Ein Domain-Anbieter räumt einen Einbruch ein, der von KI-Werkzeugen getragen worden sein soll. 123 Reg, ein britischer Registrar im Besitz von GoDaddy, nennt es „the first known AI-driven cyberattack against our company“. Das berichtet The Register am 28. Oktober. Mit dem gleichnamigen Magazin hat der Anbieter nichts zu tun.
WAS IST PASSIERT?
Der Angriff fand laut Unternehmen am 18. September 2026 statt. Erst in dieser Woche erhalten Kunden die Benachrichtigung per E-Mail. Die Aktivität sei „limited to reading“ gewesen, also auf das Lesen von Daten beschränkt. Ein Sprecher fügte hinzu, es sei möglich, dass Angreifer Kopien der Informationen angelegt haben. Deshalb die Meldung.
WELCHE DATEN SIND BETROFFEN?
- Kontaktdaten und „related customer relationship data“
- Umsatzsteuer-Nummern von Firmen
- Produktinformationen aus einer Programmierschnittstelle (API)
Der Sprecher nennt konkret: Namen, Telefonnummern, Länder, Sprach- und Währungseinstellungen, Datum der Kontoerstellung, Produkte im Konto und Marketing-Einstellungen. Passwörter und Zahlungsdaten stehen in der Aufzählung nicht.
WARUM „KI-GESTÜTZT“ UND WARUM CHINA?
Das Unternehmen sieht einen „strong Chinese nexus“. Die Begründung:
- Die Angriffsinfrastruktur nutzte IP-Adressen in China und Singapur.
- KI-Angriffs-„Skills“ lagen auf chinesischer Infrastruktur, darunter Kopien von Skills, die Anthropic als Open Source veröffentlicht hat, und mehrere weitere Frameworks und Skripte.
- Ein Mirror von „anthropic_skills“ und die Kontonamen auf chinesischen Servern passten laut Unternehmen zur Vorbereitung eines KI-gestützten Einsatzes.
- Beobachtet wurde auch ARTEX, ein quelloffenes, in China entwickeltes agentisches Pentest-Werkzeug vom Juli 2026.
Die Chefs von 123 Reg vermuten dieselbe Gruppe, die mit ARTEX südkoreanische Finanzinstitute angriff. Dazu verweist das Unternehmen auf einen CrowdStrike-Bericht (CSA-261162) vom 7. Oktober. The Register bringt die mutmaßliche Gruppe mit Missbrauch von Claude Code gegen mindestens 30 Organisationen in Verbindung. Das sind Vermutungen des Unternehmens und Berichte, keine bewiesene Täterschaft.
WAS 123 REG UNTERNOMMEN HAT
- Strafverfolgungsbehörden informiert
- Externe Sicherheitsfachleute hinzugezogen
- FTC sowie Datenschutzbehörden in Großbritannien und der EU benachrichtigt
- Mit Internetanbietern in Singapur Server der Angreifer abschalten lassen
WAS DU ALS KUNDE TUN SOLLTEST
- Phishing erwarten: Namen und Produkte im Konto machen Betrugsmails glaubwürdig. Misstraue Nachrichten, die angeblich von 123 Reg stammen.
- Nicht auf Links klicken: Rufe die Website selbst auf und melde dich dort an.
- Zwei-Schritt-Anmeldung (2SV) einschalten. Sie schützt, auch wenn ein Passwort bekannt wird.
- Merke: 123 Reg fragt laut eigener Aussage nie nach Passwörtern, Zahlungsdaten oder Bestätigungscodes per Mail, SMS oder Telefon.
- Domain-Sperre und Registrar-Lock prüfen, besonders bei wichtigen Domains.
WAS DAS FÜR WEBHOSTING-KUNDEN BEDEUTET
Der Fall zeigt, dass auch Registrare Ziel werden. Wer Domains und Mail über einen Anbieter verwaltet, hängt an dessen Sicherheit. Kontaktdaten und Produktlisten genügen für gezielte Phishing-Wellen. Prüfe deshalb bei allen Anbietern: Ist 2FA aktiv? Stimmen die hinterlegten Kontaktadressen? Ist ein Registrar-Lock gesetzt?
FAZIT: KI macht Angriffe schneller, nicht magisch
Der Angriff war laut Unternehmen auf Lesen beschränkt. Das ist weniger dramatisch als ein Domain-Diebstahl, aber genug für Betrug. Wer 2SV aktiviert und Mails kritisch prüft, nimmt den Angreifern das Wichtigste.