Das Wichtigste in 30 Sekunden
- Anthropic hat am 10. September seinen Bedrohungsbericht für den Zeitraum Dezember 2025 bis August 2026 veröffentlicht — über sieben Schadensfelder hinweg.
- Für WordPress-Betreiber steht darin eine bittere Neuigkeit: eine bislang undokumentierte Race Condition in der Neuinstallation, die einen Admin-Account ohne gültige Zugangsdaten anlegt.
- Zugangsschlüssel werden inzwischen industriell abgegrast: Eine Gruppe lud 1,8 Millionen Android-Apps herunter und durchsuchte sie automatisch nach Secrets.
- Anthropics Kernsatz: „Security through obscurity“ funktioniert nicht mehr — alles, was am Internet hängt, ist ein potenzielles Ziel.
Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
Bedrohungsberichte von KI-Anbietern klingen erst mal weit weg: Staatshacker, Millionenerpressungen, Einflusskampagnen. Dieser hier nicht. Denn in mehreren der beschriebenen Fälle waren die Ziele genau das, was viele Leser hier selbst betreiben: eine WordPress-Seite, ein selbst gehosteter KI-Stack, ein Container mit einem API-Schlüssel drin.
Die WordPress-Masche, die du kennen musst
Der Bericht beschreibt eine bisher undokumentierte Race Condition im Neuinstallations-Vorgang von WordPress. Ausgenutzt wurde sie laut Anthropic gegen mindestens vier Opfer-Websites. Das Ergebnis: ein Administrator-Konto, das ohne gültige Zugangsdaten entsteht.
Dazu kamen drei weitere Tricks, die in Kombination richtig unangenehm sind:
- eine Webshell, getarnt als Font-Datei im Theme — wer nach PHP in unauffälligen Ordnern nicht sucht, findet sie nicht;
- ein bösartiges mu-plugin als Zugangsdaten-Sammler. Must-Use-Plugins laufen bei jedem Seitenaufruf und lassen sich im Dashboard nicht abschalten;
- vergiftete Backups, damit die Hintertür nach der Wiederherstellung wieder da ist.
Deine Checkliste für heute: Ist /wp-admin/install.php von außen erreichbar? Was liegt in wp-content/mu-plugins/? Gibt es PHP-Dateien in Ordnern, in denen nur Schriften oder Bilder liegen sollten? Und: Wie alt ist das letzte Backup, von dem du weißt, dass es sauber war?
Zugangsschlüssel sind jetzt das Hauptziel
Der zweite große Strang des Berichts dreht sich um gestohlene Schlüssel. Eine Gruppe, die Anthropic als Umfeld der ShinyHunters-Szene einordnet, betrieb zehn Cloud-Arbeiter, lud damit 1,8 Millionen verschiedene Android-Apps herunter und durchsuchte sie automatisch nach hinterlegten Secrets. Die Treffer landeten live in einem Telegram-Kanal mit hunderten Themen-Threads.
Wie effizient das weiterläuft, zeigt eine Zahl aus einem Lieferketten-Angriff: über 2.100 Azure-AD-Token-Sätze aus mehr als 40 Firmen-Mandanten in etwa 34 Stunden. Anthropic schreibt dazu, dass KI-Agenten nahezu die gesamte Arbeit übernommen hätten. An anderer Stelle heißt es, einzelne Angreifer schafften Einbrüche in zwei bis drei Stunden und bearbeiteten dutzende Opfer parallel.
Die praktische Konsequenz ist unbequem, aber eindeutig: Ein API-Schlüssel in einem Docker-Image, in einem Git-Repo oder in einer Mobil-App ist kein Schönheitsfehler mehr, sondern ein Fund, auf den gezielt gescannt wird. Anthropic empfiehlt, KI-Schlüssel und Agenten-Anbindungen mit derselben Ernsthaftigkeit zu behandeln wie Produktions-Zugangsdaten. Für alles, was du selbst verwaltest, ist ein Passwort-Manager wie NordPass* der Mindeststandard — Schlüssel gehören nicht in Notizzettel und nicht ins Repo.
Vom Staatsakteur bis zum Einzelgänger
Bemerkenswert ist, wie wenig Personal hinter manchen Kampagnen steckt. Hinter einer chinesischen Operation mit rund 50 Zielen weltweit standen laut Bericht zwei Personen — die dafür Agenten-Schwärme mit dauerhaftem Kampagnen-Gedächtnis aufsetzten und in einem einzigen Monat „mehr als ein Dutzend mögliche Zero-Day-Funde“ gegen Sicherheits- und Netzwerk-Appliances produzierten.
Eine russische Gruppe ließ ihre Schadsoftware von Agenten so lange umbauen, bis die Virenscanner sie nicht mehr erkannten. Und ein einzelner Aktivist arbeitete einen Monat lang komplett auf gestohlenen API-Schlüsseln — der Datenverkehr lief also unter dem Namen des rechtmäßigen Besitzers.
Anthropic zieht daraus einen Satz, der die Lage gut zusammenfasst: Das Unterscheidungsmerkmal zwischen diesen Akteursklassen sei nicht mehr die Raffinesse, sondern die Absicht.
Und eine Falle direkt für KI-Nutzer
Ein eigener Fall betrifft gefälschte Wiederverkäufer: Ein Anbieter warb mit günstigem Zugang, leitete die Anfragen aber heimlich auf ein anderes Modell um und installierte beim Nutzer einen Zugangsdaten-Sammler. Die erbeuteten Konten wurden weiterverkauft.
Also: KI-Zugänge nur über die offiziellen Kanäle. Ein Client, der aussieht wie das Original, aber woanders herkommt, ist genau das Risiko, das dieser Bericht beschreibt. Wichtig noch zur Einordnung: In allen Fällen wurden Schlüssel aus Kundenumgebungen gestohlen. Anthropics eigene Systeme waren laut Bericht nicht kompromittiert.
Was Anthropic dagegen tut
Die betroffenen Konten wurden gesperrt und die Operationen zugeordnet. Zusätzlich wurden automatische Erkennungen auf die Verhaltenssignaturen der Kampagnen gebaut, und Indikatoren gingen an Behörden, Branchenpartner, Plattformen und Betroffene. Mehrfach dokumentiert der Bericht auch, dass Claude Teile der Anfragen verweigerte — die Akteure wichen dann auf entschärfte Formulierungen aus.
Häufige Fragen
Ist meine WordPress-Seite durch die Reinstall-Lücke gefährdet?
Das Muster setzt darauf, den Installationsvorgang anzustoßen, während die Seite noch antwortet. Prüfe, ob install.php und wp-admin/setup-config.php von außen erreichbar sind, und sperre sie über Webserver oder WAF. Kontrolliere zusätzlich die Administratorenliste auf Konten, die du nicht angelegt hast.
Wie finde ich ein bösartiges mu-plugin?
Schau direkt im Dateisystem in wp-content/mu-plugins/ — im Dashboard tauchen Must-Use-Plugins nur in einer eigenen Liste auf und lassen sich dort nicht deaktivieren. Vergleiche den Ordnerinhalt mit dem, was du selbst dort abgelegt hast. Alles Unbekannte ist verdächtig, auch wenn der Dateiname harmlos klingt.
Muss ich meine API-Schlüssel jetzt alle tauschen?
Tausche alles, was jemals in einem öffentlichen Repo, in einem Container-Image, in einer App oder in einem Log gelandet sein könnte. Setze danach getrennte Schlüssel pro Anwendung ein, damit ein Fund nicht alles aufmacht, und aktiviere Ausgabe- oder Ratenlimits, damit Missbrauch früh auffällt.
Heißt das, KI-Angriffe sind jetzt automatisch erfolgreich?
Nein. Auffällig ist im Bericht, dass fast alle erfolgreichen Einbrüche über bekannte Schwächen liefen: schwache Passwörter, offene Endpunkte, veraltete Software, herumliegende Schlüssel. Neu ist das Tempo und die Parallelität, nicht die Technik. Grundlagenhygiene wirkt deshalb weiter — sie muss nur schneller sitzen als früher.