Am 11. November 2026 um 15:34 Uhr berichtete heise security: Incident-Response-Teams, also Fachleute für die Aufarbeitung von Cyberangriffen, erhalten immer mehr Berichte über Angriffe, bei denen agentische Frameworks weite Teile eines mehrstufigen Angriffs selbstständig erledigen^[1]. Gemeint ist Software, die ein KI-Sprachmodell Aufgaben in Teilschritte zerlegen und mit echten Werkzeugen abarbeiten lässt. Dabei beruft sich heise auf eine Warnung von CERT-EU, dem Cybersicherheitsdienst der EU-Institutionen, zum Framework Artex^[1].

Stand 11. November gilt: Die Warnung von CERT-EU erschien bereits am 5. November, ihre Prognose ist eine Einschätzung, keine Statistik^[2]. Was KMU ohne Security-Team zuerst tun sollten, zeigt dieser Beitrag. Es geht um KI-Agenten als Werkzeug von Angreifern; wie Sie eigene Agenten absichern, steht in unserem Beitrag KI-Agenten absichern.

Im Blogbeitrag vom 5. November, 22:05 Uhr, schreibt CERT-EU: In den vergangenen Wochen haben mehrere Angreifergruppen weltweit Artex genutzt, um ihre Kampagnen zu automatisieren. Ähnliche KI-gesteuerte Aktivitäten beobachtete CERT-EU auch gegen die von ihm betreuten EU-Einrichtungen, nach eigener Einschätzung sehr wahrscheinlich mit Artex^[2].

Die Prognose: Weil Artex öffentlich verfügbar ist, werden Angreifer es wahrscheinlich schneller übernehmen. Erwartet werden häufigere, schnellere und besser skalierbare automatisierte Angriffe mit höherer Erfolgsquote^[2]. Die „rapide Zunahme“ aus der heise-Überschrift stützt sich auf diese Warnung und auf Berichte aus der Vorfallsbearbeitung^[1]; eine Zählung nennen die Quellen nicht.

Artex wurde für Penetrationstests gebaut, also für beauftragte Angriffe, mit denen Organisationen ihre eigene Abwehr prüfen lassen^[1]. Ein Mensch gibt ein Ziel in natürlicher Sprache vor, ein oder mehrere Agenten erledigen die Schritte mit echten Werkzeugen, beobachtet über ein Dashboard^[2]. Ein eigenes KI-Modell bringt Artex nicht mit, es bindet externe Sprachmodelle an. Ob es im erlaubten Rahmen bleibt, regeln Einstellungen und das Modell selbst, eine harte technische Sperre fehlt^[2].

Nach Berichten über Missbrauch nahm der ursprüngliche Autor das Projekt im Oktober 2026 vom Netz, unabhängige Kopien, sogenannte Forks, sind weiter verfügbar^[2], dazu laut heise weitere Frameworks dieser Art^[1].

Die Techniken selbst sind bekannt: Netze abtasten, sogenanntes Scanning, und öffentlich erreichbare Anwendungen über Schwachstellen oder Fehlkonfigurationen angreifen^[2]. Laut heise waren solche Angriffsschritte schon die Basis Tausender Ransomware-Angriffe^[1]. Der Unterschied liegt in Tempo, Ausdauer und Menge:

Wie schnell es gehen kann, zeigen Microsoft-Fallanalysen vom 21. Oktober und 5. November; eine Studie von BSI und TÜV-Verband vom 7. Oktober zeigt die Lage in Deutschland:

Am 6. November berichtete Microsoft über eine finanziell motivierte Gruppe aus Kambodscha, die seit Oktober 2026 mit Artex Finanzorganisationen angreift, vor allem in Südostasien, daneben einige große weltweit^[7]. Laut Microsoft-Bericht vom 21. Oktober nahm eine chinesisch-staatsnahe Gruppe schon ab September Hunderte Organisationen vieler Branchen weltweit ins Visier, von Fertigung über Rechtswesen bis Software^[3].

Entwarnung für kleine Betriebe ist das nicht. Die Allianz für Cyber-Sicherheit des BSI schreibt, kleine Betriebe seien oft sogar ein leichteres Ziel, weil Schutzmaßnahmen und Sensibilisierung dort seltener vorhanden sind^[8]. Durch automatisierte, opportunistische Angriffe werde jedes aus dem Internet erreichbare System „interessant“, warnte das BSI schon im Juni^[4]. Konkrete Artex-Fälle bei deutschen KMU nennen die Quellen bislang nicht.

Wie teuer es werden kann, zeigt der am 10. November veröffentlichte Abschlussbericht der Cloud-Plattform Railway zu einem Angriff im Oktober. Der Angreifer probierte viele Wege parallel, laut dem Sicherheitsunternehmen Wiz mit einem Werkzeug ähnlich Artex, und hatte es vor allem auf Schlüssel für KI-Dienste abgesehen. Die unberechtigten Ausgaben über die gestohlenen Schlüssel schätzt Railway auf rund 740.000 US-Dollar^[9].

Laut BSI sind die wirksamen Maßnahmen grundsätzlich nicht neu, werden in der Praxis aber oft vernachlässigt^[4]. Die Reihenfolge folgt CERT-EU (sofort, kurzfristig, laufend)^[2], ergänzt um BSI und Microsoft.

Wer niemanden hat, der Alarme auswertet, sollte laut BSI externe Dienstleister einbeziehen, für den sicheren Betrieb ebenso wie für den Ernstfall; das BSI führt dazu Listen qualifizierter Anbieter^[4]. Zugleich gehören Dienstleister zur Angriffsfläche: Das BSI rät, zu wissen, welche Systeme Partner erreichen, um sie im Vorfall schnell trennen zu können^[4].

Ein Beispiel liefert Microsoft: Über gestohlene Zugänge zu einer Cloud-Backup-Anwendung von ConnectWise gelangten KI-Agenten im Auftrag der Angreifer in Kundenumgebungen, weil die App dort bereits als vertrauenswürdig galt^[3]. Das BSI-Handout rät, auf das Sicherheitsniveau von IT-Betreuern und Cloud-Anbietern zu achten^[8].