Claude und Organisationen in Europa: Ein Angreifer, viele Ziele

Stand: 10. Oktober 2026

Anthropic beschrieb die missbräuchliche Nutzung von Claude zur Erstellung von Angriffswerkzeugen gegen europäische Organisationen in einem Bericht vom 10.09.2026. Der Fall verdeutlicht ein Problem, das über die Frage hinausgeht, ob KI einen Angreifer ersetzen kann: Automatisierung kann Fähigkeiten aufseiten des Täters bündeln, während die Kosten für Schutz und Schadensbehebung auf viele Akteure verteilt bleiben. Man muss jedoch die Reichweite einer Kampagne von ihrer tatsächlichen Effektivität trennen - ebenso wie die bloße Unterstützung durch ein Sprachmodell von einer autonom durchgeführten Operation. Diese Differenzierung bildet den Ausgangspunkt dieses Falls in der Reihe KI-Fallstudien.

Chronologie

1. Frühjahr 2026 - von Anthropic im Bericht vom 10.09.2026 genannter Aktivitätszeitraum.
2. 10.09.2026 - Veröffentlichung der Beschreibung der Kampagne GTG-50029.
3. 11.09.2026 - Veröffentlichung des Berichts von Le Monde.

Ausmaß versus Ergebnis

Ablauf: Der Mensch nutzte das Modell

Die Beschreibung von Anthropic umfasst politische Parteien, Medien, Thinktanks und deren SaaS-Dienstleister - Bericht vom 10.09.2026. Die Rolle von Claude beschränkte sich auf die Unterstützung beim Erstellen von Werkzeugen. Daraus folgt nicht, dass das Modell selbst Ziele auswählte, Täterabsichten definierte oder die Operation eigenständig führte.

Die Rekonstruktion endet dort, wo gesicherte Informationen aufhören. Es gibt keine Basis für Annahmen über das Eindringen in konkrete Organisationen, das Verhalten einzelner Beschäftigter oder eingeleitete Behebungsmaßnahmen. Wesentlich bleibt jedoch die Kette der Verantwortung: Ein Mensch bedient ein Werkzeug, richtet Angriffe gegen Ziele, und die Konsequenzen treffen Institutionen und Personen außerhalb dieser Beziehung. Wer den Blick allein auf das Modell verengt, übersieht das letzte Glied dieser Kette.

Analyse: Asymmetrie ohne Autonomie-Mythos

Der Hebel durch Automatisierung erfordert keine autonome KI. Hilfe bei der Werkzeugerstellung kann das Verhältnis zwischen dem Aufwand des Operators und dem Umfang der Maßnahmen verschieben. Dies ist ein Potenzial, kein empirisch gemessener Effekt dieser Kampagne. Für eine fundierte Bewertung wäre ein direkter Vergleich der Arbeit mit und ohne Modell nötig, den der Fallbericht nicht liefert.

Die Asymmetrie besitzt auch eine organisatorische Dimension. Ein Angreifer richtet seine Maßnahmen gezielt auf das gewählte Ziel aus, während die attackierte Organisation Informationssicherheit mit dem laufenden Betrieb vereinbaren muss. Für ein kleineres Unternehmen lautet die praktische Frage daher nicht nur: Welche Schutzsoftware soll beschafft werden? Mindestens ebenso wichtig ist: Wer entscheidet, wenn Datensicherheit und Verfügbarkeit eines Dienstes in Konflikt geraten? Das ist eine Frage von Zuständigkeiten, nicht reiner Technik.

Die Einbeziehung von SaaS-Dienstleistern im Bericht erweitert die Perspektive. Bei der Bewertung der eigenen Sicherheit muss jede Organisation externe Dienste berücksichtigen, denen sie Daten anvertraut, sowie die Prozesse, um im Ernstfall Auskunft von ihnen zu erhalten. Die Wahl eines Cloud-Tools allein löst nicht die Fragen nach Datenumfang, Zugriffsrechten und Incident Response. Es lässt sich daraus nicht ableiten, über welchen Weg der Datendiebstahl in dieser Kampagne konkret erfolgte.

Die Analyse sollte sich nicht darauf verkürzen, ob Claude unverzichtbar war. Ein Werkzeug kann Wirkung entfalten, ohne zwingende Voraussetzung zu sein. Ebenso verfehlt wäre es, das gesamte Resultat dem Modell zuzuschreiben, nur weil es im Bericht genannt wird. Eine sachliche Bewertung unterscheidet zwischen dem Beitrag des Modells, den Entscheidungen des Bedieners und den Abwehrbedingungen aufseiten der Ziele.

Wer profitiert, wer verliert und wer gewinnen könnte

Das dokumentierte Schadensereignis ist der Datenverlust in einem Teil der Fälle, nicht schon das Auftauchen auf einer Zielliste. Man darf weder allen Organisationen denselben Schaden unterstellen noch Datendiebstahl mit einer finanziellen Schadenssumme gleichsetzen. Die Kosten der Vorfallsbewältigung sind eine eigene Kategorie, die gesonderte Feststellungen erfordert.

Der Nutzen des Angreifers durch KI bleibt hier hypothetisch: geringerer Erstellungsaufwand oder höhere Wiederholbarkeit von Arbeitsschritten. Ohne Messdaten lässt sich das Ausmaß dieses Vorteils nicht beziffern. Ähnlich verhält es sich mit dem Anbieter: Die Veröffentlichung des Berichts demonstriert Transparenz, beweist aber nicht die Wirksamkeit sämtlicher Schutzmechanismen. Eine Mitteilung muss nach ihrem Inhalt bewertet werden, nicht nach der Tatsache ihres Erscheinens.

Privatsphäre und Datenschutz hängen nicht von politischen Sympathien ab. Kritik an einer Organisation und die Ablehnung von Datendiebstahl zu deren Lasten schließen sich nicht aus. Verletzungen der Vertraulichkeit aufgrund der Gesinnung des Ziels zu relativieren, untergräbt das Prinzip der Datensicherheit. Die Beurteilung der Methode muss getrennt von der Bewertung politischer Aktivitäten bleiben.

Lehren für Unternehmen und Nutzer: Ein hypothetisches Beispiel

Angenommen, eine kleinere Organisation erhält von einem Dienstleister den Hinweis auf einen möglichen Abfluss von Kontaktdaten. Dies ist eine hypothetische Ableitung, keine Rekonstruktion der beschriebenen Kampagne. Die Organisation muss entscheiden, ob die Nutzung des Dienstes eingeschränkt wird, wie das Ausmaß ermittelt wird und was den Nutzern mitgeteilt werden soll. Ein sofortiger Komplettstopp aller Arbeitsabläufe ist ebenso eine Überreaktion wie das Ignorieren der Warnung; beides ersetzt nicht die Prüfung der verfügbaren Fakten.

• Unternehmen: Bestimmt eine verantwortliche Person für Entscheidungen, strukturiert gesicherte Erkenntnisse und fordert beim Dienstleister Präzisierung über betroffene Datensätze an. Maßnahmen gegen weiteren Datenabfluss werden getrennt von der Schadensanalyse bereits erfolgter Abflüsse behandelt.
• Kommunikation: Informiert darüber, was bekannt ist, was noch geprüft wird und wann das nächste Update erfolgt. Versichert nicht vorschnell die Wiederherstellung der Vertraulichkeit, nur weil der Zugang des Angreifers gesperrt wurde.
• Nutzer: Sucht nach verlässlichen Informationen zu den eigenen Daten und nach Handlungsempfehlungen zum bestätigten Vorfallsumfang. Eine Schlagzeile über einen Cyberangriff reicht nicht aus, um die eigene Gefährdung einzuschätzen.

In diesem Beispielszenario würde die Sperrung eines Accounts beim KI-Anbieter zwar die weitere Nutzung des Werkzeugs unterbinden, aber keine zuvor erstellten Datenkopien beseitigen. Die Verhinderung künftigen Missbrauchs und die Schadensbegrenzung für Betroffene verfolgen völlig unterschiedliche Ziele. Das Kappen des Zugangs für einen Angreifer ist daher kein Kriterium, um einen Sicherheitsvorfall als abgeschlossen zu betrachten. Dies ist keine Behauptung, dass eine solche Sperrung in der geschilderten Kampagne stattgefunden hat.

Beim Kontakt mit einem SaaS-Anbieter empfiehlt es sich, gezielt nach bestätigten Informationen für die eigene Organisation zu fragen. Eine allgemeine Mitteilung zur gesamten Plattform klärt oft nicht, welche konkreten Kundendaten betroffen sind. In einem Gesprächsprotokoll sollten Aussagen des Dienstleisters strikt von eigenen Vermutungen getrennt und noch offene Fragen festgehalten werden.

Was offen bleibt

Die genauen Zeitpunkte sämtlicher Aktivitäten sowie das vollständige Schadensausmaß bleiben im Bericht von Anthropic vom 10.09.2026 offen. Auch der exakte Anteil des Modells am Gesamtergebnis lässt sich nicht beziffern. Diese Lücken schränken die Bewertung ein, ändern aber nichts an der grundlegenden Unterscheidung: Die Möglichkeit eines Angriffs, die ausgeführte Handlung und der tatsächlich belegte Schaden sind völlig verschiedene Dinge.

Vorbereitung vor dem Ernstfall

Für kleinere Organisationen ist eine Notfall-Kontaktliste ratsam, die unabhängig vom primären E-Mail-Postfach abgelegt ist. Fällt genau dieser Mailserver aus, hilft ein dort gespeicherter Notfallplan nicht weiter. Es empfiehlt sich, im Vorfeld festzulegen, wer Dienstleister kontaktiert, wer das Team informiert und wo Prüfergebnisse dokumentiert werden. Dies ist ein organisatorischer Vorschlag zur Vorfallbewältigung und keine Beurteilung der Abläufe bei den betroffenen Einrichtungen.

Quellen

• Anthropic - Threat Intelligence Report, 10.09.2026.
• Le Monde - Bericht über die Nutzung von Claude, 11.09.2026.