KI und das Ende der digitalen Sicherheit, wie wir sie kennen Claude Mythos markiert eine Zäsur für die Cybersicherheit

Anbieter zum Thema

cyberintelligence.institute GmbH

Fujitsu Technology Solutions GmbH

Anthropics KI-Modell Claude Mythos hat die IT-Security-Branche auf­ge­rüt­telt. Das neue Modell hat in kürzester Zeit Tausende zuvor unbekannter Schwachstellen in gängigen Betriebssystemen und Browsern gefunden. Anthropic hält Mythos bewusst unter Verschluss, weil es die Balance zwi­schen Angriff und Verteidigung kippen kann. Prof. Dr. Dennis-Kenji Kipker ordnet in diesem Gastkommentar ein, warum das kein technischer Fort­schritt mehr ist, sondern ein Bruch mit allem, was wir bisher als digitale Sicherheit verstanden haben.

Wer die Nachrichten der vergangenen Wochen liest, ahnt, dass wir gerade einen Punkt überschreiten, hinter den es kein Zurück gibt. Mit KI-Modellen wie Mythos von Anthropic, Anfang April 2026 vorgestellt, ist eine Klasse Künstlicher Intelligenz entstanden, die in kür­zes­ter Zeit Tausende zuvor unbekannter Sicherheitslücken in jedem gängigen Be­triebs­sys­tem und Browser gefunden hat, teils in Code, der seit Jahrzehnten im Einsatz ist. Anthropic selbst hält das Modell derzeit bewusst unter Verschluss, weil es die Balance zwischen Angriff und Ver­tei­di­gung kippen kann. Deshalb ist das auch keine rein technische Evolution mehr, sondern ein Bruch mit einem System, das wir lange Jahre als unseren Standard akzeptiert haben.

Claude Mythos Preview

Diese enorme Gefahr geht von Anthropics neuem KI-Modell aus

Compliance allein rettet uns nicht

Natürlich reden wir weiter über technisch-organisatorische Schutzkonzepte, über Ma­nage­ment­sys­teme, über Regularien und verbindliche Regelwerke zur Cybersicherheit wie NIS2, DORA, CRA. Das muss sein. Aber es ist nur die eine Seite der Medaille. Die andere, weit gravierendere, ist, dass die Produkte, auf denen unsere (kritischen) Infrastrukturen laufen, in sich zu häufig unsicher sind und wir als Anwender auf deren Sicherheit nur wenig Einfluss haben. Die Software-Lieferkette ist seit Jahren hochvulnerabel, wird regelmäßig erfolgreich ausgenutzt, und sie ist in vielen Fällen alles andere als sicher designt. Wir managen auf Sand gebaute Systeme, während die Flut an Bedrohungen immer weiter und schneller steigt.

Security by Design: richtig, aber viel zu spät

Security by Design – also die Integration von digitalen Sicherheitsanforderungen direkt in die Produktentwicklung – mag in diesen Zeiten zwar das richtige Prinzip sein, unumstritten. In Anbetracht des Tempos, mit dem sich die Bedrohungslage überschlägt, wirkt es aber mehr und mehr wie ein Tropfen auf den heißen Stein. Wir setzen Security by Design gerade erst um, während unsere kritischen Infrastrukturen weiter auf Legacy-Architekturen laufen, die vor Jahrzehnten ohne jeden digitalen Sicherheitsanspruch entstanden sind, teils noch nicht einmal Vernetzung kannten. Die Regulierung von verbindlichen Si­cher­heits­an­for­de­rungen für Software kommt, wenn der Brand längst lodert. Was als Schutzschirm gedacht war, fühlt sich daher immer mehr an wie ein später, hilfloser Reflex in einer Lage, die sich gefühlt im Tagesrhythmus verschärft.

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

Die alte Debatte ist vermutlich bald entschieden

Jahrelang wurde überdies diskutiert, ob KI im Cybersecurity-Saldo eher Verteidigern oder Angreifern in die Hände spielt. Diese Debatte ist nun scheinbar auch bald vorbei. Mit Modellen wie Mythos ließe sich IT schneller stören und zerstören, als uns lieb sein kann und wir in mühevoller Kleinarbeit zunächst verhindern können. Denn was für Cyberkriminelle bislang in vielen Fällen immer noch mühsame Handarbeit war, das Finden, Verketten und Ausnutzen von Schwachstellen, auch das Vermarkten, wird mehr und mehr automatisierbar, skalierbar, beliebig und für jedermann ohne großes Know-how möglich. Cyberunsicherheit wird in­dus­tri­a­li­siert, und das bedeutet: Der Angreifer gewinnt Zeit, der Verteidiger verliert sie. Und Zeit ist in der Cybersicherheit eine der wenigen Währungen, die wirklich zählt, und von der wir schon immer zu wenig hatten und in Zukunft vermutlich noch weniger haben werden.

KI-Verbote laufen ins Leere

Die Versuchung, solche KI-Modelle deshalb regulatorisch einzuhegen oder zu verbieten, ist verständlich. Sie führt aber im Ergebnis nirgends hin, denn Anthropic ist bei Weitem nicht die einzige KI-Schmiede – und damit werden letztlich auch diejenigen Beschwichtigungen entkräftet, es würde sich ausschließlich um strategischen und gut positionierten Marketing-Schachzug eines einzelnen Unternehmens handeln. Denn andere westliche Labore arbeiten getrieben durch den massiven Wettbewerbsdruck und Venture Capital-Investitionen, teils öffentlichen Förderungen an Vergleichbarem, und staatliche Akteure wie die Volksrepublik China investieren nicht nur in Rechenkapazitäten, sondern in ganze Energienetze, um KI-Rechenleistung überhaupt betreiben zu können und immer leistungsfähiger zu werden. Selbst wenn der Einsatz offensiver KI weltweit kriminalisiert würde – was politisch allein schon eine enorme zivilisatorische Errungenschaft wäre –, werden Staaten solche Werkzeuge einsetzen, offen oder im Verborgenen. Das lässt sich politisch nicht verhindern, bestenfalls nur noch gestalten. Somit dürfte es perspektivisch im Ergebnis auch nur wenig bringen, wenn Anthropic heute beschwört, das Tool nicht öffentlich zugänglich machen zu wollen, denn schon jetzt arbeiten private und staatliche Akteure in Sachen Cybercrime international intensiv zusammen.

Verbot noch nicht bestätigt

US-Verteidigungsministerium stuft Claude als nationales Risiko ein

Schwachstellen als Massenware

Damit dürfte sich nicht zuletzt auch der klassische Umgang mit Schwachstellen gravierend verändern. Wenn Sicherheitslücken nicht mehr in wochenlanger Forschungsarbeit gefunden, sondern durch KI massenhaft produziert werden, sind sie kein knappes Gut mehr, sondern allgemein verfügbare Massenware. Bug-Bounty-Modellen, Responsible Disclosure, der ganzen Ökonomie des verantwortungsvollen Umgangs mit Lücken wird damit nach und nach ihre Grundlage entzogen. Denn wer die Kontrolle über die leistungsfähigsten KI-Systeme hat, hat auch die Kontrolle über die Schwachstellen, und damit über die Sicherheit im digitalen Raum insgesamt und weltweit, weil viele Produkte staaten- und systemübergreifend eingesetzt werden. Das ist eine Machtverschiebung, deren Tragweite wir erst zu erahnen beginnen, und sie vollzieht sich nicht erst in Jahren, sondern in Monaten.

KI als nationale Sicherheitsfrage

Damit ist klar: KI ist mehr als eine Frage industrieller Souveränität oder nationaler Wert­schöp­fung, worauf sie in der politischen Debatte immer wieder gerne reduziert wird. Sie ist ein massiver Faktor nationaler und internationaler Sicherheit, in einer Zeit, in der Sicherheit auch ohne KI zu einem immer knapperen Gut wird. Die geopolitische Lage von der Ukraine bis in den Nahen Osten zeigt, wie dünn die belastbare Schicht mittlerweile geworden ist, auf der wir gesamtgesellschaftlich stehen und auf der unser gesamtes zivilisatorisches Fundament fußt. Die KI legt sich wie eine zweite Sollbruchstelle darüber, und wer künftig die Modelle kontrolliert, kontrolliert einen zentralen Hebel staatlicher, wirtschaftlicher und gesellschaftlicher Handlungsfähigkeit.

Allianz Risk Barometer 2026

KI-Risiken wachsen rasant

Vom Schöpfer zum Getriebenen

Die KI-Disruption hat uns in kurzer Zeit regelrecht überschwemmt. Sie nimmt uns die Luft zum Atmen, weil wir mit jedem Tag und jeder Woche zu neuen Getriebenen werden. Mythos ist nur ein Name unter vielen, die noch folgen werden. Wohin dieser Weg uns in den kommenden Monaten und Jahren führt, ist ungewiss. Sicher ist nur: Die Zeit, in der digitale Sicherheit ein (behördlich) verwaltbares Thema war, neigt sich damit dem Ende zu. Was jetzt gerade erst beginnt, ist kein weiterer Zyklus, sondern ein Kampf um die Grundlagen unseres digitalen Raums und damit auch unserer eigenen physischen Existenz.

(ID:50819818)