KI in Malware: Wie Angreifer LLMs für Cyberangriffe einsetzen und was das wirklich bedeutet

KI verändert die Cybersicherheitslandschaft. Das ist keine Übertreibung, aber auch keine Apokalypse. Während Medienberichte gerne von "KI-gesteuerten Superviren" sprechen, die autonom in Unternehmensnetzwerke eindringen, sieht die Realität nüchterner aus. Forscher von Palo Alto Networks Unit 42 haben systematisch analysiert, wie Angreifer grosse Sprachmodelle heute tatsächlich einsetzen. Das Ergebnis: Es gibt echte Risiken, viel Marketing und eine deutliche Lücke zwischen dem, was möglich ist, und dem, was bereits in freier Wildbahn beobachtet wird. Entscheidend ist, was hinter dem Begriff "KI Malware" steckt, welche Szenarien heute real sind und was Unternehmen daraus ableiten sollten.

Was KI für Angreifer wirklich attraktiv macht

Die entscheidende Frage lautet: Macht KI Angriffe einfacher, schneller oder skalierbarer? Hier lautet die Antwort: ja, in bestimmten Bereichen deutlich.

Grosse Sprachmodelle wie GPT-4 oder ähnliche Systeme können Code schreiben, erklären und debuggen. Das ist nützlich für Entwickler, aber eben auch für Angreifer ohne tiefen technischen Hintergrund. Wer früher Programmierkenntnisse brauchte, um einen funktionalen Keylogger oder einen einfachen Infostealer zu schreiben, kann heute einen LLM nach der richtigen Fragestellung konsultieren. Die Einstiegshürde sinkt.

Wie weit LLM-gestützte Automatisierung reichen kann, zeigt das AutoAttacker-Projekt: Forscherinnen und Forscher demonstrierten ein mehrstufiges LLM-System, das Angriffssequenzen von der Aufklärung über Exploitation bis zur Post-Breach-Phase automatisiert ausführen kann. Die Erfolgsraten variieren je nach Szenario, aber der Trend ist klar: Was früher manuell und zeitaufwändig war, wird durch Sprachmodelle in Teilschritten automatisierbar.

Hinzu kommt die Skalierung. KI macht aus generischen Phishing-Massenmails individuell zugeschnittene, sprachlich einwandfreie Texte. Eine E-Mail im Namen des Vorgesetzten, mit Bezug auf ein konkretes Projekt, in sauberem geschäftlichem Hochdeutsch: Das war früher aufwändig. Heute ist es ein Prompt.

Der IBM X-Force Threat Intelligence Index 2026 zeigt, wie real dieser Druck bereits ist: Aktive Ransomware-Gruppen stiegen gegenüber dem Vorjahr um 49 Prozent. Die Ausnutzung öffentlich zugänglicher Systeme stieg um 44 Prozent. Und mehr als 300.000 gestohlene Zugangsdaten für KI-Chatbot-Dienste tauchten auf Dark-Web-Marktplätzen auf, ein deutlicher Hinweis darauf, dass Angreifer aktiv nach Zugängen zu KI-Tools suchen. 56 Prozent der offengelegten Schwachstellen erforderten dabei keine Authentifizierung, was den Einstieg für weniger erfahrene Akteure zusätzlich vereinfacht.

Die drei Einsatzszenarien: KI-geschriebene Malware, KI als C2-Operator, KI-Agenten-Angriffe

Unit 42 hat drei grundlegende Kategorien identifiziert, in denen KI im Kontext von Malware und Cyberangriffen eine Rolle spielen kann. Diese Kategorien helfen, den Diskurs zu strukturieren, denn sie unterscheiden sich erheblich in Reifegrad und tatsächlicher Bedrohungslage.

Kategorie 1: KI schreibt Malware. Das ist die bekannteste und am weitesten verbreitete Kategorie. Angreifer nutzen LLMs, um Schadcode zu generieren, zu optimieren oder schwer zu erkennende Varianten bestehender Malware zu erzeugen. Dabei geht es weniger um neuartige, revolutionäre Angriffsmethoden als vielmehr um Effizienz: Code, der früher Stunden Entwicklungszeit kostete, entsteht in Minuten. Sicherheitsrelevante Funktionen wie Obfuskation (also das Verschleiern von Code) können durch KI automatisiert werden. Untergrundmodelle wie WormGPT oder FraudGPT, die seit 2023 und 2024 bekannt sind, gehen noch weiter: Sie wurden explizit ohne Sicherheitsbeschränkungen trainiert und bieten eine Art "Malware-as-a-Service"-Infrastruktur für technisch weniger versierte Kriminelle.

Kategorie 2: KI als Remote-C2-Entscheidungsträger. In diesem Szenario schreibt die KI die Malware nicht selbst, sie unterstützt die Steuerung. Das Command-and-Control-System (C2), über das Angreifer infizierte Systeme steuern, bezieht Entscheidungen von einem LLM. Die Schadsoftware sendet Informationen über die Zielumgebung an ein Sprachmodell und erhält Anweisungen zurück: Welche Dateien sollen exfiltriert werden? Welche nächsten Schritte sind sinnvoll? Dieses Szenario wurde bereits in realer Malware beobachtet, allerdings mit gemischten Ergebnissen hinsichtlich des tatsächlichen Nutzens.

Kategorie 3: Lokale KI-gestützte Angriffs-Agenten. Das ist das technisch fortgeschrittenste und bisher nicht in freier Wildbahn beobachtete Szenario. Hier würde ein KI-Modell direkt auf dem kompromittierten System laufen und autonom Entscheidungen treffen, ohne externe API-Anbindung und ohne Verbindung nach aussen. Ein solcher Agent könnte sich lateral durch ein Netzwerk bewegen, Schwachstellen erkennen und ausnutzen, alles ohne menschliche Steuerung. Technisch ist das heute noch extrem aufwändig: Leistungsfähige Sprachmodelle erfordern erhebliche Rechenressourcen, die auf einem durchschnittlichen Unternehmens-Endpunkt nicht einfach zur Verfügung stehen. Dieses Szenario bleibt vorerst Zukunftsmusik. Es wäre aber fahrlässig, es aus dem Blick zu verlieren.

Konkrete Beispiele aus der Praxis: AI Theater und AI-Gated Execution

Unit 42 hat bei ihrer Analyse zwei konkrete Muster dokumentiert, die exemplarisch für den aktuellen Stand der Dinge stehen.

Das erste Muster nennen die Forscher treffend "AI Theater". Dabei handelt es sich um einen .NET-basierten Infostealer - also eine Schadsoftware, die Zugangsdaten und andere sensible Informationen vom infizierten System stiehlt. Dieser Infostealer ruft über eine HTTP-API die OpenAI-Dienste auf, konkret GPT-3.5-Turbo. Klingt nach einem ausgeklügelten, KI-gesteuerten Angriff. Ist es aber nicht. Die Integration der KI bringt in diesem konkreten Fall keinen messbaren taktischen Vorteil. Der Infostealer würde auch ohne den LLM-Aufruf genauso funktionieren. Was bleibt, ist ein Marketingstunt: Die Malware wird als "KI-gestützt" vermarktet, was in kriminellen Underground-Foren offenbar als Verkaufsargument funktioniert. AI Theater eben: Fassade statt Substanz.

Das zweite Muster ist technisch deutlich interessanter: "AI-Gated Execution". Hier handelt es sich um einen Golang-basierten Malware-Dropper, der einen LLM zur Entscheidungsfindung einsetzt. Bevor die eigentliche Schadsoftware installiert wird, analysiert der Dropper die Zielumgebung und schickt die gesammelten Informationen an ein Sprachmodell. Der LLM bewertet, ob das System ein geeignetes Angriffsziel ist, und gibt erst dann grünes Licht für die nächste Stufe. Das ist schlauer: Malware, die sich selbst auf ungeeignete Ziele nicht installiert, hinterlässt weniger Spuren, ist schwerer zu erkennen und verschwendet keine Ressourcen. Dieses Muster zeigt, dass KI im Angriffskontext durchaus sinnvoll eingesetzt werden kann, auch wenn die Umsetzung noch weit von autonomen Agenten-Szenarien entfernt ist.

Beide Beispiele verdeutlichen das Spektrum: Auf der einen Seite Buzzword-getriebene Funktionen ohne echten Mehrwert. Auf der anderen Seite erste, durchaus clevere Einsätze von KI als Entscheidungskomponente in Angriffsinfrastrukturen.

Der Realitätscheck: Was heute schon passiert und was (noch) Hype ist

Es lohnt sich, klar zwischen dem zu unterscheiden, was heute bereits nachweislich passiert, und dem, was als theoretisches Risiko im Raum steht.

Was heute real ist: Phishing-Angriffe werden durch KI massiv effektiver. Sprachbarrieren fallen weg, Texte wirken authentischer, Personalisierung ist in grossem Massstab möglich. Das ist kein Zukunftsszenario. Es passiert jetzt. Auch die Codegenerierung für einfachere Schadprogramme ist realistisch: Jailbreaking-Prompts für ChatGPT und ähnliche Modelle kursieren in Untergrundforen, und spezialisierte Modelle ohne Sicherheitsfilter sind im Darknet verfügbar. Die Zahl aktiver Bedrohungsakteure steigt, und der Zugang zu Angriffswerkzeugen wird demokratisiert, direkt unterstützt durch KI.

Auch KI-gestützte Angriffe auf Authentifizierungssysteme sind keine reine Theorie mehr. CAPTCHA-Bypassing durch KI-basierte Bilderkennung ist technisch gelöst. Deepfake-gestützte Angriffe auf Videoidentifikationsverfahren wurden bereits dokumentiert.

Was (noch) übertrieben ist: Lokale, autonom agierende KI-Agenten in Malware gibt es bisher nicht in freier Wildbahn. Die technischen Hürden (Modellgrösse, Rechenleistung, Speicherbedarf) sind real. Ein Sprachmodell, das komplexe Angriffsentscheidungen treffen kann, passt nicht auf einen USB-Stick. Auch die Vorstellung, dass KI-Malware klassische Angriffsvektoren vollständig ersetzt, ist falsch: SQL-Injection, Phishing und ungepatchte Schwachstellen dominieren nach wie vor die Angriffsstatistiken. KI ist ein Verstärker, kein Paradigmenwechsel.

Und nicht zuletzt: Defenders profitieren ebenso. KI-gestützte Anomalie-Erkennung, automatisiertes Threat Hunting und verhaltensbasierte Analysen sind heute in professionellen Security-Operations-Centern Standard. Das Rennen zwischen Angreifern und Verteidigern bleibt ein Wettlauf auf Augenhöhe: KI beschleunigt beide Seiten.

Was Unternehmen und IT-Teams jetzt tun sollten

Die Erkenntnis, dass KI Angreifern hilft, klingt beunruhigend. Die praktischen Konsequenzen sind aber weniger dramatisch als oft dargestellt, grösstenteils eine Fortsetzung bewährter Sicherheitsprinzipien.

Phishing-Resilienz stärken. Da KI Phishing-Angriffe überzeugender macht, müssen Awareness-Trainings und technische Schutzmassnahmen Schritt halten. Mehrstufige Authentifizierung (MFA) gehört auf alle extern erreichbaren Zugänge, Admin-Konten und KI-Tool-Accounts. Trainings sollten reale Rollen, Projekte und Freigabeprozesse simulieren; generische „Klick-nicht-auf-Links“-Folien reichen nicht mehr aus.

Patch-Management ernst nehmen. 56 Prozent der ausgenutzten Schwachstellen erforderten laut IBM X-Force keine Authentifizierung. Das bedeutet: Ungepatchte Systeme sind das grösste Einfallstor, lange vor ausgeklügelter KI-Malware. Internet-exponierte VPNs, Gateways, Filesharing-Systeme und Remote-Management-Dienste gehören in eine priorisierte Patch-Liste mit festen Fristen.

KI-Zugänge kontrollieren. Die 300.000 gestohlenen Chatbot-Zugangsdaten auf dem Darkweb zeigen, dass Angreifer gezielt nach KI-Tool-Zugängen suchen, vermutlich um Sicherheitsfilter zu umgehen oder um auf sensible Daten in Unternehmens-KI-Systemen zuzugreifen. API-Keys gehören in Secrets-Management, nicht in Tickets, Chatverläufe oder lokale Skripte. Rotationen und Scope-Begrenzungen sollten genauso selbstverständlich sein wie bei Cloud-Zugängen.

Security-KI einsetzen. Wer KI nur als Bedrohung sieht, verschenkt eine Chance. SIEM-Systeme mit KI-gestützter Anomalie-Erkennung, automatisiertes Vulnerability Scanning und KI-basiertes Threat Hunting sind heute verfügbar und helfen, die steigende Angriffslast zu bewältigen, besonders für Teams, die nicht rund um die Uhr ausreichend besetzt sind.

Realistische Risikoeinschätzung pflegen. Das klingt banal, ist es aber nicht. Ressourcen sind begrenzt. Wer auf Science-Fiction-Szenarien mit lokalen KI-Agenten in Malware reagiert, während ungepatchte VPN-Gateways im Netzwerk stehen, setzt falsche Prioritäten. Unit 42 betont ausdrücklich, dass viele KI-in-Malware-Claims übertrieben sind. Wer die gesamte KI-Sicherheitslandschaft 2026 im Blick behält (von Supply-Chain-Angriffen bis zu autonomen Agenten), kann Prioritäten sachlicher setzen. Eine sachliche Risikoanalyse ist die wichtigste Grundlage für sinnvolle Schutzmassnahmen.

Häufige Fragen zur KI-Malware

Was zeichnet KI-basierte Malware wirklich aus? KI-basierte Malware nutzt ein Modell nicht zwingend, um komplett autonom anzugreifen. Heute realistischer sind engere Funktionen: Codegenerierung, bessere Phishing-Texte, Zielauswahl oder Entscheidungslogik vor der eigentlichen Ausführung. Entscheidend ist deshalb nicht das Etikett "KI", sondern ob das Modell dem Angriff einen messbaren taktischen Vorteil gibt.

Sind autonome KI-Agenten in Malware schon Realität? Noch nicht in dem Sinn, wie es oft beschrieben wird. Lokale Agenten, die ohne menschliche Steuerung ein Netzwerk kompromittieren, bleiben technisch aufwändig und sind bisher nicht als verbreitete Praxis belegt. Näher an der Gegenwart sind Systeme, die einzelne Entscheidungen unterstützen, etwa ob ein Dropper auf einem Zielsystem weiter aktiv werden soll.

Was hat das mit LLM-Guardrails und Agenten-Sicherheit zu tun? Die Verbindung liegt in der Architektur. Wenn ein Modell nur Text erzeugt, ist der Schaden begrenzt. Wenn es Code ausführt, Tools nutzt oder Entscheidungen in einer Angriffskette trifft, braucht es technische Grenzen ausserhalb des Modells. Genau deshalb sind robuste LLM-Guardrails allein nicht genug; bei KI-Agenten geht es zusätzlich um Isolation, Logging und kontrollierte Ausführungsumgebungen.

Fazit

KI verändert die Bedrohungslandschaft, aber nicht so, wie Hollywood es sich vorstellt. Die Realität ist prosaischer und deshalb auch beherrschbarer: KI senkt die Einstiegshürde für weniger erfahrene Angreifer, macht Phishing überzeugender und ermöglicht erste intelligente Entscheidungskomponenten in Angriffswerkzeugen. Autonome KI-Agenten, die selbstständig Netzwerke kompromittieren, sind technisch noch nicht realisiert. Was heute zählt, sind klassische Sicherheitshygiene, stärkere Authentifizierung und der gezielte Einsatz von KI auf der Verteidigungsseite. Die grösste Gefahr ist nicht die KI-Malware der Zukunft. Es sind die ungepatchten Systeme von heute.