Eine KI führte bis zu 90 % eines Angriffs allein aus. Wer haftet dafür in Ihrem Unternehmen?

Der Angriff, bei dem ein Mensch nur wenige Knöpfe drückte

Im November 2025 veröffentlichte Anthropic den Bericht "Disrupting the first reported AI-orchestrated cyber espionage campaign". Darin schildert das Unternehmen, dass es Mitte September eine Gruppe entdeckte, die es mit hoher Sicherheit einem vom chinesischen Staat unterstützten Akteur zuordnet. Die Gruppe nutzte Claude Code, um rund 30 Organisationen anzugreifen: Technologiekonzerne, Finanzinstitute, Chemieunternehmen und Behörden. Einige dieser Angriffe waren erfolgreich.

Was die Debatte verändert, ist die Arbeitsteilung. Laut dem Bericht erledigte die KI 80 % bis 90 % der taktischen Operationen selbstständig, von der Aufklärung bis zur Datensammlung, einschließlich der Suche nach Schwachstellen und dem Testen von Zugangsdaten. Menschen kamen nur an wenigen Entscheidungspunkten ins Spiel, nach Schätzung von Anthropic vier bis sechs pro Kampagne. Etwa die Freigabe für den Übergang von der Aufklärung zur Ausnutzung oder die Auswahl der Daten, die abgezogen werden sollten.

Vier bis sechs menschliche Entscheidungen. Den Rest erledigte die Maschine.

Der Bericht hält auch eine Grenze fest, und die gehört fairerweise erwähnt: Zeitweise erfand die KI Ergebnisse, etwa Zugangsdaten, die nicht funktionierten. Trotzdem ist das Betriebsmodell nun belegt. Und es wirft eine Frage auf, die heutige Organigramme schlecht beantworten.

Der Titel, den das Gesetz nicht verschwinden lässt

Diese Geschichte hat eine ironische Seite. Im Juli schrieb Vicente Conde darüber, wie Jobtitel ausgerechnet bei Anthropic an Bedeutung verlieren. Ausgehend von einer Beobachtung von Boris Cherny, einem der Entwickler von Claude Code, beschreibt er ein Unternehmen, in dem die Arbeit nach Archetypen organisiert ist (wer Prototypen baut, wer entwickelt, wer pflegt) und nicht nach Titeln.

In der Sicherheit stößt diese Entwicklung an eine Grenze. Die Rolle desjenigen, der für Sicherheit einsteht, existiert nicht wegen des Organigramms. Sie existiert, weil jemand mit seinem Namen auf dem Dokument stehen muss.

In Brasilien verpflichtet die Resolution CMN 4.893 von 2021 (Vorgabe der Zentralbank) Finanzinstitute, einen Direktor zu benennen, der für die Cybersicherheitsrichtlinie und den Plan zur Reaktion auf Sicherheitsvorfälle verantwortlich ist. Zudem muss der Verwaltungsrat diese Richtlinie genehmigen. Der Archetyp kann sich ändern, so oft er will. Der Name auf dem Papier bleibt.

Mehr Schuld, weniger Entscheidungsmacht

Das Problem ist, was mit diesem Namen einhergeht. Splunk, eine Cisco-Tochter, veröffentlichte im Februar 2026 "The CISO Report" mit 650 CISOs aus neun Ländern. Mehr als drei Viertel fürchten, persönlich für Vorfälle haften zu müssen; ein Jahr zuvor war es gut die Hälfte. Und fast alle berichten, dass auch die KI-Governance auf ihrem Schreibtisch gelandet ist.

Die Befugnisse kamen nicht mit. Für den "2025 Voice of the CISO" befragte Proofpoint 1.600 CISOs in 16 Ländern, darunter Brasilien. Der Anteil derer, die sich mit dem Board auf einer Linie sehen, sank von 84 % im Jahr 2024 auf 64 %. An "State of the CISO 2025" von IANS Research und Artico Search nahmen mehr als 830 Führungskräfte teil. Nur 47 % sprechen monatlich oder quartalsweise mit dem Board, und nur 28 % entsprechen dem Profil eines strategischen CISO, mit echtem Zugang zur Unternehmensspitze und einer Stimme bei Board-Entscheidungen.

Die Verantwortung steigt, der Zugang zu den Entscheidern sinkt. Das ist für jede Position eine schlechte Kombination, und für eine, die führen soll, eine noch schlechtere.

Was Führungskräfte tatsächlich auf die Anklagebank brachte

Zwei amerikanische Fälle verfolgen jeden CISO, und meist werden sie auf "Wenn Daten abfließen, zahle ich" verkürzt. Der Ausgang der Verfahren erzählt eine genauere Geschichte.

Joe Sullivan, ehemaliger Sicherheitschef von Uber, wurde im Oktober 2022 verurteilt, weil er eine Ermittlung der FTC behindert und eine Straftat verschleiert hatte. Er hatte ein Datenleck behandelt, als wäre es die Auszahlung einer Bug-Bounty-Prämie, ohne die Behörden zu informieren. Er erhielt drei Jahre Bewährung und eine Geldstrafe von 50.000 US-Dollar, und im März 2025 bestätigte das Berufungsgericht für den Neunten Bezirk die Verurteilung einstimmig.

Timothy Brown, CISO von SolarWinds, wurde im Oktober 2023 von der SEC persönlich verklagt. Der Vorwurf: Er habe Investoren über die Sicherheitspraktiken des Unternehmens getäuscht. Im Juli 2024 wies ein Gericht den Großteil der Vorwürfe ab, und im November 2025 wurde das Verfahren endgültig eingestellt, ohne Vergleich.

Beachten Sie, dass in keinem der beiden Fälle der Vorwurf lautete, gehackt worden zu sein. Es ging darum, was über die Sicherheit gesagt oder verschwiegen wurde. Behalten Sie diese Unterscheidung im Kopf, denn sie wird deutlich komplizierter, wenn nicht ein Mensch handelt.

Wenn niemand den Knopf gedrückt hat

Nehmen Sie nun einen KI-Agenten hinzu. Im Juli 2025 berichtete Jason Lemkin, Gründer von SaaStr, dass der Programmier-Agent von Replit die Produktionsdatenbank seines Projekts gelöscht hatte, mitten in einem ausdrücklichen Code-Freeze. Laut Fortune enthielt die Datenbank Einträge zu mehr als 1.200 Führungskräften und mehr als 1.190 Unternehmen. Der Agent schrieb selbst, er habe in Sekunden die Arbeit von Monaten zerstört, und räumte ein, Befehle ohne Freigabe ausgeführt und die Anweisung missachtet zu haben, eine menschliche Genehmigung einzuholen. Replit-CEO Amjad Masad nannte den Vorfall inakzeptabel und sagte, so etwas hätte nie möglich sein dürfen.

Wer trägt also die Schuld? Der Anbieter, der das Werkzeug gebaut hat? Der Kunde, der dem Agenten Zugriff auf die Produktion gab? Der Agent, der keine Steuernummer hat?

Das Recht hat das noch nicht entschieden. In Europa zog die Kommission 2025 ihren Vorschlag für eine KI-Haftungsrichtlinie zurück, weil keine Einigung absehbar sei. Geblieben ist die neue Produkthaftungsrichtlinie von 2024, die Software und KI-Systeme als Produkte mit verschuldensunabhängiger Haftung behandelt; die Mitgliedstaaten haben bis zum 9. Dezember 2026 Zeit, die Regeln umzusetzen. Der AI Act verlangt, dass Hochrisikosysteme von Menschen beaufsichtigt und gestoppt werden können (Artikel 14), doch diese Pflichten wurden auf Dezember 2027 verschoben. In Brasilien wartet der Gesetzentwurf PL 2338/2023, im Dezember 2024 vom Senat verabschiedet, auf das Gutachten des Berichterstatters im Sonderausschuss der Abgeordnetenkammer.

Solange das Gesetz nicht entscheidet, entscheidet der Vertrag. Und das Board.

Drei Entscheidungen, die beim Board liegen, nicht beim CISO

1. Befugnisse festschreiben, nicht nur Verantwortung. Die brasilianische Regulierung verlangt bereits, dass das Board die Sicherheitsrichtlinie von Finanzinstituten genehmigt. Was darin fehlt: wer einen KI-Agenten ermächtigen darf, in der Produktion zu handeln, Kundendaten anzufassen oder Systeme zu testen, und in welchen Grenzen. Heute steht in dem Dokument meist, wer haftet, aber fast nie, wer das Sagen hat.

2. Festlegen, welche Entscheidungen beim Menschen bleiben. Die Angreifer in der von Anthropic beschriebenen Kampagne haben genau das getan und vier bis sechs Entscheidungen Menschen vorbehalten. Tun Sie dasselbe mit Ihren Agenten: Listen Sie die Aktionen auf, die eine menschliche Freigabe erfordern, und machen Sie es technisch unmöglich, diesen Schritt zu überspringen. Der Fall Replit zeigt den Unterschied zwischen Anweisung und Kontrolle. Der Agent hatte die Anweisung, um Freigabe zu bitten, und tat es nicht.

3. Jeder Agent mit einem Verantwortlichen und einem Vertrag. Jeder Agent, ob intern oder von einem Anbieter (auch autonome Pentest-Agenten, die Systeme bereits selbstständig testen), braucht einen namentlich benannten Verantwortlichen, einen schriftlich festgelegten Umfang, eine Möglichkeit, ihn sofort abzuschalten, und eine Klausel, die regelt, wer für den Schaden zahlt, wenn er diesen Umfang überschreitet.

Die Frage für die nächste Sitzung

Wenn das nächste Mal jemand dem Board ein Projekt mit KI-Agenten vorlegt, stellen Sie nur eine Frage: Wenn dieser Agent morgen etwas tut, das kein Mensch freigegeben hat, welcher Name steht dann in der offiziellen Stellungnahme?

Wenn es im Raum still wird, ist der CISO weiterhin nötig. Es muss nur jemand aufschreiben, was er entscheiden darf.

Die Angreifer haben ihre vier bis sechs menschlichen Entscheidungen bereits gewählt. Ihr Unternehmen muss seine noch wählen.