KI-Agenten brechen in über 100 Websites ein: Was Unternehmen lernen
20. Oktober 2026
KI-generiert, redaktionell von 8thsense ausgewählt, geprüft und freigegeben. EU AI Act, Art. 50
Ein Angreifer hat KI-Agenten weitgehend selbstständig auf Websites losgelassen und ist dabei laut Reuters in mehr als 100 Unternehmensseiten eingedrungen, darunter Seiten von John Deere und SharkNinja. Aufgedeckt hat das die Sicherheitsfirma NorForge, die offen im Netz stehende Steuerpanels der Angreifer gefunden hat. Pro Angriffsauftrag fielen nach Schätzung von NorForge im Schnitt nur wenige Dollar an KI-Kosten an. Für Geschäftsführer heißt das: Wenn Angriffe fast nichts mehr kosten, lohnt sich für Angreifer auch die kleine Website mit der einen vergessenen Lücke.
Was NorForge gefunden hat
Im Mittelpunkt steht Cairn, eine quelloffene Plattform, die mehrere KI-Agenten auf ein gemeinsames Ziel ansetzt. Jede Aufgabe ist ein Projekt mit Startpunkt und Ziel, die Agenten tragen Zwischenergebnisse auf einer Art gemeinsamer Pinnwand zusammen. Der Entwickler betont, Cairn sei kein Hacking-Werkzeug, die Plattform wird auch für legale Penetrationstests genutzt. NorForge-Forscher Snorre Fagerland fand jedoch mehr als 20 öffentlich erreichbare Cairn-Panels, die er als wahrscheinlich bösartig einstuft (Quelle: norforge.com). Der aktivste Cluster, chinesischsprachig, umfasste 14 Panels mit über 1.100 Angriffsprojekten gegen Onlineshops und Zahlungssysteme in den USA, Japan und Australien. Die Ziele wurden vorab automatisiert geprüft und dann in die Agenten-Pipeline eingespeist, menschliche Eingriffe waren nur noch punktuell nötig.
Über 100 Treffer: Wer was sagt
Die Zahl von über 100 erfolgreichen Einbrüchen stammt von Reuters, nicht aus dem NorForge-Bericht selbst. NorForge nennt keine bestätigte Opferzahl und schreibt lediglich von Hinweisen auf erfolgreiche Einbrüche, bei einer durchschnittlichen Erfolgsquote um 10 Prozent. Laut Reuters versuchten die Agenten es bis Ende der vergangenen Woche bei mehr als 1.200 Seiten (Quelle: thenextweb.com). Die genannten Unternehmen ordnen die Vorfälle ein, wie The Verge zusammenfasst (Quelle: theverge.com):
John Deere: keine Hinweise darauf, dass sensible Daten abgeflossen sind.
SharkNinja: betroffen war eine eigenständige Seite mit Produkt-Support-Informationen, die Bedrohung sei eingedämmt.
Cummins: prüft einen möglichen Angriff auf eine Website, die ein Dienstleister betreibt.
SecurityWeek bestätigt die Grundzüge und weist ebenfalls darauf hin, dass die Opferzahl von Reuters stammt (Quelle: securityweek.com).
Was ein Angriff kostet
Bei den Kosten gibt es zwei Zahlen, die man auseinanderhalten sollte. NorForge schätzt im Bericht rund 5 Dollar pro Auftrag im Schnitt, inklusive der vielen Versuche, die früh abgebrochen wurden oder scheiterten, und betont eine erhebliche Unsicherheit. Lange Projekte könnten auch mehr als 100 Dollar kosten. Gegenüber Reuters schätzte Fagerland die Kampagne grob auf rund 5.000 Dollar an KI-Rechenkosten, also etwa 50 Dollar pro erfolgreichem Einbruch. Erfolgreiche Projekte liefen im Schnitt knapp 23 Stunden. Welches KI-Modell genau im Einsatz war, ist offen: Ein Worker-Name deutet laut NorForge auf Claude Code mit einem DeepSeek-Modell hin, belegt ist das nicht. Entscheidend ist ohnehin die Größenordnung: Ein Angriff kostet weniger als ein Mittagessen.
Welche Lücken die Agenten suchten
Spektakuläre Zero-Days brauchten die Agenten meist nicht. Laut NorForge zielten die Aufträge auf klassische Schwachstellen: Codeausführung ohne Anmeldung, SQL-Injection im Login, unsichere Datei-Uploads, unsichere Deserialisierung und umgangene Authentifizierung. In einem Fall nutzten die Agenten veraltete Komponenten eines alten PHP-Frameworks. In einem anderen fanden sie in der Hauptanwendung eines großen Unternehmens nichts und wichen nach stundenlangem Probieren auf ein verknüpftes Admin-Panel aus. Ziel war meist eine dauerhafte Hintertür für späteren Zugriff. Auffällig auch: In den offenen Panels lagen Hunderte zuvor erbeutete Zugangsdaten, 11 Prozent davon waren laut NorForge noch gültig.
Was das für Unternehmen bedeutet
Die Opferliste zeigt das eigentliche Risiko: nicht die gut bewachte Hauptseite, sondern die Support-Microsite, der vom Dienstleister betriebene Shop, das vergessene Admin-Panel. Genau solche Nebenschauplätze gibt es auch im Mittelstand, etwa die alte Kursbuchung der Tanzschule, das Bewerberportal des Pflegedienstes oder die Aktionsseite vom letzten Jahr. Weil KI-Agenten unermüdlich und billig suchen, zählt jede einzelne Lücke. Drei Schritte, die ohne großes Budget machbar sind:
Inventur: Alle Domains, Subdomains und Logins auflisten, auch was Agenturen und Dienstleister betreiben. Was keiner mehr braucht, abschalten.
Updates und Verantwortung: Für jedes System (CMS, Shop, Plugins) klar regeln, wer Updates einspielt und wie schnell. Admin-Bereiche mit Zwei-Faktor-Anmeldung oder IP-Sperre absichern.
Zugangsdaten wechseln: Alte Passwörter und API-Schlüssel rotieren, denn erbeutete Daten werden offenbar systematisch wiederverwendet.
Das ist meist ein Tag Arbeit für die interne IT oder den Webdienstleister, kein Großprojekt. Wer selbst Prozessautomatisierung oder KI-Automation einführt, sollte zudem eine Lehre der Angreifer ernst nehmen: Deren eigene Steuerpanels standen ungeschützt im Netz. Auch Agenten-Werkzeuge im eigenen Betrieb gehören hinter eine Anmeldung und nicht offen ins Internet.
