KI wird Teil von Russlands Cyberarsenal

Russland nutzt künstliche Intelligenz, um Umfang und Effizienz von Cyber-Spionageoperationen gegen die Ukraine und Europa auszuweiten und kommerziell verfügbare KI-Modelle in eine zusätzliche Ebene seiner nachrichtendienstlichen Fähigkeiten zu verwandeln. Eine Kampagne, die mit staatlich unterstützten russischen Hackern in Verbindung gebracht wird, nutzte Anthropics Claude für Aufklärung, die Entwicklung von Angriffswerkzeugen, die Aufrechterhaltung des Zugangs zu kompromittierten Systemen und die Analyse gestohlener Informationen. Die Operation zeigt, wie KI beginnt, ihre Rolle als Assistent für einzelne Hacker zu überschreiten und Teil der operativen Infrastruktur einer breiteren Cyberkampagne zu werden.

Anthropic schrieb die Aktivität einer Gruppe zu, die es als GTG-20006 bezeichnete, und erklärte, ihre Taktiken und Zielauswahl entsprächen der staatlich unterstützten russischen Gruppe Midnight Blizzard, die mit dem Auslandsgeheimdienst Russlands in Verbindung gebracht wird. Mehr als 20 Organisationen wurden ins Visier genommen, darunter Regierungsinstitutionen, Verteidigungsunternehmen, diplomatische Einrichtungen und Think Tanks. Die meisten identifizierten Ziele befanden sich in der Ukraine und Europa, obwohl sich die Kampagne auch auf Organisationen in anderen Regionen erstreckte.

Die Bedeutung der Operation liegt in der Kombination etablierter russischer Cyberfähigkeiten mit KI-gesteuerter Automatisierung. Die zugrunde liegenden Methoden — Phishing, Diebstahl von Zugangsdaten, Netzwerkeindringung und Kompromittierung der Lieferkette — sind nicht neu. Was sich geändert hat, ist die Geschwindigkeit und der Umfang, in dem sie eingesetzt, angepasst und kombiniert werden können, was es möglicherweise relativ kleinen Teams von Operateuren erlaubt, Arbeit zu leisten, die zuvor größere Gruppen spezialisierten Personals erforderte.

Die ukrainische Verteidigungsindustrie im Zentrum

Der Verteidigungstechnologiesektor der Ukraine war einer der bedeutendsten Interessenbereiche. Russische Operateure zielten auf Unternehmen, die an der Produktion von Drohnen und deren Komponenten beteiligt sind, sowie auf Organisationen, die militärische unbemannte Systeme und verwandte Technologien entwickeln. Zu ihren Zielen gehörte der Zugang zu Software, technischen Informationen, Lieferkettendaten und anderem Material, das Aufschluss darüber geben könnte, wie ukrainische Verteidigungstechnologien entwickelt und eingesetzt werden.

In einem Fall erhielten die Angreifer ein vollständiges Softwarepaket, das mit einem ukrainischen Computer-Vision-System für Drohnen verbunden war. Anschließend verbrachten sie Tage damit, dessen Architektur, Hardwarekomponenten, Lieferketten und Informationen über ein Produkt zu analysieren, das noch nicht öffentlich veröffentlicht worden war. Ihre Aufmerksamkeit erstreckte sich auch auf Drohnensteuerungssysteme und Firmware im Zusammenhang mit KI-basierter Computer Vision.

Die Wahl der Ziele spiegelt die wachsende strategische Bedeutung des ukrainischen Verteidigungstechnologiesektors wider. Seit Beginn der russischen Vollinvasion haben ukrainische Unternehmen rasch neue Ansätze für Drohnen, elektronische Kriegsführung, Schlachtfeldsoftware und autonome Systeme entwickelt. Ein Großteil dieser Innovation entstand direkt aus den Anforderungen des Schlachtfelds und schuf ein Verteidigungsökosystem, das Technologien mit einer Geschwindigkeit anpassen kann, mit der traditionelle militärische Beschaffungssysteme oft kaum Schritt halten können.

Diese Erfahrung hat die ukrainische Verteidigungstechnologie auch für Europa zunehmend relevant gemacht. Europäische Regierungen betrachten die Ukraine nicht nur als ein Land, das militärische Unterstützung benötigt, sondern auch als Quelle praktischen Wissens über Drohnen, elektronische Kriegsführung und moderne Schlachtfeldtechnologien. Nachrichtendienstlich gewonnene Informationen von ukrainischen Unternehmen können daher für Russland über die unmittelbare Kriegsanstrengung hinaus von Wert sein, insbesondere wenn sie Technologien offenlegen, die künftige europäische Verteidigungsfähigkeiten beeinflussen könnten.

Das Ziel ist nicht mehr eine einzelne Institution

Die Kampagne zeigt, warum Russlands Cyber-Spionageziele zunehmend über einzelne Regierungsnetzwerke hinausgehen. Der Zugang zu einem Verteidigungsunternehmen kann technische Informationen liefern; der Zugang zu einem Zulieferer kann Beschaffungsbeziehungen offenlegen; der Zugang zu einem Kommunikationskonto kann die Menschen hinter diesen Netzwerken exponieren. Zusammen können diese Fragmente einem Nachrichtendienst ein viel breiteres Bild von den Fähigkeiten und der Entscheidungsfindung eines Gegners vermitteln.

Europäische Länder, die die Ukraine unterstützen, bilden ein zunehmend vernetztes Sicherheitsökosystem. Verteidigungshersteller sind auf Subunternehmer, Softwareanbieter und Logistikunternehmen angewiesen, während Regierungen auf private Technologieinfrastruktur und Kommunikationsplattformen setzen. Das bedeutet, dass eine Cyberoperation nicht unbedingt direkt in ein hochgeschütztes Regierungs- oder Militärsystem eindringen muss, um strategisch wertvolle Informationen zu erlangen.

Die russische Kampagne fügt sich in dieses Modell ein. Europäische Regierungsbehörden, diplomatische Institutionen, Verteidigungsorganisationen, Unternehmen und Forschungseinrichtungen gehörten zu den Zielen. Das Ziel war nicht unbedingt die Kompromittierung eines einzelnen kritischen Systems, sondern das Sammeln von Informationen über mehrere Teile des europäischen Sicherheitsumfelds hinweg.

Dieser Ansatz ist besonders relevant, da Europa seine verteidigungsindustrielle Kapazität ausweiten will. Regierungen auf dem gesamten Kontinent erhöhen die Militärausgaben, erweitern die heimische Produktion und suchen neue Zulieferer, während Unternehmen Drohnen, Sensoren, Software und andere Technologien in beschleunigtem Tempo entwickeln. Das daraus entstehende Ökosystem erzeugt mehr wertvolles geistiges Eigentum und mehr digitale Verbindungen — und damit mehr potenzielle Einstiegspunkte für ausländische Nachrichtendienste.

KI verändert die Ökonomie des Hackens

Der bedeutendste Aspekt der Kampagne ist nicht, dass russische Operateure eine neue Hacking-Technik entdeckt hätten. Es ist die Tatsache, dass KI es ihnen ermöglichte, wesentliche Teile des bestehenden Prozesses zu automatisieren.

Claude wurde eingesetzt, um bei Aufklärung, Phishing-Infrastruktur, Aufgaben im Zusammenhang mit Zugangsdaten, Malware-Entwicklung und der Analyse gestohlener Informationen zu helfen. Das Modell konnte Operateuren auch helfen, technische Probleme während eines Angriffs zu bewältigen, wodurch der manuelle Aufwand in verschiedenen Phasen der Operation verringert wurde.

Das ist wichtig, weil ausgefeilte Cyberkampagnen traditionell von Teams mit unterschiedlichen Fachgebieten abhingen. Aufklärung, Schwachstellenforschung, Malware-Entwicklung, Netzwerkeindringung, Ernte von Zugangsdaten und Datenanalyse erfordern jeweils spezialisiertes Wissen. KI beseitigt nicht die Notwendigkeit menschlicher Expertise, aber sie kann es einer kleineren Zahl von Operateuren ermöglichen, mehr dieser Aufgaben gleichzeitig auszuführen.

Das Ergebnis ist eine Verschiebung der Ökonomie von Cyberoperationen. Die Kosten für den Start einer Kampagne gegen eine große Zahl potenzieller Ziele können sinken, wenn KI-Systeme repetitive Recherchen durchführen, technische Informationen analysieren und Code erzeugen oder verändern können. Angreifer können mehr Zeit darauf verwenden zu entscheiden, worauf sie ihre Anstrengungen konzentrieren, während sie einen Großteil der technischen Arbeit an Maschinen delegieren.

Für europäische Verteidiger entsteht daraus eine schwierige Asymmetrie. Sicherheitsteams können nicht länger davon ausgehen, dass die Störung eines Werkzeugs oder die Blockierung eines Angriffs eine Operation unbedingt stoppt. Wenn ein Gegner seinen Code schnell ändern oder alternative Ansätze erzeugen kann, wird der Verteidigungszyklus kürzer und anspruchsvoller.

KI kann sich an den Verteidiger anpassen

Eines der aufschlussreichsten Elemente der Operation war der Einsatz von KI, um auf Verteidigungsmaßnahmen zu reagieren. Wenn Sicherheitssoftware schädliche Komponenten erkannte, konnten die Angreifer KI nutzen, um zu analysieren, warum der Code identifiziert worden war, ihn zu ändern und eine weitere Version für den Einsatz vorzubereiten.

Dadurch entsteht eine Rückkopplungsschleife zwischen Angriff und Verteidigung. Traditionell musste ein Cyberoperateur möglicherweise eine Operation stoppen, feststellen, warum ein Werkzeug erkannt worden war, Teile des Codes neu schreiben und ihn erneut testen. Wenn KI während dieses gesamten Prozesses unterstützt, kann die Zeit zwischen Erkennung und Anpassung erheblich verkürzt werden.

Die Implikationen gehen über Russland hinaus. Wenn ähnliche Fähigkeiten weithin verfügbar werden, könnte die Hürde für die Durchführung ausgefeilter Cyberoperationen für staatliche und nichtstaatliche Akteure gleichermaßen sinken. Eine Technologie, die ursprünglich entwickelt wurde, um legitime Softwareentwicklung und Informationsanalyse effizienter zu machen, kann auch dazu verwendet werden, bösartige Operationen schneller und skalierbarer zu machen.

Das bedeutet nicht, dass KI die russische Kampagne unabhängig durchgeführt hätte. Menschliche Operateure blieben dafür verantwortlich, Ziele auszuwählen, die Operation zu steuern und strategische Entscheidungen zu treffen. Die Bedeutung liegt in der Arbeitsteilung: Menschen entscheiden zunehmend, was sie erreichen wollen, während KI-Systeme größere Teile des technischen Prozesses übernehmen können, der dafür nötig ist.

Die Lieferkette wird zum Schlachtfeld

Die Kampagne unterstreicht auch die wachsende Bedeutung der Sicherheit der Lieferkette. Russische Operateure kompromittierten mindestens drei Hotel-WLAN-Anbieter und erlangten administrative Zugangsdaten, manipulierten dann DNS-Einträge, um den Datenverkehr der Nutzer über Infrastruktur unter ihrer Kontrolle umzuleiten.

Das Ziel war nicht einfach die Kompromittierung der Hotels selbst. Die Infrastruktur konnte genutzt werden, um Informationen über verbundene Geräte zu sammeln und Personen zu identifizieren, die wertvolle Ziele sein könnten. Personen mit Verbindungen zur Ukraine, darunter Regierungsbeamte und Drohnenhersteller, gehörten zu den Interessanten.

Die Taktik veranschaulicht ein breiteres Problem für die europäische Sicherheit. Organisationen investieren oft stark in den Schutz ihrer eigenen Netzwerke, haben aber weit weniger Kontrolle über die Cybersicherheit externer Anbieter. Doch ein Angreifer kann einen weniger geschützten Dienst als Zwischenstation nutzen und möglicherweise Informationen über die Personen und Organisationen erlangen, die ihn verwenden.

Dies ist in Europa besonders herausfordernd, weil kritische Aktivitäten zunehmend von komplexen Netzwerken privater Unternehmen abhängen. Verteidigungsunternehmen sind auf Technologieanbieter angewiesen, Regierungen nutzen kommerzielle Cloud- und Kommunikationsinfrastruktur, und Beamte reisen durch Hotels und andere öffentliche Netzwerke. Die Grenzen zwischen ziviler und strategischer Infrastruktur werden aus Sicht der Cybersicherheit zunehmend schwerer zu definieren.

Private Kommunikation bietet eine andere Art von Nachrichtendienstinformationen

Die russische Kampagne zielte auch auf WhatsApp-Konten ehemaliger hochrangiger ukrainischer Beamter. Angreifer nutzten automatisierte Browser-Infrastruktur, um kompromittierte Konten als zusätzliche Geräte zu verbinden und große Mengen an Korrespondenz zu extrahieren.

Der Zugang zu privater Kommunikation kann für einen Nachrichtendienst besonders wertvoll sein, weil er Informationen liefert, die allein über offizielle Dokumente selten verfügbar sind. Nachrichten können persönliche Netzwerke, informelle Beziehungen, Quellen, Pläne und die Diskussionen rund um Entscheidungen offenlegen, bevor sie formelle Politik werden.

Dies kann Informationen ergänzen, die aus Regierungssystemen oder Unternehmensnetzwerken gewonnen werden. Ein kompromittiertes E-Mail-Konto kann zeigen, was eine Organisation entschieden hat, während private Gespräche helfen können zu offenbaren, warum eine Entscheidung getroffen wurde und wer sie beeinflusst hat.

Für die Ukraine und ihre europäischen Partner reicht die Bedrohung daher über konventionellen Datendiebstahl hinaus. Cybersicherheit umfasst zunehmend den Schutz der Beziehungsnetzwerke, über die politische, militärische und wirtschaftliche Entscheidungen getroffen werden.

Russlands bestehende Cyberfähigkeiten verleihen KI einen Kraftmultiplikator

Die Wirksamkeit von KI in dieser Kampagne kann nicht von Russlands bestehender Cyber- und Nachrichtendienstinfrastruktur getrennt werden. Staatlich unterstützte russische Gruppen haben jahrelang Expertise in Social Engineering, Netzwerkeindringung, Diebstahl von Zugangsdaten und der Zielauswahl von Regierungen und kritischer Infrastruktur entwickelt.

KI fügt dieser etablierten Fähigkeit eine neue Ebene hinzu. Sie kann große Informationsmengen verarbeiten, Muster erkennen helfen, die technische Entwicklung beschleunigen und es Operateuren ermöglichen, mehr Ziele zu bewältigen, ohne dass das Personal proportional zunimmt.

Diese Unterscheidung ist wichtig. Der strategische Vorteil entsteht nicht dadurch, dass KI unabhängig handelt, sondern durch die Kombination von KI mit erfahrenen Nachrichtendienstoperateuren, die bereits wissen, wie man Ziele auswählt und kompromittierte Informationen ausnutzt.

Dasselbe Prinzip gilt für andere Bereiche hybrider Aktivität. Russland hat umfangreiche Fähigkeiten in Cyberoperationen, Desinformation, Spionage und verdeckter Einflussnahme aufgebaut. Leistungsfähigere KI-Systeme können möglicherweise die Effizienz mehrerer dieser Aktivitäten erhöhen, indem sie die Zeit und Ressourcen verringern, die benötigt werden, um maßgeschneiderte Inhalte zu erstellen, Informationen zu analysieren oder potenzielle Ziele zu identifizieren.

Europas Verteidigungsaufbau schafft neue nachrichtendienstliche Ziele

Der Zeitpunkt ist für Europas Verteidigungssektor von Bedeutung. Europäische Regierungen erhöhen die Verteidigungshaushalte, erweitern die heimische Produktion und suchen die Abhängigkeit von externen Zulieferern zu verringern. Der Krieg in der Ukraine hat Investitionen in Drohnen, elektronische Kriegsführung, künstliche Intelligenz, Schlachtfeldkommunikation und autonome Systeme beschleunigt.

Diese Expansion schafft strategische Chancen für die europäische Industrie, aber sie schafft auch ein wachsendes nachrichtendienstliches Ziel für Russland. Informationen über neue Produktionslinien, Zulieferer, Komponenten, Software und Beschaffungspläne können Moskau ein klareres Bild davon vermitteln, wie sich die europäischen Verteidigungsfähigkeiten entwickeln.

Die Ukraine ist eine besonders wertvolle Informationsquelle, weil ihre Militärindustrie unter realen Schlachtfeldbedingungen entwickelt wird. Ukrainische Unternehmen können Technologien gegen einen technologisch fähigen Gegner testen und Lehren aus dem Kampf rasch integrieren. Der russische Nachrichtendienst hat daher einen Anreiz, nicht nur zu beobachten, was die Ukraine heute produziert, sondern auch die Technologien, die die nächste Generation der europäischen Kriegsführung prägen könnten.

Dieselben Informationen können auch direkten militärischen Wert für Russland haben. Das Verständnis der Software und Komponenten, die in ukrainischen Systemen verwendet werden, kann helfen, Schwachstellen zu identifizieren, Gegenmaßnahmen zu entwickeln oder vorherzusehen, wie sich bestimmte Technologien entwickeln könnten.

Die Grenze zwischen Cyber-Spionage und militärischem Wettbewerb verschwindet

Die Kampagne veranschaulicht eine breitere Verschiebung im Wesen des europäischen Sicherheitswettbewerbs. Cyber-Spionage beschränkt sich nicht mehr auf den Diebstahl diplomatischer Dokumente oder die Kompromittierung von Regierungs-E-Mail-Konten. Sie zielt zunehmend auf die technologischen Grundlagen militärischer Macht.

Software, technische Daten, Produktionsprozesse und Zuliefererbeziehungen können strategisch ebenso wichtig sein wie traditionelle militärische Aufklärung. Während moderne Streitkräfte zunehmend von Software und vernetzten Systemen abhängen, kann der Zugang zur digitalen Ebene hinter einer Waffe Informationen darüber liefern, wie diese Waffe funktioniert, wie sie gestört werden kann und wie sie sich entwickeln könnte.

Dies ist im Drohnensektor besonders sichtbar. Unbemannte Systeme sind zu einem der sich am schnellsten entwickelnden Bereiche der Militärtechnologie geworden, wobei die Ukraine sie in einem Tempo entwickelt und anpasst, das von der Notwendigkeit des Schlachtfelds angetrieben wird. Das technologische Wettrüsten um Drohnen wird daher auch zu einem nachrichtendienstlichen Wettrennen.

Die russische Kampagne zeigt, dass Moskau versucht, mit cyberischen Mitteln an diesem Wettrennen teilzunehmen und Informationen zu suchen, die ihm helfen könnten, den technologischen Vorteil der Ukraine zu verstehen und möglicherweise zu kontern.

KI erweitert die hybride Bedrohung

Der Einsatz von KI in der Cyber-Spionage ist Teil einer breiteren Transformation der hybriden Kriegsführung. Künstliche Intelligenz kann Akteuren helfen, sich schneller zwischen Aufklärung, Informationssammlung, Cyber-Eindringung und Analyse zu bewegen, während sie die menschlichen Ressourcen verringert, die für die Koordinierung komplexer Kampagnen erforderlich sind.

Anthropic hat auch KI-Missbrauch im Zusammenhang mit militärischen Anwendungen, Überwachung und Einflussoperationen identifiziert, an denen Akteure aus mehreren Ländern beteiligt sind. Der breitere Trend deutet darauf hin, dass der strategische Wert von KI nicht mehr auf wirtschaftliche Produktivität oder zivile Anwendungen beschränkt ist. Regierungen und Nachrichtendienste betrachten fortschrittliche Modelle zunehmend als Werkzeuge, die in bestehende Sicherheits- und Militärfähigkeiten integriert werden können.

Für Europa entsteht daraus eine politische Herausforderung. Die Beschränkung des Zugangs zu KI-Modellen kann einige Formen des Missbrauchs verringern, aber sie kann die zugrunde liegende Nachfrage nach diesen Fähigkeiten nicht beseitigen. Staatliche Akteure können eigene Systeme entwickeln, Open-Source-Modelle nutzen oder versuchen, kommerzielle Plattformen auszubeuten.

Die nachhaltigere Antwort besteht daher darin, das gesamte Sicherheitsökosystem rund um KI zu stärken: Modellanbieter brauchen eine stärkere Missbrauchserkennung, während Regierungen, Unternehmen und Betreiber kritischer Infrastruktur davon ausgehen müssen, dass zunehmend automatisierte Angriffe Teil der Bedrohungsumgebung werden.

Ein neuer Wettstreit um Technologie und Informationen

Die russische Operation zeigt, dass die nächste Phase des Cyberkonflikts nicht einfach durch ausgefeiltere Malware definiert werden wird. Die folgenreichere Veränderung ist die Fähigkeit, bestehende nachrichtendienstliche Fähigkeiten mit KI-Systemen zu kombinieren, die große Teile des operativen Prozesses automatisieren können.

Für die Ukraine macht das den Verteidigungstechnologiesektor zu einem besonders wichtigen Sicherheitsgut. Der Schutz der Software, technischen Daten und Zulieferernetzwerke hinter Drohnen und anderen Militärtechnologien wird ebenso wichtig wie der Schutz von Regierungsdatenbanken.

Für Europa sind die Implikationen breiter. Der Kontinent baut eine größere und stärker vernetzte verteidigungsindustrielle Basis auf, während Russland Wege sucht, in die sie stützenden Netzwerke einzudringen. Die Unternehmen, die Waffen und Technologien produzieren, die Zulieferer, die ihre Komponenten liefern, und die digitale Infrastruktur, die sie verbindet, sind zunehmend Teil desselben strategischen Zielsets.

KI verändert grundlegend nicht, was Russland über Europa lernen will. Sie verändert, wie effizient Moskau versuchen kann, diese Informationen zu erlangen. Die Kombination aus erfahrenen Nachrichtendienstoperateuren, etablierter Cyberinfrastruktur und zunehmend leistungsfähigen KI-Werkzeugen gibt Russland eine weitere Möglichkeit, seine Aktivitäten zu skalieren, ohne seine menschliche Belegschaft im gleichen Maße erweitern zu müssen.