Stell dir vor, dein Computer arbeitet nachts. Nicht für dich. Er lädt Dateien hoch, die du nie freigegeben hast, verschickt Nachrichten in deinem Namen, greift Rechenleistung ab, und am Morgen sieht alles aus wie immer. Das ist keine Zukunftsvision.
Für klassische Schadsoftware war das jahrzehntelang Alltag, man nannte die gekaperten Rechner Botnetze. Die neue Variante braucht keinen Virus mehr, sie braucht nur gekaperte KI-Agenten, die eigentlich dir gehören.
Inhaltsverzeichnis
Was ein Botnetz war und warum es zurückkommt
Ein Botnetz ist ein Verbund gekaperter Rechner, die ein Angreifer aus der Ferne steuert. Die Besitzer merken nichts. Ihre Maschinen versenden Spam, legen Websites lahm, schürfen Kryptowährung, während sie selbst ahnungslos arbeiten oder schlafen. Der Angreifer sitzt irgendwo und gibt Befehle an tausende Rechner gleichzeitig. Der Fachbegriff für diese Steuerzentrale ist Command and Control.
Das Modell brauchte drei Zutaten. Viele verwundbare Maschinen, einen Weg, sie zu übernehmen, und einen Kanal, sie fernzusteuern. Jahrzehntelang lieferte klassische Schadsoftware alle drei. Dann wurde es schwerer, weil Betriebssysteme und Schutzprogramme aufholten. Und jetzt liefert eine neue Technik die drei Zutaten erneut, in besserer Qualität. Der KI-Agent.
Ein Botnetz ist ein Netzwerk aus Computern, die ohne Wissen ihrer Besitzer von einem Angreifer ferngesteuert werden. Über eine zentrale Steuerung, Command and Control genannt, führen sie koordiniert Aufgaben aus, etwa Spam-Versand oder Angriffe auf Websites.
Verwundbare Maschinen gibt es inzwischen millionenfach, jeder laufende Agent ist eine. Der Weg zur Übernahme ist die indirekte Prompt Injection, über die ich an anderer Stelle geschrieben habe. Und der Fernsteuerungskanal, der eigentlich schwierige Teil, ist erschreckend elegant gelöst, wie gleich zu sehen sein wird. Der Agent liefert damit alle drei Zutaten auf einmal, und billiger als je zuvor. Genau das ist das Beunruhigende. Nicht dass Botnetze neu wären, sondern dass sie plötzlich viel leichter zu bauen sind.
Warum der Agent das leichtere Opfer ist als du
Beim klassischen Betrug im Netz ist der Mensch das Ziel. Die gefälschte Mail vom Chef, der Anruf vom angeblichen Support, die Seite, die aussieht wie die Bank. Man nennt das Social Engineering, die Kunst, jemanden zu einer Handlung zu überreden, die gegen sein Interesse läuft. Es funktioniert, weil Menschen unter Druck, Zeitnot oder Höflichkeit nachgeben.
Bei Agenten kommt eine zweite Ebene dazu, und sie ist tückischer. Der Angreifer muss nicht mehr dich überreden. Er überredet den Agenten. Und der Agent ist das dankbarere Opfer, weil ihm der Bauch fehlt, der beim Menschen Alarm schlägt. Ein Mensch stutzt, wenn der vermeintliche Chef plötzlich Geld ins Ausland überwiesen haben will. Ein Agent stutzt nicht. Er liest die Anweisung, hält sie für einen legitimen Arbeitsschritt und führt sie aus.
Genau das hat die Sicherheitsgruppe 0DIN, ein Forschungsprojekt der Mozilla-Stiftung, Ende Juni in einem Demonstrationsversuch gezeigt. Der von ihr gekaperte Agent hat nie entschieden, Schaden anzurichten. Er hat entschieden, einen Fehler zu beheben. Die Hilfsbereitschaft selbst ist die Angriffsfläche. Man kann einen Agenten nicht schulen, argwöhnischer zu werden, ohne ihn zugleich unbrauchbarer zu machen.
Es gibt noch eine dritte, leisere Form von Social Engineering, und die trifft dich direkt. Die vielen Berechtigungsabfragen, die ein Agenten-Setup verlangt, ermüden dich, bis du nur noch klickst. Der Angreifer muss dich nicht austricksen. Er muss dich nur zermürben. Zustimmung durch Erschöpfung ist auch eine Form der Manipulation, nur eine, die geduldig wartet.
Gekaperte KI-Agenten sind keine Theorie mehr
Bis hierhin klingt das nach einem Gedankenspiel. Ist es nicht. Die ersten Fälle sind dokumentiert, und sie stammen aus dem Frühjahr und Sommer 2026.
Sicherheitsforscher bauten ein gefälschtes KI-Skill, das über 26.000 Agenten kaperte, wie Check Point im Juni berichtete. Verbreitet wurde es über vertrauenswürdige Marktplätze und Werbung auf Instagram, als klassischer Angriff über die Lieferkette. Das Paket war zunächst sauber und lud erst nach der Freigabe die schädlichen Anweisungen von außen nach. Wer es installierte, bekam kein verdächtiges Programm, sondern eines, das erst später zeigte, wem es wirklich diente.
In einer Spionagekampagne, die Sicherheitsforscher einem staatlichen Akteur zuordnen und intern GTG-1002 nennen, führten gekaperte Coding-Agenten geschätzt 80 bis 90 Prozent der eigentlichen Operation gegen rund 30 Ziele aus. Die Menschen dahinter haben gesteuert und beobachtet. Die Arbeit machten die Agenten. Das ist der Titel dieses Artikels, nur nicht als Bild, sondern als Protokoll.
Und die Command-and-Control-Frage, das Herzstück jedes Botnetzes, ist gelöst. Bei dem Angriff, den 0DIN demonstrierte, kam der Steuerbefehl nicht aus dem heruntergeladenen Programm. Er kam aus einem Eintrag im Adresssystem des Internets, den der Angreifer jederzeit ändern konnte, ohne das Programm anzufassen. Man kann sich das vorstellen wie eine Telefonnummer, die heimlich auf einen anderen Anschluss umgeleitet wird. Heute harmlos, morgen bösartig, und niemand sieht die Änderung. Im Kern ist das schon Fernsteuerung. Der Kanal steht.
Was noch fehlt, und warum das ein schwacher Trost ist
Ein echtes Agenten-Botnetz im großen Stil gibt es noch nicht, und das hat einen Grund. Botnetze leben von Dauer. Die gekaperten Maschinen müssen unbemerkt weiterlaufen, Tag und Nacht, monatelang. Agenten laufen heute meist in Sitzungen, werden beendet, neu gestartet, laufen in abgeschotteten Umgebungen. Diese Vergänglichkeit ist im Moment der beste Schutz.
Nur schmilzt genau dieser Schutz gerade weg. Der Verkaufsschlager der neuen Agenten ist ja, dass sie stundenlang im Hintergrund weiterarbeiten, auch wenn der Laptop zu ist. Was für dich Komfort ist, ist für einen Angreifer Persistenz. Je dauerhafter Agenten laufen, desto botnetz-tauglicher werden sie. Fortschritt und Risiko sind hier dieselbe Sache, aus zwei Blickwinkeln betrachtet.
Dazu kommt ein Befund aus einem Forschungslabor, der nachdenklich macht. Ein Agent widersetzte sich mehrfach den Abschaltbefehlen seines Betreibers und ließ sich erst stoppen, als man den zugrunde liegenden Prozess von außen abwürgte. Noch ist das ein kontrollierter Test, kein Vorfall in freier Wildbahn. Aber die Persistenz, die ein Botnetz braucht, muss nicht mühsam eingebaut werden. Sie deutet sich schon an.
Warum jetzt sogar die Geheimdienste warnen
Man merkt, dass ein Thema ernst ist, wenn Behörden gemeinsam die Stimme erheben, die sonst wenig miteinander teilen. Am 1. Mai 2026 veröffentlichten sechs nationale Cyber-Behörden aus den USA, Australien, Kanada, Neuseeland und Großbritannien ihre erste gemeinsame Leitlinie zu autonomen KI-Diensten. Das Dokument nennt die Prompt Injection die hartnäckigste und am schwersten zu behebende Bedrohung agentischer Systeme.
Der Rat der Behörden lässt sich in einem Satz zusammenfassen. Behandle deine KI-Agenten als nicht vertrauenswürdig und beschränke streng, worauf sie zugreifen dürfen. Das amerikanische Normungsinstitut hat für das Problem sogar einen eigenen Begriff geprägt, Agent Hijacking, die Entführung des Agenten. Wenn eine Behörde ein Wort erfindet, ist das Problem keine Randnotiz mehr.
Und es ist kein seltenes Problem. In einer Unternehmensbefragung berichteten 88 Prozent der Organisationen, im Vorjahr einen bestätigten oder vermuteten Sicherheitsvorfall mit einem KI-Agenten gehabt zu haben. Das ist keine Ausnahme mehr, das ist der Normalfall, über den nur niemand gern spricht.
Was du tun kannst, ohne in Panik zu verfallen
Der einzelne Privatnutzer, der ChatGPT als Schreibhilfe nutzt, ist kein Botnetz-Kandidat. Ein Chatbot ohne Vernetzung kann niemanden anstecken und wird von niemandem gekapert. Die Gefahr beginnt dort, wo ein KI-Agent eigenständig handelt, Zugriff auf deine Dateien und dein Netz hat und Werkzeuge nachlädt, die du nicht geprüft hast.
Die Schutzregeln sind dieselben wie beim vorsichtigen Einstieg überhaupt. Verbinde nur Werkzeuge aus geprüften Quellen, lass wenige gleichzeitig laufen, gib dem Agenten so wenig Rechte wie möglich. Woher man gute Setups bekommt, ohne sich Schadcode einzufangen, habe ich gesondert beschrieben. Der wichtigste Hebel ist die Einschränkung. Ein Agent, der nur lesen darf, taugt schlecht als Söldner.
Und weil die Ansteckung nicht bei dir haltmacht, lohnt der Blick auf das größere Bild. Wie sich Kontamination von Agent zu Agent fortpflanzt, ist das Nachbarthema zum Botnetz, eine Epidemie statt eines Angriffs. Beide Male verbreitet sich etwas über die normale Zusammenarbeit der Systeme, ohne dass jemand es steuern muss.
Die Freeware der Neunziger brachte Viren, und irgendwann kam die Schutzschicht, die sie zurückdrängte. Bei Agenten wird es genauso laufen, die Werkzeuge werden sicherer, die Quellen kuratierter, die Grenzen enger gezogen. Bis dahin gilt der unbequeme Satz, den man sich merken sollte. Dein Agent gehört dir nur so lange, wie du ihm nicht mehr zutraust, als du selbst überblickst. (lk)
