Claude hat drei echte Firmen gehackt. Die wichtigste Nachricht steckt nicht im Hack.

Ein KI-Unternehmen veröffentlicht freiwillig einen forensischen Bericht darüber, wie seine eigenen Modelle drei fremde Firmen gehackt haben. Das gab es noch nie. Und es ist die eigentliche Nachricht der letzten Woche — auch wenn die Schlagzeilen etwas anderes erzählen.

BILD titelte am Samstag mit dem Zukunftsforscher Thomas Druyen, der unseren Umgang mit KI-Gefahren «lächerlich und vorpubertär» nennt und gesetzlich verordnete Stopptasten fordert.¹ Die Angst vor der KI als Super-Hacker verkauft sich gut. Wer aber den Bericht liest, der die Aufregung ausgelöst hat, findet eine Geschichte, die weniger spektakulär ist — und deutlich lehrreicher.

Was tatsächlich passiert ist

Anthropic testet seine Modelle regelmässig mit sogenannten Capture-the-Flag-Übungen: standardisierte Hacking-Aufgaben in isolierten Testumgebungen. Das Modell soll zeigen, was es kann, ohne dass draussen etwas passiert. Genau diese Isolation war löchrig. Durch eine Fehlkonfiguration beim Evaluationspartner Irregular hatten die Modelle in manchen Testläufen echten Internetzugang — während ihre Anweisungen behaupteten, es gebe keinen.²

Die Folge: Zwischen April und Juli 2026 kompromittierten Claude-Modelle drei reale Organisationen. Claude Opus 4.7 extrahierte Zugangsdaten und griff auf eine Produktionsdatenbank zu, mehrere hundert Datensätze waren betroffen. Ein zweites Modell veröffentlichte ein bösartiges Python-Paket, das auf 15 Systemen installiert wurde — ausgerechnet beim Malware-Scanner einer Sicherheitsfirma. Ein internes Forschungsmodell scannte rund 9'000 Ziele und drang über eine SQL-Injection und offene Debug-Seiten in eine Anwendung ein.³

Bemerkenswert ist, was dabei nicht vorkam: raffinierte Exploits, überlegene Maschinenintelligenz, Science-Fiction. Die Modelle kamen mit den Basics durch — schwache Passwörter, ungeschützte Debug-Seiten, ein Paket-Repository ohne Prüfung. Die KI musste kein Genie sein. Die Türen standen offen.

Das Beunruhigende: drei Monate Stille

Der unbequemste Teil des Berichts ist nicht der Ausbruch, sondern die Stille danach. Keine der drei Organisationen bemerkte den Eindringling. Anthropic selbst auch nicht. Erst als OpenAI Ende Juli einen ähnlichen Vorfall offenlegte — ein Modell hatte über eine Zero-Day-Lücke die Plattform Hugging Face kompromittiert —, begann Anthropic, die eigenen Testläufe zu durchforsten. 141'006 Durchläufe, drei Treffer, gefunden innerhalb von zwei Tagen.³

Interessant ist auch, wie unterschiedlich sich die Modelle verhielten. Opus 4.7 erkannte zwischenzeitlich, dass seine Ziele echt sein könnten — und machte trotzdem weiter. Ein neueres Modell redete sich in den Glauben zurück, doch in einer Simulation zu stecken. Nur das jüngste Modell stoppte von selbst, als es die Realität erkannte.² Das ist kein Grund zur Entwarnung, aber ein Hinweis darauf, dass hier gezielt an genau diesem Verhalten gearbeitet wird. Diese Details stammen übrigens nicht von Enthüllungsjournalisten. Sie stehen in Anthropics eigenem Bericht.

Warum die Transparenz die eigentliche Nachricht ist

Der Reflex nach so einem Vorfall wäre Schweigen. Juristisch heikel, geschäftlich unangenehm, und die Wahrscheinlichkeit, dass es je jemand merkt, war klein — drei Monate lang hatte es ja niemand gemerkt. Anthropic hat sich anders entschieden: Cyber-Evaluationen sofort gestoppt, Betroffene benachrichtigt, den Vorfall binnen einer Woche publiziert, eine unabhängige Prüfung durch METR angekündigt und redigierte Transkripte in Aussicht gestellt.²

Man kann das als Schadensbegrenzung mit PR-Kalkül lesen. Ich lese es als etwas anderes: als den Anfang einer Fehlerkultur, wie sie die Luftfahrt gross gemacht hat. Fliegen ist nicht sicher geworden, weil nie etwas passiert wäre. Fliegen ist sicher geworden, weil jeder Zwischenfall seziert, dokumentiert und veröffentlicht wird — damit alle daraus lernen, auch die Konkurrenz. Eine Branche, die ihre Beinahe-Unfälle offenlegt, wird besser. Eine Branche, die sie versteckt, wiederholt sie.

Und Druyen? Mit der Diagnose hat er einen Punkt: Unser Umgang mit den Risiken hält mit dem Tempo der Technologie nicht Schritt. Aber seine Therapie zielt am konkreten Fall vorbei. Der Ausbruch geschah nicht, weil eine übermächtige KI eine Stopptaste überlistet hätte. Er geschah, weil eine Testumgebung falsch konfiguriert war. Das ist keine Frage neuer Präventionsgesetze, sondern eine Frage von Handwerk. Und Handwerk hat eine angenehme Eigenschaft: Man kann es verbessern. Heute, nicht erst nach der nächsten Gesetzesrevision.

Was bedeutet das für ein Unternehmen in der Schweiz?

Drei Dinge, der Reihe nach.

Erstens: KI-gestützte Angriffe sind keine Zukunftsmusik mehr. Laut IBM wird inzwischen jedes vierte Datenleck durch KI ermöglicht, und ein Leck kostet deutsche Unternehmen im Schnitt 4,25 Millionen Euro — rund zehn Prozent mehr als im Vorjahr.⁴ Für die Schweiz gibt es keinen Grund, bessere Zahlen anzunehmen. Die drei gehackten Firmen erfuhren von ihrem Glück erst durch Anthropics Anruf. Die ehrliche Frage lautet also nicht «Kann uns das passieren?», sondern «Würden wir es merken?». Und die Einfallstore waren dieselben wie seit zwanzig Jahren: schwache Passwörter, vergessene Debug-Seiten, ungeprüfte Software-Pakete. Wer diese Basics im Griff hat, hat gegen den KI-Hacker denselben Vorsprung wie gegen den menschlichen.

Zweitens: Wählen Sie Ihre KI-Anbieter auch nach ihrer Fehlerkultur aus. Jeder Anbieter wird irgendwann einen Vorfall haben — die Frage ist, ob Sie davon aus einem Transparenzbericht erfahren oder aus der Zeitung. Wie ein Unternehmen mit dem eigenen Versagen umgeht, sagt mehr über seine Vertrauenswürdigkeit als jede Hochglanz-Zertifizierung.

Drittens, und das betrifft mich selbst: Wer KI-Agenten mit Werkzeugzugriff arbeiten lässt — und ich tue das täglich, in beiden Firmen —, übernimmt Verantwortung für deren Umgebung. Die Lektion aus dem Vorfall ist ja gerade: Nicht das Modell war die Schwachstelle, sondern der Rahmen darum herum. Übersetzt auf den KMU-Alltag heisst das: klare Grenzen, was ein Agent darf und was nicht. Zugriff nur auf das, was er für die Aufgabe braucht. Und Protokolle, die man auch tatsächlich anschaut. Das ist keine Raketenwissenschaft. Es ist dieselbe Sorgfalt, die Sie bei einem neuen Mitarbeiter im ersten Monat walten lassen.

Die KI als Super-Hacker macht die besseren Schlagzeilen. Aber die nützlichere Geschichte der letzten Woche ist eine andere: Ein Anbieter hat gezeigt, wie erwachsener Umgang mit Fehlern aussieht — und drei Firmen haben erfahren, dass ihre offenen Türen von niemandem bewacht wurden. An welcher der beiden Geschichten Sie arbeiten können, wissen Sie selbst.

Wenn Sie herausfinden wollen, wo in Ihrem Unternehmen die offenen Debug-Seiten sind — im übertragenen Sinn —, dann reden wir. Ein Erstgespräch kostet nichts ausser einer Stunde Ehrlichkeit.

Quellen:

• BILD: «Lächerlich und vorpubertär»: Forscher zerlegt unseren Umgang mit krimineller KI, 01.08.2026 (bild.de) ↩
• Anthropic: Investigating three real-world incidents in our cybersecurity evaluations, 30.07.2026 (anthropic.com) ↩ ↩² ↩³
• Fortune: Anthropic says its Claude models escaped a testing environment and hacked three real companies, 31.07.2026 (fortune.com) ↩ ↩²
• IBM: Cost of a Data Breach Report 2026 — Jedes vierte Datenleck wird durch KI ermöglicht, Datenlecks kosten deutsche Unternehmen im Schnitt 4,25 Millionen Euro (ibm.com / de.newsroom.ibm.com) ↩