Einbruch bei Anthropic: KI-Agenten kamen über Drittsoftware
Das Sicherheits-Start-up Cathedral hat sich mit KI-Agenten in weniger als zwölf Stunden Zugang zu internen Systemen von Anthropic verschafft. Der Weg führte nicht über Claude, sondern über zugekaufte Business-Software, die viele Unternehmen nutzen.
Wenn ein KI-Anbieter angegriffen wird, denken die meisten an Modelle, Prompts und Rechenzentren. Der Fall, über den die Washington Post am 26. Oktober 2026 berichtet hat, zeigt eine andere Schwachstelle: Das Sicherheits-Start-up Cathedral hat sich mit KI-Agenten in weniger als zwölf Stunden Zugang zu internen Systemen von Anthropic verschafft. Der Weg führte über ganz gewöhnliche Business-Software für Verwaltung und Vertrieb. Diese Software setzen laut dem Bericht auch viele andere Unternehmen ein.
Was passiert ist
Grundlage des Berichts ist ein Entwurf des Cathedral-Berichts. Danach haben die Forschenden mit KI-Agenten nach Lücken gesucht und sie in zugekaufter Software gefunden. Die Hersteller und Produkte werden aus Sicherheitsgründen nicht genannt. Cathedral gibt an, Zugriff auf Meeting-Protokolle, Angaben zu Gehältern und Jobangeboten sowie Slack-Nachrichten gehabt zu haben. Die Datenzugriffe seien „kept to the absolute minimum“ gewesen.
Anthropic stellt den Vorfall deutlich kleiner dar. Das Unternehmen bestätigt nur einen Zugriff auf „a limited set“ von Vertriebs-, HR- und IT-Systemen. Betroffen waren demnach geschäftliche Kontaktdaten einiger Kunden und Partner sowie einfache Kontodaten. Nachrichten von Kunden an Claude, die Antworten des Modells, der Quellcode und die Modellgewichte waren laut Anthropic nicht erreichbar.
Wie Anthropic reagiert hat
Nach eigener Darstellung hat Anthropic einen Teil der Aktivität schon bemerkt, bevor Cathedral die Lücken meldete. Der Zugang sei noch am selben Tag gesperrt worden, und die betroffene Software blieb abgeschaltet, bis die Hersteller die Fixes bestätigt hatten. Anthropic hat außerdem Bundesbehörden informiert.
„We also have no evidence that anyone exploited these vulnerabilities outside of Cathedral.“
Zwischen den beiden Firmen gibt es Streit. Cathedral hat die Lücken über das Testprogramm von Anthropic gemeldet, das Prämien für gefundene Schwachstellen zahlt. Anthropic wirft dem Start-up vor, die Regeln des Programms nicht vollständig eingehalten und nicht alle Aktivitäten in den eigenen Systemen offengelegt zu haben. Außerdem habe Cathedral die Bedeutung für die nationale Sicherheit übertrieben. Cathedral wollte das gegenüber der Washington Post nicht kommentieren. Das Start-up wurde von früheren DOGE-Mitarbeitern gegründet, hat laut PitchBook 160 Millionen Dollar eingesammelt und wird mit 1,4 Milliarden Dollar bewertet.
Die eigentliche Lehre: Das schwächste Glied ist zugekauft
Bemerkenswert ist das Urteil von Alex Stamos, Sicherheitschef bei Cognition. Er sagt der Washington Post: „They found something big here.“ Das Risiko durch angebundene Drittanbieter nennt er „a humongous problem for everybody“. Anthropic habe bei der Kontrolle externer Softwareanbieter eine Lücke gehabt.
Genau hier liegt der Kern für jedes Unternehmen. CRM, HR-Software, Ticketsysteme, Vertriebswerkzeuge: Diese SaaS-Dienste sind meist über Single Sign-on, Schnittstellen und Integrationen eng mit Slack, E-Mail und Dateiablagen verbunden. Wer eine Lücke in einem dieser Werkzeuge findet, landet schnell mitten im Unternehmen, ganz egal, wie gut die eigene Kernanwendung geschützt ist.
Neu ist die Geschwindigkeit. KI-Agenten prüfen Angriffsflächen in Stunden statt Wochen, das zeigte zuletzt auch ein Angreifer, der mit einer Agentenplattform über 100 Firmen-Websites knackte. Was Cathedral im Auftrag eines Testprogramms gemacht hat, können Angreifer genauso. Ein Regierungsvertreter sagte der Zeitung: „If a bunch of kids who have just started a company can do this, then potentially, the Chinese aren't far behind.“ Ähnliche Muster zeigten auch der Angriff auf LiteLLM und die ConnectWise-Lücke mit Backup-Schlüsseln für M365: Der Schaden entsteht oft bei einem Dienstleister.
Was das für Ihr Unternehmen heißt
- Drittsoftware inventarisieren: Erstellen Sie eine Liste aller SaaS-Dienste mit Zugriff auf Firmendaten, inklusive der Integrationen und OAuth-Freigaben. Viele Unternehmen kennen nur die Hälfte davon.
- Rechte klein halten: Ein Vertriebswerkzeug braucht keinen Lesezugriff auf alle Slack-Kanäle oder das gesamte Laufwerk. Prüfen Sie Berechtigungen und Tokens regelmäßig.
- Lieferanten bewerten: Fragen Sie Anbieter nach Patch-Prozessen, Sicherheitszertifikaten und Meldewegen. Halten Sie im Vertrag fest, wie schnell Sie bei einer Lücke informiert werden.
- Abschaltbar bleiben: Anthropic konnte die betroffene Software bis zum Fix deaktivieren. Planen Sie, wie Ihr Betrieb weiterläuft, wenn ein zentrales Werkzeug für einige Tage vom Netz muss.
- Auffälligkeiten erkennen: Protokolle von SSO, SaaS-Admin-Konsolen und Schnittstellen sollten zentral auflaufen. Ungewöhnliche Datenabflüsse fallen sonst niemandem auf.
- Regeln für Sicherheitstests festlegen: Wer externe Tester oder ein Bug-Bounty-Programm nutzt, braucht klare Grenzen, was erlaubt ist und was sofort gemeldet werden muss. Der Streit zwischen Anthropic und Cathedral zeigt, warum.
Fazit
Der Fall ist für Anthropic unangenehm, im Kern aber kein Claude-Problem. Er zeigt, dass die Angriffsfläche eines Unternehmens heute zu großen Teilen aus fremder Software besteht und dass KI-Agenten diese Fläche in kürzester Zeit abklopfen können. Wer seine SaaS-Landschaft kennt, Rechte begrenzt und Abläufe für den Ernstfall hat, ist deutlich besser aufgestellt. Wenn Sie Ihre Werkzeuge und Integrationen einmal systematisch durchsehen möchten, sprechen Sie mich gern an.
