Für den Einbruch in eine Firmenwebsite brauchte man früher jemanden mit Fachkenntnissen und einer freien Woche. Laut einem neuen Bedrohungsbericht reichen heute etwa fünfzig Dollar für API-Tokens und ein geduldiger Agent, dem es nichts ausmacht, in neun von zehn Fällen zu scheitern.
Snorre Fagerland, ein leitender Forscher für Cyberbedrohungen bei NorForge, berichtet, dass KI-Agenten einem Akteur dabei halfen, mehr als 100 Firmenwebsites zu kompromittieren. Das Werkzeug der Wahl war Cairn, eine offene Plattform, die Aufgaben an KI-Agenten verteilt und ihnen ermöglicht, Erkenntnisse auf einem gemeinsamen Board auszutauschen. Die geschätzten durchschnittlichen Kosten eines erfolgreichen Einbruchs lagen bei rund 50 Dollar. Ob Sie diese Zahl alarmierend oder erstaunlich günstig finden, hängt vermutlich davon ab, wie Ihr eigenes Sicherheitsbudget aussieht.
So lief die Kampagne ab
Laut NorForge begannen die Aktivitäten am 25. September 2026. Die dahinterstehende Gruppe nutzte 14 Cairn-Kontrollpanels und startete mehr als 1.100 Angriffsprojekte. Insgesamt versuchten die Agenten, über 1.200 Websites anzugreifen.
Die Ziele waren Onlineshops in den USA, Kanada, Japan und Australien. Das Vorgehen lässt sich einfach beschreiben:
- Einen Shop auswählen. Die Agenten wählten E-Commerce-Websites in den vier genannten Ländern aus.
- Einen Weg zur Codeausführung finden. Sie suchten nach einer Möglichkeit zur Remote-Code-Ausführung auf dem Server.
- Eine Web-Shell platzieren. Wenn das gelang, installierten sie ein Werkzeug zum Hochladen von Dateien, das dem Angreifer auch einen späteren Wiedereinstieg ermöglichen kann.
Fagerland geht davon aus, dass die Angreifer tiefer in die Systeme und die Zahlungsinfrastruktur der Shops eindringen wollten, um sie möglicherweise später zu nutzen. Das ist seine Einschätzung der Absicht, kein dokumentiertes Ergebnis.
Der Einbruch für 50 Dollar und das Kleingedruckte
In den von NorForge untersuchten Aufgabenprotokollen wurde eine Komponente namens 'claudecode_deepseek-v4.1-flash' erwähnt. Fagerland vermutet, dass damit Claude Code von Anthropic in Kombination mit dem preiswerten Modell V4.1 Flash von DeepSeek gemeint ist. Das ist eine Schlussfolgerung aus der Bezeichnung, keine Bestätigung durch eines der beiden Unternehmen.
Die gemeldeten Zahlen:
| Kennzahl | Wert |
|---|---|
| Beginn der Kampagne | 25. September 2026 |
| Genutzte Cairn-Kontrollpanels | 14 |
| Gestartete Angriffsprojekte | mehr als 1.100 |
| Angegriffene Websites | mehr als 1.200 |
| Berichten zufolge kompromittierte Websites | mehr als 100 |
| Durchschnittliche Dauer eines erfolgreichen Angriffs | knapp 23 Stunden |
| Geschätzte Ausgaben für Tokens | etwa 5.000 Dollar |
| Geschätzte Kosten pro erfolgreichem Einbruch | etwa 50 Dollar |
| Durchschnittliche Erfolgsquote in den untersuchten Gruppen | etwa 10 % |
Die Zahl von 50 Dollar braucht eine Einschränkung, und der Forscher liefert sie selbst: Es handelt sich um eine grobe Schätzung. NorForges Bericht beziffert die durchschnittlichen Kosten eines einzelnen Auftrags auf etwa 5 Dollar, einschließlich fehlgeschlagener und abgebrochener Versuche. Verteilt man Ausgaben von rund 5.000 Dollar auf etwas mehr als 100 Erfolge, landet man bei ungefähr 50 Dollar. Die Rechnung geht auf, bleibt aber eine grobe Überschlagsrechnung. Fagerland weist zudem darauf hin, dass sich die Aufgaben von Gruppe zu Gruppe unterschieden.
Die weniger offensichtliche Erkenntnis steckt in der Erfolgsquote von 10 %. Ein menschlicher Angreifer, der neunmal von zehn scheitert, verliert den Mut. Ein nach Tokens abgerechneter Agent versucht es einfach noch einmal, und die Fehlschläge sind im Durchschnittspreis bereits einkalkuliert. Günstige Modelle machen diese Rechnung möglich.
Was die genannten Unternehmen sagten
Eine Nachrichtenagentur, die die Aktivitäten des Angreifers untersuchte, identifizierte mögliche Opfer, darunter den Landmaschinenhersteller Deere, den Haushaltsgerätehersteller SharkNinja und den Motorenhersteller Cummins. Eine Behauptung im Stil von The Next Web, wonach jeder Einbruch verifiziert sei, ist nicht haltbar. Die vollständige Liste von mehr als 100 Einbrüchen ließ sich nicht unabhängig bestätigen.
Die Antworten der Unternehmen fielen unterschiedlich aus:
- Deere erklärte, Maßnahmen zur Beseitigung der Bedrohung ergriffen und keine Hinweise auf einen Zugriff auf sensible Daten gefunden zu haben.
- SharkNinja erklärte, eine einzelne Website für technischen Support und Lokalisierung sei angegriffen worden; die Bedrohung sei eingedämmt worden.
- Cummins erklärte, Berichte über einen möglichen Einbruch in die Website eines Zulieferers zu untersuchen.
Entscheidend ist, was diese Aussagen besagen und was nicht. Keine besagt, dass Daten gestohlen wurden, keine, dass in jeder Hinsicht alles sicher war. Auch ließ sich im Rahmen der Berichterstattung nicht feststellen, ob Daten abgeflossen waren. Die ehrliche Zusammenfassung lautet: Die Websites waren betroffen, und ob dabei Schaden entstand, ist unbekannt.
Der Angreifer ließ die Tür offen
Das amüsanteste Detail ist zugleich ein nützliches. Mehrere der Cairn-Kontrollpanels hatte man aus dem Internet erreichbar gelassen, und sie enthielten Zugangsdaten, API-Schlüssel und andere Secrets. Der Scanner Trufflehog bestätigte, dass 11 % der von ihm gefundenen Secrets gültig waren.
Eine Kampagne, die darauf ausgelegt war, ungeschützte Systeme auf fremden Servern zu finden, wurde also selbst von ungeschützten Systemen aus betrieben. Das hat eine gewisse Symmetrie. Die praktische Konsequenz ist weniger komisch: Die in diesen Panels offengelegten Schlüssel könnten Forschern und allen anderen, die sich dort umsahen, Hinweise auf weitere Infrastruktur liefern.
Der Entwickler von Cairn erklärte, die Plattform sei nicht zum Hacken entwickelt worden und eine solche Nutzung entspreche nicht seinen Absichten. Diese Position dürfte jedem vertraut sein, der ein offenes Werkzeug veröffentlicht. Sie ändert nichts daran, wie sich das Werkzeug hier verhielt.
Was das beweist und was nicht
Was auf Grundlage von NorForges Daten als gesichert gilt: Eine koordinierte Kampagne lief in großem Maßstab, nutzte eine Plattform zur Agenten-Orchestrierung und arbeitete mit einem günstigen Modell-Stack bei niedrigen Kosten pro Auftrag.
Was weiterhin unsicher ist:
- Die Zahl der Einbrüche. Die Angabe von mehr als 100 stammt vom Forscher, und nicht jeder Fall wurde unabhängig verifiziert.
- Die Modellkombination. Sie beruht auf einem Komponentennamen und Fagerlands Interpretation davon.
- Die Absicht. Ein langfristiger Zugriff auf Shops und Zahlungssysteme ist eine Hypothese darüber, was der Angreifer wollte.
- Der Schaden. Niemand hat gezeigt, was, wenn überhaupt, entwendet wurde.
Eine nüchterne Aufgabenliste
Die Quelle gibt keine Gegenmaßnahmen vor. Das Folgende ist daher meine eigene Einschätzung der Funktionsweise, keine Empfehlung von NorForge. Die Kampagne beruhte auf zwei Dingen: Servern mit ausnutzbaren Möglichkeiten zur Codeausführung und Web-Shells, die nach ihrer Installation unauffällig bleiben. Betreiber von Onlineshops haben guten Grund, die entsprechenden Schwachstellen zügig zu patchen und nach solchen Web-Shells zu suchen – besonders auf weniger zentralen Webangeboten wie Support- und Lokalisierungsseiten. Genau dort meldete SharkNinja Probleme. Und wer selbst Agentenwerkzeuge betreibt, sollte aus den offen erreichbaren Panels lernen: Die Steuerungsebene gehört nicht ins öffentliche Internet.
Das Tauschgeschäft ist unspektakulär, aber real. Die Verteidiger zahlen mit Aufmerksamkeit und regelmäßiger Wartung, während der Angreifer in Tokens zahlt. Bei rund 50 Dollar pro Erfolg bekommt der Angreifer derzeit den besseren Wechselkurs.
Die Pointe
Jahrelang warnten Sicherheitsanbieter davor, dass KI Angreifer schneller machen würde. Die unangenehmere Erkenntnis: KI senkt ihre Kosten, macht sie aber offenbar nicht sorgfältiger im Umgang mit ihren eigenen Passwörtern.