Schick das an die Menschen in deinem Leben. Jeder, der das Internet nutzt – also im Grunde jeder –, muss wissen, was gerade passiert und wie man sich schützen kann.
Genau jetzt, während du das liest, versuchen wahrscheinlich Schwärme von KI-Agenten, in die Websites einzubrechen, die du nutzt. Nicht nur einer. Sondern viele.
Wir stecken mitten in der größten Cybersecurity-Krise seit Jahren. Manche Sicherheitsexperten nennen sie bereits den Schwarzen Oktober.
Ich schreibe das nicht, um dir Angst zu machen. Vieles davon liegt ohnehin nicht in deiner Hand. Aber es gibt einfache Dinge, mit denen du dich schützen kannst, und alles ist besser als nichts.
Jede Stunde diese Woche kam ein weiterer Angriff ans Licht. Bis du hier fertig gelesen hast, wird wahrscheinlich schon der nächste dazukommen.
Also: Das ist gerade los, und das solltest du tun.
Was gerade passiert
Wenn dir das im Moment zu viel ist, spring direkt zu was du heute tun solltest. Aber ich empfehle dir wirklich, alles zu lesen.
Gestern wurde eine schwere Sicherheitslücke in PHP bekannt – der Software, auf der rund 70 % aller Websites laufen.
Stell es dir so vor: Jemand hat herausgefunden, dass Millionen Gebäude im Land dasselbe kaputte Schloss haben, und jetzt weiß jeder, wie man es öffnet. Der Hersteller hat einen Ersatz geschickt, aber jeder Gebäudebesitzer muss ihn selbst einbauen – und viele haben das noch nicht getan.
Innerhalb von zwei Stunden nach Bekanntwerden der Nachricht probierten Angreifer dieses Schloss hunderttausende Male aus, laut dem CEO von Cloudflare. Inzwischen sind es Millionen. Amazon sagt, jemand habe es schon vier Tage vor der offiziellen Ankündigung versucht, und der Sicherheitschef des Unternehmens erklärt, die Lücke „wird mittlerweile breitflächig in freier Wildbahn ausgenutzt“. (Das ist Amazon, das Alarm schlägt – nicht Amazon, das gehackt wurde.) Bisher hat niemand einen erfolgreichen Einbruch darüber bestätigt, aber die Angreifer versuchen es überall. Vorsichtshalber hat die Organisation hinter Wikipedia einige ihrer Systeme abgeschaltet, und Regierungen in den Niederlanden, Finnland, Deutschland, Frankreich und anderswo nahmen Websites offline.
Das ist nur eine Geschichte, und sie ist erst die Spitze des Eisbergs. Ich teile hier ein paar der größten. Würde ich alles auflisten, würdest du stundenlang lesen.
- Eine Hackergruppe mit Verbindungen zum chinesischen Staat nutzte ein KI-Hacking-Tool, um über einen Backup-Dienst, auf den IT-Firmen angewiesen sind, in mehr als 2.000 Organisationen einzubrechen, berichtet Microsoft.
- Eine Cloud-Plattform, die von etwa zwei Millionen Entwicklern genutzt wird, teilte mit, dass möglicherweise auf die geheimen Schlüssel von Kunden zugegriffen wurde. Ein Freund von mir hatte heute Morgen jemanden, der sein Konto bei einem dieser Anbieter leer räumte.
- Die größte Bank Indiens gab bekannt, dass persönliche Daten von fast 3.900 Kunden im Darknet aufgetaucht sind.
- Eine kriminelle Bande nutzte KI-Tools, um über 400 Banken und Finanzunternehmen in ganz Lateinamerika anzugreifen.
- Hacker brachen in 16 Finanzunternehmen in Südkorea ein, darunter große Banken.
- Die japanische Regierung forderte Unternehmen auf, ihre Abwehr zu verstärken, nachdem bei Angriffen möglicherweise die Daten von zig Millionen Menschen offengelegt wurden.
- Die Websites und Apps von Stop & Shop, Hannaford und Food Lion waren über eine Woche lang nicht erreichbar.
- FBI, NSA und drei weitere Behörden warnten, dass Hacker mit KI-generierten Angriffsskripten die Systeme ausspähen, die Wasser-, Energie- und Produktionsanlagen steuern.
Die Regierungen haben das kommen sehen. Im Juni warnten die USA und ihre engsten Verbündeten vor KI-gestütztem Hacking: „Der Zeitrahmen sind nicht Jahre, sondern Monate.“ Vier Monate später sind wir genau da.
Die Originalversion dieses Beitrags ist hier verfügbar.
Warum das diesmal anders ist
Du hörst seit Jahren von Hacks. Hier ist, was sich geändert hat.
Jedes Gebäude hat Schwachstellen: ein Fenster, das nicht richtig schließt, eine Hintertür mit einem billigen Schloss. Bei Software ist es genauso. Sie steckt voller versteckter Schwachstellen. Jahrzehntelang brauchte man seltene, hochqualifizierte Leute, um sie zu finden – und davon gab es nicht viele. Das war unser Schutz. Keine guten Schlösser. Nur ein Mangel an Einbrechern.
Dieser Mangel ist vorbei. Drei Dinge sind gerade gleichzeitig passiert.
Erstens: KI kann die Schwachstellen jetzt finden. Die PHP-Lücke wurde mithilfe von KI entdeckt, und KI-Tools finden tausende Fehler, die jahrelang unbemerkt blieben.
Zweitens: KI kann jetzt selbst einbrechen. Ohne qualifizierten Hacker. Eine Person gab KI-Agenten Anweisungen, die kürzer waren als ein Tweet – weniger als 100 chinesische Zeichen – und ließ sie weitgehend allein arbeiten. Sie brachen in Websites von über 100 Unternehmen ein, darunter John Deere, für geschätzte 50 Dollar pro Einbruch. Sie schlafen nicht und langweilen sich nicht. Sie probieren einfach weiter, bis sie einen Weg hinein finden.
Drittens: Die Verteidiger rennen hinterher, um mitzuhalten. Jede Schwachstelle muss immer noch behoben, getestet und installiert werden – auf Millionen Systemen, betreut von Leuten, die ohnehin schon am Limit arbeiten. Selbst bei den schwerwiegendsten Fehlern dauert es im Schnitt etwa zwei Wochen, nur um einen Fix zu veröffentlichen, und viele Websites werden nie aktualisiert. Der Sicherheitsanbieter Cisco schätzt, dass etwa die Hälfte der internetfähigen Server mit dieser Software zu alt für den offiziellen Patch ist.
Nimm das zusammen, und du bekommst ein Katz-und-Maus-Spiel, bei dem die Angreifer nur einmal gewinnen müssen. Diese Lücke zwischen Angreifern und Verteidigern ist das, was du in den nächsten Tagen in den Nachrichten sehen wirst.
Das wird weitergehen – und schlimmer werden
Das ist keine einzelne schlechte Woche. Es ist der Beginn von etwas, auf das wir alle vorbereitet sein müssen.
Schau dir nur die Zahlen an. Der Sicherheitsanbieter CrowdStrike sagt, dass die Angriffe, bei denen vermutlich KI-Agenten im Spiel sind, sich im August mehr als verdoppelt haben – und im September noch einmal. Und wenn diese Woche ein Indikator ist, wird es nur schneller. Die KI wird alle paar Monate besser, während der Betrieb günstiger wird. Die Tools, die Hacker heute nutzen, sind die schlechtesten, die sie jemals haben werden.
Und die Tools sind jetzt draußen. Als ein KI-Hacking-Tool mit Angriffen auf koreanische Banken in Verbindung gebracht wurde, stellte der Entwickler die öffentliche Veröffentlichung ein und nahm die Download-Seite offline. Aber das spielte keine Rolle mehr. Jeder, der es bereits heruntergeladen hatte, kann es weiterhin nutzen.
Die gute Nachricht ist allerdings: Auch die Verteidiger haben KI, und sie findet und behebt Schwachstellen schneller als je zuvor. Irgendwann wird Software viel schwerer zu knacken sein als heute. Aber im Moment ist der Angriff der Verteidigung voraus, und das könnte noch eine Weile so bleiben.
Was das für dich bedeutet
Gerade jetzt entdecken große US-Banken wie JPMorgan, Bank of America und Wells Fargo laut Axios unautorisierte KI-Agenten in Kundenkonten. Einige wurden von den Kunden selbst eingerichtet, aber viele Banken können nicht unterscheiden, welche im Auftrag des Kunden handeln und welche nicht. Bankmanager beschrieben die Situation als „erschreckend“. Axios berichtete nicht von gestohlenem Geld.
Aber für die meisten Menschen besteht die größere Gefahr heute immer noch aus drei Dingen. Deine Daten leaken, sodass Betrüger deinen Namen, Geburtstag, deine Adresse und Bank kennen – und ihre Anrufe und Nachrichten echt klingen. Deine Konten werden über irgendeine Seite übernommen, die du vor Jahren einmal benutzt hast, mit demselben Passwort, das du überall verwendest. Und die Dinge, auf die du angewiesen bist – eine App, eine Apotheke oder der Onlineshop eines Ladens – fallen tagelang aus.
Um das klarzustellen: Das läuft gerade, aber die Worst-Case-Szenarien, vor denen die Leute am meisten Angst haben, sind nicht eingetreten. Ich hoffe, das bleibt so. Aber Vorsicht ist besser als Nachsicht, besonders weil das weitergehen wird.
Was du heute tun solltest
Erstens: Meide Seiten, die du nicht kennst, bis sich die Lage beruhigt hat. Bleib bei den großen, bekannten: deiner Bank, Amazon, Google. Kleine Seiten haben am wenigsten wahrscheinlich gepatcht, und von außen erkennst du das nicht. Gib in den nächsten Wochen kein Passwort und keine Kartennummer in irgendetwas Unbekanntes ein.
Zweitens: Aktualisiere alles – dein Handy, deinen Computer, dein Tablet und deinen Browser. Wenn die eigenen Einstellungen deines Handys oder Computers sagen, dass ein Update verfügbar ist, installiere es. Das ist dein Schloss. Mach dasselbe mit deinem Router, und wenn er so alt ist, dass er keine Updates mehr bekommt, ersetze ihn. Aber installiere niemals ein „Update“ aus einem Pop-up auf einer Website oder über einen Link in einer SMS oder E-Mail. Das ist eine gängige Betrugsmasche. Du weißt nicht, wie das geht? Hier ist eine einfache Schritt-für-Schritt-Anleitung.
Drittens: Schließ die Türen, die du nicht brauchst. Zieh Smart-Gadgets ab, die du nicht benötigst, und lösche Apps, die du nicht nutzt. Jedes verbundene Gerät ist ein weiterer Weg hinein.
Viertens: Schütze dein Bankkonto. Wenn dich jemand anruft, dir schreibt oder mailt und nach deinem Passwort oder einem Code fragt, der gerade auf dein Handy geschickt wurde, ist es Betrug. Immer. Diese Codes sind nur dafür da, dass du sie in der eigenen App oder auf der Website deiner Bank eingibst. Behandle jeden Anruf, jede Nachricht und jede E-Mail zu deiner Bank als verdächtig, bis du es selbst geprüft hast: Klick nicht auf deren Links und ruf nicht die Nummer zurück, die sie dir geben. Leg auf und ruf die Nummer auf der Rückseite deiner Karte an. Wenn es wirklich deine Bank war, kann man dir dort helfen.
Gib deinen Benutzernamen und dein Passwort für die Bank nur in der eigenen App oder auf der Website deiner Bank ein. Gib sie niemandem sonst, auch keinem KI-Assistenten und keiner anderen App, egal wie hilfreich sie wirkt. Chase sagt: Gib sie niemandem. Aktiviere die Zwei-Faktor-Authentifizierung für deine E-Mails und deine Bank (so geht’s), und hör auf, Passwörter wiederzuverwenden. Ein Passwort-Manager macht das einfach, und dein iPhone oder Android-Handy hat bereits einen eingebaut.
Wenn du besonders vorsichtig sein willst, halte etwas Bargeld zu Hause bereit – genug für ein paar Tage Lebensmittel – plus etwas Essen und Wasser. Das ist ein normaler Notfallvorrat, und den zu haben lohnt sich sowieso.
Was ich nicht tun würde: Dein Geld von der Bank abheben. Panik ist genau das, worauf Betrüger setzen. Falls eine Bank selbst pleitegeht, sind Einlagen bei FDIC-versicherten Banken bis zu 250.000 $ geschützt – pro Person, pro Bank. Diese Versicherung deckt kein Geld ab, das von einem gehackten Konto gestohlen wurde. Aber Bundesgesetze begrenzen in der Regel deinen Verlust durch unautorisierte Überweisungen, wenn du sie schnell meldest. Also prüf deine Konten oft und ruf sofort deine Bank an, wenn etwas komisch aussieht. Geld, das du selbst überweist, weil du hereingelegt wurdest, ist viel schwerer zurückzubekommen – deshalb sind die Betrugsanrufe die größere Gefahr.
Die nächsten Tage werden seltsam. Weitere Meldungen werden kommen. Ich hoffe, dass die meisten Dinge weiter funktionieren. Erledig heute einfach die langweiligen Sachen.
Schick das jetzt an die Menschen in deinem Leben. Deine Eltern, deine Großeltern, deine Freunde, deine Gruppenchats. Jeder, der mit dem Internet verbunden ist – also buchstäblich jeder –, muss wissen, was passiert. Diejenigen, die am wenigsten davon hören, sind die, die am ehesten Schaden nehmen.
Die Originalversion dieses Beitrags ist hier verfügbar.
