Dieser Beitrag enthält Werbung in Form von Amazon-Partnerlinks. Sie sind als solche gekennzeichnet. Stand aller Angaben: 18. September 2026. Dieser Beitrag ist keine Rechtsberatung.
Mitte September 2026 hat die spanische Datenschutzaufsicht AEPD einen Fall öffentlich gemacht, der seitdem durch die Fachpresse geht: die erste bei ihr eingegangene Meldung einer Datenschutzverletzung, bei der ein KI-Agent auf Basis eines bekannten Sprachmodells als Werkzeug eines Angriffs diente. In vielen Überschriften wurde daraus schnell der „erste Cyberangriff durch eine KI".
Das ist ein Fall, bei dem sich zwei Reaktionen anbieten, und beide sind falsch. Die eine ist Alarmismus, die andere ist Abwinken. Dieser Beitrag nimmt den dritten Weg: Wir schauen uns an, was die Behörde tatsächlich geschrieben hat, was daran neu ist und was nicht, und leiten daraus eine Härtungsliste ab, die eine Firma mit 5 bis 50 Arbeitsplätzen auch wirklich abarbeiten kann.
Die kurze Antwort
Der Angriff nutzte keine einzige neue Technik. Offen liegende Dateien mit Zugangsdaten, ein erfolgreicher Login, danach die Suche nach weiteren Lücken: Das ist Standard seit zwanzig Jahren. Neu ist, dass ein Agent diese Schritte selbstständig aneinanderhängt und damit das Tempo bestimmt. Für deine Absicherung ändert das nichts an den Maßnahmen, aber viel an der Zeit, die dir bleibt. Wer bisher darauf gesetzt hat, dass niemand die Mühe macht, sich mit einer kleinen Firma zu beschäftigen, verliert genau dieses Argument.
Was die AEPD tatsächlich geschrieben hat
Zuerst die Einordnung der Schlagzeile, denn hier lohnt Genauigkeit.
Die Behörde spricht von der ersten Meldung, die bei ihr zu einem solchen Fall eingegangen ist. Das ist etwas anderes als der erste Angriff dieser Art. Dokumentierte Fälle, in denen Angreifer agentische Systeme eingesetzt haben, gab es bereits im Jahr zuvor, teils von Sicherheitsforschern angezweifelt, teils bestätigt. Was diesen Fall auszeichnet, ist laut der Berichterstattung die Nutzung eines öffentlich verfügbaren Modells, also keiner exotischen Spezialentwicklung.
Ebenso wichtig ist eine Klarstellung, die die AEPD selbst mitliefert: Dass ein bestimmtes Modell benutzt wurde, bedeutet nicht, dass dieses Modell oder die Infrastruktur seines Anbieters kompromittiert worden wäre. Ein Dritter hat ein frei zugängliches Werkzeug für seine Zwecke eingesetzt. Wer aus dieser Meldung eine Warnung vor KI-Anbietern macht, liest sie falsch.
Und schließlich: Die Angaben stammen aus der Meldung der betroffenen Organisation und sind noch nicht abschließend geprüft. Welche Organisation betroffen war, aus welcher Branche sie stammt und welches Modell konkret zum Einsatz kam, nennt die Behörde nicht. Sie weist ausdrücklich darauf hin, dass sich aus einer einzelnen Meldung keine statistische Aussage ableiten lässt.
Der beschriebene Ablauf
Was die Behörde schildert, liest sich unspektakulär, und genau das ist der Punkt:
- Suche nach Schwachstellen in generischen, offen zugänglichen Dateien
- Ein erfolgreicher Login mit den dabei gefundenen Informationen
- Anschließend die autonome Suche nach weiteren Lücken innerhalb der Anwendung
- Änderung personenbezogener Daten
- Zugriff auf Rechnungen
Jeder einzelne Schritt ist Handarbeit, die ein durchschnittlich begabter Angreifer seit Jahren beherrscht. Die Kernaussage der Behörde bezieht sich denn auch nicht auf die Technik, sondern auf die Verkettung: Der Agent hat die Phasen selbstständig aneinandergereiht. Der qualitative Wandel liegt bei Geschwindigkeit, Skalierbarkeit und Anpassungsfähigkeit.
Warum das für kleine Firmen mehr ändert als für große
Große Organisationen haben Personal, das auf Angriffe reagiert, und Systeme, die Auffälligkeiten melden. Der Zeitvorteil eines automatisierten Angreifers wiegt dort schwer, aber es gibt jemanden, der ihn bemerkt.
In einer Firma mit 20 Arbeitsplätzen sieht das anders aus. Dort ist der Schutz häufig nicht technische Tiefe, sondern schlichte Unauffälligkeit. Die stille Annahme lautet: Für uns macht sich niemand die Mühe. Genau diese Annahme hat ein Agent gerade entwertet, denn Mühe ist bei ihm kein begrenzender Faktor mehr. Ein automatisiertes System kann tausend kleine Ziele gleich gründlich bearbeiten wie eines.
Damit verschiebt sich nicht die Liste der Maßnahmen, sondern deren Dringlichkeit. Die Dinge, die man „irgendwann mal" machen wollte, sind die Dinge, die dieser Angriffstyp zuerst ausnutzt.
Die Härtungsliste für 5 bis 50 Arbeitsplätze
Diese Liste ist bewusst nach Wirkung sortiert, nicht nach Aufwand. Die ersten drei Punkte fangen den geschilderten Angriffsablauf vollständig ab.
| Maßnahme | Verhindert welchen Schritt | Aufwand | Erledigt |
|---|---|---|---|
| Zugangsdaten aus Dateifreigaben, Repositories und Webverzeichnissen entfernen | Schritt 1: das Finden der Zugangsdaten | ca. 4 Std. einmalig | ☐ |
| Mehrfaktor-Authentifizierung mit Hardwareschlüssel für alle extern erreichbaren Zugänge | Schritt 2: den Login trotz gültigem Passwort | ca. 1 Std. je Person | ☐ |
| Netz in getrennte Bereiche aufteilen, mindestens Verwaltung, Produktion, Gäste, IoT | Schritt 3: die Ausbreitung nach dem Einbruch | ca. 1 Tag | ☐ |
| Zentrale Protokollierung mit Alarmierung bei auffälligen Anmeldungen | Die Zeit bis zur Entdeckung | ca. 1 Tag | ☐ |
| Offline-Kopie der Sicherungen, physisch getrennt | Den Schaden nach erfolgreichem Zugriff | ca. 2 Std. plus Routine | ☐ |
| Admin-Konten von Alltagskonten trennen | Die Rechteausweitung | ca. 3 Std. | ☐ |
| Meldeweg nach Artikel 33 DSGVO vorbereiten, mit Zuständigen und Kontaktdaten | Nichts technisch, aber die 72-Stunden-Frist | ca. 2 Std. | ☐ |
| Externe Angriffsfläche prüfen: Welche Dienste sind aus dem Internet erreichbar? | Die Voraussetzung für Schritt 1 und 2 | ca. 3 Std. | ☐ |
Punkt 1: Zugangsdaten liegen fast immer irgendwo herum
Der Angriff begann mit Schwachstellen in generischen Dateien. In der Praxis heißt das: Konfigurationsdateien im Webverzeichnis, alte Sicherungen im Dateiserver, Skripte mit eingebettetem Passwort, Zugangsdaten in einer Tabelle auf einem Laufwerk, auf das alle Zugriff haben.
Die Suche danach ist unangenehm, weil sie immer etwas findet. Sie ist aber die einzige Maßnahme dieser Liste, die überhaupt nichts kostet außer Zeit. Fang bei dem an, was aus dem Internet erreichbar ist, und arbeite dich nach innen vor.
Punkt 2: Hardwareschlüssel, und immer zwei davon
Mehrfaktor-Authentifizierung per SMS oder App ist besser als nichts, aber gegen einen automatisierten Angreifer, der Anmeldeseiten nachbaut, hilft nur ein Verfahren, das an die Domain gebunden ist. Das leisten FIDO2-Sicherheitsschlüssel: Sie geben ihr Geheimnis an eine gefälschte Seite schlicht nicht heraus.
Die wichtigste Regel dabei ist organisatorisch, nicht technisch: Kaufe grundsätzlich zwei Schlüssel pro Person. Ein verlorener oder defekter Einzelschlüssel sperrt sonst den Zugang zum eigenen Konto aus, und die Notfallwege, die man dann braucht, sind genau die Schwachstelle, die man eigentlich schließen wollte.
Yubico YubiKey 5C NFC
- Phishing-resistent, weil an die Domain gebunden
- USB-C und NFC, funktioniert also auch am Telefon
- Beherrscht neben FIDO2 auch Einmalpasswörter und Smartcard-Funktionen
- Für einen reinen Anmeldeschlüssel im Doppelpack vergleichsweise teuer
Weil die Doppelpack-Regel sonst schnell teuer wird, lohnt der Blick auf die schlankere Serie desselben Herstellers. Der Yubico Security Key C NFC und die USB-A-Variante für ältere Bürorechner kosten etwa die Hälfte und leisten bei FIDO2 dasselbe. Noch günstiger wird es mit den Thetis-Schlüsseln, die es auch als Variante mit USB-A und USB-C in einem Gehäuse gibt, praktisch für gemischte Hardwarebestände.
Wer europäische Hersteller bevorzugt, findet mit Nitrokey und Token2 zwei ernstzunehmende Alternativen. Beide sind allerdings nicht über Amazon erhältlich, sondern nur direkt über die Herstellershops, weshalb wir sie hier ohne Link nennen.
Punkt 3: Segmentierung ist die Bremse für autonome Ausbreitung
Die dritte Phase des geschilderten Angriffs war die selbstständige Suche nach weiteren Lücken. Was ein Angreifer dabei findet, hängt davon ab, was von seinem Einstiegspunkt aus überhaupt erreichbar ist. In einem flachen Netz, in dem jedes Gerät mit jedem sprechen kann, ist das alles.
Netzsegmentierung ist deshalb keine Maßnahme für Konzerne. Sie ist die eine Sache, die den Unterschied macht zwischen einem kompromittierten Arbeitsplatz und einer kompromittierten Firma. Der Einstieg kostet weniger als ein Arbeitsplatzrechner.
TP-Link TL-SG108E, 8 Ports mit VLAN
- Beherrscht 802.1Q-VLANs, damit ist echte Trennung möglich
- Kostet weniger als eine Stunde Beratung
- Oberfläche ist rudimentär, für größere Umgebungen zu unübersichtlich
Für mehr Ports mit derselben Fähigkeit und zusätzlich PoE für Telefone und Zugangspunkte ist der TP-Link TL-SG1218MPE die naheliegende Stufe darüber.
VLANs allein trennen allerdings nur, sie filtern nicht. Wer Regeln zwischen den Bereichen durchsetzen und dabei protokollieren will, braucht eine richtige Firewall dahinter. Eine kleine Appliance mit OPNsense oder pfSense reicht dafür in dieser Größenordnung völlig aus, wie wir im Beitrag zu pfSense auf Mini-PCs beschrieben haben. Wann eine Fritzbox dafür nicht mehr genügt, steht ausführlich im Beitrag zur neuen Fritzbox-Generation.
Protectli Vault FW4C
- Vier Netzwerkports, lüfterlos, für Dauerbetrieb ausgelegt
- Freie Softwarewahl, keine Abhängigkeit von Abomodellen
- Will gepflegt werden. Ohne jemanden, der Updates einspielt, ist sie ein Risiko statt eines Schutzes
Punkt 4: Sehen, dass etwas passiert
Der Zeitvorteil eines automatisierten Angreifers ist nur dann entscheidend, wenn niemand hinschaut. Eine zentrale Protokollierung mit Alarmierung bei auffälligen Anmeldungen ist in kleinen Umgebungen mit überschaubarem Aufwand machbar, und sie ist der Unterschied zwischen „wir haben es nach drei Stunden gemerkt" und „wir haben es nach drei Wochen aus einer Kundenmail erfahren". Wie man dafür ohne Lizenzkosten anfängt, haben wir im Beitrag zu kostenlosen Syslog-Servern beschrieben.
Punkt 5: Die Kopie, die offline liegt
Im geschilderten Fall wurden personenbezogene Daten verändert. Genau dagegen hilft keine Firewall, sondern nur eine Sicherung, die ein Angreifer nicht erreichen kann, weil sie nicht angeschlossen ist. Zwei Datenträger im Wechsel, einer davon außer Haus, sind das Minimum. Die Systematik dahinter steht in unserem Beitrag zur 3-2-1-Backup-Strategie.
Seagate Expansion Desktop, 4 TB
Für die Offline-Kopie, die im Schrank oder im Tresor liegt. Zwei Stück im wöchentlichen Wechsel sind in kleinen Umgebungen die pragmatischste Lösung.
Bei Amazon ansehenWer die Medien regelmäßig transportiert, fährt mit einer busbetriebenen 2,5-Zoll-Platte ohne Netzteil bequemer.
Sicherungen, die jemand prüft
Eine Offline-Platte hilft nur, wenn sie aktuell ist und sich zurückspielen lässt. Unser Managed Proxmox Backup Server übernimmt geplante Sicherung, Überwachung und Rücksicherungstests, damit im Ernstfall nicht die Sicherung das zweite Problem ist.
Managed Backup ansehenDie Meldepflicht, kurz und korrekt
Wird bei dir personenbezogene Daten betreffend etwas kompromittiert, läuft eine Uhr. Artikel 33 DSGVO verlangt die Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem dir die Verletzung bekannt wurde. Die Meldung entfällt nur dann, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Wer später meldet, muss die Verzögerung begründen. Arbeitest du als Auftragsverarbeiter, meldest du unverzüglich an den Verantwortlichen.
Der praktische Rat dazu lautet: Bereite das vor, solange nichts brennt. Wer im Ernstfall erst recherchiert, welche Behörde zuständig ist und wer unterschreiben darf, verliert einen erheblichen Teil der 72 Stunden mit Organisation statt mit Aufklärung.
Und NIS2?
Kurz und ohne Panik: Das deutsche NIS-2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft, ohne Übergangsfrist, mit einer Registrierungspflicht beim BSI binnen drei Monaten ab Eintritt der Pflicht. Die Schwellenwerte im Gesetz beginnen typischerweise bei 50 Beschäftigten beziehungsweise mehr als 10 Millionen Euro Umsatz und Bilanzsumme, und sie greifen nur in den betroffenen Sektoren.
Für eine Firma mit 5 bis 50 Arbeitsplätzen heißt das im Regelfall: nicht direkt betroffen. Unabhängig von der Größe erfasst sind allerdings bestimmte Gruppen, darunter Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter sowie DNS- und Telekommunikationsanbieter. Und der praktisch häufigste Fall ist der indirekte: Wer einen regulierten Kunden beliefert, bekommt dessen Lieferkettenanforderungen weitergereicht, ganz ohne eigene gesetzliche Pflicht. Das ist kein Rechtsrat, sondern der Hinweis, die Frage einmal bewusst zu klären statt sie zu ignorieren.
Was du jetzt nicht brauchst
Nach einer solchen Meldung ist die Versuchung groß, Produkte zu kaufen. Drei Dinge, die in dieser Größenordnung selten helfen.
Eine KI-gestützte Abwehrlösung, weil der Angriff KI-gestützt war. Das ist ein Reflex, kein Argument. Der Vorfall nutzte keine Lücke, die ein klassisches Schutzkonzept nicht abdeckt. Was fehlte, waren Grundlagen.
Ein SIEM, das niemand betreut. Eine Protokollsammlung, in die keiner schaut, erzeugt Kosten und ein falsches Sicherheitsgefühl. Fang mit Alarmierung bei wenigen, klar definierten Ereignissen an.
Eine Firewall, die niemand pflegt. Eine Appliance ohne Updates ist nach zwei Jahren selbst das Einfallstor. Wenn niemand im Haus die Pflege übernimmt, gehört sie in fremde Hände, oder es bleibt bei der einfacheren Lösung. Wie man eine gewachsene Regelbasis wieder in den Griff bekommt, steht im Beitrag zum Bereinigen von Firewall-Regeln.
Wer das Thema systematisch angehen will, statt einzelne Produkte zu kaufen, findet in unserer IT-Security-Checkliste den größeren Rahmen. Zum Einlesen eignet sich außerdem ein Fachbuch zu Technologien und Best Practices der IT-Sicherheit.
Häufige Fragen
War das wirklich der erste Angriff durch einen KI-Agenten?
Nein, und so hat es die Behörde auch nicht formuliert. Es war die erste bei der AEPD eingegangene Meldung dieser Art. Dokumentierte Fälle gab es vorher. Die Behörde weist selbst darauf hin, dass eine einzelne Meldung keine statistische Aussage erlaubt.
Wurde ein KI-Anbieter gehackt?
Nein. Die AEPD stellt ausdrücklich klar, dass weder das Modell noch die Infrastruktur des Anbieters kompromittiert wurde. Ein Dritter hat den Agenten als Werkzeug eingesetzt.
Was war technisch neu?
Die Einzelschritte waren Standard. Neu ist, dass der Agent sie selbstständig verkettet hat. Der Wandel liegt bei Geschwindigkeit, Skalierbarkeit und Anpassungsfähigkeit.
Muss ich eine Datenschutzverletzung melden?
Nach Artikel 33 DSGVO unverzüglich und möglichst binnen 72 Stunden ab Kenntnis. Die Meldung entfällt nur, wenn voraussichtlich kein Risiko für Rechte und Freiheiten besteht. Bei Verzug ist eine Begründung beizufügen.
Fällt mein Kleinbetrieb unter NIS2?
Im Regelfall nicht, da die Schwellen typischerweise bei 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme beginnen und nur bestimmte Sektoren erfassen. Unabhängig von der Größe erfasst sind unter anderem kritische Anlagen sowie DNS- und Telekommunikationsanbieter. Indirekt trifft es viele über die Lieferkette.
Was ist die wirksamste einzelne Maßnahme?
Hardwareschlüssel für die Anmeldung, kombiniert mit dem Aufräumen herumliegender Zugangsdaten. Der geschilderte Angriff begann mit gefundenen Zugangsdaten und einem Login. Genau diese Kette bricht ein FIDO2-Schlüssel.
Fazit
Die AEPD-Meldung ist kein Grund zur Aufregung und kein Grund zum Abwinken. Sie ist ein gut dokumentierter Beleg dafür, dass die Hürde für einen gründlich durchgeführten Angriff gerade deutlich gesunken ist. Nicht die Technik wurde besser, sondern die Ausdauer wurde billig.
Die Antwort darauf ist unspektakulär und seit Jahren dieselbe: keine Zugangsdaten herumliegen lassen, Anmeldungen phishing-resistent machen, das Netz aufteilen, Protokolle anschauen, eine Sicherung offline halten. Der Unterschied zu früher ist nur, dass man diese Punkte jetzt nicht mehr auf „wenn mal Zeit ist" schieben sollte. Genau darauf zielt ein Angreifer, der keine Zeit mehr braucht.
Preise und Verfügbarkeit auf Amazon prüfen, Stand der Angaben ist der 18. September 2026. Als Amazon-Partner verdienen wir an qualifizierten Verkäufen, für dich entstehen dadurch keine Mehrkosten.
