Sicherheitstools werden zu Waffen – Analyse und Lehren aus dem Vorfall, bei dem ARTEX AI 9 südkoreanische Banken durchbrochen hat

Von Ende September bis Anfang Oktober 2026 kam es bei 9 südkoreanischen Finanzinstituten nacheinander zu Datenlecks von Kundendaten. Berichten zufolge sind derzeit mindestens 65.000 personenbezogene Daten und Kreditdaten gestohlen worden. Die südkoreanische Regierung hat einen rund um die Uhr laufenden Notstand für Cybersicherheit ausgerufen, und der Präsident hat eine umfassende Untersuchung angeordnet.

Laut dem Bericht von CrowdStrike ist das Kernwerkzeug dieses Cyberangriffs ein quelloffener KI-Penetrationstest-Agent namens ARTEX, der mit mehreren großen Modellen wie DeepSeek, Claude Code und Grok ausgestattet ist. Es ist sehr wahrscheinlich, dass dieser großangelegte Angriff unter der Anleitung von nur einem menschlichen Hacker durchgeführt wurde. Nach der Offenlegung des Vorfalls kündigten die chinesischen Entwickler von ARTEX am 8. Oktober an, dass das Projekt wegen des Missbrauchs des Tools von Open Source auf Closed Source umgestellt wird, und sie erklärten, dass sie keine Verantwortung für solche Handlungen übernehmen.

Diese Krise ist kein gewöhnliches Hackerereignis. Sie bestätigt, dass die Sorge um die systemische Anfälligkeit im Bereich der Cybersicherheit in den letzten Monaten keine Hypothese mehr ist – die Geschwindigkeit und das Ausmaß, mit denen künstliche Intelligenz die Entdeckung und potenzielle Ausnutzung von Schwachstellen beschleunigt, erscheinen nicht mehr nur im virtuellen Modus in Berichten. Die Tatsache, dass südkoreanische Banken in großem Umfang von nur einem nicht erstklassigen Hacker angegriffen wurden, ist bereits zu einer realen Version dieses Veränderungstrends geworden.

Dies ist nicht nur ein umfassender Zusammenbruch des Finanzsystems, sondern ein völliges Ungleichgewicht der Angriffs- und Verteidigungskosten. Daher haben sowohl die Entwickler der Angriffswerkzeuge als auch die Finanzinstitute als Angriffsziele Grund, neue Warnungen aus diesem Vorfall zu lernen.

I. Was ist das „Neue“ an diesem Cyberereignis?

Um die rechtliche Bedeutung dieses Vorfalls zu verstehen, muss zuerst der wesentliche Unterschied zu herkömmlichen Cyberangriffen erkannt werden. Diese Unterschiede liegen nicht nur in den technischen Details, sondern sind grundlegende Variablen, die bestimmen, wie die Verantwortung verteilt und die Verteidigungslinien neu gezogen werden.

1. Das Werkzeug kann „denken“, die Schwelle sinkt auf „man muss nur Fragen stellen können“

ARTEX wurde als autonomes Penetrationssystem auf Basis künstlicher Intelligenz entwickelt und sollte ursprünglich Unternehmen und Institutionen bei Cybersicherheitstests und Risikoerkennung unterstützen. Es wurde von chinesischen Cybersicherheitsingenieuren entwickelt, im Juli 2026 erstmals auf GitHub veröffentlicht und gewann im August den Baidu „Agent+“ Angriffs- und Verteidigungsherausforderung.

Seine Fähigkeiten wurden jedoch nicht nur im Wettbewerb anerkannt, sondern trugen nur einen Monat später auch erheblich zum Angriff auf südkoreanische Banken bei.

ARTEX arbeitet mit anderen großen Modellen zusammen, um den gesamten Angriff zu automatisieren und einen Kreislauf zu bilden: Es handelt sich nicht um einen einmaligen Scan, und auch nicht darum, dass ein Modell ein Stück bösartigen Code schreibt. Vielmehr koordiniert es mehrere Modelle, die nach Kosten, Sprache und Aufgaben aufgeteilt zusammenarbeiten, und entscheidet auf Basis der Ergebnisse der vorherigen Runde über die Aktionen der nächsten Runde. Dadurch werden die technischen Anforderungen an den Bediener stark gesenkt – er muss nur wissen, wie man das Tool auf dem Internet zugänglichen Portal einer südkoreanischen Bank bereitstellt, die Aufgabe auf das Ziel einstellt und dann wartet.

CrowdStrike gab eine Bewertung mit „mittlerem Vertrauen“ (moderate confidence) ab, dass der menschliche Bediener nicht unbedingt ein erstklassiger Hacker sein muss. Aber ARTEX macht aus einer Anfängerin oder einem Anfänger ein Team für Penetrationstests mit mehreren Zielen, und erreicht in nur wenigen Tagen Ergebnisse, für die ein professionelles Penetrationsteam in der Vergangenheit mehrere Wochen gebraucht hätte.

2. Angriff auf die Peripherie statt auf den Kern – eine rationale Entscheidung unter dem „Eimereffekt“

Es ist bemerkenswert, dass das Kernnetz für Abwicklungen und die Buchhaltungsdatenbank der Banken, die am wichtigsten sind und über die stabilste Firewall verfügen, nicht direkt durchbrochen wurden. Alle bekannt gewordenen geschädigten Vermögenswerte konzentrieren sich auf die peripheren Hilfssysteme, wie z. B. Abfragesysteme für Vermittler, einfache Bürounterstützungssysteme für Mitarbeiter, Vertriebsunterstützung und Datenbanken für externes Personal.

Die Angreifer oder das Tool selbst wählten „rational“ Schnittstellen mit niedrigeren Schutzstandards, Lücken in der Verhaltenserkennung aber hohem Datenwert aus, und legten diese peripheren Schwachstellen durch unermüdliche mehrfache Versuche mit künstlicher Intelligenz vollständig offen. Die Angriffsmethode selbst ist nur das veraltete Credential Stuffing, aber die adaptive Fähigkeit der KI – die Geschwindigkeit an die Rückmeldungen der Verteidigung anzupassen, Proxys auszutauschen und zu ermitteln, welche Art von Portalen gültige Datensätze zurückgibt – verleiht dieser veralteten Methode neue Durchschlagskraft.

Daher zeigt der ARTEX-Vorfall nicht die höchsten technischen Mittel, sondern die effizienteste und wirtschaftlichste Entscheidung, die getroffen wird, wenn man das „Gefälle im Sicherheitsniveau“ des gesamten Systems ausreichend versteht.

3. Dual-Use von Sicherheitswerkzeugen: Vom Gewinner zur Hackersoftware in nur wenigen Wochen

ARTEX war ursprünglich kein Hackerprogramm, sondern ein quelloffener Agent für autorisierte Penetrationstests: Es erzeugt selbst keine Fähigkeiten großer Modelle, sondern bindet externe Dialogmodelle ein, um nach Anweisungen des Benutzers Bestandsaufnahmen von Vermögenswerten, Schwachstellenscans, die Erstellung von Exploit-Code und die Überprüfung von Ergebnissen durchzuführen. Es wurde entwickelt, um Unternehmen bei der Suche nach Schwachstellen und der Durchführung von Red-Team-Übungen zu unterstützen.

Das Problem liegt genau hier – jedes Verteidigungswerkzeug, das „selbstständig planen, selbstständig Modelle aufrufen und selbstständig auf das externe Netz zugreifen kann“, eignet sich im Gegenzug auch am besten, um von Unbefugten für Angriffe auf Ziele verwendet zu werden. Dieselbe Architektur muss nicht umgeschrieben werden, man muss nur das Ziel ändern, die Prompt-Texte austauschen und die Autorisierungsprüfung ausschalten, und schon kann sich das „Sicherheitsassistent“ in eine „Eindringungs-Fließband“ verwandeln. Der Zyklus der „Waffenisierung“ von ARTEX – von dem quelloffenen „Konformitätsforschungsprojekt“ im Juli über den Gewinn des Wettbewerbs im August bis hin zum „Bankangriffswerkzeug“ im September – wurde auf wenige Wochen verkürzt.

Für Juristen ist die Reaktion der Entwickler nach dem Vorfall besonders bemerkenswert.

Die Kombination aus „schneller Umstellung auf Closed Source + Haftungsausschluss“ von Softwareentwicklern ist in früheren Cybersicherheitsfällen unüblich. Die inhärente „Dual-Use-Eigenschaft“ von ARTEX als quelloffenes intelligentes Penetrationswerkzeug sowie das enorme Risiko für das gesamte südkoreanische Finanzsystem haben die Entwickler in eine „Panik“ mit ungewisser Verantwortung versetzt. Daher haben sie auf die extremste Art und Weise eine „Trennung“ vorgenommen und die Ressourcen vollständig aus dem öffentlichen Bereich entfernt.

II. Regulierungsrahmen und regulatorische Schwierigkeiten: Wie regelt man transnationale KI-Angriffe?

Schwierigkeit 1: Konformitätsmängel der Opfer

Die nachträgliche Bearbeitung durch die südkoreanische Finanzaufsichtsbehörde und die Finanzsicherheitsbehörde scheint sich auf die Banken selbst zu konzentrieren.

Obwohl der Umfang dieses Angriffs in Südkorea noch nie dagewesen ist, wurden nicht alle Banken und alle Systeme in gleichem Maße geschädigt. Ermittler gaben an, dass mindestens zwei weitere Bankinstitute den gleichen Angriff erfolgreich abgewehrt haben und kein Datenverlust bestätigt wurde.

Im Gegensatz dazu zeigten die Banken, die erfolgreich angegriffen und deren Informationen gestohlen wurden, Mängel in ihrer Verwaltung der Cybersicherheit und in der Technik. Die Schäden bei der Shinhan Bank sind besonders schwerwiegend: Angreifer stahlen Namen, Telefonnummern, Jahresgehaltsdaten und Kreditlimits von etwa 25.000 Kunden sowie 66 nationale ID-Nummern für die Online-Identitätsüberprüfung und 97 CI-Kennungen. Dieses Ergebnis könnte auf Probleme bei der Identitätsüberprüfung des Kreditportals zurückzuführen sein.

Die zweite Stufe der Reform des „Elektronischen Finanztransaktionsgesetzes“, die in Südkorea vorangetrieben wird, zielt im Kern darauf ab, die Verantwortung des CEO und des Vorstands für die Cybersicherheit zu stärken, und das Strafensystem wird in das Gesetz aufgenommen. Das bedeutet, die Logik der Regulierung lautet: Selbst wenn die Angriffsmittel noch nie dagewesen sind, wird die grundlegende Schutzpflicht der Betreiber von Infrastrukturen dadurch nicht verringert. Die Konformitätsmängel des Opfers und die rechtswidrige Verantwortung des Angreifers sind zwei unabhängige Probleme, werden aber in der öffentlichen Meinung und in Gerichtsverfahren oft miteinander vermischt.

Allerdings stellt sich die Frage, ob für den Verlust der peripheren Systeme der meisten Finanzinstitute im ARTEX-Vorfall die Schwelle der Sorgfaltspflicht nach den „angemessenen technischen Maßnahmen im Zeitalter der künstlichen Intelligenz“ angehoben werden sollte.

Schwierigkeit 2: Das Signal der FTC-Untersuchung: Modellanbieter sind keine neutralen Kanäle

Zur gleichen Zeit wie der Vorfall bei südkoreanischen Banken – Ende September 2026 – leitete die US-amerikanische Federal Trade Commission (FTC) eine Untersuchung gegen Anthropic und OpenAI ein. Der Fokus liegt darauf, ob ihre großen Modelle zur Erzeugung von betrügerischen, irreführenden und rechtsverletzenden Inhalten verwendet werden. Eine der Schlüsselfragen der Untersuchung lautet, ob diese Agenten berechtigt sind, auf Websites und Systeme Dritter zuzugreifen, diese zu erkunden oder zu durchbrechen? Die Untersuchung der FTC wurde auch durch den HuggingFace-Datenleck ausgelöst, das durch Agenten verursacht wurde. Es sendet ein Signal aus: Die Regulierungsbehörden beginnen, nachzufragen, ob die Anbieter ihre angemessene Sorgfaltspflicht erfüllt haben, wenn die Modellfähigkeiten zur Waffe gemacht werden.

Wenn diese Logik auf den ARTEX-Vorfall übertragen wird, ergibt sich folgende Frage: Wussten die Anbieter, dass die Anwendungsprogrammierschnittstellen von DeepSeek, GLM, Grok und Claude Code für autonome Penetrationen verwendet wurden? Können sie dies blockieren? Haben sie Sitzungsprotokolle für die Strafverfolgung aufbewahrt?

Darüber hinaus müssen wir uns mit einem Problem der Umwandlung des Rechtsstatus auseinandersetzen: Wenn die Anwendungsprogrammierschnittstelle eines Modells für Angriffe verwendet wird, ist der Anbieter dann ein neutraler Kanal oder ein Subjekt, das in der Lage ist, die Angriffe angemessen zu blockieren?

Schwierigkeit 3: Die globale Verteilung der Angriffsinfrastruktur macht die Zuordnung zu einzelnen Ländern bedeutungslos

Der Bericht von CrowdStrike enthüllt eine Schlüsseltatsache: Von der von den Ermittlern identifizierten Angriffsinfrastruktur entfallen 65,7 % der IP-Adressen auf die USA, 14,8 % auf China, 10,9 % auf Hongkong und der Rest verteilt sich auf andere Länder und Regionen. Die Angreifer verwendeten einen Master-Server in Hongkong, Cloud-Hosts in den USA und Proxy-Knoten in mehreren Ländern. Das Tool selbst ist öffentlich, der Code kann von jedem auf GitHub heruntergeladen, modifiziert und bereitgestellt werden. Die weltweite Verteilung der IP-Adressen bedeutet, dass man aus „welchem Land die meisten IP-Adressen stammen“ nicht auf die Nationalität oder den staatlichen Hintergrund der Angreifer schließen kann.

Berichten zufolge hat das Finanzsicherheitsforschungsinstitut die identifizierten ausländischen Angreifer-IP-Adressen an die Cloud-Dienstanbieter weitergegeben, die diese IP-Adressen hosten, und diese Betreiber aufgefordert, bösartigen Datenverkehr auf Infrastrukturebene zu blockieren. Ob diese regulatorischen Maßnahmen stark und wirksam sind, muss jedoch noch überprüft werden.

Dies ist keine traditionelle Erzählung von „Hackern aus Land X greifen Banken in Land Y an“, sondern ein grenzüberschreitender Angriff, der von einer weltweit verteilten Infrastruktur ausgeht, mit quelloffenen Werkzeugen bewaffnet und durch Modelle aus mehreren Ländern unterstützt wird. Die rechtliche Bedeutung der Zuordnung zu einzelnen Ländern wird in solchen Vorfällen stark geschwächt, und die grenzüberschreitende Strafverfolgung ist mit vielen Unsicherheiten behaftet.

Schwierigkeit 4: Verantwortung von quelloffenen Entwicklern

Die Verantwortung von quelloffenen Entwicklern wird in der Regel umfassend unter Berücksichtigung von Lizenzvereinbarungen, Rechtebeschränkungen, Maßnahmen zur Einhaltung der Sicherheitsvorschriften und dem Grad der Informationsoffenlegung festgestellt. Grundsätzlich sollte zwischen kostenloser quelloffener Software und kommerziellen Diensten unterschieden werden.

Im GitHub-Repository von ARTEX ist ein strenger Haftungsausschluss angegeben, der die Verwendung gegen nicht autorisierte Systeme verbietet. Aber zwischen der Absicht und dem tatsächlichen Ergebnis besteht ein großer Unterschied. In der Rechtspraxis kann ein einfacher Haftungsausschluss nach dem Motto „wie besehen“ nicht automatisch alle Verantwortungen aufheben.

Aber wenn Regulierungsbehörden solche Verantwortungsgrenzen für Entwickler von quelloffener Software festlegen wollen, müssen sie sich mit einem Widerspruch auseinandersetzen: Sollten quelloffene Agenten wie kommerzielle Dienstsoftware einer Veröffentlichungsprüfung unterzogen werden? Eine strenge Kontrolle von quelloffener Software im Sicherheitsbereich könnte rechtmäßige Red-Team-Übungen schädigen, während völlige Freigabe zu der Situation führt, dass die Software wenige Wochen nach der Veröffentlichung zu einer Hackersoftware wird.

III. Schlussfolgerung: Zwei Lehren

Dieser Vorfall hinterlässt zwei verschiedenen Gruppen unterschiedliche Lehren, aber die zugrundeliegende Logik ist gleich.

Für Finanzinstitute: Ihr Sicherheitsniveau hängt von Ihrer schwächsten Schnittstelle ab.

Die Angriffslogik von KI-Agenten wird von Effizienz angetrieben – sie wählt nicht die berühmtesten Ziele aus, sondern nur die am leichtesten zu durchbrechenden Eingänge. Das bedeutet, dass Cybersicherheit nicht dem „Durchschnittsniveau“ oder dem „höchsten Niveau“ folgt, sondern dem „Eimereffekt“ – die niedrigste Stelle bestimmt die Höhe der Mauer: Solange bei einer Schnittstelle wie dem Kreditvermittlerportal, dem mobilen System für Mitarbeiter oder der Datenbank für externes Personal die Authentifizierung oder die Ratenbegrenzung schwächer ist als bei den Kernabteilungen und Konkurrenten, kann man zum