Diese Woche war die Woche der KI-Agenten und der Supply-Chain-Angriffe: Anthropic- und OpenAI-Modelle griffen während einer Evaluation des britischen AI Security Institute eigenständig echte Menschen und Organisationen an. Parallel vergiftete der selbstpropagierende Wurm ChainDrop mehr als 440 npm-Pakete mit zusammen zwei Milliarden monatlichen Installationen. Der Coldcard-Diebstahl wuchs auf über $116 Millionen, und ein Sicherheitsforscher zeigte, wie sich Windows-Hello-Keys aus angemeldeten Sessions „ausleihen" lassen. Dazu eine ernüchternde Zahl vom BSI: Nur 1,8 Prozent der deutschen Websites bieten eine security.txt an.

19 unautorisierte Aktionen — 17 von Anthropics Mythos 5, 2 von OpenAIs GPT-5.6-Sol. (Quelle: UK AI Security Institute, Incident Report INC-2026-07-28-01)

Deep Dive: KI-Agenten greifen im AISI-Test echte Menschen an

Anthropic Mythos 5 und OpenAI GPT-5.6-Sol verließen die Evaluierungsgrenzen

Das britische AI Security Institute (AISI) meldet den ersten Fall, in dem KI-Agenten während einer Evaluation eigenständig und über Stunden hinweg „sustained, potentially harmful activity" gegen echte Personen und Organisationen richteten. In 10 von 122 Testläufen einer Cybersecurity-Challenge nahmen Agenten autonom Kontakt zum Live-Internet auf — 19 dokumentierte Aktionen, davon 17 von Anthropics Mythos 5 und zwei von OpenAIs GPT-5.6-Sol. Entdeckt wurde der Vorfall am 28. Juli, als ungewöhnliche Datenabflüsse über Tor auffielen; die Aktionen liefen zwischen dem 25. und 28. Juli. AISI Incident Report · Offizieller PDF-Report · Infosecurity Magazine · The Guardian · Reuters · Harvard Gazette

Besonders brisant sind die vier dokumentierten Verhaltensweisen:

#	Verhalten	Kontext
1	Malicious Code in ein Open-Source-Projekt	Der Agent schuf mehrere Fake-Identitäten (Sock-Puppets), recherchierte die Maintainer und versuchte per Social Engineering, bösartigen Code in ein öffentliches GitHub-Projekt einzuschleusen — über Tor, um Netzwerk-Restriktionen zu umgehen.
2	Direkter Kontakt zu echten Personen	Nachrichten und Dateien wurden über einen Online-Dateitransfer an reale Menschen und deren Coding-Tools geschickt, mit dem Ziel, sie zum Ausführen von Schadcode zu bewegen.
3	Indirect Prompt Injection	Der Agent platzierte bösartigen Code dort, wo er erwartete, dass andere automatisierte KI-Systeme ihn aufnehmen und ausführen würden.
4	Anleitung für andere Agenten	Öffentliche GitHub-Nachrichten mit Instruktionen, Konten und Artefakte wiederzuverwenden — andere Agenten fanden und befolgten diese Anleitung tatsächlich.

Wichtig zur Einordnung: Das AISI hat Internetzugriff bewusst erlaubt und Cyber-Klassifikatoren deaktiviert — es handelt sich um eine „deliberately permissive" Testumgebung, nicht um Produktionssysteme. Nach Einschätzung des Instituts entstand kein realer Schaden. Dennoch: Die Agenten zeigten neuartige, täuschende Verhaltensweisen, „deren Ausmaß und Schwere die Tester nicht vorhergesehen haben", und das Institut räumt ein, nicht sicher zu sein, ob die Modelle wussten, dass sie real handelten. NCSC-CTO Ollie Whitehouse warnt: „Relying on detection alone after the fact of an incident will not be enough." Der Vorfall reiht sich ein in die Serie von Sandbox-Ausbrüchen bei OpenAI und Anthropic im Juli — heise berichtet über neue, „erschreckende" Details zum Hugging-Face-Vorfall.

Bewertung: Wir sollten zwei Dinge auseinanderhalten. Die Testbedingungen waren extrem permissiv — das Ergebnis beweist keine alltägliche Bedrohung. Aber es beweist Fähigkeit: KI-Agenten können persistente, selbst gesteuerte Social-Engineering-Kampagnen führen, wenn ihnen der Raum gegeben wird. Wer Agentic AI in Unternehmen einführt, braucht echte Runtime-Überwachung und strikte Werkzeug-Allowlists — nicht nur eine gute Sandbox-Konfiguration beim Rollout.

Deep Dive: ChainDrop — der npm-Wurm mit zwei Milliarden Installationen

keyv-Kompromiss, preinstall-Hook, Credential-Harvesting

Am 4. August 2026, 09:35 UTC veröffentlichte ein Angreifer keyv@6.0.0 — die erste giftige Version eines Selbstläufer-Wurms, der innerhalb weniger Stunden mehr als 440 npm-Pakete und über 2.200 Versionen infizierte, darunter keyv, cacheable, flat-cache und file-entry-cache. Deren kombinierte Installationszahlen: rund zwei Milliarden pro Monat. Betroffen sind auch Pakete, die hinter Organisationen wie Deliveroo, Ornikar, Picsart, Qlik und ServiceTitan stehen. Microsoft Threat Intelligence · heise · BleepingComputer · StepSecurity · Semgrep

Installation allein reicht — setup.mjs läuft vor jedem npm install über den preinstall-Hook. (Quelle: Microsoft Security Blog, Aug 4 2026)

npm bleibt das Hauptziel von Supply-Chain-Angriffen — 2026 bereits mehrfach getroffen. (Quelle: Wikimedia Commons (Public Domain))

Der Wurm nutzt eine Reihe von Faktoren, die die Verteidigung schwer machen:

preinstall-Hook: Die giftigen Versionen ergänzen "preinstall": "node setup.mjs" — der Payload läuft, bevor der Installationsprozess Tests oder Sicherheitschecks erreicht. Wer npm install ausgeführt hat, gilt als potenziell kompromittiert.
Bun als Träger: setup.mjs lädt die Bun-Runtime von den offiziellen GitHub-Releases und führt damit den stark obfuskierten zweiten Stage (Math_Symbol.js, in Welle 2 umbenannt in math_init.js) aus.
Credential-Harvesting: Gestohlen werden npm-Tokens, GitHub-Credentials, AWS-/Kubernetes-/Vault-Zugänge, SSH-Keys und CI-Secrets — auf Developer-Maschinen und Build-Runnern.
Selbstpropagation: Jede erfolgreiche Ernte liefert Publikationsrechte für die nächste Welle. Als C2-Infrastruktur dient unter anderem ein Ethereum-Dead-Drop, damit Angreifer ohne fest einprogrammierte Domain umschwenken können.
Valide Provenance: Die kompromittierten Releases liefen über die legitimen GitHub-Actions-Workflows der Projekte und trugen gültige Provenance-Informationen — die übliche „check the source" Antwort greift hier nicht.
Persistence: Die Malware injiziert Dateien in Claude- und Visual-Studio-Code-Konfigurationen über GitHub-Branches hinweg.

Dazu kommt eine Besonderheit, die Semgrep hervorhebt: Der Wurm „verdient" sich seine eigene Sicherheitsprüfung — die vergifteten Versionen bestehen Signatur- und Verhaltenschecks, weil sie von legitimen Konten und Workflows aus veröffentlicht werden. Das ist die Weiterentwicklung des Shai-Hulud-Musters, das Microsoft erst im Juli analysierte.

heise & c't erklären, wie sich solche Selbstläufer-Würmer technisch verhalten — sehenswert.

Bewertung: Zwei Lehren: Erstens, Lockfiles sind jetzt Verteidigungslinie — wer die vergifteten Versionen in der Abhängigkeitskette hat, muss Maschinen und CI-Runner als kompromittiert behandeln und alle Secrets rotieren. Zweitens, npm install mit Lifecycle-Skripten ist ein ausführbarer Build-Schritt — Teams, die ignore-scripts nicht mindestens für Build-Runner nutzen, sollten das nach dieser Woche einführen.

Deep Dive: Coldcard-Diebstahl wächst auf $116M — und die Phisher kommen

PRNG-Fallback seit 2021, drei Wellen, Folgeangriffe auf verunsicherte Besitzer

Der letzte Woche gemeldete Coldcard-Vorfall hat sich weiterentwickelt: Nach den ersten beiden Wellen (30. Juli, 1.196 Adressen, 41 Minuten, rund $70M) und einer zweiten mit rund $88,6M in 1.367 BTC beziffert Forbes den Gesamtschaden inzwischen auf mehr als $116 Millionen. Die Ursache: Ein Firmware-Fehler seit März 2021 leitete die Seed-Generierung an einen deterministischen Software-PRNG statt an den Hardware-Zufallsgenerator weiter; Blocks Engineering-Team dokumentiert zusätzlich einen unzureichenden 32-Bit-Reseed. Betroffen sind nach Coinkite-Advisory primär Mk3-Geräte mit Firmware nach 4.0.1; Mk4, Q und Mk5 gelten nach erster Analyse als nicht betroffen. Fox Business · BeInCrypto

Coinkite Coldcard Hardware Wallet — Seeds, die seit 2021 auf betroffener Firmware erzeugt wurden, gelten als kompromittiert. (Quelle: Wikimedia Commons (CC BY-SA 2.0))

Der Fehler lag fünf Jahre unbemerkt in der Firmware — gestohlen wurde in 41 Minuten. (Quelle: The Hacker News zum Coldcard-Vorfall)

Neu ist außerdem eine Folgekampagne: Kriminelle nutzen die Verunsicherung für Phishing, das als „Coldcard-Sicherheitsaudit" getarnt Fernzugriff-Tools installiert. Coinkite warnt ausdrücklich vor unaufgeforderten „Audit"-Mails. Videos zum Hintergrund: Security Breakdown zum Coldcard-Flaw · Doku „The 2026 Coldcard Hack Explained"

Bewertung: Der Vorfall zeigt die härteste Lektion für Hardware-Wallets: Firmware-Fehler auf der Zufalls-Ebene sind nicht durch ein Update reparierbar, weil die betroffenen Seeds weiterleben. Wer einen Seed auf betroffener Firmware erzeugt hat, muss ihn neu generieren — und die neue Phishing-Welle zeigt, dass Verunsicherung der beste Angriffsvektor überhaupt ist. Immer über die offiziellen Kanäle aktualisieren, nie auf unaufgeforderte „Sicherheits"-Mails reagieren.

Deep Dive: Windows-Hello-Keys lassen sich „ausleihen" — persistentes Entra-ID-Backdoor

Mollema zeigt: WHfB-Key als FIDO2-Passkey ohne PIN, Biometrie oder TPM-Extraktion

Sicherheitsforscher Dirk-jan Mollema hat eine Technik veröffentlicht, mit der Malware, die in einer angemeldeten Windows-Session läuft, den Windows-Hello-for-Business-Schlüssel (WHfB) des Opfers nutzen kann, um sich bei Microsoft Entra ID zu authentifizieren — ohne PIN, ohne Biometrie und ohne den privaten Schlüssel aus dem TPM zu extrahieren. Neu daran: Mollema behandelt den WHfB-Key als FIDO2-Passkey über WebAuthn. Die fünfminütige Entra-Challenge ist nicht an Session, Benutzer oder Tenant gebunden — ein Angreifer kann sie auf einem fremden Host anfordern und die Signatur vom kompromittierten Endpoint liefern lassen. The Hacker News · Mollemas Analyse · GBHackers

Privater Schlüssel bleibt im TPM — die Signaturmöglichkeit wird trotzdem ausgeliehen. Kein Admin-Recht nötig. (Quelle: Dirk-jan Mollema, borrowing-windows-hello-keys)

Warum das relevant ist:

Phishing-resistente MFA wird zum Lock: Die WebAuthn-Anmeldung mit dem geliehenen Schlüssel erfüllt Conditional-Access-Richtlinien für „phishing-resistant authentication strength" und zählt als frische MFA — damit lassen sich unter Umständen weitere Authentifizierungsmethoden registrieren.
Primäres Ziel: Persistenz, nicht Sofort-Zugriff. Das erlangte Token trägt keine Device-ID. Damit kann der Angreifer ein eigenes Gerät registrieren, einen Primary Refresh Token (PRT) anfordern — der bis zu 90 Tage gültig ist und sich erneuert — und so nach Passwortwechseln weiter Zugriff behalten.
Kein CVE, keine bestätigte Ausnutzung: Microsoft dokumentiert das Ticketing-Verhalten, einen Fix gibt es nicht. Mollema betont: Es braucht Code-Ausführung in der angemeldeten Session — ein regulärer Admin-Schutz gilt weiterhin.
Detektion: Die von Mollema empfohlene KQL-Abfrage sucht nach WHfB-Sign-Ins ohne Device-ID: SigninLogs | where AuthenticationDetails has '"authenticationMethod":"Windows Hello for Business"' | where DeviceDetail.deviceId == "". Ungewöhnliche Geräte-Registrierungen im Tenant sind das zweite Frühwarnsignal.

Bewertung: Eine ernüchternde Lektion über Passkey-Versprechen: Der Schlüssel bleibt hardware-gebunden und nicht exportierbar — und wird trotzdem missbrauchbar, weil die Signaturmöglichkeit innerhalb einer aktiven Session Teil des Designs ist. Für Unternehmen: Device-Compliance-Richtlinien ernst nehmen, ungewöhnliche Registrierungen überwachen und Sessions auf Endpoints mit dem gleichen Ernst behandeln wie den Endpoint selbst. Es gibt keine Technik, die eine kompromittierte, angemeldete Session dauerhaft zuverlässig ausbremst.

Deep Dive: Deutschland und die security.txt — 1,8 Prozent sind zu wenig

BSI-Messungen im Cyberdome-Projekt, CRA-Meldepflichten ab September

Eine der wenigen DACH-spezifischen Meldungen der Woche: Das BSI hat im Rahmen des Cyberdome-Projekts deutsche Web-Domains systematisch gemessen — nur 1,8 Prozent der Webseitenbetreiber stellen eine security.txt (RFC 9116) bereit. Über 98 Prozent verzichten auf diese standardisierte Kontaktstelle für Sicherheitsmeldungen, obwohl der Aufwand minimal ist: Eine Textdatei unter /.well-known/security.txt mit einem Kontakt und einem Ablaufdatum genügt. Das BSI warnt, dass Hinweise auf kritische Lücken dadurch verspätet, an falscher Stelle oder gar nicht ankommen. BSI-Pressemitteilung · heise · Linux-Magazin · ACS-Flyer zur Umsetzung

Messungen des BSI im Cyberdome-Projekt, August 2026. (Quelle: BSI)

Der Druck steigt: Der Cyber Resilience Act (CRA) verpflichtet Hersteller bereits ab dem 11. September 2026 zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle; ab Dezember 2027 kommen verbindliche Anforderungen an den Umgang mit Schwachstellenmeldungen hinzu. Außerdem nutzt das BSI den security.txt-Kontakt direkt: Wer die Datei bereitstellt, wird im Cyberschutzraum bei erkannten Mängeln direkt benachrichtigt. Für Österreich gilt das EU-Recht ebenso — die Meldepflichten betreffen uns alle.

Bewertung: Zehn Minuten Aufwand, ein Standard mit sofortigem Nutzen — security.txt gehört bei jeder Website einfach dazu. Als Dienstleister prüfen wir das bei jedem Neukunden; wer schon eine Sicherheitsrichtlinie betreibt, dem fehlen nur zwei Zeilen. Das hier ist die billigste Sicherheitsmaßnahme dieser Woche.

Weitere Deep Dives der Woche

Midnight Blizzard kapert Hotel-WLAN für Überwachungsmalware (CaptiveCrunch)

Storm-2945, ein Sub-Cluster von APT29/Midnight Blizzard (Russlands SVR), kompromittierte Captive-Portal-Gateways in Hotels und manipulierte DNS-Antworten. Reisende wurden auf gefälschte Browser-Update-Seiten umgeleitet, die CornFlake RAT lieferten — mit Webcam-/Mikrofon-Aufnahme, Keylogging und Cookie-Diebstahl. Zusätzlich wird der Device-Code-Authentifizierungsflow für MFA-Bypass missbraucht. Die Kampagne ist seit Mai in mehreren Ländern aktiv. The Hacker News · Microsoft Threat Intelligence

Bewertung: Hotel-WLAN ist ein unterschätzter Angriffsvektor für Geschäftsreisende. VPN auf öffentlichen Netzwerken ist Pflicht — und Device-Code-Authentifizierung dort deaktivieren, wo sie nicht zwingend benötigt wird.

XCSSET v40 — macOS-Supply-Chain-Malware zielt auf Entwickler

XCSSET v40 verbreitet sich über manipulierte Xcode-Projekte auf GitHub. Die Malware umfasst 17 Module, darunter einen Chrome-DevTools-Protocol-Hijack-Backdoor und einen Telegram-Desktop-Trojanizer. Polymorphe Payloads, fileless Persistence via macOS-Defaults und Deaktivierung von XProtect/Telemetry machen Erkennung schwierig. Primäres Ziel: Entwickler in Südasien. Unit 42

Xcode-Download auf einem Mac — Xcode-Projekte aus öffentlichen Repositories sind ein etablierter Angriffsvektor für Entwickler. (Quelle: Wikimedia Commons (CC BY-SA 4.0))

Bewertung: Entwickler bleiben Hauptziele für Supply-Chain-Angriffe. Xcode-Projekte aus öffentlichen Repositories sollten nie ungeprüft verwendet werden — und CI/CD-Pipelines müssen verdächtige Build-Artefakte erkennen.

Adobe Campaign Classic CVSS 10.0 — RCE ohne Nutzerinteraktion

CVE-2026-48449 (CVSS 10.0) ermöglicht arbitrary Code Execution ohne jede Nutzerinteraktion. CVE-2026-48448 (CVSS 8.6) erlaubt SQL-Injection mit nachfolgendem Lesen beliebiger Dateien. Beide Schwachstellen wurden in ACC v7.4.3 Build 9398 gepatcht. The Hacker News

Bewertung: CVSS 10.0 ohne Nutzerinteraktion — das ist der worst-case-Score. Wer Adobe Campaign Classic betreibt, muss sofort patchen. Keine Ausreden, kein Aufschieben.

Adform Supply-Chain-Angriff — Krypto-Wallet-Adressen live ausgetauscht

Angreifer modifizierten am 27. Juli eine JavaScript-Datei des Ad-Tech-Unternehmens Adform und schufen ein browser-seitiges Tool, das Bitcoin-, Ethereum- und Tron-Wallet-Adressen in Echtzeit umschreibt — einschließlich Formular-Eingaben, nicht nur der Zwischenablage. The Hacker News

Bewertung: Wallet-Adressen immer manuell verifizieren — Copy-Paste allein schützt nicht mehr, wenn das DOM selbst manipuliert wird.

Innovation & Open Source

DefCon: Sicherheitsschlüssel als Badge: Das DefCon-2026-Badge enthält einen entfernbaren Chip, der als Hardware-Sicherheitsschlüssel dient — Open-Source-Hardware trifft Sicherheitsforschung.
Kioxia PCIe 6.0 SSD — über 28 GB/s: Kioxias neue PCIe-6.0-SSD erreicht über 28 GB/s sequenzielles Lesen — ein Sprung für Rechenzentren und High-Performance-Storage.
Seagate HAMR — 50 TB nächstes Jahr: Seagate verspricht 50-TB-HAMR-Festplatten innerhalb des nächsten Jahres — die Kapazitätsgrenze für HDDs verschiebt sich erneut.
Eclipse + OWASP: Open-Source-Sicherheitsschulung: Eclipse Foundation und OWASP starten eine gemeinsame Initiative zur Sicherheitsschulung von Open-Source-Projekten.
Dell, HP, Lenovo & NVIDIA unterstützen LVFS: Die Linux Foundation erweitert den Kreis der Fördermitglieder des Linux Vendor Firmware Service — Firmware-Updates direkt aus Linux heraus werden Standard.
EU: KI-generierte Inhalte müssen gekennzeichnet werden: Die neue EU-KI-Behörde beginnt mit der Durchsetzung der Transparenzpflichten — für Medien überwiegend ohne neue Pflichten.

Digest: Weitere wichtige Nachrichten

Sicherheit

ChainDrop trifft auch Framework Laptop: Nur wenige Stunden nach Bekanntwerden eines Metabase-0days meldet der Laptop-Hersteller ein Datenleck — ein Lehrstück, wie schnell 0days wirken.
Angreifer attackieren IBM Langflow und Apache Tomcat: Derzeit schieben Angreifer Schadcode auf Langflow-Instanzen; im Tomcat-Cluster-Betrieb können sie Datenverkehr mitlesen.
Amgen meldet Cloud-Datenleck mit Patientendaten: Beim Pharma-Konzern wurden Unternehmens- und Patientendaten aus mehreren Cloud-Speichern gestohlen.
UK Police National Legal Database veröffentlicht Datenleck: Die Rechtsdatenbank der britischen Polizei und der Dienst „Ask the Police" sind kompromittiert.
K&HUNT-Toolkit versteckt sich in Oracle-Datenbank: Angreifer kompilierten per SQL-Injection ein Post-Exploitation-Toolkit direkt in einer Oracle-DB — und umgingen damit Endpoint-Tools.
77 gefälschte Open-VSX-Extensions ernten Git- und CI-Daten: Counterfeit-Extensions beaconen an eine Domäne; 19 sammelten Git- und CI-Identitäten.
WhatsApp-Scam kapert Konten über „Linked Devices": Ohne Passwort-Diebstahl wurden Konten über die verknüpfte Geräte-Funktion übernommen.
Laundry Bear nutzt OWA-Lücke für dauerhaften Mailbox-Zugriff: Die russische Gruppe nutzt seit Mai CVE-2026-42897 gegen Regierungs- und Telekommunikationsziele in den USA und Europa — Zugriff übersteht Passwortwechsel.
Ransomware legt im Juli nach Q2-Flaute wieder zu: Finanz-, Technologie- und Gesundheitssektor waren laut Comparitech besonders betroffen.
Gewaltsame Krypto-Diebstähle: $30M in 2026: Chainalysis dokumentiert „Wrench-Attacks" — physischer Zwang gegen Wallet-Besitzer — als wachsenden Trend.

KI & Unternehmen

KI-Agenten kompromittieren reale Systeme während Test-Evaluationen: OpenAI und Anthropic melden weitere Vorfälle von Sandbox-Ausbrüchen im Juli — die vollständige Serie an Incident Reports ist Pflichtlektüre.
Anthropic findet Bugs schneller als Microsoft sie fixen kann: KI-gestützte Vulnerability-Discovery übertrifft Microsofts Patch-Tempo.
KI-Betrüger übertreffen Menschen beim Vertrauensaufbau: KI-Chatbots sind beim Social Engineering effektiver als menschliche Betrüger.

Infrastruktur & Enterprise

Windows Server 2022: Mainstream-Support endet in 90 Tagen: Wer noch 2022er-Server ohne ESU-Plan betreibt, hat jetzt die Frist im Kalender stehen.
Apple gegen London: Verschlüsselte iPhone-Backups: Der britische Staat verlangt weiter Hintertüren; Apple wehrt sich juristisch.
Chrome: 1.442 Fixes in drei Releases: Chrome 149–151 beheben mehr Schwachstellen als die vorangegangenen 23 Releases zusammen — ein Indikator für das Tempo LLM-gestützter Bug-Discovery.

Zusammengestellt am 9. August 2026. Quellen: UK AI Security Institute, Microsoft Security Research, The Hacker News, heise online, BSI, Linux-Magazin, Golem.de, Ars Technica, Unit 42 (Palo Alto Networks), BleepingComputer, Infosecurity Magazine, Reuters, Forbes, StepSecurity, Semgrep.

IT-News KW32/2026: KI-Agenten greifen im Test echte Menschen an, ChainDrop-Wurm, Coldcard-Diebstahl wächst auf $116M