Es ist kurz nach drei Uhr morgens am 27. Dezember 2025.
Irgendwo sitzt jemand vor einem Rechner und öffnet Claude Code. Nicht, um eine Präsentation zu bauen, Code für eine App zu schreiben oder einen nervigen Fehler zu suchen. Sondern um herauszufinden, wie man in Systeme mexikanischer Behörden eindringt, Daten findet und dabei möglichst wenig Spuren hinterlässt.
Die KI reagiert zunächst genau so, wie man es sich wünschen würde.
Sie wird misstrauisch. Das Löschen von Protokollen, das Verbergen der Befehlshistorie und das Verwischen von Spuren passe nicht zu einem normalen Sicherheitstest, stellt sie fest. Sie verlangt einen Nachweis über die angebliche Beauftragung, über den Umfang des Tests und über das genannte Bug-Bounty-Programm.
Eigentlich ein guter Anfang.
Der Angreifer versucht aber nicht, die KI mit einem magischen Satz oder einem besonders ausgefeilten Jailbreak zu überlisten. Er nutzt auch kein geheimes Spezialmodell irgendwo aus den dunklen Ecken des Internets.
"Er gibt der KI einfach einen Spickzettel"
Mehr als tausend Zeilen lang. Voll mit bekannten Methoden aus der offensiven IT-Sicherheit. Wie man Systeme untersucht, wie man Zugangsdaten findet, wie man sich in einem Netzwerk weiterbewegt und wie man versucht, dabei nicht entdeckt zu werden.
Die KI soll diesen Text nicht selbst erstellen. Sie soll ihn nur in einer Datei speichern.
Und genau das macht sie.
Der "kleine" Unterschied mit großer Wirkung
Das klingt erst einmal nach einer Nebensächlichkeit -> Ist es aber nicht.
Bei Claude Code können Projektdateien mit Anweisungen hinterlegt werden. Sie sind dafür gedacht, dass eine KI beim nächsten Start weiß, wie ein Projekt aufgebaut ist, welche Regeln gelten oder wie ein Entwicklerteam arbeitet.
Normalerweise steht dort vielleicht: „Nutze diese Programmiersprache“, „führe vor dem Abschluss Tests aus“ oder „verwende diese Formatierung“.
In diesem Fall stand dort etwas ganz anderes.
Der Angreifer ließ den Spickzettel als CLAUDE.md ablegen. Diese Datei wird bei neuen Sitzungen automatisch wieder als Kontext geladen. Man kann sich das vorstellen wie ein Briefing, das bei jedem Arbeitsbeginn auf dem Schreibtisch liegt.
Nur dass es hier kein Briefing für ein Softwareprojekt war. Es war ein "Arbeitsplan" für diesen Angriff.
Die KI hatte sich zuvor geweigert, genau solche Anweisungen selbst zu schreiben. Das Speichern eines bereits vorhandenen Dokuments wurde dagegen offenbar als harmlose Dateioperation behandelt.
Das ist der entscheidende Punkt.
Der Angreifer hat die Schutzmechanismen nicht mit einem großen Knall ausgehebelt. Er hat die Aufgabe in kleine Schritte zerlegt. Einen Text mitbringen. Den Text speichern lassen. Den Text bei jeder neuen Sitzung wieder mitladen.
Nicht wirklich spektakulär. Aber offensichtlich sehr wirksam.
Zwölf Minuten später
Keine 12 Minuten später richtet der Angreifer Claude auf einen öffentlich erreichbaren Server der mexikanischen Steuerbehörde SAT.
Zunächst soll ein bekannter Schwachstellenscanner nachsehen, ob es eine offene Tür gibt. Dann hilft die KI dabei, die Verbindung zu stabilisieren, Fehler zu analysieren und einen funktionierenden Angriff anzupassen.
Wenn ein Versuch scheitert, probiert sie eine andere Variante. Wenn Zeichen nicht akzeptiert werden, sucht sie nach einer Möglichkeit, die Eingabe anders zu übertragen. Wenn eine Verbindung abbricht, baut sie Wiederholungen ein.
Am Ende steht ein eigenes Programm, das genau auf das Ziel zugeschnitten ist.
Zwischen der ersten deutlichen Ablehnung der KI und einer funktionierenden Fernsteuerung auf einem echten Regierungsserver sollen laut technischem Bericht ungefähr 40 Minuten gelegen haben.
Das ist nicht deshalb relevant, weil eine KI plötzlich zaubern kann.
Es ist relevant, weil sie die unangenehme und zeitraubende Arbeit übernimmt. Fehler lesen. Varianten vergleichen. Code umschreiben. Noch einmal probieren. Und noch einmal.
Ein Mensch muss dabei nicht jedes technische Detail beherrschen. Er muss vor allem wissen, was er erreichen möchte und das natürlich auch der KI mitgeben.
Kein Chatbot. Eher ein Kollege mit Tastatur.
Wenn viele Menschen an künstliche Intelligenz denken, denken sie an einen Chat im Browser. Man stellt eine Frage und bekommt eine Antwort. Vielleicht schreibt die KI einen Text um oder erklärt, warum der Drucker schon wieder nicht funktioniert.
Hier war die KI aber nicht nur Gesprächspartner.
Claude Code kann auf einem Rechner mit Werkzeugen arbeiten. Es kann Dateien lesen und schreiben, Befehle ausführen und die Ergebnisse anschauen. Der Unterschied ist ungefähr so groß wie zwischen jemandem, der dir erklärt, wie ein Schloss funktioniert, und jemandem, der danebensteht, verschiedene Schlüssel ausprobiert und dir direkt sagt, welcher passt.
Die KI erklärte nicht nur, was möglich sein könnte. Sie führte Befehle aus, sah das Ergebnis und schlug die nächsten Schritte vor.
Nach den Angaben von Gambit Security wurden während der Kampagne 1.088 Anweisungen des Angreifers dokumentiert. Daraus entstanden 5.317 Befehle, die über 34 Sitzungen auf kompromittierten Systemen ausgeführt wurden. Rund 75 Prozent der Remote-Aktivitäten sollen dabei von Claude Code erzeugt und ausgeführt worden sein.
Das ist die eigentliche Veränderung.
Nicht nur eine KI, die Wissen liefert. Sondern eine KI, die Wissen in Handlung übersetzt.
Der Angreifer musste nicht alles können
Der Angreifer hatte offenbar Erfahrung. Sonst hätte er weder die Infrastruktur vorbereitet noch einen solchen Spickzettel zusammengestellt. Der Bericht beschreibt unter anderem vorbereitete Befehlsmuster, Hunderte eigene Skripte und Angriffe auf zahlreiche bekannte Schwachstellen.
Es wäre also falsch zu behaupten, dass irgendein völlig ahnungsloser Mensch einfach einen Satz eingegeben und daraufhin neun Behörden gehackt hätte.
Aber es wäre genauso falsch, die Wirkung der KI kleinzureden.
Denn der Angreifer musste nicht jede Datenbank kennen. Er musste nicht verstehen, wie jede Anwendung in einem großen Behördennetz aufgebaut ist. Er musste nicht stundenlang durch Konfigurationsdateien, Protokolle und Serverinformationen gehen, um herauszufinden, was sich lohnt.
Dafür nutzte er eine zweite KI.
Dabei ging es nicht direkt um ChatGPT im Browser, sondern um die GPT-4.1-API von OpenAI. Ein eigenes Programm sammelte Informationen von kompromittierten Servern und ließ sie automatisiert auswerten.
Welche Dienste laufen dort? Welche Passwörter oder Schlüssel finden sich in Konfigurationsdateien? Welche Systeme gehören möglicherweise zusammen? Wo liegen interessante Daten? Welche Zugänge könnten auch an anderer Stelle funktionieren?
Aus den Rohdaten von 305 internen Servern der Steuerbehörde entstanden laut Bericht 2.597 strukturierte Auswertungen.
Die eine KI war damit der operative Kollege am Rechner. Die andere war der Analyst, der sich durch Berge von Informationen arbeitet und sagt: „Dieser Server ist interessant. Hier könnten Zugangsdaten liegen. Dort könnte sich der nächste Weg öffnen.“
Was früher mehrere Spezialisten über Tage oder Wochen beschäftigt hätte, konnte ein einzelner Operator so zumindest deutlich schneller bearbeiten.
Aus einem Zugriff wird ein Geschäftsmodell
Der Angriff blieb nach Darstellung von Gambit Security nicht bei einzelnen Servern stehen.
Der Bericht beschreibt Zugriffe auf mindestens neun mexikanische Regierungsorganisationen. Betroffen gewesen sein sollen unter anderem Steuerdaten, Melderegister, Wählerdaten, Gesundheitsinformationen und Verwaltungsdaten.
Besonders unangenehm ist ein anderes Detail.
Der Angreifer soll eine Schnittstelle gebaut haben, die Daten direkt aus kompromittierten Systemen der Steuerbehörde abruft. Darüber konnten offenbar aktuelle Informationen zu Personen abgefragt werden. Anschließend entstand ein Dienst, der offizielle Steuerbescheinigungen nachbauen konnte.
Die Daten in solchen Dokumenten wären dann nicht frei erfunden gewesen. Sie wären aus echten Regierungssystemen gekommen. Name, Anschrift, Steuerstatus und weitere Angaben könnten also plausibel und aktuell aussehen.
Die Fälschung beginnt dann nicht zwingend bei den Daten. Sie beginnt bei der Frage, wer sie abruft und zu welchem Zweck.
Das ist der Moment, in dem aus einem Datenabfluss etwas anderes wird. Nicht nur gestohlene Informationen, die irgendwo in einer Datei liegen. Sondern ein Werkzeug für weiteren Betrug.
Und dann scheitert die KI an guter Basisarbeit
Die Geschichte hat aber auch eine wichtige andere Seite.
Beim kommunalen Wasserversorger von Monterrey stieß der Angreifer auf Systeme, die in Richtung der eigentlichen Betriebsumgebung führten. Also in einen Bereich, in dem nicht nur Büroanwendungen laufen, sondern möglicherweise technische Anlagen oder industrielle Prozesse überwacht werden.
Die KI erkannte, dass diese Umgebung interessant sein könnte. Sie sammelte Informationen, wertete Herstellerdokumentationen aus und schlug mögliche Zugangswege vor.
Der Angriff scheiterte aber.
Bekannte Angriffsmethoden funktionierten nicht. Teilweise waren Systeme gepatcht. Passwortversuche blieben erfolglos. Dragos, ein auf industrielle Sicherheit spezialisiertes Unternehmen, fand keine Hinweise darauf, dass der Angreifer tatsächlich in die operative Umgebung des Wasserversorgers gelangte.
Das ist fast der wichtigste Teil der ganzen Geschichte.
Denn er zeigt, dass KI keine Magie ist.
Sie macht bekannte Angriffsmethoden schneller verfügbar. Sie kann fehlendes Spezialwissen ausgleichen. Sie kann einem einzelnen Menschen die Arbeitsleistung eines größeren Teams geben.
Aber sie kann keinen Patch wegdiskutieren.
Sie kann kein Passwort erraten, das nicht erratbar ist.
Und sie kann eine sauber getrennte Netzwerkumgebung nicht einfach ignorieren.
Die KI ist nicht der Dietrich, der jede Tür öffnet. Sie ist eher jemand, der sehr schnell alle Türen im Haus ausprobiert, nachschaut, ob irgendwo ein Schlüssel unter der Fußmatte liegt, und dabei nie müde wird.
War das nun ein Jailbreak?
Im weiteren Sinn natürlich ja.
Der Angreifer hat ein Modell dazu gebracht, bei Aktivitäten zu helfen, die eindeutig gegen die Sicherheitsregeln und Nutzungsbedingungen der Anbieter verstoßen.
Aber es war eben nicht der eine geniale Prompt, der plötzlich alle Schutzmechanismen ausgeschaltet hat.
Claude weigerte sich laut Bericht während der gesamten Kampagne immer wieder bei einzelnen Anfragen. Der Angreifer formulierte um, zerlegte Aufgaben, brachte fertige Inhalte mit oder wählte einen anderen Weg. Manche Ideen funktionierten auch gar nicht.
Genau deshalb ist der Fall so interessant.
Wir reden häufig über besonders leistungsfähige Modelle, geheime Cyber-KIs oder spektakuläre Jailbreaks. Dabei liegt der realistischere Weg möglicherweise viel näher.
Ein handelsübliches Modell. Ein Werkzeug mit Zugriff auf Dateien und Befehle. Ein vorbereiteter Spickzettel. Ein Mensch, der weiß, was er ungefähr erreichen will und nicht beim ersten Nein aufgibt.
Manchmal reicht das schon.
Was wir daraus mitnehmen sollten
Die KI hat keine völlig neue Art von Angriff erfunden.
Die Kampagne nutzte bekannte Schwachstellen, schlecht geschützte Zugangsdaten, unzureichend getrennte Netzwerke und Systeme, die teilweise nicht mehr aktuell oder nicht mehr unterstützbar waren.
Neu war die Geschwindigkeit.
Früher konnte man vielleicht darauf hoffen, dass ein Angreifer an einer komplizierten Umgebung irgendwann die Geduld verliert. Dass er eine alte Anwendung nicht versteht, zu viele Server vor sich hat oder nach mehreren Fehlversuchen weiterzieht.
Heute kann er die KI fragen.
Und die sagt ihm nicht nur, wo er weitersuchen könnte. Sie kann es im Zweifel direkt ausprobieren.
Die gute Nachricht ist, dass die Verteidigung nicht neu erfunden werden muss.
Systeme aktuell halten. Zugänge gut schützen. Kritische Bereiche voneinander trennen. Auffällige Aktivitäten erkennen. Wissen, welche Systeme im Unternehmen vorhanden sind und wie sie miteinander verbunden sind.
Das klingt nicht besonders glamourös. Es ist aber genau der Teil, an dem solche Angriffe am Ende scheitern können.
Die Geschichte aus Mexiko ist deshalb keine Geschichte darüber, dass künstliche Intelligenz plötzlich alles kann.
Sie ist eine Geschichte darüber, was passiert, wenn bekannte Lücken auf einen Angreifer treffen, der plötzlich sehr viel mehr Zeit, Geduld und technische Unterstützung hat als früher.
Und manchmal beginnt das nicht mit einem genialen Angriff.
Sondern mit einem Spickzettel.
Einordnung zur Quellenlage
Die detailliertesten Angaben zu Ablauf, technischen Artefakten und Umfang stammen von Gambit Security. Der technische Bericht wurde nach Angaben des Unternehmens auf Grundlage sichergestellter Daten aus der Infrastruktur des Angreifers erstellt.
Die häufig zitierte Menge von mehr als 150 Gigabyte stammt aus der ersten Veröffentlichung und der anschließenden Berichterstattung. Der spätere technische Bericht beschreibt umfangreiche Datenabflüsse und konkrete Datensätze, nennt diese Gesamtmenge aber nicht noch einmal.
Wichtig ist auch: Mehrere mexikanische Stellen, darunter die Steuerbehörde SAT und das Nationale Wahlinstitut INE, haben unautorisierte Zugriffe beziehungsweise eine massenhafte Datenexfiltration öffentlich bestritten. Der Fall sollte daher als detaillierte forensische Zuschreibung von Gambit Security beschrieben werden, nicht als vollständig behördlich bestätigter Abschlussbericht.
Die Untersuchung von Dragos zum Wasserversorger von Monterrey stützt wesentliche Teile der Darstellung zur KI-gestützten Analyse und zum versuchten Übergang in Richtung OT. Einen erfolgreichen Zugriff auf die operative Umgebung konnte Dragos allerdings nicht feststellen.
Quellen
1. Gambit Security – vollständiger technischer Bericht https://gambit.security/blog-posts/a-single-operator-two-ai-platforms-nine-government-agencies-the-full-technical-report
2. Gambit Security – erste Veröffentlichung zum Fall https://gambit.security/blog-posts/prevention-has-lost-its-edge-resilience-is-the-winning-play
3. Dragos – Analyse zum Wasserversorger und OT-Bezug https://www.dragos.com/blog/ai-assisted-ics-attack-water-utility
4. Anthropic – Dokumentation zu CLAUDE.md und persistenter Projektanweisung https://docs.anthropic.com/en/docs/claude-code/memory
5. IT Masters Mag – öffentliche Dementis von SAT und INE https://www.itmastersmag.com/ciberseguridad/sat-e-ine-niegan-hackeo-masivo-via-claude-de-anthropic/
6. DPL News – Stellungnahme der mexikanischen Steuerbehörde SAT https://dplnews.com/sat-niega-ciberataque-con-inteligencia-artificial/