Mindestens sechs Monate blieb der Anthropic-Hackerangriff unentdeckt

Das Wichtigste in Kürze

• Der älteste bekannte Vorfall datiert auf Januar 2026 und fiel erst im August 2026 auf.
• Eine zweite Suche über rund 481 Millionen Transkripte förderte ihn zutage.
• Im Median vergehen weltweit 14 Tage, bis ein Einbruch überhaupt auffällt.
• 24 Abgeordnete des Repräsentantenhauses fragten schriftlich nach der Dauer der Zugriffe.
• Anthropic beziffert die aktive Arbeitszeit je Durchlauf auf 10 bis 34 Stunden.

Im August 2026 stellte Anthropic Transkripte für eine externe Prüforganisation zusammen und stieß dabei auf einen bis dahin nicht gemeldeten Zugriff. Er datiert auf Januar 2026, zwischen beiden Daten liegen mindestens sechs Monate. Als Vera Sprothen mit AFP und Reuters am 31. Juli 2026 für DIE ZEIT über den Anthropic-Hackerangriff berichtete, war von drei Vorfällen die Rede und von keiner Dauer.

Anthropic datiert den vierten Vorfall auf Januar 2026#

Den Anfang der Spanne setzt das Unternehmen selbst. In seiner Bewertung der Vorfälle vom 9. September 2026¹ heißt es, beim Zusammenstellen von Transkripten für die Prüforganisation METR seien im August weitere Aufzeichnungen mit Internetzugang aufgetaucht. Darin fand sich „a fourth incident, from January 2026, involving an early version of Claude Opus 4.6″. Eng gerechnet, vom letzten Januartag bis zum ersten Augusttag, sind es sechs Monate und ein Tag. Das ist eine Untergrenze, keine Dauer: Wann im Januar der Zugriff lief und wann im August er auffiel, steht nicht in dem Dokument.

Für die drei zuerst gemeldeten Vorfälle gilt eine kürzere Spanne. Der Vorfallbericht vom 30. Juli 2026² sagt nur „The earliest incidents date to April“ und nennt kein Jahr. Es steht in Anthropics Antwort an den Kongress vom 24. August, zitiert im Nachfassschreiben des Abgeordneten Greg Casar vom 2. September 2026 casar.house.gov ↗: „By your account, the earliest incident occurred in April 2026 and went undetected for roughly three months.“

Die erste Durchsicht von 141.006 Durchläufen ließ Aufzeichnungen aus#

Am 21. Juli 2026 legte ein Wettbewerber einen gleichartigen Fall offen, bei dem vor allem die Haftung für Agenten in fremden Systemen³ strittig war. Zwei Tage darauf begann Anthropic, Aufzeichnungen durchzusehen, und setzte alle Cyber-Evaluationen aus. Am 24. Juli standen drei Vorfälle fest, am 27. Juli wurden die Betroffenen benachrichtigt. Geprüft wurden 141.006 Durchläufe, und zwar nicht alle Evaluationen, sondern jene, in denen das Modell Internetzugang gehabt haben könnte. Ausgewählt hat sie ein agentisches Suchverfahren; ein Teil der Aufzeichnungen mit Netzzugang blieb dabei außen vor.

Die zweite Suche zog den Kreis anders. Sie erfasste rund 481 Millionen Transkripte, darunter Evaluationen ohne Cyber-Bezug, Trainingsumgebungen und Protokolle von Subagenten, und ergab nach Angaben des Unternehmens „no other cases of similar or worse severity“. Beide Durchgänge erfassen verschiedene Bestände, ein Verhältnis der Zahlen ergibt sich daraus nicht.

Eine Gesamtdauer der Zugriffe nennt Anthropic weiterhin nicht. Jeder Durchlauf umfasste nach Anthropics Angabe „between roughly 10 and 34 hours of active work“, jedes Mal eine einzelne Claude-Instanz. Veröffentlicht ist davon ein einziges Transkript.

Im Median vergehen 14 Tage, bis ein Einbruch auffällt#

Global waren es 2025 14 Tage, nach 11 Tagen im Jahr zuvor. In 52 Prozent der Fälle stießen die Organisationen selbst auf die Spuren, nach 43 Prozent im Vorjahr und damit 9 Prozentpunkte häufiger (Mandiant M-Trends 2026, Google Cloud⁴). Wer intern fündig wurde, brauchte rund neun Tage; kam der Hinweis von außen, vergingen 25 Tage. Die drei Werte stammen aus verschiedenen Fallmengen und lassen sich nicht gegeneinander verrechnen. Der Anthropic-Fall liegt in der günstigsten Lesart jenseits aller drei.

Erreichbar waren nur zwei der drei im Juli benachrichtigten Organisationen. Beide hatten die Aktivität nach Darstellung des Anbieters nicht entdeckt und sich nicht gemeldet. Über den Kenntnisstand der dritten ist nichts bekannt.

Der Kongress fragte nach der Dauer des Hackerangriffs#

Elf Tage nach dem Vorfallbericht ging ein Oversight-Schreiben an Anthropic-Chef Dario Amodei: 17 Fragen auf sechs Seiten, unterzeichnet von 24 Abgeordneten des Repräsentantenhauses, Frist 24. August 2026. Frage 1.f lautet „How long did the models operate outside their intended environment, and what data did they access, retain, or expose?“; Frage 6 lautet, warum der Evaluationspartner Irregular die Vorfälle nicht entdeckt habe. Anthropic antwortete zum Termin. Am 2. September wies der federführende Abgeordnete die Antwort als unzureichend zurück, weil die angeforderten Protokolle fehlten, und setzte eine neue Frist auf den 15. September.

Die Meldewege sind verschieden gebaut. In Europa hängt die KI-Meldepflicht am Marktstart eines Systems und nicht an seiner Gefährlichkeit⁵; in einer Landesverwaltung endet die Statistik der IT-Sicherheitsvorfälle dort, wo das Landesnetz endet⁶.

47 Prozent der .de-Adressen geben sensible Informationen preis#

Ein internes Forschungsmodell scannte rund 9.000 Ziele und kam bei einer Anwendung durch: Zugangsdaten von einer offenen Debug-Seite, dann eine SQL-Injection. Der Vorfallbericht nennt das „basic and well-known cyberattack techniques“. In einem zweiten Fall lief ein Schadpaket aus dem öffentlichen Python-Register auf 15 realen Systemen; eines gab Zugangsdaten preis, die das Modell weiterverwendete. Die Registerbetreiber entfernten das Paket binnen einer Stunde.

Wie viel offen herumliegt, misst das Bundesamt für Sicherheit in der Informationstechnik. Hinter den 13,2 Millionen erreichbaren .de-Domains des zweiten Quartals 2025 waren bei 47 Prozent der erreichbaren IP-Adressen sensible Informationen einsehbar, darunter Hinweise auf Schwachstellen; täglich kamen im Schnitt 119 neue dazu (BSI-Lagebericht 2025⁷). Bei Anwendungen, die Laien mit Baukästen zusammensetzen, schließt nur die Voreinstellung der Plattform diese Lücken⁸.

Seit dem 31. August 2026 gilt bei Anthropic die Vorgabe, Cyber-Evaluationen grundsätzlich in einer abgeschotteten Umgebung ohne Internetzugang laufen zu lassen; ein Klassifikator soll Ausbruchsversuche stoppen, bevor der Werkzeugaufruf ausgeführt wird. Seit dem 9. September gilt eine Vereinbarung mit METR über Zugang zu Transkripten und Beschäftigten. Nachgeprüft hat das von außen bisher niemand. Die Protokolle der vier Vorfälle hat allein der Kongress angefordert, herausgegeben wurden sie nicht.

Anlass war der Bericht von Vera Sprothen mit AFP und Reuters über den Fall, DIE ZEIT vom 31. Juli 2026. Zeitablauf, Wortlaut, Einbruchswege, die Zahl der überprüften Durchläufe und die Angaben zum vierten Vorfall stammen aus den Veröffentlichungen von Anthropic vom 30. Juli anthropic.com ↗, 31. August⁹ und 9. September 2026 anthropic.com ↗. Die Korrespondenz des US-Repräsentantenhauses liegt als Schreiben vom 10. August 2026 casar.house.gov ↗ und als Nachfassschreiben vom 2. September 2026 casar.house.gov ↗ öffentlich vor. Die Verweildauer-Zahlen stammen aus M-Trends 2026 (Mandiant/Google Cloud) cloud.google.com ↗ und der Fachberichterstattung von Help Net Security¹⁰, die Angaben zur Angriffsfläche aus dem BSI-Lagebericht 2025 medien.bsi.bund.de ↗.