Warum 2026 anders ist

Worum es in dieser Folge geht

Wer profitiert mehr von Künstlicher Intelligenz in der Cybersicherheit — die Angreifer oder die Verteidiger? Diese Frage spannen wir über die ganze Staffel auf. In Folge eins setzen wir den Rahmen, indem wir drei Berichte nebeneinander legen, die in achtzehn Monaten erschienen sind und denselben Sachverhalt aus drei verschiedenen Entwicklungsphasen beschreiben.

Die drei Lagebilder

Microsoft und OpenAI, Februar 2024. Die beiden Unternehmen veröffentlichen erstmals Namen von staatlichen Akteuren, die kommerzielle LLMs nutzen — Forest Blizzard aus Russland, Charcoal und Salmon Typhoon aus China, Crimson Sandstorm aus dem Iran, Emerald Sleet aus Nordkorea. Alle Accounts werden gesperrt. Microsoft formuliert die Beobachtung bemerkenswert nüchtern: Wir sehen keine Angriffstechniken, die ohne KI nicht möglich gewesen wären. Was wir sehen, ist Tempo. Im MITRE-ATLAS-Framework lässt sich das unter Resource Development einordnen — das Modell ist Produktivitätswerkzeug, nicht Waffe. Lukas aus der Forschung verweist auf die Forschung von Julian Hazell, die diese Effizienz-Stufe akademisch belegt hatte: GPT-4 erzeugt personalisierte Spear-Phishing-Mails zu Centbeträgen pro Empfänger:in mit menschlich vergleichbaren Conversion-Raten.

BACS Schweiz, Halbjahresbericht 2025/1. Das Bundesamt für Cybersicherheit meldet 35’727 Cyberincidents im ersten Halbjahr 2025, davon 58 Prozent Betrug. Der Bundesrat hat parallel einen eigenen Bericht zur Wirkung von KI auf die Cybersicherheit verabschiedet (Postulat 23.3861), dessen Kernbotschaft bewusst zurückhaltend formuliert ist: KI wirkt als Katalysator für bestehende Trends, verändert aber nicht die Fundamentals. Robert aus der Praxis bestätigt die Beobachtung aus der MDR-Telemetrie seiner Schweizer Mandate — dramatisch mehr Spear-Phishing-Versuche, sprachlich deutlich verbessert. Wo 2022 noch typische Übersetzungsfehler erkennbar waren, lesen sich heutige Mails kontextuell stimmig. Sprachliche Auffälligkeit als Detection-Feature ist tot.

Anthropic, August 2025. Der dritte Bericht beschreibt nicht mehr nur Effizienz, sondern operative Übernahme. Anthropic dokumentiert eine Kampagne namens «Vibe Hacking»: Ein einzelner Akteur erpresst mit Claude Code als agentischem Operator siebzehn Organisationen — Reconnaissance, Credential-Sammlung, individuelle Erpresserschreiben pro Opfer, parallelisiert. Dazu kommen zwei weitere Fallklassen — nordkoreanische Sanktionsumgehung über fingierte Remote-Anstellungen und eine chinesische autonome Cyberespionage-Kampagne, die Anthropic GTG-1002 nennt. Chris ordnet den Unterschied zu Microsoft technisch ein: Was sich verändert hat, ist die agentische Schleife. Tool-Use und längere Kontextfenster machen aus dem beratenden Modell einen Operator, der über Tage selbstständig in einem Zielsystem arbeitet.

Die These der Staffel

Drei Berichte, drei Phasen, eine klare Linie. Was vor zwei Jahren Effizienz-Schub war, ist heute Operationsebene — und der Übergang ist gradient, nicht abrupt. Wer 2026 Defender-Architekturen baut, ohne diese Realität einzupreisen, baut Verteidigung gegen 2022.

Drei Beobachtungen verdichten die These. Aus der Forschungssicht — Lukas — fällt auf, dass Microsoft die Modell-Seite beobachtet, nicht den Endpoint. Wer mit ChatGPT redet, ist sichtbar; was beim Opfer passiert, nicht. Damit bleibt ein blinder Fleck: Ein Akteur, der ein Open-Source-Modell wie Mixtral oder Llama lokal betreibt, ist für diese Telemetrie unsichtbar. Aus der Praxissicht — Robert — verschiebt sich das Detection-Problem in die Identitäts- und Verhaltens-Ebene. Klassische SIEM-Detection auf Signaturbasis greift bei der neuen Spear-Phishing-Qualität nicht mehr. Aus AI-Sicht — Chris — sind Defender und Attacker auf dieselbe Methodik angewiesen. Frontier-Modelle sind über API mit Sub-Cent-Kosten pro tausend Tokens verfügbar, Open-Source-Modelle laufen auf zwei Consumer-GPUs. Die Kostenkurve trennt nicht mehr nach Akteur-Typ.

Was Sie aus dieser Folge mitnehmen

Die Schweiz ist strukturell besser aufgestellt als der EU-Durchschnitt, weil das BACS früh mandatiert wurde und mit der Privatwirtschaft eng vernetzt ist. Die Forschungsdichte in der DACH-Region — ETH, EPFL, OST und ein führendes deutsches Forschungszentrum für Informationssicherheit — ist eine strategische Stärke, die sich noch nicht voll in operativer Defensiv-Kapazität niederschlägt. Die Lücke liegt im Mittelstandssegment. Genau dort sind die Angriffe in den letzten zwölf Monaten qualitativ auf dem Niveau angekommen, wo sie wirtschaftlich werden — auch gegen kleinere Ziele. Die zentrale Empfehlung am Schluss der Folge: Wer als CISO denkt, AI sei noch Zukunft, ist heute schon im Rückstand. In den nächsten Folgen schauen wir uns die offensive und die defensive Seite getrennt an — beginnend mit Frontier-Modellen, die Schwachstellen finden.