Microsofts jüngster Verteidigungsbericht beschreibt eine unangenehme Kombination: Angreifer können Teile eines Einbruchs schneller vorbereiten, während kompromittierte Identitäten und vernetzte Werkzeuge mehr Bereiche einer Organisation erreichen. KI beschleunigt bekannte Methoden, bevor vollständig autonomes Hacking alltäglich wird. Das unmittelbare Problem sind deshalb sowohl kürzere Reaktionsfristen als auch wachsende Netze vertrauenswürdiger Zugriffe.
Der am 1. Oktober veröffentlichte Digital Defense Report 2026 untersucht Bedrohungsaktivitäten von Juli 2025 bis Juni 2026. Microsoft beobachtet KI bei Aufklärung, Social Engineering, Schwachstellenforschung, Malwareentwicklung und Analysen nach einer Kompromittierung. Das belegt keine Dominanz unbeaufsichtigter Agenten. Menschen steuern weiterhin die meisten Kampagnen; neue Orchestrierungsforschung muss von etablierter Aktivität unterschieden werden.
Was die Zahlen tatsächlich messen
Microsoft meldet Datendiebstahl bei 63% der beobachteten Einbrüche und über 46 Millionen Angriffe durch nachgeahmte Geschäftskontakte in den vorherigen zwölf Monaten. Bei Einbrüchen mit gültigen Konten führten 52,2% zu weiterem Zugangsdatenklau. Eine gestohlene Identität kann deshalb weitere Konten, Cloud-Unterlagen und vertrauenswürdige Verwaltungswerkzeuge erschließen, statt ein isolierter Anmeldevorfall zu bleiben.
Geografie und Branchen haben unterschiedliche Bezugsgrößen und Zeiträume. US-Kunden entfielen zwischen Januar 2025 und Juni 2026 auf 25,5% der beobachteten Cyberbedrohungsaktivität. Behörden und öffentliche Dienste stellten 27% der Branchenmessung 2026 gegenüber 17% im Jahr 2025; IT erreichte 17%, Forschung und Hochschulen 14%. Das sind Anteile innerhalb Microsofts Sichtfeld, keine globale Vollerhebung und keine individuelle Angriffswahrscheinlichkeit.
Phishing verursachte 23% der beobachteten Einbrüche 2026 gegenüber 7%2025. Daraus lässt sich kein KI-verursachter Anteil ableiten. Eine separate Aprilanalyse meldete 54% Klickrate für KI-unterstütztes Phishing gegenüber etwa 12% für traditionelle Kampagnen. Das Verhältnis beträgt 4,5 zu 1, nicht 450% relativen Zuwachs. Kampagnengestaltung, Zielauswahl und untersuchte Personen begrenzen die Aussage; sie ist keine Prognose für jedes Postfach.
KI senkt dennoch die Kosten rollenspezifischer Köder, Übersetzungen, nachgeahmter Arbeitssprache und überarbeiteter Nachrichten. Sie unterstützt erfundene Personas, gefälschte Dokumente, Skriptgerüste, Malware-Debugging, Umgehung und die Zusammenfassung gestohlener Dateien. Das kann ohne neuartige Exploits oder einen selbstständigen Maschinenangreifer relevant sein.
Weniger als ein Tag ist eine Warnung, keine allgemeine Uhr
Microsoft zufolge liegt der Median zwischen der Entdeckung einer Schwachstelle im realen Einsatz und ihrer Verwendbarkeit als Angriffsmittel inzwischen deutlich unter 24 Stunden. Diese „Weaponization“ kann Exploitcode, Scans oder einen umfassenderen Angriffsablauf umfassen. Die öffentliche Zusammenfassung nennt weder genaue Stunden noch vollständige Stichprobe, Verteilung oder Methodik. Ein Countdown für jede CVE lässt sich daraus nicht ableiten.
Dem stehen Organisationen gegenüber, die für kritische extern erreichbare Lücken 30–60 Tage benötigen können. Auch das ist kein universeller Reparaturzeitraum. Cloudbetreiber können schnell abmildern; regulierte, industrielle oder klinische Dienste brauchen möglicherweise Kompatibilitätstests und sorgfältig geplante Ausfälle. Inventarisierung, Auftragnehmerzuständigkeit, Tests, Wartungsfenster und Genehmigungen erklären Verzögerungen, beseitigen aber nicht die Exposition.
KI-gestütztes Patch-Diffing vergleicht aktualisierten und verwundbaren Code, findet geänderte Funktionen und schlägt Eingaben für den gefährdeten Pfad vor. Angreifer können außerdem Softwarefingerabdrücke, öffentliche Unterlagen und geleakte Zugangsdaten über viele Ziele ordnen. Fehlversuche sind für sie hinnehmbar; Verteidiger müssen jedes System verfügbar halten. Ein veröffentlichter Patch beginnt daher die Behebung und liefert gleichzeitig neue Informationen über den Defekt.
Die beiden Berichte nennen unterschiedliche Mengen: Einer prognostiziert 72.000 veröffentlichte Schwachstellen 2026; der andere nennt fast 40.000 CVEs im ersten Halbjahr und extrapoliert ungefähr das Doppelte für das Gesamtjahr. Diese Angaben dürfen nicht stillschweigend zu einer bereinigten Prognose verschmelzen. Mehr Offenlegungen können auch bessere Entdeckung alter Fehler bedeuten, nicht einen plötzlichen Qualitätseinbruch von Software.
Expositionsorientiertes Handeln beantwortet die Asymmetrie besser als Patchzahlen allein. Ein ausgenutztes, öffentlich erreichbares Identitätsgateway kann dringlicher sein als eine technisch schwerere Lücke hinter starken Kontrollen. Isolation, eingeschränkter öffentlicher Zugang, rotierte Zugangsdaten und zusätzliche Erkennung reduzieren Risiken vor dem endgültigen Update. Der CISA-Katalog liefert Ausnutzungsbelege; auf jede externe Bestätigung zu warten kann aber einen plausiblen offenen Pfad bestehen lassen.
Agenten verbinden Risiken, statt sie zu ersetzen
Der Bericht unterscheidet KI-Angriffe auf klassische Systeme von Angriffen auf KI-Systeme. Prompts, Modelldaten, Bereitstellungsinfrastruktur, Nutzerinformationen, Ausgaben, Werkzeuge und Agentenidentitäten können Einstiegspunkte oder Brücken sein. Ablehnungstests des Modells allein beweisen keine Sicherheit der umgebenden Anwendung.
Microsoft nennt Promptmanipulation, Offenlegung sensibler Daten, Identitätskompromittierung, übermäßige Handlungsmacht und beeinträchtigte Betriebsintegrität. Übermäßige Handlungsmacht entsteht etwa, wenn einzeln erlaubte Werkzeuge zu einer nicht genehmigten Aktion verbunden werden. Betriebsintegrität betrifft Prompts, Gedächtnis, Konfiguration, Trainingsdaten, Abhängigkeiten und Protokolle: Änderungen können künftiges Verhalten umlenken, ohne das Modell selbst zu kompromittieren.
Ein feindliches Dokument kann einen recherchierenden Agenten zum Datenabfluss oder Werkzeugaufruf anweisen. Gelangt manipulierte Information ins Gedächtnis, kann sie spätere Aufgaben beeinflussen. Entscheidend ist die Grenze zwischen dem Lesen eines Inhalts und seiner Befugnis, Handlungen auszulösen. Eigentümerschaft und Abrufumfang zählen bei internen Wissensdatenbanken genauso wie bei anderen sensiblen Speichern.
Das Identitätsproblem zeigt sich auch bei nordkoreanischen Remote-IT-Arbeiteroperationen, die Microsoft als Jasper Sleet und Coral Sleet verfolgt. KI hilft bei Lebensläufen, erfundenen Personen, fremdsprachiger Kommunikation und technischen Aufgaben. Die entscheidenden Zugangsdaten kommen weiterhin vom Arbeitgeber nach einer betrügerischen Einstellung. Missbraucht wird eine vertrauenswürdige Geschäftsbeziehung, nicht nur generierte Malware.
Akteure versuchen außerdem rollenbasierte Prompts, umformulierte Anfragen und über mehrere Interaktionen verteilte Anweisungen, um Schutzmaßnahmen zu umgehen. Harmlos wirkende Ausgaben lassen sich außerhalb des Modells kombinieren. Zuverlässigkeitsprobleme bleiben: Code kann scheitern, Köder können verfehlen, automatisiertes Verhalten kann den Angreifer verraten.
Die Autonomiebehauptung hat eine wichtige Grenze
Microsoft beschreibt über sechs Monate eine Entwicklung von Assistenz zur Anleitung und autonomen Durchführung einzelner Angriffsteile. Hinzu kommt eine kontrollierte Evaluation mit einer 32-stufigen Angriffssequenz. Das zeigt Orchestrierung unter definierten Bedingungen, nicht zuverlässige Einbrüche in beliebige verteidigte Unternehmen.
Reale Umgebungen bringen Informationslücken, unerwartete Abhängigkeiten, Abwehr und undokumentierte Pfade mit sich. Erfahrenes menschliches Urteil bleibt wichtig. Microsofts breitere Taktikanalyse beschreibt die meisten aktuellen Missbräuche als Text-, Code- und Mediengenerierung; fortgeschrittene Agentenexperimente sind noch nicht skaliert. Beides ist vereinbar, wenn Teilautomatisierung nicht mit vollständiger Autonomie verwechselt wird.
Verteidiger haben eine ähnliche Einschränkung. Microsofts früheres Multi-Modell-Scanning sucht Schwachstellen und unterstützt Reparaturen; geplant war, die interne Fähigkeit als Kundenprodukt anzubieten. Eine separate Untersuchung berichtete von mehr Funden, als einige Microsoft-Teams verarbeiten konnten. Mehr plausible Lücken bringen nur dann Vorteile, wenn Reproduktion, Priorisierung, Reparatur, Tests und Bereitstellung mithalten.
Laut Microsoft erledigen manche Security-Copilot-Nutzer Bedrohungszusammenfassungen 60–70% schneller. Das misst eine Analystentätigkeit, nicht automatisch Eindämmung oder sichere Behebung. Fehlalarme, falsche Assetzuordnungen und schädliche automatische Änderungen bleiben wichtige Gegengewichte zu optimistischen Produktivitätsgeschichten.
Vernetzte Erkennung braucht Verantwortlichkeit
Ein Reverse-Proxy-Phishing kann Zugangsdaten und ein authentifiziertes Sitzungstoken erfassen. Die folgende Sitzung liest E-Mails und Cloudspeicher, kopiert Finanzunterlagen und ergänzt eine Authentifizierungsmethode für dauerhaften Zugang. E-Mail-, Browser-, Identitäts- und Anwendungssysteme sehen möglicherweise nur Fragmente. Zeit-, Geräte-, Nutzer- und Zugriffsbeziehungen formen daraus eine untersuchbare Zeitleiste.
KI kann Warnungen gruppieren und bekannte Muster zusammenfassen, damit Analysten unbekannte Pfade untersuchen. Ein weitreichend berechtigter Abwehragent ist aber selbst ein Angriffsweg. Eigene widerrufbare Identitäten, benannte Verantwortliche, begrenzte Zugangsdaten, Authentifizierung, Aktionsfreigaben und prüfbarer Kontext sind nötig. Lesen darf nicht automatisch Bearbeiten, Senden oder Ausführen enthaltener Anweisungen erlauben.
Microsoft meldet längere Verweildauer in mehreren Branchen trotz besserer Reaktion nach Erkennung. Schnelleres Handeln bei verstandenem Einbruch bedeutet nicht frühere Entdeckung. Entscheidend ist, ob Korrelation früher als ein Einzelprodukt erkennt, die Zeit vom Erstzugriff bis zur Eindämmung verkürzt und überprüfbare Unterlagen erhält – nicht lediglich mehr Telemetrie.
Ein breites Sichtfeld bleibt ein bestimmtes Sichtfeld
Microsoft verarbeitet nach eigener Angabe täglich durchschnittlich über 165 Billionen Sicherheitssignale,31 Millionen Identitätsrisikoerkennungen und 5,2 Milliarden E-Mails. Die Breite ist wertvoll, doch Kundenmix, regionale Verbreitung, Telemetrieeinstellungen und wechselnde Erkennungsabdeckung bestimmen die Sichtbarkeit. Beobachtete Anteile messen nicht das gesamte Internet.
Microsoft verkauft auch integrierte Identitäts-, Cloud-, Endpoint- und KI-Sicherheitsprodukte. Das kommerzielle Interesse entwertet Beobachtungen nicht, doch verknüpfte Beweise verlangen keinen einzigen Lieferanten für alle Schichten. Gemeinsame Kennungen, normalisierte Logs, offene Standards und disziplinierte Vorfallbearbeitung verbinden Daten; Plattformkonzentration kann umgekehrt einen Ausfall über mehrere Schichten verteilen. Öffentlich-private Zusammenarbeit ergänzt Kontext, sofern Kunden- und Ermittlungsdaten geschützt bleiben.
Das NIST-KI-Risikoframework bietet eine Lebenszyklussicht auf Entwurf, Betrieb, Messung und Governance, keinen Ersatz für Cyberkontrollen. Als Nächstes zählen transparente Definitionen und Verteilungen der Exploitvorbereitung, bestätigte autonome Aktivität außerhalb von Laboren, kürzere Exposition und Verweildauer sowie weniger fehlgeschlagene Änderungen. Die unmittelbare Lehre ist konkret: KI senkt den Aufwand der Angreifer; Verteidiger müssen Identitäten, Agentenaktionen und verwundbare Systeme rechtzeitig verbinden, um gefährliche Zugriffe zu stoppen, ohne die geschützten Systeme lahmzulegen.
Quellen und weiterführende Lektüre
Microsofts Digital Defense Report · Ergebnisse des Oktoberberichts · KI im Angriffslebenszyklus · Zugriffsgrenzen von Wissensdatenbanken · KI-Angriffstaktiken · NIST-KI-Risikoframework · Analyse der Bedrohungslage · KI-Scanning und Verteidigung · Untersuchung zu Microsofts Fehlerbehebung · CISA-Katalog ausgenutzter Schwachstellen · Fundnachweis des Hauptberichts · Fundnachweis des Ergänzungsberichts