Konzern GoDaddy gehört – bestätigt hat das Unternehmen diesen Grund nicht.
Warum Registrare eine andere Nummer sind
Ein Registrar verwaltet keine Daten nebenbei, er verwaltet den Einstiegspunkt. Wer die Kontrolle über ein Registrar-Konto erlangt, kann Nameserver umbiegen, E-Mail-Verkehr umleiten und damit auch Zertifikate für fremde Domains ausstellen lassen. Der Schaden reicht über den betroffenen Kunden hinaus auf dessen Geschäftspartner, Lieferanten und Endnutzer – eine Lieferkettenwirkung, die bei einem einzelnen Datenleck selten so unmittelbar ist.
Im laufenden Jahr ist das kein Einzelfall. Microsoft hat die Kompromittierung des IT-Dienstleisters ConnectWise einem china-nahen Akteur zugerechnet, der mit KI-Agenten tausende Kundenumgebungen in kurzer Folge kompromittierte 4. Solche Fälle verschieben die Aufmerksamkeit von der Frage, ob ein Angriff „künstlich intelligent“ war, auf die Frage, wie viele Vertrauensstellen eine einzelne Kompromittierung mitreißt.
Für die betroffenen Kunden ist das Datenpaket unangenehm griffig. Name, Telefonnummer, Land, gebuchte Produkte und Umsatzsteuer-Identifikationsnummer sind genau die Bausteine, mit denen sich ein überzeugender Anruf beim Support oder bei der Buchhaltung führen lässt. 123 Reg empfiehlt, bei unklaren Nachrichten direkt über die eigene Website ins Konto zu gehen und die Zwei-Faktor-Authentifizierung zu aktivieren 1.
Offene Fragen
Ob die britische Aufsichtsbehörde ICO ein Verfahren eröffnet, ist nicht bekannt. Die Zahl der betroffenen Kunden kennt bislang nur 123 Reg. Und die Frage, ob kommerzielle Massenanbieter von Domain-Verwaltung regulatorisch wie kritische Infrastruktur behandelt werden müssten, ist nach diesem Fall so unbeantwortet wie vorher.
