Anthropic warnt: Cyberangriffe werden noch viel schlimmer

Die Warnung steht seit dem 22. Oktober online, und sie ist in ihrer Zuspitzung ungewöhnlich für einen Mann, dessen Arbeitgeber zu den führenden KI-Laboren der Welt zählt. „So schlimm die vergangenen vier Tage auch waren: Es wird noch viel schlimmer werden, bevor es besser wird“, schrieb Jason D. Clinton, stellvertretender Sicherheitschef (Deputy CISO) von Anthropic, auf X ^{1 2 3}. In derselben Nachricht folgt die für ihn zentrale Handlungsanweisung: „Sicherheitsverantwortliche, lasst eine Krise nie ungenutzt verstreichen: Geht jetzt zu euren Vorständen und bittet um Hilfe. Nicht für KI – für die Grundlagen.“ Und: „Wir müssen etwa 18 Monate durchhalten.“ ¹

Der Satz ist keine Ad-hoc-Reaktion. Clinton hatte am 21. August 2026 öffentlich einen „Tsunami an Schwachstellen“ angekündigt, der in wenigen Monaten hereinbrechen werde, und gewarnt, für das Patchen kritischer Infrastruktur werde die Zeit nicht reichen ^{1 2}. Damals nahm kaum jemand Notiz davon. Vier Tage vor seinem jüngsten Beitrag eskalierte die Lage dann in mehreren Strängen gleichzeitig.

Vier Tage, die die Branche durchgeschüttelt haben

Den größten Ausschlag gab eine Schwachstellenwelle in PHP, der serverseitigen Programmiersprache, auf der ein großer Teil des Webs läuft – darunter WordPress, Drupal und Joomla. Zwei Lücken, CVE-2026-109618 und CVE-2026-109619, erreichen nach CVSS Version 4.0 einen Wert von 9,2 und erlauben Angreifern, ohne vorherige Anmeldung eigenen Code auf betroffenen Servern auszuführen. Der entscheidende Punkt: Die Fehler sitzen in der Laufzeitumgebung selbst, nicht in einem einzelnen Plugin. Selbst Anwendungen ohne eigenen Programmierfehler waren damit exponiert. Die PHP-Entwickler veröffentlichten am 21. Oktober Korrekturen für vier unterstützte Versionszweige; ältere Reihen erhalten keine Updates mehr ⁸.

Die Reaktionen fielen ungewöhnlich breit aus. Die EU-Kommission, die Agentur ENISA, CERT-EU und die Cybercrime-Abteilung von Europol gaben eine gemeinsame Warnung heraus. In den Niederlanden wurden öffentlich erreichbare Regierungs- und Institutionswebsites vorsorglich offline genommen, Finnlands staatlicher IT-Dienstleister setzte einzelne Netzdienste aus, das französische Innenministerium schaltete seine Websites in einen Wartungsmodus. Nach Angaben von Reuters nahmen auch Wikipedia und das Internet Archive einzelne Systeme vorübergehend vom Netz. Die US-Sicherheitsbehörde NSA warnte, die weite Verbreitung von PHP eröffne Angreifern Möglichkeiten; Indiens CERT-In stufte den Fall als kritisch ein ⁸.

Zeitgleich musste die Branche einen zweiten Vorfall verarbeiten. Bei dem indischen Zertifizierungsdienstleister eMudhra waren am 17. Oktober private Schlüssel von acht zwischengeschalteten Zertifizierungsstellen als rekonstruierbar gemeldet worden. Ursache war keine gebrochene Kryptografie, sondern ein Fehler bei der Schlüsselerzeugung: Die P-384-Schlüssel trugen Werte unterhalb von 256, weshalb sie sich praktisch sofort berechnen ließen. Chrome, Mozilla, Apple und Cloudflare blockierten die Zertifikate; eMudhra erklärte, keines der acht Intermediate-Zertifikate habe Endkunden-Zertifikate ausgestellt, nur eines sei im Produktivbetrieb gewesen. Google teilte mit, in den öffentlichen Certificate-Transparency-Logs seien vor der Sperrung keine betrügerischen TLS-Zertifikate aufgetaucht ⁹. Hinzu kamen nach Darstellung indischer Medien im Oktober die Verbreitung von Zero-Click-Spyware über Werbenetzwerke und mehrere größere Datenabflüsse ².

Der Engpass liegt nicht mehr im Finden

Clintons Argument setzt nicht bei diesen Einzelfällen an, sondern bei der Ökonomie der Ausnutzung. Angreifer nutzten bereits vorhandene KI-Fähigkeiten, um Schwachstellen in alter Software aufzuspüren, die Suche zu automatisieren, bekannte Lücken schneller auszunutzen als menschliche Sicherheitsteams und zuzuschlagen, bevor Patches ausgerollt sind ¹. Die PHP-Fehler selbst sind klassische Speicherverwaltungsfehler – KI hat sie nicht erzeugt. Verändert hat sich das Verhältnis von Entdecken und Reparieren.

Für dieses Missverhältnis liefert Anthropic eigene Zahlen. Partner des Programms Project Glasswing fanden zwischen April und Juli 2026 mindestens 129.000 verifizierte Softwareschwachstellen; die eigenen Scans von Open-Source-Projekten ergaben zwischen April und Oktober 2026 weitere 5.500. Mehr als 33.000 dieser Funde wurden bislang als kritisch oder hoch eingestuft – und das Unternehmen hält dies für eine Untergrenze, weil nur ein Teil der Partner Zahlen meldete. Der tatsächliche Umfang dürfte mindestens fünfmal höher liegen ⁵. Mehrere Partner gaben an, die Modelle hätten ihre Fundrate um Monate oder Jahre beschleunigt ⁵.

Die Kehrseite beschreibt Anthropic selbst: „Die Kosten für die Ausnutzung von Schwachstellen sind gesunken, während das Verifizieren, Offenlegen und Beheben langsam ist und weiterhin von Menschen abhängt.“ Bei Glasswing seien oft Monate zwischen Fund und Behebung vergangen. In der industriellen Steuerungstechnik, also bei Umspannwerken, Wasserwerken und Produktionsanlagen, könne ein Patch warten müssen, bis er gefahrlos auf laufende Maschinen aufgespielt werden kann – in seltenen Fällen Jahrzehnte ⁴.

Was Anthropic selbst entgegenhält

Der Konzern hat in den vergangenen Wochen mehrere Programme aufgesetzt, die genau an dieser Reparaturlücke ansetzen. Anfang Oktober startete die Anthropic Cyber Mission mit zwei Schwerpunkten: dem Critical Infrastructure Defense Program, das Frontier-Modelle, Vor-Ort-Ingenieure und Bedrohungsforschung an Betreiber kritischer Infrastruktur bringt, und dem OSS Scanner, einem kostenlosen, opt-in nutzbaren Schwachstellen-Scanner für Open-Source-Projekte. Zu den elf Gründungspartnern zählen Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Nozomi Networks, Palo Alto Networks, PwC und Rockwell Automation ⁴. Bereits im Juni hatte Anthropic ein Programm für US-Bundesstaaten, Kommunen und Stammesregierungen aufgelegt; nach eigenen Angaben nutzen inzwischen mehr als die Hälfte der US-Bundesstaaten die Modelle ⁴.

Das zweite Standbein ist ein Zugangsmodell. Die allgemein verfügbaren Claude-Modelle haben bewusst strenge Cyberschutzfilter, die einen Großteil sicherheitsbezogener Arbeit blockieren. Über das erweiterte Cyber Verification Program erhalten geprüfte Verteidiger Zugang zu weniger stark gefilterten Modellen, gestaffelt in drei Stufen – von Defense Access für Security Operations und Incident Response bis zu Specialized Access für Organisationen, die Systeme wie Flugbetriebssoftware, Stromnetze oder Interbanken-Infrastruktur testen dürfen. In einem internen Test mit dem Benchmark CyScenarioBench wurden ohne Programmzugang alle 50 Aufgaben bereits beim ersten Prompt blockiert, in der Stufe Defense Access 46 von 50; in der Stufe Red Team Access liefen 34 von 50 Aufgaben durch – dieselbe Quote wie ganz ohne Schutzfilter ⁵.

Dazu kommt Grundlagenforschung: Am 22. Oktober zeigte Anthropics Frontier Red Team, dass Claude formale Korrektheitsbeweise für echten Produktionscode erstellen kann – für 239 Einstiegspunkte in 123 Open-Source-Bibliotheken, mit rund 180 Millionen Zeilen Beweiscode. Dabei fand das Modell Fehler, die jahrelangem Fuzzing entgangen waren. Die Forscher schränken selbst ein: „Formal verifiziert“ bedeute nicht „fehlerfrei“ ⁷.

Unternehmen sollten heute handeln

Clintons Ratschlag ist bewusst unspektakulär. Wer jetzt zum Vorstand gehe, solle Geld für Patch-Management, Schwachstellenverwaltung, Zugriffskontrollen, Netzsegmentierung und Notfallpläne verlangen – nicht für KI-Abwehr ^{1 3}. Aus den behördlichen Empfehlungen der vergangenen Woche lassen sich daraus konkrete Prioritäten ableiten:

• Internetseitige Systeme zuerst. Öffentlich erreichbare Server und Anwendungen, die Anfragen aus nicht vertrauenswürdigen Quellen verarbeiten, sind vorrangig zu aktualisieren. Wo ein Patch nicht zeitnah möglich ist, sollte das System nach dem Rat des britischen NCSC vorübergehend vom Netz getrennt werden ^{8 9}.

• Bestandsaufnahme statt Versionsnummer. PHP steckt auch in Drittanwendungen, Containern und Content-Management-Systemen. Die angezeigte Version einer Anwendung sagt nichts über den tatsächlichen Patchstand der Pakete aus ⁸.

• Protokolle prüfen. Ein Patch belegt nicht, dass ein System nicht bereits kompromittiert wurde. Zu suchen ist nach ungewöhnlichen Prozessen, fremden Dateien und auffälligen ausgehenden Verbindungen ⁸.

• Zertifikatsspeicher mitprüfen. Browser erhielten die eMudhra-Sperre schnell, serverseitige Anwendungen nicht. Zu aktualisieren sind CA-Bundles im Betriebssystem, in PHP-Abhängigkeiten, in anwendungseigenen Trust Stores und in Container-Images – danach muss der tatsächliche HTTPS-Prüfpfad getestet werden, nicht nur der Browser ⁹.

• Zertifikatsprüfung nicht abschalten. Cloudflare warnte ausdrücklich davor, Zertifikatsfehler durch Deaktivieren der Verifikation zu „lösen“ ⁹.

Die Zeitachse bleibt die offene Frage

Widerstand blieb nicht aus. Auf den Vorwurf, sein Unternehmen und dessen Wettbewerber hätten das Problem erst geschaffen, antwortete Clinton knapp: „Ja. So war es immer geplant. Wir haben versucht, die Welt zu warnen.“ ² Diese Antwort ist ehrlicher als jede PR-Formulierung – und sie verschiebt die Beweislast auf die Frage, ob die versprochene Gegenwehr rechtzeitig kommt.

Denn die 18 Monate sind eine Schätzung, kein bestätigter Fahrplan ³. Sie hängen an der Erwartung, dass Skalierungsgesetze leistungsfähige Cyberfähigkeiten in kleine, billige Modelle pressen, mit denen Entwickler Fehler für Bruchteile eines Cents finden und beseitigen, bevor Code in Produktion geht – Clintons Begriff dafür lautet „vulnzero“ ^{1 2}. Ob das trägt, hängt an der Zuverlässigkeit der Werkzeuge und daran, wie schnell sie in normale Entwicklungspipelines wandern ³. Anthropic formuliert die eigene Prognose vorsichtig: In zwei Jahren werde KI die Verteidigung begünstigen, im Nahbereich möglicherweise nicht ⁴. Und das Unternehmen räumt ein, mit Glasswing noch keine ausreichende Senkung des Cyberrisikos erreicht zu haben ⁴.

Bemerkenswert ist auch die Erwartung, die Anthropic für den Wettbewerb formuliert: Innerhalb von sechs bis zwölf Monaten dürften viele andere KI-Anbieter Modelle der Mythos-Klasse haben – und sie möglicherweise ohne Schutzmechanismen gegen Missbrauch veröffentlichen ⁶. Die Frage, die sich daraus für Vorstände ergibt, ist keine technische: ob sie jetzt in die Grundlagen investieren, oder ob sie darauf warten, dass die Werkzeuge die Grundlagen überflüssig machen.