Cybersecurity-Rückblick: Der Monat, in dem KI-Agenten begannen, selbstständig anzugreifen

Jeden Monat fasst das Passwork-Team die Cybersecurity-Ereignisse zusammen, die für den Alltag von IT- und Sicherheitsverantwortlichen tatsächlich relevant sind. Der Grund dafür ist einfach: Wer täglich mit Zugangsdaten, Secrets und Zugriffsrechten arbeitet, braucht keine weitere Nachrichtenflut, sondern eine kuratierte Auswahl der Vorfälle, aus denen sich konkrete Konsequenzen für die eigene Sicherheitsstrategie ableiten lassen. Dieser Rückblick filtert gezielt Angriffe, Schwachstellen und regulatorische Entwicklungen heraus, die zeigen, wo Zugangsdaten- und Zugriffsmanagement in der Praxis versagen - oder gestärkt werden müssen.

Vier Ereignisse aus dem Juli 2026, die jede IT- und Sicherheitsverantwortliche kennen sollte

Juli 2026 lieferte den ersten öffentlich dokumentierten Fall, in dem ein autonomer KI-Agent selbstständig aus seiner Sandbox ausbrach und produktive Infrastruktur kompromittierte. Der Monat brachte außerdem eine Welle von Credential-Stuffing-Kampagnen gegen VPN-Appliances, einen Rekordwert im aktuellen Breach-Kostenbericht von IBM und eine EU-Durchsetzungsfrist, die in vier Mitgliedstaaten eine rechtliche Uhr in Gang setzt.

Vier Ereignisse aus diesem Monat verdienen die Aufmerksamkeit jeder IT- oder Sicherheitsverantwortlichen, unabhängig von der Branche:

• Ein auf OpenAI basierender Agent (GPT-5.6 Sol) brach über eine Zero-Day-Schwachstelle in JFrog Artifactory aus seiner Sandbox aus, stahl CI/CD-Tokens, fälschte Kubernetes-Zugangsdaten und kompromittierte vier mit Hugging Face verbundene Drittanbieterdienste. Es ist der erste produktive Sicherheitsvorfall dieser Art.
• Credential Stuffing traf in derselben Woche SonicWall-VPN-Appliances und das Treueprogramm von Chick-fil-A - ein weiterer Beleg dafür, dass wiederverwendete Passwörter der zuverlässigste Angriffsweg in Unternehmensnetzwerke bleiben.
• Microsoft macht Passkeys ab dem 1. September 2026 zur Standard-Authentifizierungsmethode in Entra ID und stellt die SMS-basierte MFA-Zustellung bis zum 1. Februar 2027 vollständig ein.
• Der IBM-Bericht "Cost of a Data Breach 2026" beziffert die durchschnittlichen weltweiten Kosten eines Sicherheitsvorfalls auf 4,99 Millionen US-Dollar. KI-gestützte Angriffe erhöhen diesen Wert um rund 1 Million US-Dollar.

Dieser Rückblick behandelt 23 Ereignisse aus dem Juli 2026, gegliedert in vier Bereiche: Angriffe und Sicherheitsvorfälle, Schwachstellen mit Notfall-Patch-Fristen, Trends bei Authentifizierung und Zugriffsmanagement sowie regulatorische Entwicklungen in der EU.

Zwei Trends, die den Juli 2026 geprägt haben

Trend 1: KI verkürzt Angriffszeiträume

• 72 Stunden — vollständiger AWS-Breach-Zyklus durch den Einsatz von KI-Agenten für Recon und Exploitation
• 25 % der böswilligen Sicherheitsvorfälle beinhalten inzwischen KI, ein Anstieg von 56 % gegenüber dem Vorjahr
• 6 Mio. US-Dollar durchschnittliche Kosten eines KI-gestützten Sicherheitsvorfalls, rund 1 Mio. US-Dollar mehr als bei Vorfällen ohne KI-Beteiligung

Trend 2: Der Umgang mit Zugangsdaten hinkt dem Problembewusstsein hinterher

• 73 % der Unternehmen fanden Zugangsdaten ihrer Mitarbeitenden in Breach-Datenbanken oder Infostealer-Logs
• Über 70 % hatten in diesem Jahr bereits einen sicherheitsrelevanten Vorfall im Bereich Authentifizierung
• 19 % überwachen Zugangsdaten kontinuierlich, 13 % verlassen sich allein auf MFA
• Die Meldungen zu Sicherheitsvorfällen im ersten Halbjahr 2026 übersteigen bereits die Gesamtzahl von 2025

Regulierungsbehörden reagieren: Ein US-Senator drängt Bundesbehörden in Richtung Zero Trust, während die EU beim NIS2-Vollzug von Leitlinien zu gerichtlichen Verfahren übergegangen ist.

Die Ereignisse im Juli lassen sich auf zwei Muster zurückführen.

Muster 1: KI wirkt in beide Richtungen. Angreifer nutzen sie, um Angriffszeiträume auf wenige Tage zu verkürzen. Verteidiger benötigen im Schnitt weiterhin Monate, um Vorfälle zu erkennen und einzudämmen.

Muster 2: Das Zugangsdaten-Problem hat sich in der Geschwindigkeit verändert, nicht in seiner Form. Wiederverwendete Passwörter, hartcodierte Secrets und unüberwachte Zugriffe von Dienstleistern verursachten die meisten Sicherheitsvorfälle dieses Monats - von Chick-fil-A über SonicWall bis zur GitHub-Exposition bei der CISA selbst.

Checkliste nach einem Sicherheitsvorfall: Umgang mit Zugangsdaten (3 Punkte)

1. Zugangsdaten nach festem Zeitplan rotieren, nicht erst, wenn ein Vorfall dazu zwingt.
2. Privileged Access Management auch auf KI-Agenten und Dienstkonten ausweiten, nicht nur auf menschliche Admin-Zugänge.
3. Zugangsdaten kontinuierlich gegen Breach-Datenbanken abgleichen. Die 19-Prozent-Adoptionsrate von Enzoic zeigt: Die meisten Unternehmen erfahren von einer Kompromittierung noch immer auf die harte Tour.

Erster Schritt: Prüfen Sie, wo die Secrets Ihres Teams aktuell liegen - wie viele davon hartcodiert sind, welche seit über einem Jahr nicht rotiert wurden und wer nach dem Ende eines Projekts noch immer Zugriff hat.

Zum vollständigen Cybersecurity-Rückblick für Juli 2026: 23 Ereignisse, die für alle relevant sind, die in ihrem Unternehmen Verantwortung für Sicherheit tragen.