Claude in der Angriffskette: Anthropics Bedrohungsbericht vom September 2026

Anthropic veröffentlichte seinen vierten Threat-Intelligence-Bericht, Erkennen und Bekämpfen des Missbrauchs von KI: September 2026, am 10. September 2026. Das 154-seitige Dokument behandelt Aktivitäten, die sein Threat-Intelligence-Team zwischen Dezember 2025 und August 2026 gestört hat, und seine konkreteste Schadensangabe passt in einen einzigen Absatz: Ein Spionageakteur, den Anthropic als GTG-20006 führt und dessen Zuschreibung der Bericht als „im Einklang mit öffentlichen Berichten, die den Akteur mit Midnight Blizzard in Verbindung bringen“ bezeichnet, stahl VPN-Zugangsdaten von einer nordafrikanischen staatlichen Technologiebehörde, übernahm deren zentralen Kontoserver und entwendete mehr als 300.000 nationale Identitätsdatensätze sowie die Handelsregisterdaten von mehr als einer halben Million Unternehmen. Der Archivdatensatz zu dieser Offenlegung, mit seiner Vertrauensstufe und den um ihn herum abgelegten Einträgen, befindet sich im Orca AI Incident Archive.

Der Bericht stammt von einem Anbieter, der den Missbrauch seines eigenen Produkts offenlegt, was sowohl seinen Wert als auch seine Grenzen bestimmt. Es ist ein Bericht aus erster Hand – Anthropics Telemetrie, Anthropics Kontosperrungen, Anthropics Einschätzungen darüber, wer am anderen Ende war – und kein externer Prüfer hat seine Zahlen überprüft. Der Rest dieses Artikels trennt vier Dinge: was der Bericht nach eigenen Angaben beobachtet hat, was er lediglich zuschreibt, was umstritten ist und was die Zusammenfassung des Archivs behauptet, dass das Dokument nicht enthält.

Was veröffentlicht wurde und was es abdeckt

Erkennen und Bekämpfen von KI-Missbrauch: September 2026Er ist auf dem Cover auf den 10. September 2026 datiert und umfasst 154 Seiten, mit Listen von Kompromittierungsindikatoren für viele der Fälle. Er folgt auf die früheren Berichte von Anthropic vom März, August und November 2025 und deckt sieben Schadensbereiche ab: Cyberoperationen, Einflussoperationen, Überwachung, konventionelle Waffen, biologischer Missbrauch, Betrug und Täuschung sowie illegale Destillation.

Beteiligt waren die Modelle Claude Haiku, Claude Sonnet und Claude Opus. Anthropic gibt an, dass an keinem der Missbrauchsfälle Claude Fable oder Modelle der Claude-Mythos-Klasse beteiligt waren, mit Ausnahme eines Falls unerlaubter Destillation. Die Akteure umfassen „mutmaßlich staatlich unterstützte Gruppen, finanziell motivierte Kriminelle, kommerzielle Spyware-Anbieter, staatliche Propagandainstitutionen und politisch motivierte Einzelpersonen“.

Die Fallstudien tragen interne Bezeichnungen – GTG-Kennungen, die der Bericht definiert als „Anthropics interne Bezeichnungen für Akteure, bei denen missbräuchliche KI-Nutzung beobachtet wurde“. Sie sind Namenskonventionen, keine rechtlichen Feststellungen, und sie sind das einzige Merkmal, an dem sich die meisten dieser Akteure festmachen lassen.

Anthropics analytische Behauptung ist enger gefasst als die Zahl der Fälle: dass KI die „Arbeits- und Werkzeugkluft“ zwischen staatlichen Operationen und einzelnen Akteuren geschlossen habe und dass „Raffinesse kein verlässliches Signal mehr dafür ist, wer hinter einer Operation steckt“. Der Bericht misst, was er Uplift nennt – Geschwindigkeit, Umfang und Tiefe – und knüpft an seine eigenen Fallstudien zwei Vorbehalte: Menschen „haben die Entscheidungen behalten, die ihnen am wichtigsten sind“, einschließlich der Zielauswahl und der Frage, wie gestohlene Daten monetarisiert werden, und „Autonomie und Schaden sind getrennte Achsen“.

Die 300.000 Identitätsdatensätze: GTG-20006

GTG-20006 ist der Fall, der die Nummer des Datensatzes trägt. Anthropic beschreibt einen russischsprachigen Operator mit dem Handle „JackPoterz“ und erklärt, seine Zuordnung sei „konsistent mit öffentlicher Berichterstattung, die den Akteur mit Midnight Blizzard in Verbindung bringt“ — ein Vergleich mit der Zuordnung anderer statt einer unabhängigen Bestätigung, und der Bericht sagt nicht, welche Berichterstattung gemeint ist.

Der Angriff, aus dem diese Zahl hervorging, richtete sich gegen eine nordafrikanische Regierungsbehörde für Technologie. Dem Bericht zufolge stahl der Akteur Zugangsdaten für ein VPN-Gerät, nutzte sie, um den zentralen Kontoserver der Organisation zu übernehmen, und exfiltrierte von dort „seine vollständige Zugangsdatenbank: mehr als 300.000 nationale Identitätsdatensätze und die Handelsregisterdaten von mehr als einer halben Million Unternehmen, die im Land tätig sind“. Die Datensätze gehörten einer staatlichen Stelle, und die darin erfassten Personen haben keine Verbindung zu dem KI-Anbieter in dieser Geschichte.

Die breiter angelegte Kampagne desselben Akteurs erfasste „mehr als 20 verschiedene Organisationen“ – Ministerien, Verteidigungs- und Nachrichtendiensteinrichtungen, Botschaften, Denkfabriken und Rüstungsunternehmen, konzentriert auf die Ukraine und Europa, aber mit Ausdehnung auf den Nahen Osten und auf maritime Behörden in Asien. Zu den Einzelheiten gehören:

• Hotel-WLAN: Der Akteur kompromittierte mindestens drei Gastgewerbeanbieter, die Gäste-WLAN betreiben, und änderte anschließend DNS-Einträge, sodass Gäste-Traffic, Gerätekennungen und IP-Adressen an vom Akteur kontrollierte Server gingen. Microsoft Threat Intelligence veröffentlichte im Juli 2026 einen Bericht über dieselbe Diebstahls- und Auslieferungsmethode unter dem Namen CaptiveCrunch, den der Anthropic-Bericht zitiert.

• WhatsApp: Opferkonten wurden über Headless-Browser und die Open-Source-Automatisierungsbibliothek WPPConnect als Begleitgeräte verknüpft, wobei Lesebestätigungen unterdrückt wurden, während russisch- und ukrainischsprachige Gespräche massenhaft exportiert wurden. Mindestens zwei ehemalige hochrangige ukrainische Beamte wurden auf diese Weise ins Visier genommen.

• Drohnen: Die Postfächer von mindestens zwei Herstellern von Drohnenkomponenten wurden massenweise exportiert, und ein vollständiges proprietäres Softwareentwicklungskit für ein Drohnen-Visionssystem wurde gestohlen und über mehrere Tage hinweg per Reverse Engineering analysiert.

• Evasion: Überwachungsagenten beobachteten, ob eingesetzte Implantate erkannt wurden, und wenn sie erkannt wurden, änderten die Agenten die Malware und bauten sie neu, bis sie nicht mehr erkannt wurde.

Anthropics Schlussfolgerung aus der Umgehungsschleife ist, dass sie den Vorteil des Verteidigers umkehrt. „KI hat die Kostenlast wieder auf die Verteidiger verlagert“, heißt es in dem Bericht, denn eine neue Erkennung verschafft keinen Zeitgewinn mehr, wenn ein leistungsfähiger Gegner schneller neu aufbauen kann, als die Signatur ausgeliefert wird.

Der zweite Fall mit Staatsbezug: GTG-10007

GTG-10007 ist der andere Fall in dem Bericht mit expliziter staatlicher Einordnung und der ungewöhnlichere. Anthropic beschreibt chinesischsprachige Akteure, die „wahrscheinlich in Changsha in der chinesischen Provinz Hunan leben“, darunter zwei Studierende im Grundstudium an einer lokalen Universität, die Computer- und Kommunikationstechnik studieren; einer hatte ein Praktikum bei der Sicherheitsfirma Sangfor absolviert und war bei QiAnXin für eine Stelle im Offensive-Security-Bereich im Bewerbungsgespräch.

Die Gruppe hatte es auf rund fünfzig Organisationen in den Bereichen Bildung, Einzelhandel, Energie, Technologie, Gesundheitswesen, Finanzwesen, Fertigung und Regierung abgesehen. Anthropic sagt, sie habe Hunderte Megabyte personenbezogener Schülerdaten aus dem Cloud-Speicher eines Bildungstechnologieunternehmens extrahiert, Produktionssysteme bei einem Einzelhändler erreicht und Bürgerdaten – Namen, Telefonnummern und Wohnadressen – von einer südostasiatischen Regierungsbehörde abgerufen.

Was es auszeichnet, ist die Arbeit an Schwachstellen: ein dauerhaftes Forschungsprogramm gegen eine Klasse von Sicherheitssoftware, die „speziell zur Erkennung von Eindringlingen eingesetzt wird“, das laut Anthropic mehrere bisher unbekannte Schwachstellen hervorbrachte, die vom Akteur im eigenen Labor validiert wurden, funktionierende Exploits für mehrere Familien von Netzwerk- und Sicherheitsappliances sowie „mehr als ein Dutzend möglicher Zero-Day-Funde in einem einzigen Monat“ aus einem kontinuierlich iterierenden Workflow. Eine separate Flotte von dreizehn Sammlungsagenten lief planmäßig gegen öffentliches militärisches und behördliches Material, ohne dass ein Mensch eingriff.

Anthropic nennt weder die Sicherheitsprodukte noch die Schwachstellen oder die Regierungsbehörde, und der Bericht verknüpft seine Ergebnisse mit keiner veröffentlichten CVE-Kennung.

Die kriminelle Hälfte: Datendiebstahl und API-Schlüssel als Nutzlast

Der Cyber-Abschnitt handelt nicht nur von Spionage. Von den mehreren finanziell motivierten Gruppierungen wird die größte Betreibern zugeschrieben, die Anthropic als mutmaßliche Verbündete des ShinyHunters-Kollektivs beschreibt und unter der Bezeichnung GTG-50014 führt. Der Bericht nennt ihren Umfang schlicht:

• Die Zugangsdaten-Pipeline eines Betreibers lud massenhaft 1,8 Millionen verschiedene Android-APKs herunter, dekompilierte sie und scannte sie auf fest einprogrammierte Secrets; verifizierte Funde wurden in eine Telegram-Gruppe weitergeleitet, die nach mehr als 100 Secret-Typen organisiert war.

• Ein Affiliate veröffentlichte in etwa 34 Stunden mehr als 2.100 Azure-AD-Token-Sätze, die mehr als 40 Unternehmensmandanten umfassten, nachdem er einen SaaS-Anbieter kompromittiert und etwa 200 seiner nachgelagerten Kundenorganisationen erreicht hatte.

• Die Kompromittierung eines Technologieanbieters ergab mehr als ein Terabyte an Daten, darunter Hunderttausende nationale Identifikationsnummern und Millionen von Zahlungskartendatensätzen, die auf einer öffentlichen Website bereitgestellt wurden, „um das Opfer unter Druck zu setzen, ein Lösegeld zu zahlen“.

• Bei einer Fluggesellschaft gelangten die Akteure an Systeme mit Dutzenden Millionen Passagierdatensätzen; bei einem Energieunternehmen behaupteten sie, den Ladestrom der heimischen Ladegeräte für Elektrofahrzeuge von Kunden aus der Ferne steuern zu können.

GTG-50029, ein einzelner französischsprachiger Hacktivist, erreichte mindestens 14 von 42 beobachteten europäischen Zielen aus Politik, Medien und Think Tanks, exfiltrierte geschätzt 12 bis 26 GB an Datenbank-Dumps und entwendete rund 140.000 Datensätze, darunter die politischen Ansichten von Nutzern – während er eine Doxxing-Plattform aufbaute, die mit Dutzenden Millionen Zeilen kompromittierter Daten gefüllt war.

Der rote Faden, der sich durch die Finanzfälle zieht, ist, dass der KI-Zugang selbst zur Beute wurde. Betreiber stahlen Anthropic-API-Schlüssel aus Kundenumgebungen und führten ihre eigenen Angriffs-Workloads auf Kosten anderer aus – was der Bericht als Anwendung von „Living off the Land“ auf KI bezeichnet. Anthropic macht die Grenze ausdrücklich deutlich: „In jedem Fall wurden die beteiligten API-Schlüssel aus den Umgebungen von Anthropic-Kunden gestohlen. Anthropics eigene Systeme wurden von diesem Akteur nicht kompromittiert.“ GTG-50020, eine russischsprachige Gruppe, die vom Eindringen in Hotelbuchungssysteme in die KI-Branche wechselte, griff in etwa vier Tagen rund dreißig KI-Unternehmen an; ihr erklärtes Ziel war der Zugang zu einem noch nicht veröffentlichten Claude-Modell, und laut Bericht „erlangte der Akteur nie Zugriff“.

Etabliert, zugeschrieben, umstritten, fehlend

Bestätigt. Der Bericht existiert, ist auf den 10. September 2026 datiert und umfasst 154 Seiten. Seine Schilderungen der Intrusionen, Indikatorlisten und Sperrmaßnahmen sind Anthropics eigener Bericht aus erster Hand, und unabhängige Medien — The Next Web am Tag der Veröffentlichung, Digital Watch Observatory und Forschungsnotizen der Cloud Security Alliance — beschreiben dasselbe Dokument, dieselben sieben Schadensbereiche und dieselben Details zu GTG-20006. Kein Medium hat eine eigene forensische Rekonstruktion der nordafrikanischen Intrusion veröffentlicht, sodass die Zahl von 300.000 auf der Telemetrie eines einzigen Unternehmens beruht.

Zugeschrieben. Die staatliche Verbindung ist Anthropics Einschätzung, in ihrem eigenen Text mit Vorbehalt versehen: „im Einklang mit öffentlichen Berichten, die den Akteur mit Midnight Blizzard in Verbindung bringen“. Der Standort Changsha, die Beschäftigungsgeschichte der Studierenden und die staatliche Einordnung der chinesischsprachigen Fälle sind ebenfalls Anthropics Charakterisierung, keine staatliche Zuschreibung. Die Berichterstattung von The Next Web zitiert Anthropics Leiter für Bedrohungsaufklärung, Jacob Klein, in Interviews mit Axios und The New York Times, enthält aber keinen externen Experten, der die Zahlen bewertet.

Umstritten. Der Abschnitt zur Destillation ist der einzige Ort, an dem eine beschuldigte Partei geantwortet hat. Anthropic sagt, es habe „zusätzliche Destillationsangriffe gegen Claude von sieben in China ansässigen Laboren“ festgestellt, und beschreibt unter anderem, wie Moonshot AI über zehn Tage hinweg fast 300.000 Kundenanfragen über 5.380 betrügerische Konten an Anthropic weiterleitete. Peking hat damit zusammenhängende US-Destillationsvorwürfe zurückgewiesen, berichtete The Next Web. Der Archivdatensatz kennzeichnet diesen Vorfall als unbestritten; diese Kennzeichnung erstreckt sich nicht auf jede Behauptung innerhalb des Dokuments.

Nicht vorhanden. Die einzeilige Zusammenfassung dieses Datensatzes im Archiv besagt, der Bericht dokumentiere, dass Claude „zum ersten Mal“ für die Opfer-Triage und die Generierung von Ransomware-Kopien eingesetzt wurde. Beides kommt in den zitierten Quellen nicht vor. Das Wort „ransomware“ kommt weder im 154-seitigen PDF noch auf der Webseite des Berichts vor, und „triage“ ebenso wenig. Bei der im Bericht beschriebenen Erpressung handelt es sich um Pay-or-leak mit gestohlenen Daten, nicht um Verschlüsselung; die einzige Verwendung des Wortes „ransom“ im Bericht betrifft den Technologieanbieter, dessen gestohlene Dateien öffentlich bereitgestellt wurden, um eine Zahlung zu erzwingen. Betrachten Sie diese beiden Behauptungen als nicht gestützt durch die Quellen, die dieser Datensatz zitiert. Die 300.000 Identitätsdatensätze hingegen werden im eigenen GTG-20006-Abschnitt des Berichts genannt.

Was Anthropic nach eigenen Angaben getan hat und was es nicht offengelegt hat

Für jeden Fall gibt der Bericht eine Variante derselben Reaktion: Konten gesperrt, zusätzliche Erkennung eingesetzt, Erkenntnisse mit „Behörden und Branchenpartnern, wo angemessen“ geteilt und Schutzmaßnahmen auf Basis des Gelernten gestärkt. Der Abschnitt zur Destillation ergänzt technische Maßnahmen gegen die Reasoning-Signature-Replay-Technik, mit der Reasoning-Traces aus Claude extrahiert werden.

Was nicht offengelegt wird, ist fast ebenso beständig: wie viele Konten gesperrt wurden, wann jede Operation im Verhältnis zu ihrem Beginn unterbrochen wurde, welche Behörden welche Erkenntnisse erhielten und wie die Akteure überhaupt entdeckt wurden. Diese Auslassungen sind für einen Anbieterbericht üblich und auch der Grund, warum das Dokument von außen nicht überprüft werden kann.

Die politische Frage wurde von anderer Seite aufgeworfen. Eine nach dem Bericht veröffentlichte Forschungsnotiz der Cloud Security Alliance argumentiert, dass er „keinen Bezug zum EU AI Act, zum AI Office oder zu Artikel 55“ enthalte, und fragt, ob vorsätzlicher Missbrauch durch Dritte überhaupt unter die Definition eines „schwerwiegenden Vorfalls“ nach Artikel 55 falle, die rund um Fehlfunktionen von Modellen und nicht um das Verhalten von Angreifern formuliert wurde. Die Notiz räumt ein, dass Meldungen nach Artikel 55 nicht öffentlich sind, sodass Stillschweigen kein Beweis dafür ist, dass keine Meldung erfolgt ist, und sie erklärt, dass die einzige bestätigte Meldung im Rahmen des Regimes zu diesem Zeitpunkt die von OpenAI gewesen sei, etwa am 7. September 2026.

So lesen Sie die Zahlen

Zwei Dinge erleichtern die Nutzung der Zahlen des Berichts. Das erste ist, Schaden von Autonomie getrennt zu halten: Anthropic berichtet, dass mehrere seiner schwerwiegendsten Kompromittierungen aus Vorgängen stammten, bei denen ein Mensch jeden Schritt steuerte; ein Fall mit geringer Autonomie ist also kein Fall mit geringem Schweregrad. Das zweite ist, die Zahlen als eine Zählung dessen zu lesen, was ein einzelner Anbieter sehen konnte. Die 300.000 Identitätsdatensätze, die 2.100 Token-Sets und die 140.000 Datensätze zu politischen Meinungen wurden alle von dem Unternehmen erstellt, das den Missbrauch seines eigenen Produkts beschreibt, und die Akteure, die nie entdeckt wurden, kommen in keinem davon vor.