„LLM-Jacking“: gekaperte KI-Konten befeuern einen neuen Boom der Cyberkriminalität

Am 26. September 2026 veröffentlichte die Financial Times eine Untersuchung, in der es heißt, Sicherheitsforscher hätten vor einem Anstieg des „LLM-Jacking“ gewarnt, einer Angriffsklasse, bei der Kriminelle Cloud- und KI-Zugangsdaten stehlen, um teure große Sprachmodelle auf Kosten anderer zu betreiben oder den Zugang dazu weiterzuverkaufen. Der Artikel von Tom Wilson beschreibt den illegalen Zugang zu KI-Modellen und Rechenleistung als schnell aufkommende „heißeste Ware im Untergrund der Cyberkriminalität“.

Zum Weiterlesen: Niederländische Polizei verhaftet mutmaßlichen ShinyHunters-Anführer, während die FBI-Breach-Folgen wachsen · Leakers$ kaperten öffentliche LED-Werbetafeln in Ägypten, Malaysia und Brasilien.

John Hultquist, Chefanalyst der Google Threat Intelligence Group, sagte der FT, seine Einheit habe in diesem Jahr einen starken Anstieg des LLM-Jacking beobachtet, darunter den Verkauf gestohlener Zugangsdaten für öffentliche KI-Tools und den Diebstahl von Rechenressourcen durch Gruppen, die ihre eigenen Modelle kostenlos betreiben wollen.

„Was wir im Untergrund sehen, ist eine wachsende Ökonomie rund um den Zugang zu KI“, sagte Hultquist, der seit 20 Jahren im Bereich Cybersicherheit arbeitet. Günstiger Zugang zu teuren Modellen, so sagte er, verschaffe Angreifern einen finanziellen Vorsprung gegenüber den Unternehmen, die dieselben Werkzeuge zur Verteidigung nutzen müssen. „Unterm Strich verschafft ihnen dieses Verhalten eine Art wirtschaftlichen oder Effizienzvorteil gegen uns, weil sie im Wesentlichen in der Lage sein werden, diese Token zu einem viel günstigeren Preis in die Hände zu bekommen“, sagte er.

Was LLM-Jacking ist

Die Mechanik ist einfach, und genau das macht den Angriff attraktiv. Unternehmens-KI-Agenten und -Anwendungen authentifizieren sich bei einem Modell mit einem API-Schlüssel oder einem Sitzungstoken, einem String, der oft die gesamte Kaufkraft eines Unternehmenskontos trägt. Erlangt ein Angreifer diesen String, kann er dieselben Modelle aufrufen, für die das Unternehmen zahlt, und die Rechnung dem Opfer überlassen.

Der Angriff erhielt seinen Namen im Mai 2024 vom Sysdig Threat Research Team, das nach eigenen Angaben den Begriff „LLMjacking“ prägte, nachdem es gestohlene Cloud-Zugangsdaten beobachtet hatte, mit denen zehn cloud-gehostete Modelldienste angegriffen wurden. Die Zugangsdaten stammten in jenem Fall von einem System, das eine anfällige Version von Laravel betrieb, die als CVE-2021-3129 geführt wird. Sysdig fand Hinweise auf einen LLM-Reverse-Proxy, eine Software, mit der ein Betreiber Zugang zu einem Pool kompromittierter Konten weiterverkaufen kann, während die zugrunde liegenden Schlüssel verborgen bleiben.

Sysdig schätzte, dass ein einziges missbrauchtes Anthropic-Claude-2.x-Konto mehr als 46.000 Dollar an Inferenzkosten pro Tag verursachen könnte. Eine spätere Forschungsnotiz der Cloud Security Alliance bezifferte Angriffe auf Claude 3 Opus auf über 100.000 Dollar pro Tag.

Warum sich KI-Konten zu stehlen lohnen

Die fortgeschrittensten ChatGPT- und Claude-Abonnements können bis zu 200 Dollar pro Nutzer und Monat kosten, und die FT berichtete unter Berufung auf Googles Bedrohungsforscher, dass Darknet-Marktplätze Zugang zu Modellen von Anthropic, Google und OpenAI mit Rabatten von bis zu 97 Prozent verkaufen. Je mehr Unternehmen teure KI-Kapazität hosten oder einkaufen, desto mehr wird das Konto selbst zur Beute.

Googles Threat-Intelligence-Gruppe erklärte in einem Bericht vom 8. September 2026, die Nachfrage im Untergrund nach KI-Konten sei im Jahresverlauf gestiegen und konzentriere sich auf Claude- und Gemini-Zugangsdaten, wobei sich die durchschnittlichen Marktplatzpreise pro Konto 2026 mehr als verdoppelt hätten. Die Nachfrage erstreckte sich auch auf autonome Coding-Werkzeuge wie Cursor Pro und Devin.

Der Handel ist nicht neu. Das Threat Response Unit von eSentire berichtete im Juli 2024, Kriminelle verkauften täglich rund 400 einzelne GenAI-Konten, wobei OpenAI-Zugangsdaten mit etwa 200 Angeboten pro Tag am häufigsten waren. Stealer-Logs kosteten etwa 10 Dollar pro Stück, und gestohlene GPT-4- oder Claude-API-Schlüssel wurden für rund 15 Dollar angeboten, so das Unternehmen.

Der Wettbewerb unter den Verkäufern hat das Angebot verändert. Weil KI-Labore auf Missbrauch achten und kompromittierte Konten deaktivieren, bieten manche Verkäufer nun „garantierten Zugang“ an, sagte Hultquist, und verpflichten sich, bei Sperrung des ersten Kontos kostenlos Ersatz-Zugangsdaten zu stellen.

Eine Vorlage für billige KI-gestützte Kriminalität

Beim LLM-Jacking geht es um den Diebstahl von Modellzugang, doch eine parallele Kampagne zeigt, wie weit die Kosten KI-gesteuerter Eindringlinge gefallen sind. Gambit Security berichtete am 22. September 2026, dass ein finanziell motivierter Betreiber, von Forschern als chinesischsprachig beschrieben, drei quelloffene KI-Gerüste nutzte, um Hunderte Online-Händler anzugreifen. Die Werkzeuge waren Strix für Schwachstellenscans, Cairn für autonome Ausnutzung und Hermes für die Orchestrierung.

Die Kampagne begann im Juli 2026 und lief Ende September noch. BleepingComputer berichtete, der Betreiber habe mehr als 600.000 gültige Kreditkartendatensätze von zwei Unternehmen gestohlen, darunter 488.372 von US-Karteninhabern, und auf mindestens 119 Websites Zahlungsskimmer platziert. Gambit schätzte die Kosten der gesamten Operation auf 12.000 bis 18.000 Dollar, im Mittel 25,46 Dollar über 101 abgeschlossene Scans. Wo Zugang erlangt wurde, dauerte es meist weniger als einen Tag.

Wie die Zugangsdaten abfließen

Anthropics Bedrohungsbericht vom September 2026 beschreibt eine ausgereifte kriminelle Lieferkette rund um den KI-Zugang. Darin heißt es, Zugang in Form kompromittierter API-Schlüssel, Sitzungstoken und Geräte sei „zunehmend zum einzigen Ziel mehrerer krimineller Gruppen geworden“, die diesen Zugang dann über Broker verkauften, welche betrügerische KI-Wiederverkäufernetzwerke speisten.

Der Bericht argumentiert, dass Betreiber, die KI-Zugangsdaten erlangen, drei Dinge zugleich gewinnen. Er nennt sie „Loot“, also Wiederverkaufswert auf etablierten Märkten; „Compute“, also Angriffslasten, die auf Kosten anderer laufen; und „Cover“, weil die Aktivität dem rechtmäßigen Inhaber der Zugangsdaten zugeschrieben wird. Anthropic beschreibt ShinyHunters-Affiliates, die nach dem Diebstahl der KI-Schlüssel eines Opfers ihre eigenen Angriffslasten auf die Schlüssel des Opfers verlagerten, sowie eine Hacktivisten-Kampagne, die einen Monat lang ausschließlich mit gestohlenen API-Schlüsseln lief.

Googles Threat-Intelligence-Team führte einen Großteil des Angebots auf Infostealer-Malware zurück und nannte Lumma, Stealc, Vidar und ACRStealer. Im Mai 2026, so hieß es, verteilten ACRStealer-Kontrollinstanzen Dateigreifer-Regeln auf die Konfigurationsspeicher von KI-Coding-Assistenten und zielten auf die Datei secrets.json von Cline und die Datei config.yaml von Continue. Diese Dateien können Klartext-API-Schlüssel und benutzerdefinierte Modellendpunkte enthalten. In einem separaten Fall im April 2026 reagierte Mandiant auf einen Eindringversuch, bei dem ein offengelegtes persönliches Zugangstoken von GitHub einem Angreifer erlaubte, unbefugte KI-Infrastruktur aufzubauen und Quotenerhöhungen für GPUs zu beantragen.

Wie groß das Problem geworden ist

Öffentliche Daten sind dünn, und vieles von dem, was existiert, stammt von Anbietern, die auch Abwehrprodukte verkaufen. Die klarste offizielle Zahl kommt vom FBI. Sein Internet Crime Complaint Center verzeichnete 2025, im ersten Jahr, in dem es die Kategorie erfasste, 22.364 Beschwerden mit einem KI-bezogenen Merkmal, mit gemeldeten Verlusten von fast 893 Millionen Dollar.

Private Schätzungen liegen höher. CTech, der Technikableger des israelischen Mediums Calcalist, berichtete im August 2026, LLM-Hijacking habe in jenem Jahr bereits geschätzte 1 Milliarde Dollar kumulativer organisatorischer Verluste verursacht. Dima Tatur, Vizepräsident für Cyberabwehr beim Sicherheitsunternehmen Commit, sagte CTech, „die Verluste liegen im Durchschnitt bei 50.000 bis 100.000 Dollar pro Tag und betroffenem Unternehmen“.

Anthropic erklärte, sein Threat-Intelligence-Team habe in den acht Monaten bis August 2026 die bösartige Nutzung von Claude in mehr als zwei Dutzend Ländern unterbrochen, darunter die Vereinigten Staaten, Großbritannien und Jemen, so die FT.

Was Unternehmen tun sollten

Die Abwehrratschläge laufen darauf hinaus, KI-Zugangsdaten mit derselben Ernsthaftigkeit zu behandeln wie Produktionsgeheimnisse. Anthropics Bericht stellt klar, dass KI-Zugang nur über autorisierte Kanäle gekauft werden sollte, weil ein Rabatt, der Zugangsdaten über einen unbekannten Vermittler leitet, Daten und Systeme dem Mittelsmann aussetzt.

Aus den Untersuchungen ergeben sich mehrere praktische Kontrollen:

• Geben Sie API-Schlüsseln kurze Laufzeiten, beschränken Sie sie auf das geringste notwendige Recht und rotieren Sie sie regelmäßig. Sysdigs ursprünglicher Bericht empfiehlt Secret-Management und Berechtigungsverwaltung, damit ein missbrauchtes Konto nur den minimalen Zugang besitzt, den es braucht.
• Scannen Sie Code, Container und öffentliche Repositories auf offengelegte Schlüssel und beobachten Sie insbesondere die Konfigurationsdateien von KI-Entwicklern, denn dort suchen Stealer laut Google inzwischen.
• Überwachen Sie Modell-Aufrufprotokolle und Ausgaben. Hultquist sagte der FT, der beste Moment für Angreifer, sich einzufügen, sei jetzt, solange Unternehmen noch lernen, wie viel KI sie nutzen. „Man könnte denken, ein plötzlicher starker Anstieg der Rechennutzung sei völlig normal, weil man gerade die ganze KI-Infrastruktur eingeführt hat“, sagte er. „Es ist eine echte Gelegenheit für jemanden, sich im Rauschen zu verstecken.“
• eSentire empfiehlt Passkeys und FIDO2-Sicherheitsschlüssel, wo KI-Plattformen sie unterstützen, sowie Darknet-Überwachung, um gestohlene Zugangsdaten zu erkennen, wenn sie angeboten werden.

Tatur von Commit schlug eine dreistufige Reaktion auf Vorfälle vor: den kompromittierten Schlüssel sofort sperren und den Verbrauch begrenzen; den Ersatzschlüssel in einen sicheren Tresor verschieben, statt ihn wieder in den Quellcode einzufügen, was der Weg ist, auf dem wiederholter Diebstahl geschieht; dann den Eindringversuch untersuchen und beim Modellanbieter eine Gutschrift erbitten. Er warnte, Unternehmen täten sich oft schwer, die Labore zu erreichen, und beschrieb die Kommunikation als begrenzt.

Einschränkungen

Ein paar Grenzen sind erwähnenswert. Die Preise und Nachfragezahlen im Untergrund stammen von Bedrohungsanalyse-Anbietern, die auch Sicherheitsprodukte verkaufen, sie sollten daher als fundierte Schätzungen und nicht als geprüfte Bilanzen gelesen werden. Die IC3-Zahl zählt Beschwerden mit einem angehängten KI-Merkmal, was nicht dasselbe ist wie bestätigte LLM-Jacking-Vorfälle. Die Verlustschätzung von 1 Milliarde Dollar und die täglichen Verluste pro Unternehmen sind private Berechnungen. Und die zentrale Stimme der FT ist Googles Hultquist, dessen Arbeitgeber auf dem Sicherheitsmarkt konkurriert, den er beschreibt.

Was nicht strittig ist, ist die Richtung. Der FT-Artikel, die Offenlegungen von Anthropic, Googles Tracker und unabhängige Vorfallberichte beschreiben alle dieselbe Verschiebung: KI-Zugang ist zu einer Ware geworden, die sich zu stehlen lohnt, und der Preis einer Zugangsberechtigung liegt weit unter dem Schaden, den eine gestohlene anrichten kann.

Was zu beobachten ist

Versicherungen könnten den effektiven Preis des Risikos bestimmen. Im April 2026 berichtete die FT, dass QBE und Beazley Vertragssprache entwarfen, um KI-bezogene Verluste zu begrenzen, wobei QBE Sublimits für LLM-Jacking-Fälle anwendet, sodass eine Police mit Deckung bis 5 Millionen Dollar für diese Ansprüche nur etwa 250.000 Dollar zahlen würde. Ob mehr Versicherer ähnliche Obergrenzen übernehmen, wird prägen, wie viel der Rechnung Unternehmen am Ende selbst tragen.

Beobachten Sie zudem, ob die KI-Labore die Abrechnungs- und Gutschriftprozesse verbessern, die Opfern derzeit undurchsichtig erscheinen, und wie schnell gestohlene KI-Konten in den Eindringversuchen auftauchen, die Sicherheitsteams als Nächstes untersuchen. Hultquists abschließende Warnung an die FT war deutlich: „Wer entscheidet, dass KI eine Modeerscheinung ist, und sie einfach über sich hinwegziehen lassen will, wird eines Tages unter Wasser aufwachen. Er wird mehr Vorfälle, mehr Warnungen und mehr Angriffe haben als je zuvor.“

Titelbild: NVIDIA-H100-Beschleuniger in einem Server. Foto von Geekerwan, via Wikimedia Commons (CC BY 3.0).