Ein Mensch gibt den Auftrag, und ein Dutzend KI-Agenten durchforstet stundenlang Websites, sucht nach Schwachstellen und versucht, Zugriff auf Server zu bekommen. Das ist längst kein Laborexperiment mehr. Sicherheitsforscher haben offen zugängliche Steuerungsoberflächen entdeckt, über die Kriminelle tatsächliche Angriffe auf Onlineshops und Webanwendungen organisierten. Einige erfolgreiche Angriffe ließen sich unabhängig bestätigen. Die entscheidende Erkenntnis lautet aber nicht „KI kann jetzt hacken“. Sie lautet: Längst bekannte Sicherheitslücken lassen sich heute viel beharrlicher ausnutzen, mit kaum noch menschlichem Eingreifen.

Am 19. Oktober 2026 veröffentlichte das Sicherheitsforschungsunternehmen NorForge seinen Bericht „Inside Cairn“ über ungeschützte Verwaltungsoberflächen für KI-Agenten. Zeitgleich prüfte Reuters einen Teil der Unterlagen und kontaktierte Organisationen, deren Infrastruktur in den Angriffsprotokollen auftauchte. Beide Quellen zeigen eine wichtige Veränderung: Es geht nicht mehr nur um automatisierte Scans, wie wir sie seit Jahren kennen, sondern um lang andauernde Angriffe, bei denen Software ihre nächsten Schritte an die gerade gewonnenen Erkenntnisse anpasst.

Mehr als 20 offene Steuerungsoberflächen, über 1.100 Angriffsprojekte in einem Cluster

Cairn ist eine Plattform, auf der KI-Agenten mehrstufige Aufgaben erledigen können. Man legt ein Ziel, einen Ausgangspunkt und die verfügbaren Werkzeuge fest. Das System plant weitere Schritte anhand der bisherigen Ergebnisse. Diese Technik ist nicht grundsätzlich kriminell: Sie kann auch für legale, ausdrücklich genehmigte Sicherheitstests eingesetzt werden. In den untersuchten Kampagnen nutzten die Betreiber sie allerdings, um in fremde Websites einzudringen.

WebsiteGarage / Leistungen

Entdecke unsere Leistungen.

Die Forschenden entdeckten mehr als 20 öffentlich erreichbare Verwaltungsoberflächen, die ihrer Einschätzung nach wahrscheinlich mit böswilligen Aktivitäten zusammenhingen. Im aktivsten Cluster, der aus 14 solcher Oberflächen bestand, fanden sich über 1.100 Angriffsprojekte. Die Ziele lagen vor allem im E-Commerce, im Zahlungsverkehr und bei anderen öffentlich zugänglichen Onlinediensten.

Hier muss man mehrere Zahlen auseinanderhalten, aus denen sich leicht eine spektakuläre, aber irreführende Schlagzeile machen lässt. 1.100 Projekte bedeuten nicht 1.100 erfolgreiche Einbrüche. Reuters zufolge nahm der aktivste Betreiber mehr als 1.200 Websites ins Visier. Die Dokumentation deutete auf über 100 erfolgreiche Kompromittierungen hin. Ein Teil der Ergebnisse wurde unabhängig überprüft. Nicht jede vom Agenten gemeldete Erfolgsmeldung konnte jedoch von außen bestätigt werden.

NorForge schätzte die Erfolgsquote der sichtbaren Kampagnen auf ungefähr 10 %. Das ist ein Näherungswert aus beobachteten Aufgaben mit unterschiedlichen Zielen und Erfolgskriterien. Er sagt weder etwas über die Erfolgsquote sämtlicher KI-Agenten aus, noch bedeutet er, dass jedes zehnte beliebig ausgewählte Unternehmen übernommen werden könnte.

Was taten die Agenten konkret? Weit mehr als Passwörter ausprobieren

Ein einfacher klassischer Scanner schickt eine vorbereitete Folge von Anfragen, prüft die Antworten anhand fester Regeln und ist dann fertig. Die hier beobachteten Agenten arbeiteten deutlich länger. Nach einem Fehlschlag sammelten sie zusätzliche Informationen, suchten nach verbundenen Systemen, verfolgten andere Ansätze und überprüften weitere Vermutungen. Das ähnelte dem Vorgehen eines menschlichen Penetrationstesters. Nur konnten die Agenten stundenlang weitermachen, ohne neue Anweisungen vom Betreiber zu benötigen.

In der aktivsten Gruppe dauerten Aufgaben, die laut Protokoll ihr Ziel erreichten, im Schnitt knapp 23 Stunden. Laut NorForge wurden pro Projekt im Mittel rund 140 Beobachtungen und Zwischenschritte festgehalten. Das waren keine kurzen Angriffswellen von wenigen Sekunden, sondern ausdauernde Versuche, immer neue Möglichkeiten auszuloten.

Ein dokumentierter Fall betraf einen Händler für Ersatzteile. Nachdem Hinweise auf unbefugte Aktivitäten aufgetaucht waren, überprüften die Forschenden, ob unter einer bestimmten Adresse tatsächlich eine Möglichkeit zum Hochladen von Dateien auf den Server eingerichtet worden war. Sie bestätigten deren Existenz. In einem weiteren Fall überprüften sie, ob sich Befehle auf einem Webserver ausführen ließen. Das waren Hinweise auf tatsächliche Kompromittierungen, nicht bloß Behauptungen eines KI-Modells.

Das heißt trotzdem nicht, dass die Agenten bei jedem Angriff Kundendaten gestohlen haben. Reuters konnte feststellen, dass sich das tatsächliche Ausmaß möglicher Datenabflüsse nicht vollständig klären ließ. Einige betroffene Organisationen bestätigten Sicherheitsvorfälle oder bereits eingeleitete Gegenmaßnahmen. Wie groß der Schaden war, unterschied sich jedoch und blieb teilweise unbekannt.

Billig und parallel: Das ist das eigentlich Beunruhigende

Eine gründliche Untersuchung vieler Websites über mehrere Stunden kostete früher Personal, Zeit und einiges an Fachwissen. KI-Agenten machen Angriffe nicht auf magische Weise erfolgreich. Sie ermöglichen aber, dass eine einzelne Person viel mehr Versuche zu geringen Kosten startet und auch dort beharrlich weitermacht, wo sich der Aufwand früher kaum gelohnt hätte.

NorForge beziffert die durchschnittlichen Kosten pro gestarteter Aufgabe im aktivsten Cluster auf rund fünf US-Dollar, weist aber auf erhebliche Unsicherheiten hin. Reuters nennt eine Schätzung von etwa 50 US-Dollar pro erfolgreichem Einbruch. Auch das ist eine Kostenmodellierung, keine Rechnung des Angreifers. Keine der beiden Zahlen ist ein fester „Preis für die Übernahme einer beliebigen Website“.

Wichtiger ist die Entwicklung dahinter: Immer neue Versuche und die Untersuchung weiterer Websites werden deutlich günstiger. Für Administratoren bedeutet das, dass ein Angriff langwierig und mehrstufig ablaufen kann, ohne durch massiven Traffic aufzufallen. Wer nur auf extreme Spitzen bei den Anfragen reagiert, übersieht womöglich das eigentliche Problem.

Und die Angreifer? Ihre eigenen Steuerungsoberflächen waren ungeschützt

Die Untersuchung enthält ein geradezu absurdes Detail. Menschen, die Angriffe auf fremde Systeme automatisierten, ließen einige ihrer eigenen Steuerungsoberflächen öffentlich erreichbar. Genau dadurch konnten die Forschenden die Ziele, den Verlauf der Agentenarbeit und die Ergebnisse der Angriffsversuche einsehen. Mitunter fanden sie sogar vertrauliche Informationen, die bei den Aktionen entdeckt worden waren.

Bei der Auswertung dieser Daten stießen die Forschenden auf Hunderte unterschiedlicher Zugangsdaten. Ein automatisierter Test bestätigte, dass rund 11 % der geprüften Geheimnisse noch gültig waren. Diese Zahl ist nicht mit der Erfolgsquote der Angriffe zu verwechseln. Sie zeigt ein anderes Problem: Ein schlecht abgesichertes Agentensystem kann sowohl Informationen über seinen Betreiber als auch die Geheimnisse der Opfer preisgeben.

Ähnliche Versäumnisse fanden sich auch in Oberflächen, die vermutlich zu legalen Penetrationstests gehörten. Der Bericht ist deshalb ebenso eine Warnung für Unternehmen mit eigenen KI-Agenten: Ein Werkzeug zur Sicherheitsprüfung darf nicht selbst zum öffentlich zugänglichen Verzeichnis für Passwörter, Tokens und Prüfberichte werden.

Was bedeutet das für WordPress und kleine Onlineshops?

Zunächst sollten wir einen falschen Schluss vermeiden: „KI hat eine neue Schwachstelle gefunden, von der jede WordPress-Website betroffen ist.“ Darum geht es im Bericht nicht. Er dokumentiert Angriffe auf verschiedene Anwendungen, Server und Technologien, darunter E-Commerce-Systeme. Die Risiken gingen von konkreten Fehlern bei der Konfiguration, in Anwendungen, bei Berechtigungen und im Umgang mit Daten aus.

Eine Firmenwebsite mit Kontaktformular, ein WooCommerce-Shop oder eine selbst entwickelte Anwendung wird nicht allein deshalb angreifbar, weil sie auf einer bestimmten Plattform basiert. Gefährlich wird es, wenn eine Schwachstelle unbefugte Aktionen ermöglicht und niemand sie behebt. Ein KI-Agent kann sie lediglich schneller finden oder länger versuchen, sie auszunutzen.

Eine vernünftige Verteidigung besteht deshalb nicht darin, das nächste Plugin mit dem Aufkleber „AI Security“ zu kaufen. Entscheidend sind die Grundlagen, die auch ohne KI gelten: Updates, abgesicherte Administratorzugänge, Anwendungssicherheit, Backups, Protokollierung und ein Plan für Sicherheitsvorfälle.

Sechs Dinge, die du prüfen solltest, bevor andere sie entdecken

  • 1. Updates und bekannte Schwachstellen. Prüfe WordPress, Theme, Plugins, PHP und Integrationen. Welche Komponenten werden wirklich genutzt, und welche werden von ihren Entwicklern noch gepflegt? Bei kritischen Sicherheitslücken musst du auch außerhalb des regulären Wartungsplans reagieren.
  • 2. Zugänge zu Adminbereichen und APIs. Entferne unnötige Konten, beschränke Administratorrechte, aktiviere nach Möglichkeit die Zwei-Faktor-Authentifizierung und prüfe Verbindungen zu externen Systemen. Achte besonders auf API-Tokens und Schlüssel, die noch aus alten Projekten stammen.
  • 3. Backups, die sich tatsächlich wiederherstellen lassen. Eine Sicherung außerhalb des Produktivservers und ein getesteter Wiederherstellungsprozess sind wichtiger als die bloße Anzahl der Backup-Dateien. Bei Onlineshops kommt die Frage hinzu, wie viele Bestellungen und Datenänderungen bei einer Wiederherstellung verloren gehen könnten.
  • 4. WAF und Begrenzung automatisierter Anfragen. Schutzregeln, gesicherte Adminzugänge und sinnvolle Rate Limits können verdächtigen Traffic teilweise abwehren. Sie schließen aber keine Sicherheitslücken und garantieren auch nicht, dass ein langsamer, mehrstufiger Angriff erkannt wird.
  • 5. Protokolle und Monitoring. Achte auf unerwartete Dateiänderungen, neue Konten mit erweiterten Rechten, ungewöhnliche Verbindungen und auffällige Zugriffe auf sensible Funktionen. Eine reine Verfügbarkeitsüberwachung erkennt keinen Einbruch, bei dem die Website weiterhin normal funktioniert.
  • 6. Ein Plan für den Ernstfall. Kläre im Voraus, wer Zugriff auf Hosting, DNS, Backups und Logs hat, wer eine verdächtige Integration abschalten darf und wer über die Wiederinbetriebnahme entscheidet. Während eines Vorfalls sollte niemand erst nach dem Serverpasswort suchen müssen.

Wartung ist nicht dasselbe wie die Wiederherstellung nach einem Einbruch

Genau hier liegt der Unterschied zwischen laufender Betreuung und einer akuten Reparatur. Solange eine WordPress-Website normal funktioniert, ist Vorsorge am sinnvollsten: Updates kontrolliert einspielen, überwachen, Backups prüfen und auf kritische Sicherheitslücken reagieren. Bei WebsiteGarage übernimmt das WP Care, unsere laufende WordPress-Wartung und technische Betreuung. Es geht nicht darum, gedankenlos auf „Aktualisieren“ zu klicken, sondern darum, dass die Website nach Änderungen weiterhin zuverlässig funktioniert.

Wichtig sind aber auch die Grenzen dieser Leistung. WP Care umfasst die Erkennung eines Problems, eine erste Untersuchung, die Eindämmung einer Bedrohung und, wenn es der sichere Weg ist, die Wiederherstellung aus einem funktionierenden Backup. Eine vollständige forensische Untersuchung nach einem Einbruch, umfangreiche Bereinigungsarbeiten und der Neuaufbau eines Servers gehören nicht automatisch zum regulären Wartungsvertrag. Dafür wird ein eigener Leistungsumfang vereinbart.

Wenn bereits etwas kaputt ist, brauchst du eine andere Leistung. Ein nicht erreichbarer Adminbereich, Probleme nach einem Update, PHP-Fehler oder eine defekte Funktion sind Fälle für WordPress Fix, also die Diagnose und Reparatur eines konkreten Problems. Bösartige Weiterleitungen, unbekannte Administratoren, veränderte Dateien oder nachgewiesene Schadsoftware gehören dagegen zum Bereich WordPress Recovery: der Wiederherstellung einer Website nach einem Sicherheitsvorfall.

Bei einem Onlineshop kommen Bestellungen, Zahlungen, Kunden-Sessions und externe Schnittstellen hinzu. Deshalb ist die Betreuung von WooCommerce-Shops eine eigene Leistung: Woo Care. Sie ist nicht automatisch in WP Care enthalten. Wenn du nicht weißt, ob du eine Reparatur, eine Wiederherstellung oder laufende Wartung brauchst, beschreibe uns das Problem bei WebsiteGarage. Zuerst müssen wir die Symptome und das Ausmaß verstehen. Erst danach lässt sich die passende Hilfe auswählen.

Was tun, wenn du vermutest, dass deine Website gehackt wurde?

Bei einem möglichen Einbruch ist es oft das Schlechteste, hektisch Dateien zu löschen und gleich fünf Scanner nacheinander zu installieren. Dabei können genau die Spuren verloren gehen, die später zur Aufklärung nötig wären. Was zuerst passieren muss, hängt vom Vorfall ab. Eine sinnvolle Reihenfolge sieht meist so aus:

  • Weiteren Schaden begrenzen. Wenn es die Situation erfordert, deaktiviere die betroffene Funktion vorübergehend oder schränke den Zugriff auf die Anwendung ein. Bei einem Shop musst du auch die Folgen für Bestellungen und Zahlungen berücksichtigen.
  • Beweismaterial sichern. Bewahre relevante Logs, Sicherungen und Informationen über festgestellte Änderungen auf, bevor du etwas entfernst. Falls personenbezogene Daten betroffen sein könnten, müssen mögliche rechtliche Pflichten gesondert geprüft werden.
  • Umfang des unbefugten Zugriffs feststellen. Beschränke dich nicht auf WordPress. Je nach Erkenntnissen gehören auch Benutzerkonten, Datenbank, Hosting, geplante Aufgaben, Plugins, Dateien und verbundene Dienste auf den Prüfstand.
  • Einfallstor schließen und Hinterlassenschaften entfernen. Ein Update kann eine Schwachstelle beheben. Es entfernt aber keine zusätzlich angelegten Konten, Hintertüren oder beim Angriff kopierte Zugangsdaten. Möglicherweise müssen Zugangsdaten ausgetauscht und Komponenten aus vertrauenswürdigen Quellen wiederhergestellt werden.
  • Vor der Wiederinbetriebnahme testen. Prüfe Formulare, Anmeldung, Weiterleitungen und die wichtigsten Abläufe. Bei WooCommerce müssen auch Checkout, Bestellstatus und Zahlungsanbindungen kontrolliert werden.

Nicht jede Infektion erfordert einen kompletten Neubau. Aber auch nicht jede lässt sich verantwortungsvoll in einer halben Stunde beseitigen. Wie umfangreich die Maßnahmen sein müssen, hängt davon ab, was tatsächlich kompromittiert wurde – nicht von einem pauschalen Versprechen, nach einem einzigen Scan sei alles „zu 100 % sauber“.

Die meisten Schwachstellen sind nicht neu. KI beschleunigt ihre Ausnutzung.

In dieser Untersuchung wurde keine neue universelle Angriffsmethode entdeckt, mit der sich jede Website knacken ließe. Die Angriffe nutzten weiterhin bekannte Schwachstellen: fehlerhafte Zugriffsrechte, unsichere Datenverarbeitung, gefährliche Funktionen und ähnliche Probleme. Neu sind vor allem das Ausmaß und die Ausdauer der Automatisierung. Ein Mensch kann viele Aufgaben starten, während ein Agent über Stunden weitere Angriffsmöglichkeiten sucht, auch wenn der erste Versuch scheitert.

Das ist kein Grund, WordPress oder gleich das ganze Internet abzuschreiben. Es ist aber ein guter Grund, Website-Sicherheit nicht länger als einmalige Aufgabe zum Launch zu behandeln. Eine Website ist ein laufendes System mit Nutzern, Daten, Schnittstellen und Abhängigkeiten. Und laufende Systeme brauchen Wartung – sowie einen Plan für den Fall, dass etwas schiefgeht.

Quellen und Grenzen der Erkenntnisse

Informationsstand: 19. Oktober 2026. Die Zahl der Projekte in den Verwaltungsoberflächen, von Agenten gemeldete Erfolge, unabhängig bestätigte Kompromittierungen und nachgewiesene Datenverluste sind unterschiedliche Kategorien. Sie dürfen nicht gleichgesetzt werden.