# KI-Agenten drangen in Anthropic-Geschäftssysteme ein

> Das Security-Startup Cathedral sagt, seine KI-Agenten hätten Schwachstellen in Software von Drittanbietern gefunden, die mit Anthropic verbunden ist. Anthropic bestätigt den Zugriff auf einige interne Daten, widerspricht aber bei Umfang und Dauer des Vorfalls.

Oossa · 2026-10-28 · https://oossa.com/de/ai-agents-found-a-route-into-anthropic-s-business-systems

Das Cybersecurity-Startup Cathedral sagt, KI-Agenten des Unternehmens hätten über Software von Drittanbietern einen Weg in die internen Geschäftssysteme von Anthropic gefunden. Anthropic bestätigte, dass Forschende auf eine begrenzte Zahl von Vertriebs-, Personal- und IT-Systemen zugriffen. Dazu gehörten Kontaktdaten einiger Kunden und Partner sowie grundlegende Kontoinformationen.

Anthropic zufolge wurden weder Claude-Unterhaltungen noch Quellcode oder Modellgewichte offengelegt. Am Tag, an dem das Unternehmen den Vorfall entdeckte, sperrte es die betroffenen Zugänge, deaktivierte die Programme von Drittanbietern, während es an der Behebung des Problems arbeitete, und informierte US-Bundesbehörden. Welche Datensätze die Forschenden genau einsehen konnten und wie viele Menschen betroffen waren, hat das Unternehmen öffentlich nicht näher erläutert.

Cathedral verkauft KI-gestützte Sicherheitstools an Unternehmen und Behörden. In einem Entwurf eines Berichts, den die Washington Post einsehen konnte, schrieben die Forschenden, ihre Agenten hätten innerhalb von weniger als 12 Stunden auf Inhalte wie Gesprächsprotokolle, Gehaltsangaben, Stellenausschreibungen und Slack-Nachrichten zugegriffen. Diese Angaben stehen neben Anthropics enger gefasster Darstellung der abgerufenen Daten. Die beiden Seiten widersprechen sich bei Dauer und Umfang des Vorfalls.

## Worüber die beiden Seiten streiten

Cathedral zufolge dauerte der Vorfall weniger als 12 Stunden. Anthropic sagt, die gesamte Aktion habe mehrere Tage in Anspruch genommen: Der Red Teamer des Unternehmens, Logan Graham, erklärte, die Forschenden hätten zunächst tagelang Anthropics Systeme untersucht, bevor sie sich der Software von Drittanbietern zuwandten. Cathedral habe dort zwei Schwachstellen entdeckt, aber nur eine gemeldet, so Anthropic. Die andere habe das Unternehmen selbst gefunden und behoben.

Anthropic sagt außerdem, Cathedral habe gegen die Regeln seines Bug-Bounty-Programms verstoßen, das Forschende für das Melden von Sicherheitslücken bezahlt oder auszeichnet. Graham zufolge gingen das gezielte Vorgehen gegen Drittanbieter und das Abgreifen von Daten über den Schutzrahmen des Programms hinaus. Cathedral hält dagegen, nach üblichen Standards der Sicherheitsforschung gehandelt zu haben. Graham begrüßte die Entdeckung der Schwachstellen, wollte sich aber wegen der Sensibilität des Falls nicht näher dazu äußern, worauf zugegriffen wurde.

Die weitreichendsten Behauptungen sind weiterhin umstritten. Der frühere OpenAI-Mitarbeiter Will Depue sagte, ihm zufolge zuverlässige Quellen hätten berichtet, Cathedral habe vollen Administratorzugriff auf Anthropics Slack-Arbeitsbereich gehabt und sämtliche Nachrichten lesen sowie sich als jeder beliebige Nutzer anmelden können. Graham sagte, Depues Quellen lägen falsch. Anthropic hat keine öffentliche Darstellung der Vorfälle vorgelegt, die den Widerspruch ausräumt. Diese Behauptungen sollten daher nicht als bestätigte Erkenntnisse gelten.

## Wie es dazu kam

Der mutmaßliche Einstiegspunkt war nicht Claude selbst, sondern externe Vertriebs- und Verwaltungssoftware, die mit Anthropic verbunden ist. Dieser Unterschied ist wichtig: Das Unternehmen sagt, seine KI-Chats und Modellressourcen seien unberührt geblieben, während der Vorfall dennoch einige Geschäftssysteme und Informationen offenlegte. Der Sicherheitsexperte Alex Stamos vom KI-Unternehmen Cognition sagte der Washington Post, integrierte Apps von Drittanbietern seien branchenweit ein erhebliches Problem und Anthropic hätte seine externen Dienste besser absichern können.

Der Vorfall zeigt auch, wie schnell Sicherheitstools Schwachstellen aufspüren können. Graham sagte, Angreifer setzten bereits laufend KI-Agenten ein und nähmen Abhängigkeiten von externen Anbietern ins Visier. Auch Systeme, die deutlich hinter den neuesten Modellen zurücklägen, könnten für solche Aufgaben leistungsfähig genug sein. Das sind seine Einschätzungen, kein Beleg dafür, dass jeder KI-Agent in ein Unternehmensnetzwerk eindringen kann. Cathedral beschreibt einen konkreten Versuch, bei dem Schwachstellen in verknüpfter Geschäftssoftware gefunden wurden.

## Wie es weitergeht

Anthropic sagt, das Unternehmen habe die betroffenen Programme von Drittanbietern bis zur Behebung des Problems deaktiviert und die selbst entdeckte Schwachstelle geschlossen. Anthropic hat keine öffentliche Aufstellung aller Datensätze vorgelegt, auf die Cathedral zugegriffen hat. Auch die unterschiedlichen Darstellungen des Vorfalls sind weiterhin nicht miteinander vereinbar. The Decoder berichtet, Graham schlage als Reaktion kontinuierliche interne Penetrationstests vor – also autorisierte Versuche, Schwachstellen zu finden – sowie einen Neuaufbau von Software mit formaler Verifikation, einem Verfahren zur Überprüfung, ob Software festgelegte Regeln einhält.

Für andere Unternehmen lautet die praktische Lehre, nicht nur die Sicherheit der eigenen Produkte zu prüfen, sondern auch externe Dienste, die mit internen Systemen verbunden sind. Die verfügbaren Angaben zeigen jedoch nicht, ob Cathedral eine Schwachstelle aufgedeckt hat, die bei bestimmten Anbietern verbreitet ist, oder eine besondere Konfiguration bei Anthropic. Sie belegen auch nicht, dass über Kontaktdaten hinaus weitere Kundendaten abgerufen wurden.

## Die Fakten

- Cathedral zufolge fanden seine KI-Agenten über Geschäftssoftware von Drittanbietern einen Weg in Anthropics Systeme.
- Anthropic bestätigte den Zugriff auf eine begrenzte Zahl von Vertriebs-, Personal- und IT-Systemen, darunter Kontaktdaten einiger Kunden und Partner sowie grundlegende Kontoinformationen.
- Anthropic sagt, Claude-Unterhaltungen, Quellcode und Modellgewichte seien nicht offengelegt worden.
- Cathedral sagt, der Vorfall habe weniger als 12 Stunden gedauert; Anthropic zufolge erstreckte sich die Aktion über mehrere Tage.
- Anthropic sagt, das Unternehmen habe die betroffenen Zugänge gesperrt, die Programme von Drittanbietern deaktiviert und US-Bundesbehörden informiert.

## Warum es wichtig ist

Für Unternehmen, die Vertriebs-, Personal- oder andere Geschäfts-Apps mit internen Systemen verbinden, ist der Vorfall eine Erinnerung daran, dass solche Verknüpfungen Daten offenlegen können, selbst wenn ein zentrales KI-Produkt nicht kompromittiert wird. Anthropic sagt, Claude-Chats und Modellressourcen seien nicht betroffen gewesen, bestätigt aber den Zugriff auf bestimmte Geschäftsinformationen. Das Ausmaß des Zugriffs ist weiterhin umstritten, und Anthropic hat öffentlich nicht genau aufgeschlüsselt, welche Datensätze eingesehen wurden.

## Quellen und Referenzen

1. [AI agents hacked Anthropic, maker of arguably the most capable AI models for cyberdefense](https://the-decoder.com/ai-agents-hacked-anthropic-maker-of-arguably-the-most-capable-ai-models-for-cyberdefense/) – The Decoder, 2026-10-28

Zuletzt aktualisiert: 2026-10-28