Tim Lipphardt
Head of Consulting
Alle Blogartikel
KI findet, was du vergessen hast: Warum IGA jetzt zählt
Jahrelang unentdeckt, in Tagen gefunden
KI-Modelle analysieren Code und Systeme in Tagen statt Monaten. Die PHP-Lücke PHP2Shell war 14 Jahre unbekannt. Um solche Lücken auszunutzen, braucht es heute kaum noch Fachwissen.
Was du nicht kennst, kannst du nicht schützen
Vergessene Accounts, alte Testserver und offene Gast-Zugänge blieben bisher unentdeckt, weil niemand nach ihnen gesucht hat. KI-Agenten prüfen jeden erreichbaren Zugang, auch bei Mittelständlern.
Identität ist dein stärkster Hebel
Mit vollständiger Governance, Least Privilege, Monitoring und geübten Notfallabläufen reagierst du schnell, wenn eine neue Lücke bekannt wird.
Die Kernbotschaft
KI-Angriffe: Was 14 Jahre unentdeckt blieb, findet KI in Tagen
21. Oktober 2026: Krankenhäuser in Deutschland und andere Unternehmen nehmen ihre Websites vorsorglich vom Netz. Der Grund ist eine Sicherheitslücke in PHP, der Programmiersprache hinter rund 70 Prozent aller Websites.
14 Jahre lang hatte sie niemand bemerkt, mit KI-Unterstützung war sie in wenigen Tagen gefunden.
Der Vorfall
PHP2Shell kurz erklärt
Worum es geht, haben bestimmt die meisten mitbekommen: Eine Lücke im PHP-Code existiert seit 2012, fiel 2024 bei einer Prüfung auf, wurde aber nicht geschlossen, weil niemand einen Weg fand, sie auszunutzen. Im Sommer 2026 setzten Sicherheitsforscher KI-Modelle auf den Code an, die in wenigen Tagen mehrere Angriffswege fanden. Die Details wurden vor dem Patch öffentlich, die ersten Angriffe liefen noch am selben Tag.
Aus IAM-Sicht besonders relevant: Über die Lücke ließen sich Passwörter, Tokens und API-Keys aus dem Arbeitsspeicher auslesen. Wer diese Daten hat, braucht keine Lücke mehr und meldet sich mit gültigen Zugangsdaten an.
Solche Fälle werden in Zukunft noch häufiger vorkommen, und sie haben auch eine politische Seite, die die FAZ passend beschrieben hat: Ganze Staaten hängen davon ab, ob ein KI-Konzern sein Wissen über eine Lücke rechtzeitig teilt.
Ihr Fazit: „Darauf zu bauen, dass es so bleibt, ist keine Sicherheitspolitik, sondern Hoffnung.“ Für Unternehmen heißt das: Du kannst nicht davon ausgehen, vor einem Angriff gewarnt zu werden.
Was sich ändert
Warum KI-Angriffe jetzt jeden treffen können
Angreifen braucht kaum noch Fachwissen
Früher brauchte ein Angriff Know-how und viel Zeit. Heute reicht die Information, dass es eine Schwachstelle gibt. Die KI analysiert den Code, schreibt den Exploit und testet ihn.
Damit nutzen auch Angreifer ohne tiefes Fachwissen komplexe Lücken aus.
Die Zeit zum Reagieren schrumpft
Bei PHP2Shell lagen zwischen Veröffentlichung und ersten Angriffen nur Stunden. Wenn in deinem Unternehmen ein Sicherheitsupdate erst durch das monatliche Change Board muss, bleibt das System bis zu vier Wochen angreifbar.
Security by Obscurity hat ausgedient
KuppingerCole beschreibt das Problem in einem aktuellen Beitrag: Viele Systeme waren nur deshalb sicher, weil niemand nach ihnen gesucht hat. KI-Agenten prüfen dagegen systematisch jeden Endpunkt, den sie erreichen, auch undokumentierte APIs und vergessene Testsysteme.
Häufige Einwände
„Wir sind doch eh sicher“ und „So zentral sind wir nicht“
Beide Sätze hören wir regelmäßig. Beide stimmen so nicht mehr.
Unser Expertenrat
4 Hebel gegen KI-Angriffe
1. Governance, und zwar vollständig
Erfasse alle Identitäten: Mitarbeitende, externe Partner, Service-Accounts, API-Keys und KI-Agenten, jeweils mit ihren Berechtigungen. Beginne mit allem, was von außen erreichbar ist. Least Privilege, Monitoring und Notfallübungen funktionieren nur für Identitäten, die in dieser Übersicht stehen.
2. Alle Türen per Default zu
Jede Identität bekommt nur die Rechte, die sie für ihre Aufgabe braucht (Least Privilege). Berechtigungen hängen an der Identität, nicht an über Jahre gewachsenen Gruppen. Wer mehr braucht, stellt einen Access Request mit Begründung und Freigabe.
Admin- und Service-Konten sicherst du zusätzlich mit Privileged Access Management ab.
3. Sofort erkennen, sofort handeln
Wird eine Lücke bekannt, musst du verdächtige Zugriffe in Minuten erkennen und sperren können. Dafür brauchst du:
- einen zentralen Identity Provider, der alle Anmeldungen bündelt
- Monitoring, das ungewöhnliche Logins und Rechteänderungen meldet
- Shared Signals, über die deine Systeme Sicherheitsereignisse in Echtzeit austauschen und zum Beispiel eine Session sofort beenden
4. Den Ernstfall proben
Übe den Ernstfall so oft es geht, damit alle Handgriffe sitzen: Systeme herunterfahren, umstellen, patchen und wieder hochfahren. Genauso wichtig sind die Meldeketten: Wer informiert wen, wer entscheidet, wer spricht mit Kunden?
Externe Berater helfen, Szenarien realistisch aufzusetzen und Schwachstellen im Ablauf zu finden, die das eigene Team übersieht.
Budget
Und warum machen das so wenige?
Warum Identity Security beim Budget oft verliert
- Der Nutzen ist unsichtbar. Wenn Governance und Containment funktionieren, passiert nichts. Ein neues ERP-System ist direkt erfahrbar, ein verhinderter Angriff nicht.
- Die Zuständigkeit ist verteilt. Accounts legt die IT an, Rollen definieren die Fachbereiche, Ein- und Austritte meldet HR. Ohne klare Verantwortung treibt niemand das Thema voran.
- Ohne Exploit keine Priorität. Beim PHP-Vorfall war die Lücke seit 2024 bekannt. Weil niemand einen Angriffsweg zeigen konnte, wurde sie nicht geschlossen.
Warum diese Rechnung nicht mehr aufgeht
Risiko ist Eintrittswahrscheinlichkeit mal Schaden. Viele Lücken galten als unwahrscheinlich, weil ihre Ausnutzung Zeit und Fachwissen erforderte. KI senkt diesen Aufwand drastisch und erhöht damit die Wahrscheinlichkeit, dass ein vergessener Service-Account gefunden und genutzt wird.
Was du tun kannst
Mit diesen drei Argumenten begründest du IGA-Budget gegenüber dem Management:
Unterstützung gefällig?
Du willst wissen, wie gut du gegen KI-Angriffe aufgestellt bist? Wir analysieren deine Identity-Landschaft und üben mit deinem Team den Ernstfall.
Unser Take
Fazit: Wer seine Identitäten kennt, reagiert schneller
- KI erhöht das Tempo: Lücken, die jahrelang unbekannt waren, werden in Tagen gefunden und in Stunden ausgenutzt.
- Verstecken schützt nicht mehr: KI-Agenten finden auch Systeme und Accounts, die du selbst nicht mehr kennst.
- Identität ist der Hebel: Vollständige Governance und Least Privilege begrenzen den Schaden, auch wenn ein Angreifer eine Lücke findet.
- Übung verkürzt die Reaktionszeit: Wer den Ernstfall geprobt hat, weiß, wer entscheidet und welche Systeme zuerst abgeschaltet werden.
Wenn du wissen willst, wie gut dein Unternehmen auf KI-Angriffe vorbereitet ist, sprich uns an. Wir prüfen mit dir deine Identitäten und Berechtigungen und planen die nächsten Schritte.
FAQ
Häufige Fragen zu KI-Angriffen
Was ist PHP2Shell?
PHP2Shell bezeichnet kritische Sicherheitslücken in PHP, die seit 2012 im Code steckten und 2026 mit KI-Unterstützung entdeckt wurden. Betroffen war ein Großteil aller Websites weltweit.
Warum funktioniert Security by Obscurity nicht mehr?
Weil KI-Agenten jeden erreichbaren Endpunkt systematisch prüfen. Systeme, die bisher nur sicher waren, weil sie niemand kannte, werden heute schnell gefunden.
Was ist Identity Governance (IGA)?
IGA steuert und überwacht, welche Identitäten auf welche Systeme zugreifen dürfen, und sorgt dafür, dass Berechtigungen nachvollziehbar und aktuell bleiben.
Wie übt man einen IT-Sicherheitsernstfall?
Mit realistischen Szenarien, in denen Systeme heruntergefahren, gepatcht und wieder hochgefahren werden, und mit dem Durchspielen von Melde- und Entscheidungsketten.
Dieser Beitrag entstand mit KI-Unterstützung. Veröffentlicht von amiconsult GmbH, fachlich geprüft von Tim Lipphardt.
