Sicherheit hat jetzt KI auf beiden Seiten
Angreifer klonen Stimmen und schreiben mit KI makelloses Phishing. Unternehmen geben Agenten die Schlüssel zu ihren Systemen. Was schiefgelaufen ist und was hält.
Im Januar 2026 meldete die Kantonspolizei Schwyz einen Fall, der vor wenigen Jahren nach Fiktion geklungen hätte. Über zwei Wochen hinweg riefen Kriminelle den Inhaber eines lokalen Unternehmens an und gaben sich als ein Geschäftspartner aus, den er kannte, mit einer per KI manipulierten Stimme. Unter dem Deckmantel eines vertraulichen internationalen Geschäfts tätigte er mehrere Überweisungen im Wert von mehreren Millionen Franken auf ein Konto in Asien. Der Betrug fiel erst auf, nachdem das Geld weg war.
Das ist die eine Seite der heutigen Sicherheit: Angreifer, die KI einsetzen. Die andere Seite liegt im Unternehmen selbst, wo Agenten E-Mails lesen, Schlüssel halten und Dinge versenden. Ein Unternehmen muss mit beiden rechnen. Wir bauen Agenten für unsere eigene Arbeit und für Kunden, deshalb ist uns keine der beiden Seiten abstrakt.
Eine vertraute Stimme
Der Fall aus Schwyz steht nicht allein. Im Februar 2025 berichtete Reuters, Betrüger hätten die Stimme des italienischen Verteidigungsministers Guido Crosetto geklont, um Wirtschaftsführer um Geld für die Freilassung entführter Journalisten zu bitten. Massimo Moratti, der frühere Besitzer von Inter Mailand, überwies fast eine Million Euro, bevor die Polizei die Spur zu einem Konto in den Niederlanden verfolgte und es sperrte.
Das FBI zählt solche Fälle inzwischen gesondert. Sein Bericht zur Internetkriminalität 2025 verzeichnet mehr als 22'000 Beschwerden mit Bezug zu KI, mit bereinigten Verlusten von über 893 Millionen Dollar, und hält fest, dass vielen Opfern nicht bewusst ist, wie stark KI beteiligt war. Unternehmen verloren mehr als 30 Millionen Dollar durch E-Mail-Betrug mit KI-Anteil, bei dem eine überzeugende Nachricht oder eine geklonte Stimme eine Zahlung verlangt. Das Büro beschreibt ausserdem Vorstellungsgespräche mit gefälschten Stimmen, möglicherweise Deepfakes, meist mit dem Ziel, Zugang zum Netzwerk eines Unternehmens zu erhalten.
Phishing ohne Tippfehler
Schriftliche Angriffe haben sich genauso verändert. Der Digital Defense Report 2025 von Microsoft stellte fest, dass mit KI automatisierte Phishing-Mails in 54 Prozent der Fälle angeklickt wurden, gegenüber 12 Prozent bei gewöhnlichen. ENISA, die EU-Agentur für Cybersicherheit, schrieb im Oktober 2025, KI-gestütztes Phishing habe Anfang 2025 weltweit mutmasslich mehr als 80 Prozent der beobachteten Social-Engineering-Aktivitäten ausgemacht.
Angreifer nutzen KI auch für den Einbruch selbst. Im November 2025 berichtete Anthropic von einer Kampagne, die es mit hoher Sicherheit einer staatlich unterstützten chinesischen Gruppe zuschrieb. Sie setzte Claude Code gegen rund dreissig Organisationen ein und liess die KI 80 bis 90 Prozent der Arbeit erledigen. In einer kleinen Zahl von Fällen war sie erfolgreich. Der Rückblick von OWASP auf das erste Quartal 2026 ergänzt einen Einbruch bei mexikanischen Regierungsstellen, bei dem die Angreifer mutmasslich Claude und zeitweise ChatGPT eingesetzt hatten.
Die alten Warnzeichen, ein holpriger Satz oder eine seltsame Stimme, funktionieren nicht mehr. Vertrauen muss aus dem Prozess kommen, nicht aus den Sinnen.
Worte, die handeln
Im Unternehmen hat das Risiko eine andere Form. Ein Chatbot, der eine falsche Antwort gibt, ist peinlich. Ein Agent, der eine falsche Handlung ausführt, ist ein Vorfall. Die Kernschwäche ist Prompt Injection, die Nummer eins auf der OWASP-Liste 2025 der Risiken für Anwendungen auf Basis von Sprachmodellen: Anweisungen, die in einer Webseite, einer Datei oder einer E-Mail versteckt sind und die das Modell liest und befolgt.
Das britische National Cyber Security Centre erklärte im Dezember 2025, warum sie so hartnäckig ist. Sprachmodelle ziehen keine Grenze zwischen Anweisungen und Daten, deshalb lässt sich Prompt Injection womöglich nie so vollständig eindämmen, wie es bei SQL-Injection gelang. Die Aufgabe besteht darin, das Risiko und seine Auswirkungen zu verringern. Der Entwickler Simon Willison benannte im Juni 2025 die gefährliche Mischung: private Daten, nicht vertrauenswürdige Inhalte und ein Weg nach aussen. Einem Agenten mit allen dreien kann der Text eines Fremden befehlen, Ihre Daten wegzuschicken.
Agenten mit Schlüsseln
Echte Vorfälle folgen dieser Form. Im Juni 2025 zeigte Aim Labs, dass sich Microsoft 365 Copilot mit einer einzigen E-Mail dazu bringen liess, interne Daten preiszugeben, ohne dass das Opfer klicken musste. Microsoft hatte die Lücke behoben und sah keine Hinweise auf Missbrauch. Im August 2026 veröffentlichte Varonis CoSnitch, eine Kette von Schwachstellen in Copilot Personal. Ein präparierter Link führte den Prompt eines Angreifers in der Sitzung des Opfers aus, nutzte dessen Verbindungen zu Gmail, Google Drive, Google Calendar und OneDrive und schickte die Ergebnisse über Copilots eigene Funktion zum Abrufen von Webseiten hinaus. Eingeschleuste Anweisungen blieben im Speicher bestehen, selbst nach einem Passwortwechsel. Die falsche Annahme, so die Forscher, sei gewesen, dass jeder Aufruf eines Connectors vom Nutzer stammt.
Connectors sind Lieferanten, mit den Risiken eines Lieferanten. Im September 2025 veröffentlichte ein Paket in der npm-Registry, das sich als MCP-Server des E-Mail-Dienstes Postmark ausgab, fünfzehn saubere Versionen und fügte dann eine einzige Zeile hinzu, die jede ausgehende E-Mail an den Angreifer kopierte. Es kam innerhalb einer Woche auf etwa 1'500 Downloads, als Koi Security es meldete.
Die OWASP Top 10 für agentische Anwendungen, im Dezember 2025 veröffentlicht, benennen diese Risiken nun, von gekapertem Ziel und Werkzeugmissbrauch bis zu vergiftetem Speicher und abtrünnigen Agenten. Ihr Rückblick auf das dritte Quartal 2026 ergänzt einen nüchternen Punkt: Agenten können schon dadurch Schaden anrichten, dass sie die ihnen gestellte Aufgabe verfolgen, und überzogene Berechtigungen machen aus einem kleinen Fehler einen grossen. Anweisungen in einem Prompt ergeben für sich allein keine sichere Grenze.
Abwehr, die hält
Die Abwehrmassnahmen, die auf beiden Seiten wirken, teilen einen Gedanken. Sie verlassen sich nicht darauf, dass jemand, Mensch oder Modell, den Trick im Moment erkennt. Sie begrenzen, was ein getäuschter Mensch oder ein in die Irre geführter Agent tun kann.
Für Menschen listet die Polizei Schwyz auf, was hilft: jede dringende oder ungewöhnliche Zahlung über einen zweiten, unabhängigen Kanal verifizieren, bei grossen Beträgen das Vier-Augen-Prinzip einhalten und keine Überweisung ins Ausland ohne dokumentierte Freigabe tätigen.
Für Agenten gilt: Geben Sie jedem nur den schmalsten Zugriff, den seine Aufgabe braucht. Liest ein Modell Inhalte einer Partei, so das NCSC, sollten seine Rechte auf die dieser Partei sinken. Trennen Sie die drei Zutaten auf. Stellen Sie Senden, Zahlen, Veröffentlichen und Löschen hinter eine Freigabe, an der das Modell nicht vorbeireden kann. Führen Sie jeden Schreibvorgang unter der Identität der Person aus, die ihn verlangt hat, halten Sie Zugangsdaten ausser Reichweite, behandeln Sie jeden Connector wie einen neuen Lieferanten und protokollieren Sie, was der Agent getan hat, nicht nur, was er gesagt hat.
KI kann die Routineprüfungen und das Lesen übernehmen. Menschlich bleibt das Innehalten, wenn eine Anfrage sich falsch anfühlt, das Urteil, zurückzurufen, und die Verantwortung der Person, die unterschreibt.
Wie wir unsere bauen
Kontor, unser Connector für bexio, ist ein gehosteter MCP-Server, sodass kein Schlüssel auf einem Laptop liegt und sich jede Person mit ihrem eigenen Login anmeldet. Versand, Zahlungen und Mahnungen stehen dem Assistenten gar nicht erst zur Verfügung. Twin wendet dieselben Regeln im ganzen Unternehmen an: Zugriff nach Rolle, jeder Schreibvorgang pro Nutzer signiert, jeder Schritt protokolliert.
Wo Daten für jede Verbindung nach aussen zu kritisch sind, gibt es Eigna, gebaut von unserem Partner Eigna Labs: ein privates Modell pro Unternehmen in der eigenen Cloud oder auf den eigenen Servern, ausgelegt für den vollständigen Offline-Betrieb in geschlossenen Netzen und darauf trainiert, Hacking und Angriffe zu verweigern. Und Timbre, unser Produkt für Sprachassistenten und Stimmklone, klont eine Stimme nur mit Einwilligung der sprechenden Person.
Ein Unternehmen kann diese Woche beginnen. Vereinbaren Sie für jede Zahlungsanfrage eine Rückrufregel, sagen Sie jedem Team, dass eine vertraute Stimme kein Beweis mehr ist, listen Sie jeden Agenten und jeden Connector mit dem Zugriff auf, den er hält, und nehmen Sie weg, was er nicht braucht.
