Ein neuer Bericht des US-Beratungsunternehmens Booz Allen kommt zu dem Ergebnis, dass KI-Modelle kurz davor stehen, Cyberangriffe auf kritische Infrastruktur eigenständig auszuführen. In kontrollierten Tests durchlief ein Frontier-Modell die vollständige Angriffskette in einem produktionsnahen Unternehmensnetz. Fachleute und Behörden fordern verbindliche Sicherheitsstandards – während eine aktuelle BSI-Studie zeigt, dass deutsche Unternehmen darauf kaum vorbereitet sind.
Was die Tests zeigen
Das US-Beratungs- und Technologieunternehmen Booz Allen hat nach eigenen Angaben 18 Frontier-Modelle aus den USA und China in kontrollierten Umgebungen geprüft. Das Ergebnis, veröffentlicht im Bericht „The Offensive Frontier: AI as the Attacker“: Ein Modell – Anthropics Claude Mythos – durchlief die vollständige Angriffskette („cyber kill chain“) in einem produktionsnahen Unternehmensnetz, verschaffte sich mit einem gestohlenen Mitarbeiter-Zugang Administratorrechte und drang in einem anspruchsvolleren Test sogar ohne Zugangsdaten in das Netz ein [1].
Rund zwei Drittel der getesteten Modelle erlangten demnach zuverlässig einen ersten Zugang zu einem verteidigten Netz, ohne über Zugangsdaten zu verfügen. Die Modelle zeigten Fähigkeiten bei der Identifikation von Schwachstellen, der Erstellung von Exploits und der seitlichen Bewegung im Netz [1]. Booz Allen schätzt, dass die meisten Modelle innerhalb von sechs Monaten die vollständige autonome Angriffskette beherrschen könnten.
Lesen Sie auchBill Gates warnt vor KI-Cyberangriffen: "Viele negative Überraschungen"→
Der Bericht benennt aber auch eine entscheidende Einschränkung: Gegen echte, real existierende Schwachstellen erzielte jedes getestete Frontier-API-Modell null Treffer. Die Fähigkeit, reale Lücken zu finden, bleibt damit die Trennlinie zwischen Benchmark-Ergebnissen und tatsächlichem Angriffspotenzial [1].
Welche Infrastrukturen gefährdet sind
Im Zentrum der Warnung stehen sogenannte OT-Systeme (Operational Technology) – also die Steuerungstechnik, die physische Prozesse in Kraftwerken, Wasserwerken und Fabriken regelt. Das McCrary Institute der Auburn University warnt, dass KI-Angreifer Schwachstellen und Störungspfade in diesen Systemen schneller und mit weniger Spezialwissen identifizieren können [2].
Wie konkret die Bedrohung bereits ist, zeigt ein gemeinsamer Behördenhinweis der US-Agenturen CISA, NSA, FBI, Department of Energy und EPA vom 19. August 2026. Demnach nutzen Angreifer KI-generierte Exploit-Skripte, um speicherprogrammierbare Steuerungen (SPS) vom Typ Siemens S7 anzugreifen. Betroffen sind die Baureihen S7-200, S7-300, S7-400, S7-1200 und S7-1500, darunter auch Sicherheitssteuerungen [3].
Die Angreifer suchen dem Hinweis zufolge über Internet-Scandienste wie Censys und ZoomEye nach exponierten S7-Systemen und erzeugen mit KI aus öffentlich bekannten Schwachstelleninformationen Python-Skripte, die direkt auf Speicher, Konfiguration und Steuerungslogik der Geräte zugreifen können. Als Zielsektoren nennt der Hinweis unter anderem Energie, Wasser und Abwasser, Chemie, Lebensmittel- und Landwirtschaft sowie die verarbeitende Industrie [3].
Wer den Bericht erstellt hat
Der zentrale Bericht stammt von Booz Allen, einem der größten Beratungs- und Rüstungsdienstleister der USA. Grundlage ist der unternehmenseigene „Cyber Weapon Index“, der KI-Modelle systematisch auf offensive Fähigkeiten testet [1]. Ergänzt wird er durch eine Analyse des McCrary Institute for Cyber & Critical Infrastructure Security an der Auburn University, die am 28. September 2026 erschien und sich auf kontrollierte Tests von Frontier-Modellen in OT-Umgebungen sowie eine gemeinsame Tabletop-Übung mit Booz Allen stützt [2].
Zu beachten ist dabei ein Interessenkonflikt: Booz Allen verkauft mit „Vellox Labs Guile“ selbst ein Produkt, das autonome Angriffe abwehren soll. Der Bericht ist damit nicht nur eine Warnung, sondern auch ein Verkaufsargument für eigene Abwehrtechnologie [1]. Unabhängig davon stützt der Behördenhinweis von CISA, NSA, FBI, DOE und EPA die grundsätzliche Einschätzung, dass KI die Angriffsgeschwindigkeit auf kritische Systeme erhöht [3].
Was empfohlen wird
Booz Allen fordert verbindliche, sektorspezifische Fristen, innerhalb derer Betreiber kritischer Infrastruktur ihre Widerstandsfähigkeit gegen KI-gestützte Angriffe nachweisen müssen. CISA und die zuständigen Sektorbehörden sollten Mindeststandards, Umsetzungsmeilensteine, Behebungsfristen und wiederkehrende Übungen festlegen – und dabei annehmen, dass Angreifer KI für Aufklärung, Zugangsdaten-Suche, Rechteausweitung und laterale Bewegung nutzen [1].
Auf technischer Ebene raten die Autoren, Systeme so zu gestalten, dass sie eine Kompromittierung eindämmen können, statt sie nur verhindern zu wollen: Zero-Trust-Architekturen, Netzsegmentierung, minimale Zugriffsrechte, starke Identitätskontrollen und die Isolierung besonders wertvoller Anlagen. Führungskräfte sollen an nachgewiesener Resilienz gemessen werden, nicht an Compliance auf dem Papier [1].
Das McCrary Institute nennt drei Prioritäten: die eigene Bereitschaft bewerten, Behebung und Reaktion beschleunigen und den Betrieb auch während eines laufenden Angriffs aufrechterhalten. Dazu gehören Übungen mit realistisch nachgestellten KI-Bedrohungen, die Einbindung von OT-Betreibern, Geschäftsleitung und Aufsichtsgremien sowie Abwehrsysteme, die mit menschlicher Kontrolle im Regelkreis arbeiten [2].
Für die konkreten S7-Steuerungen empfehlen die Behörden, alle Geräte zu inventarisieren, Firmware und Software zu aktualisieren, die Steuerungen nicht direkt aus dem Internet erreichbar zu machen, unnötige S7comm-Kommunikation auf TCP-Port 102 zu blockieren, die Authentifizierung zu stärken, IT- und OT-Netze zu trennen und Mehrfaktor-Authentifizierung für den Fernzugriff zu verlangen [3].
Die deutsche Lücke
In Deutschland fällt die Bilanz ernüchternd aus. Die KI-Sicherheitsstudie 2026 des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des TÜV-Verbands, für die rund 500 Unternehmen befragt wurden, kommt zu dem Ergebnis, dass nur elf Prozent der Betriebe spezielle Prozesse für KI-bezogene Sicherheitsvorfälle haben. Ein Viertel hat bislang gar keine Regelungen getroffen [5] [6].
17 Prozent der Unternehmen berichteten in den vergangenen zwölf Monaten von bestätigten oder vermuteten KI-gestützten Angriffen oder Betrugsversuchen. 90 Prozent der Betroffenen nannten täuschend echte Phishing-Mails, 40 Prozent automatisiert arbeitende Angriffsskripte, die eigenständig nach Schwachstellen suchen, und elf Prozent Deepfakes [5] [6].
BSI-Vizepräsident Thomas Caspers warnte bei der Vorstellung der Studie: „Wir stehen sicherlich nicht am Rande des Weltuntergangs. Dennoch verändert KI die ohnehin extrem angespannte Cybersicherheitslage.“ Hochleistungsfähige KI-Modelle verfügten bereits heute über erhebliche Fähigkeiten – auch im Bereich Cyberoperationen [5]. TÜV-Verbandspräsident Dirk Stenkamp ergänzte, Angreifer könnten mit KI ihre Attacken automatisieren und Menschen gezielter täuschen [5].
Einordnung
Trotz der drastischen Testergebnisse mahnen Fachleute zur Differenzierung. „Es ist buchstäblich jeder Soziopath, der angreifen will, jetzt mächtiger als früher“, sagte Joshua Corman vom Institute for Security and Technology dem Technikportal The Verge. „Das ist ein Kraftverstärker und wächst weiter“ [4]. Sophie McDowall von der Foundation for Defense of Democracies sieht den entscheidenden Unterschied in der Geschwindigkeit: KI lasse Angreifer schneller agieren, während es für Verteidiger schwierig sei, mitzuhalten [4].
Rob Denaburg vom Verband der kommunalen US-Energieversorger (American Public Power Association) betont, dass die Verteidigungsstrategie unabhängig vom Angreifer ähnlich bleibe: „KI oder nicht – am Ende des Tages ist es immer noch ein Cyberangriff“ [4]. Corman warnt zugleich davor, die Abwehr allein KI-Agenten zu überlassen: „Jetzt haben wir einen KI-Bullen, der in einem OT-Porzellanladen gegen einen anderen KI-Bullen kämpft“ [4].
Die Branche reagiert bereits. OpenAI kündigte Anfang September 2026 an, eine Milliarde US-Dollar in Schulungen und den Zugang zu Modellen zu investieren, die kritische Infrastruktur verteidigen sollen [4]. Ob freiwillige Initiativen ausreichen, ist offen. Der Booz-Allen-Bericht plädiert für verbindliche Fristen statt freiwilliger Selbstverpflichtungen – ein Ansatz, der in den USA auf Widerstand stoßen dürfte und auch in Europa erst schrittweise über den EU AI Act und die KRITIS-Regulierung greift. Klar ist: Die Fähigkeiten der Modelle wachsen schneller als die Abwehrprozesse der Betreiber.