KI-gestützte Cyberangriffe: Low-Skill-Hacking wird skalierbar

KI hat Hacking nicht magisch gemacht – sie hat es industrialisiert. KI-gestützte Cyberangriffe (engl. AI-augmented attacks) machen aus dem, was früher „zu aufwendig” war – internetweites Scannen, massenhaftes Testen von Zugangsdaten, Auswertung von Konfigurationen – ein skalierbares Risiko. Einzelne Akteure mit begrenzter eigener Expertise können Kampagnen fahren, die früher Infrastruktur und Team erfordert hätten. Für Unternehmen verschiebt sich die Gefahr: Nicht nur Zero-Days zählen, sondern die klassischen Schwachstellen – exponierte Management-Oberflächen, Passwort-only-Zugänge, Passwortwiederverwendung, Patch-Lücken – werden in der Summe zum Massenrisiko.

In diesem Artikel erfahren Sie, was AI-augmentiertes Low-Skill-Hacking ausmacht, warum „alte” Angriffe dadurch wieder gefährlich werden und welche Maßnahmen Sie priorisieren sollten. Eine konkrete Fallstudie (Threat Intelligence 2026) dient als Beleg – der Fokus liegt auf dem zeitlosen Muster, nicht auf einem einzelnen Hersteller.

• Nach rund 8 Minuten wissen Sie, was KI-gestützte Angriffsautomatisierung ist und warum Grenzkosten pro Angriff sinken.
• Sie verstehen die typische Angriffskette (Scan → Credential Abuse → Recon → Backup/Recovery) und den Multiplikator „Identität”.
• Sie haben eine priorisierte Liste von Schutzmaßnahmen und können Ihren eigenen Stand prüfen (Exposure, MFA, Patchen).

Was ist AI-augmented Low-Skill-Hacking?

Warum KI „alte” Angriffe wieder gefährlich macht

Skalenökonomie: Grenzkosten pro Versuch sinken

Internetweites Scanning ist seit Jahren technisch möglich, aber die Operationalisierung – Tooling, Datenauswertung, Fehlerbehandlung, Priorisierung – war ein Skill- und Zeitfresser. Bereits vor über einem Jahrzehnt zeigten Studien, dass ein einzelnes Tool das gesamte IPv4-Adressspektrum für einen Port in unter einer Stunde scannen kann. Aktuelle Telemetrie aus großen Netz-Teleskopen und Port-Statistiken zeigt eine massive Zunahme von Scanning über das letzte Jahrzehnt – in einigen Beobachtungen Größenordnungen von deutlich höherem Volumen als noch vor Jahren.

KI wirkt als „Kopplungsstück”, das aus Rohdaten schneller handlungsfähige Listen und Workflows macht: Code schreiben, Logs parsen, Treffer priorisieren, nächste Schritte planen. Das Ergebnis ist kein „Genie-Exploit”, sondern KI als Beschleuniger für Standardmethoden – und damit sinken die Grenzkosten pro Angriffsversuch in Richtung null.

Geschwindigkeit: Tooling, Parsing, Playbooks

In kontrollierten Studien erledigten Entwickler mit einem Code-Assistenten Programmieraufgaben deutlich schneller als ohne (Größenordnung 50 %+ Zeitersparnis). Übertragen auf Angreifer: Skripte, Glue-Code, Parser und Scanner-Kombinationen entstehen schneller. Genau diese „kleinen” Tools entscheiden in Massenkampagnen über Skalierung. Gleichzeitig strukturiert KI Konfigurationsdaten und Logs, generiert Recon-Schritte und sogar Angriffspläne mit Priorisierung – „Low-Skill”-Akteure können dadurch konsistent „mittelgut” operieren, ohne tiefes Exploit-Engineering.

Identität als Multiplikator: Passwortwiederverwendung und MFA-Lücken

Viele erfolgreiche Kampagnen kommen ohne ausgefeilte Exploits aus, wenn Identität schwach abgesichert bleibt: exponierte Web-Management-Ports plus Credential Abuse (gestohlene oder wiederverwendete Zugangsdaten) reichen für Initial Access. Externe Daten belegen, dass Passwortmissbrauch systemisch skaliert:

• Cloudflare (Sep–Nov 2024): 41 % der erfolgreichen Logins betreffen kompromittierte Passwörter – starker Indikator für Wiederverwendung und Credential-Stuffing-Effektivität.
• Verizon (DBIR): Kompromittierte Zugangsdaten in 22 % der Breaches als Initial Access; in einem Infostealer-Datensatz nur 49 % der Passwörter je Person über Dienste hinweg eindeutig.
• F5: Automation und „malicious login attempts” bleiben in großem Maßstab präsent – z. B. zweistellige Prozentanteile im Login-Traffic, Spitzenwerte bis über 33 % (Web, Technologie-Branche).

MFA ist die naheliegende „Kante”, an der sich Credential Stuffing bricht – doch die Adoption bleibt unvollständig (z. B. Industrie-Adoptionsraten typischerweise 60–80 %, in Deutschland nur rund die Hälfte der Unternehmen mit fortgeschrittener Benutzeridentifikation/2FA; über 99 % kompromittierter Accounts ohne MFA).

Patch-Latenz & Exposure: bekannte Lücken in Masse

KI macht nicht nur Credential-Workflows schneller, sondern verstärkt den Effekt bekannter CVEs, weil Angreifer Patch-Lücken schneller ausnutzen können als viele Organisationen schließen. Beispiel: Eine kritische SSL-VPN-Schwachstelle in weit verbreiteten Perimetergeräten wurde vom Hersteller gepatcht – dennoch meldeten Beobachter noch Wochen später über 130.000 potentiell betroffene exponierte Geräte.

Der Mechanismus ist derselbe: Sobald Abwehrhygiene nicht konsistent ist (Patch, Admin-Exposure, MFA), wird die Schwäche zu einem skalierbaren Problem – und KI reduziert die Grenzkosten pro zusätzlichem Ziel. Die Angriffsfläche ist riesig: Globale Port-Statistiken zeigen zweistellige Millionenwerte allein für typische HTTPS-/Management-Ports (443, 8443, 10443, 4443).

Typische Angriffskette (vendor-neutral)

Das beobachtbare Muster ist herstellerübergreifend:

Fallstudie: Kompromittierte Perimetergeräte in Serie (Beispiel 2026)

Die folgende Box fasst eine konkrete Kampagne zusammen, die von Threat-Intelligence (AWS) beobachtet wurde. Sie dient als Beleg für das beschriebene Muster – nicht als Hauptstory. Wer ausschließlich an diesem einen Fall interessiert ist, findet die Kernzahlen und TTPs hier; für die langfristige Einordnung zählt das allgemeine Risiko (siehe Abschnitte oben und unten).

Pre-AI vs. AI-augmentiert: Was sich verändert

Die folgende Tabelle verdichtet, was in beobachteten Kampagnen und in Telemetrie/Reports zur „Automation Economy” sichtbar wird (u. a. F5, Shodan, Verizon, Cloudflare, AWS Threat Intelligence).

Erfolgsquote: Warum schon geringe Quoten reichen

Threat-Intelligence-Quellen veröffentlichen oft keine rohe Scananzahl oder Erfolgsquote. Für die Einordnung reicht das Prinzip: Wenn der Target-Space groß ist (z. B. Hunderttausende exponierter Management- oder VPN-Interfaces weltweit) und die Grenzkosten pro Versuch durch Automatisierung/KI gegen null gehen, reicht eine niedrige Erfolgsquote (Größenordnung 0,1–1 %) für Hunderte Kompromittierungen. Die Fallstudie oben (über 600 Treffer in 55 Ländern durch einen Akteur) belegt das Muster; die genaue Quote hängt vom konkreten Zielraum ab.

Was Unternehmen jetzt tun müssen: priorisierte Schutzmaßnahmen

Die Abwehr bleibt oft „klassisch”: Managementflächen nicht ins Internet, MFA, Passwortdisziplin, Patchen. Das ist konsistent mit der Unternehmensrealität in Deutschland: Laut BfV/Bitkom lagen Schäden durch Diebstahl/Spionage/Sabotage zuletzt bei 289,2 Mrd. €, davon 202,4 Mrd. € durch Cyberattacken; 59 % der befragten Unternehmen sehen sich existenziell bedroht.

Viele Hersteller von Perimetergeräten und Firewalls empfehlen in ihren Hardening-Guides explizit, administrative Zugriffe von externen Interfaces zu deaktivieren (z. B. HTTPS/SSH nur intern oder über gesicherte Zugangspfade). Ein Beispiel für dokumentierte Best Practices ist die Fortinet-FortiGate-Dokumentation.

Annahmen und Limitationen

• Zu konkreten Kampagnen liegen oft keine veröffentlichten Rohdaten zu Scanvolumen, Attempt-Zahlen oder Erfolgsquoten vor; Threat-Intelligence nennt typischerweise Opfer- und Länderanzahl, TTPs und qualitative Beobachtungen.
• Schätzungen (Erfolgsrate) basieren, wo angegeben, auf externen Proxies (z. B. Größenordnungen exponierter Interfaces) und sind bewusst als Bandbreiten formuliert.
• Port-Exposure-Zahlen (z. B. Shodan) sind global aggregierte Banner Counts, nicht produktspezifische Install-Basen.
• Geografische Darstellungen sind mangels veröffentlichter Fallzahlen pro Region oft qualitativ.
• Der KI-Beitrag ist kontextabhängig: Beobachtungen belegen den Force-Multiplier-Effekt für Routineangriffe, zeigen aber zugleich Grenzen bei komplexem Exploit-Engineering.

Häufige Fragen