JadePuffer: Der erste KI-Agent, der einen Ransomware-Angriff komplett allein durchzog – und was das für dich bedeutet

Sicherheitsforscher haben den ersten dokumentierten Fall beschrieben, in dem eine künstliche Intelligenz einen Ransomware-Angriff von Anfang bis Ende eigenständig durchführte – ganz ohne Mensch an der Tastatur. Der Agent drang in einen Server ein, stahl Zugangsdaten, bewegte sich durchs Netz und verschlüsselte am Ende die Daten. Als ein Login fehlschlug, hatte er den Fehler in 31 Sekunden selbst behoben. Das eigentlich Beunruhigende ist nicht, wie raffiniert das war – sondern wie banal.

Was passiert ist

Das Threat-Research-Team des Sicherheitsanbieters Sysdig dokumentierte den Fall Anfang Juli 2026. Der Einstieg gelang über eine bekannte Schwachstelle (CVE-2025-3248) in Langflow – einem verbreiteten Open-Source-Baukasten für KI-Anwendungen. Über diese Lücke lässt sich ohne Anmeldung Schadcode auf dem Server ausführen. Genau solche Systeme stehen oft ungehärtet im Netz und enthalten dabei wertvolle Cloud-Zugangsdaten und API-Schlüssel.

Ab da übernahm der Agent selbst: Er kundschaftete das Netz aus, sammelte Zugangsdaten, nistete sich per zeitgesteuertem Auftrag ein, der alle 30 Minuten die Angreifer-Server kontaktierte, und arbeitete sich zu einem produktiven Datenbankserver mit dem Konfigurationsdienst Alibaba Nacos vor. Diesen griff er gleich über mehrere Wege parallel an – über eine weitere, aus dem Jahr 2021 stammende Lücke, über einen bekannten Standard-Signaturschlüssel und über einen selbst eingeschleusten Administrator-Zugang. Am Ende verschlüsselte er 1.342 Konfigurationselemente, löschte die Originale und legte eine Erpressungstabelle mit Lösegeldforderung, Bitcoin-Adresse und einer Kontaktadresse an. Dass Angreifer bevorzugt längst geschlossene Lücken automatisiert ausnutzen, ist kein Zufall – warum das so gefährlich ist, zeigt der Beitrag IT-Schwachstellen kennen, bevor Angreifer sie finden.

Warum das ein Wendepunkt ist – obwohl nichts daran neu war

Woran erkannten die Forscher, dass keine Menschen am Werk waren? Der Schadcode war auffällig gesprächig: Er enthielt ausformulierte Begründungen in natürlicher Sprache, priorisierte Ziele und kommentierte seine eigenen Entscheidungen – so ausführlich, wie es ein menschlicher Angreifer nie tun würde, ein Sprachmodell aber reflexartig produziert. In kurzer Zeit spielte der Agent über 600 verschiedene Schadprogramme aus und passte sein Vorgehen bei Fehlern in Echtzeit an. Der berühmte 31-Sekunden-Moment steht sinnbildlich dafür: Ein fehlgeschlagener Login, eine eigenständige Diagnose, ein funktionierender Workaround – ohne jede menschliche Hilfe.

Warum das auch kleine Betreiber betrifft

Auf den ersten Blick klingt das nach einem Firmenproblem. Tatsächlich trifft es jeden, der irgendetwas ins Internet stellt: einen NAS, ein Router-Adminpanel, eine selbst gehostete App, einen Bastel-Server. Weil ein KI-Agent das massenhafte Abklappern sämtlicher historischer Schwachstellen praktisch kostenlos macht, lohnt es sich für Angreifer plötzlich, auch die kleinen, vergessenen Systeme systematisch abzugrasen. Das jahrelang aufgeschobene Update, das nie geänderte Standard-Passwort, der aus Bequemlichkeit offen gelassene Zugang – all das wird vom ersten Ziel zum leichtesten. Wie KI die Suche nach solchen Lücken beschleunigt, ordnet der Wettlauf um Software-Schwachstellen ein.

Zahlen bringt hier nichts – und warum das eine Lehre ist

Ein Detail dieses Falls ist besonders lehrreich: Der Agent erzeugte zwar einen Verschlüsselungsschlüssel, speicherte ihn aber nicht dauerhaft. Die verschlüsselten Daten wären also selbst gegen Zahlung nicht wiederherstellbar gewesen. Und die angegebene Bitcoin-Adresse entpuppte sich als die bekannte Beispieladresse aus einer Entwickler-Dokumentation, die das Sprachmodell offenbar aus seinen Trainingsdaten übernommen hatte. Anders gesagt: Wer hier gezahlt hätte, wäre sein Geld los gewesen und hätte trotzdem nichts zurückbekommen.

Passende Backup- und Recovery-Software gibt es als Original-Lizenz günstig bei einem geprüften deutschen Software-Shop – dort im Bereich Backup & Recovery.

Backup- & Recovery-Software günstig sichern Original-Lizenzen · im Shop unter „Backup & Recovery" · Anzeige

Die offenen Türen schließen – deine Checkliste

Die gute Nachricht steckt in der schlechten: Weil JadePuffer nichts Neues nutzte, schützen dich die altbekannten Grundlagen. Sie fühlten sich optional an, solange Angriffe einen fähigen Menschen brauchten. In der Ära der KI-Agenten sind sie das ganze Spiel.

• Zeitnah patchen: Der Einstieg lief über jahrealte, längst behobene Lücken. Wer Betriebssystem, Anwendungen und selbst gehostete Software aktuell hält, entzieht dem Automaten die einfachsten Einfallstore.
• Keine Standard-Passwörter und -Schlüssel: Werksseitige Zugangsdaten und Standard-Signaturschlüssel waren mit entscheidend. Ändere sie überall – vom Router bis zum selbst betriebenen Dienst.
• Admin-Oberflächen nicht ins Internet hängen: Verwaltungszugänge und Konfigurationsdienste gehören hinter Firewall oder VPN, nicht offen ins Netz.
• Zwei-Faktor-Anmeldung überall: Ein gestohlenes Passwort allein reicht dann nicht mehr. Wie du sie richtig einrichtest, zeigt die Anleitung zur Authenticator-App statt SMS-Codes.
• Wenig Rechte, wenig Geheimnisse: Arbeite nicht mit Administratorrechten und halte Zugangsdaten aus web-erreichbaren Anwendungen heraus.
• Getestete Offline-Backups: Die einzige Rückversicherung, wenn doch etwas verschlüsselt wird.

Für die eigenen Geräte kommt ein weiterer Baustein hinzu: Weil KI-generierter Schadcode ständig neue Varianten hervorbringt, zählt heute weniger die klassische Signaturerkennung als die Verhaltensanalyse – also Software, die verdächtige Aktivität erkennt, statt nur bekannte Muster abzugleichen.

Virenschutz mit Verhaltensanalyse kaufen Mehrere Marken · Original-Keys · im Shop unter „Antivirus" · Anzeige

Einordnung: alte Türen, neue Ökonomie

Das Zeitalter der „agentischen Angreifer" hat begonnen – Angreifer, deren Fähigkeiten nicht mehr von einem Menschen, sondern von einem KI-Agenten kommen. Man muss das nüchtern sehen: Die Technik war banal, die Ökonomie ist es nicht. Zugleich liegt in der Gesprächigkeit dieser Agenten sogar eine Chance für die Verteidigung, weil sich KI-generierter Schadcode an seinen ausformulierten Selbstkommentaren erkennen lässt. Der wichtigste Schluss bleibt aber unspektakulär: Schließe die offenen Türen jetzt, denn es sind dieselben Türen, an denen der nächste Agent rütteln wird – und ein Automat wird beim Suchen nie müde.

Häufige Fragen

Was ist an JadePuffer neu?

Nicht die Techniken – die waren alle jahrealt. Neu ist, dass ein KI-Agent den kompletten Angriff eigenständig durchführte: vom Ausnutzen der Lücke über Zugangsdaten-Diebstahl und Ausbreitung bis zur Verschlüsselung, inklusive selbstständiger Fehlerkorrektur. Damit sinkt die nötige Kompetenz für solche Angriffe drastisch.

Bin ich als Privatperson oder kleiner Betrieb überhaupt gefährdet?

Ja, wenn du Systeme ungeschützt ins Internet stellst – etwa einen NAS, ein Router-Adminpanel oder eine selbst gehostete Anwendung. Weil KI-Agenten das massenhafte Absuchen nach alten Lücken fast kostenlos machen, werden vernachlässigte, ungepatchte Systeme zum bevorzugten Ziel.

Sollte ich bei einem solchen Angriff das Lösegeld zahlen?

Grundsätzlich nein. Im dokumentierten Fall wurde der Schlüssel gar nicht dauerhaft gespeichert – die Daten wären auch gegen Zahlung nicht wiederherstellbar gewesen. Eine Zahlung finanziert nur weitere Angriffe. Die einzige verlässliche Absicherung ist ein getestetes Backup.

Was schützt am wirksamsten?

Die Grundlagen: zeitnahes Patchen, keine Standard-Passwörter und -Schlüssel, keine offen im Internet stehenden Verwaltungszugänge, Zwei-Faktor-Anmeldung, sparsame Rechtevergabe und getestete Offline-Backups. Auf den eigenen Geräten ergänzt eine verhaltensbasierte Schutzsoftware den Schutz gegen neue, KI-generierte Varianten.

Warum konnten die Forscher erkennen, dass eine KI dahintersteckt?

Der Schadcode war ungewöhnlich gesprächig: Er enthielt ausformulierte Begründungen und Kommentare in natürlicher Sprache, wie sie ein Sprachmodell erzeugt, ein menschlicher Angreifer aber kaum schreibt. Dazu kamen die schiere Zahl koordinierter Payloads und die blitzschnelle, eigenständige Fehlerkorrektur.

Weiterlesen

JadePuffer ist ein konkreter Fall – die Verteidigung dagegen ist dieselbe wie gegen jede Erpressungssoftware. Wie du dich grundsätzlich gegen Ransomware absicherst – und warum du dich dabei nie auf Rettung von außen verlassen solltest, führt der ausführliche Leitfaden Schritt für Schritt durch. Er ergänzt die hier genannten Sofortmaßnahmen um die vollständige Strategie aus Backups, Endpunktschutz und gehärteten Zugängen.

JadePuffer ist Teil einer größeren Entwicklung, in der künstliche Intelligenz das Cybercrime-Handwerk umkrempelt. Wie sich Betrug und Angriffe durch KI zur nächsten Stufe entwickeln, ordnet der Beitrag zu KI-Betrug als nächster Evolutionsstufe des Cybercrime ein. Er zeigt, warum die Werkzeuge der Angreifer gerade so schnell besser und billiger werden.

Der wichtigste Einzelschutz gegen Erpressung bleibt das Backup – gerade weil Zahlen, wie dieser Fall zeigt, ins Leere laufen kann. Warum eine gute Datensicherung mehr wert ist als jede Schutzsoftware, vertieft der Beitrag Backup-Tools: warum Datensicherung wichtiger ist als jeder Virenschutz. Dort findest du auch, worauf es bei einer angriffssicheren Sicherung ankommt.

Dass sich Zahlen bei Erpressung fast nie lohnt, gilt nicht nur bei Ransomware. Warum du auch bei Erpressungs-Mails mit Bitcoin-Forderung nicht zahlen solltest, erklärt dieser Ratgeber am alltäglicheren Beispiel. Das Grundprinzip ist dasselbe: Wer vorbereitet ist, hat den Erpresser nichts entgegenzusetzen.

Wie ernst die Behörden die Rolle von KI in der Cybersicherheit nehmen, zeigt sich daran, dass das BSI vor KI in der Cybersicherheit warnt – und was diese Warnung für dich zu Hause bedeutet. Den kompakten Rundumblick, was wirklich schützt, bündelt Cybersecurity für zuhause; alle weiteren Analysen findest du in der Rubrik Digitale Sicherheit.

Grundlage dieser Einordnung ist die Berichterstattung von Security-Insider sowie die zugrunde liegende Analyse des Threat-Research-Teams von Sysdig. Dieser Beitrag ist eine journalistische Einordnung und ersetzt keine individuelle IT-Sicherheitsberatung.

Geschrieben von Michael Radtke · Stand: Juli 2026. Michael Radtke schreibt auf alarm.de verständlich über Finanzen & Kredit, digitale Sicherheit und Krypto.