KOMMENTAR VON ISMAEL VALENZUELA, ARCTIC WOLF KI SENKT EINSTIEGSHÜRDEN FÜR DIE
ENTWICKLUNG VON SCHADSOFTWARE
29.05.2026 Von Ismael Valenzuela 5 min Lesedauer
Anbieter zum Thema
Die zunehmende Verbreitung von Künstlicher Intelligenz (KI) verändert nicht nur
Geschäftsmodelle und Entwicklungsprozesse, sondern auch die Bedrohungslandschaft
im Cyberspace. Das bestätigt auch eine aktuelle Analyse von Arctic Wolf: KI ist
längst fester Bestandteil im Werkzeugkasten von Angreifern geworden, was zu
weitreichenden Konsequenzen für Verteidigungsstrategien führt.
Noch vor wenigen Jahren erforderte die Entwicklung funktionaler Schadsoftware
tiefgehende Programmierkenntnisse. Diese Hürde sinkt nun deutlich. Large
Language Models () ermöglichen es auch weniger erfahrenen Bedrohungsakteuren,
funktionsfähige Malware zu erstellen – ohne große „Qualitätseinbußen“.
Die Analyse zeigt, dass sich Angreifer zunehmend iterativ an funktionierenden
Code herantasten: von fehlerhaften Proof-of-Concepts hin zu operativ
einsetzbaren Varianten. beschleunigt diesen Prozess erheblich und verkürzt die
Zeitspanne zwischen Idee und einsatzfähigem Angriffswerkzeug. Diese Entwicklung
zielt nicht unbedingt – zumindest nicht nur – auf eine qualitative Revolution
einzelner Malware-Familien ab, sondern führt vor allem zu einer quantitativen
Ausweitung: Mehr Akteure sind in der Lage, Malware zu produzieren, und das in
immer kürzerer Zeit.
ZUNAHME NEUER SCHADSOFTWARE
Vor allem der hohe Anteil bislang unbekannter Malware steigt. Rund 39 Prozent
der analysierten Samples wurden in der zum Zeitpunkt ihrer Erfassung von
signaturbasierten Antivirenlösungen nicht erkannt. Das deutet darauf hin, dass
viele dieser Varianten strukturell neu sind und nicht auf bekannten Mustern
basieren. Gleichzeitig zeigt sich, dass nur ein sehr kleiner Teil von etwa 1,4
Prozent eindeutig bekannten Bedrohungsakteuren oder gezielten Kampagnen
zugeordnet werden kann. Der Großteil der KI-generierten Malware stammt aus einem
breiten Feld weniger erfahrener oder bislang unbekannter Cyberkrimineller. Damit
verschiebt sich das Bedrohungsbild: Weg von einer kleinen Zahl
hochspezialisierter Gruppen hin zu einer deutlich breiteren Basis an Angreifern
mit unterschiedlich ausgeprägten Fähigkeiten, aber hochmodernen Tools.
KI ALS INTEGRALER BESTANDTEIL INNOVATIVER MALWARE
Neben dem Einsatz von KI als Unterstützungshilfe bei der Entwicklung von
Schadsoftware wird die moderne Technologie auch zunehmend direkt in Malware
integriert. Es fanden sich Hinweise darauf, dass ein wachsender Anteil an
Malware API-Schnittstellen zu Sprachmodellen aufweisen.
Derzeit sind diese KI-Funktionen meist noch einfacher Art, etwa zur dynamischen
Generierung von Texten oder Variablen. Perspektivisch deutet sich jedoch eine
Entwicklung hin zu adaptiver Malware an, die situativ auf ihre Umgebung
reagieren kann. Diese Verschiebung hat das Potenzial, klassische
Erkennungsmethoden zusätzlich unter Druck zu setzen, insbesondere wenn sich
Malware dynamisch und in rasender Geschwindigkeit an Verteidigungsmaßnahmen
anpasst.
TYPISCHE HINWEISE AUF KI-GENERIERTE MALWARE
Trotz aller Fortschritte hinterlässt auch KI-generierter Code charakteristische
Muster. Dazu gehören etwa ungewöhnlich ausführliche Kommentare, strukturierte
Aufgabenlisten und Formatierungen oder auch Artefakte aus Webrecherchen, die
versehentlich in den Code eingearbeitet werden.
Solche Merkmale ermöglichen es Sicherheitsverantwortlichen, KI-unterstützte
Malware zu identifizieren und geben gleichzeitig Einblick in die Arbeitsweise
der Cyberkriminellen. Auffällig ist zudem, dass sich klare Cluster nach Sprache
und Entwicklungsstil erkennen lassen, die auf unterschiedliche Akteursgruppen
hinweisen.
Ein Beispiel ist die starke Verbreitung von Tools wie , dessen Veröffentlichung
Anfang 2025 mit einem deutlichen Anstieg entsprechender Malware-Samples
einherging. Die schnelle Adaption solcher Modelle unterstreicht die Dynamik, mit
der neue Technologien in die Angriffsökonomie integriert werden.
ITERATIVES LERNEN AUF ANGREIFERSEITE
Nicht jede KI-generierte Schadsoftware ist umgehend funktionsfähig. Ein Teil der
untersuchten Exemplare war fehlerhaft oder nicht ausführbar. Dennoch liefern
auch diese Beispiele wichtige Erkenntnisse: Sie dokumentieren den Lernprozess
der Angreifer.
Durch wiederholtes Prompting, Testen und Anpassen nähern sich auch weniger
erfahrene Bedrohungsakteure schrittweise funktionierenden Angriffswerkzeugen an.
KI fungiert hier als Katalysator, der die Lücke zwischen Absicht und technischer
Umsetzung verkleinert. Langfristig führt das zu einer breiteren und
dynamischeren Bedrohungslandschaft. Ein Utopia für weniger begabte Hacker und
jene, die es werden wollen.
JETZT NEWSLETTER ABONNIEREN
TÄGLICH DIE WICHTIGSTEN INFOS ZU BIG DATA, ANALYTICS & AI
Geschäftliche E-Mail
Bitte geben Sie eine gültige E-Mailadresse ein.
Abonnieren
Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und
Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details)
einverstanden und akzeptiere die . Weitere Informationen finde ich in unserer .
Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von
redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu
Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).
Aufklappen für Details zu Ihrer Einwilligung
Stand: 08.12.2025
Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit
Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von
Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden
Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer .
EINWILLIGUNG IN DIE VERWENDUNG VON DATEN ZU WERBEZWECKEN
Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH,
Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im
Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel
Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und
Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen
können abgerufen werden.
Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen
aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und
Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und
Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere
(redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im
Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote.
Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die
Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der
vorgenannten Unternehmen und Marktforschung genutzt werden.
Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und
Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten
Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel
Communications Group die genannten Daten gehasht an Werbepartner übermitteln,
die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied
auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt
diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und
Kundenbindung), der Generierung von sog. Lookalike Audiences zur
Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen.
Weitere Informationen kann ich dem Abschnitt „“ in der Datenschutzerklärung
entnehmen.
Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich
deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte
Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen
Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu
redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die
hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu
Marketingzwecken.
Recht auf Widerruf
Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft
widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund
meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um
meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter abrufbare
Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht
mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters
eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem
Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde
ich in der .
GRENZEN DER KI: VERHALTEN BLEIBT ERKENNBAR
Trotz aller Veränderungen bleibt ein zentraler Punkt bestehen: Malware muss
bestimmte Aktionen ausführen, um wirksam zu sein. Dazu gehören etwa
Persistenzmechanismen, Netzwerkkommunikation mit Command-and-Control-Servern
oder das Ausführen von Skripten und Systembefehlen.
Diese Aktivitäten hinterlassen Spuren, die unabhängig von der Entstehungsweise
der Malware beobachtbar sind. Genau hier liegt ein entscheidender Vorteil auf
Seite der Verteidiger.
Auch KI-generierte Schadsoftware folgt letzten Endes bekannten Mustern im
Verhalten – selbst wenn ihr Code neu oder ungewöhnlich ist.
MEHRSCHICHTIGE VERTEIDIGUNG ALS SCHLÜSSEL
Vor diesem Hintergrund bleibt ein mehrschichtiger Sicherheitsansatz
entscheidend. Klassische signaturbasierte Verfahren bilden weiterhin eine
wichtige Grundlage, insbesondere zur schnellen Erkennung bekannter Bedrohungen.
Darüber hinaus gewinnt die verhaltensbasierte Analyse an Bedeutung. Sie
ermöglicht es, auch neuartige, stark adaptive oder sich variierende Malware
anhand typischer Aktivitätsmuster zu identifizieren, etwa durch ungewöhnliche
Prozessketten, verdächtige Netzwerkverbindungen oder Anomalien im
Systemverhalten.
Ergänzend dazu spielen -Verfahren eine zunehmend wichtige Rolle. Sie können
große Mengen an auswerten und Muster erkennen, die sich nicht durch einzelne
Regeln abbilden lassen. Entscheidend ist dabei jedoch die Kombination dieser
Ansätze: Erst das Zusammenspiel verschiedener Erkennungsmethoden ermöglicht eine
robuste Abwehr.
Unternehmen, die nicht die notwenigen Ressourcen abstellen können, um eine
umfassende Sicherheitsstrategie durchzuführen und
Detection-and-Response-Maßnahmen zu etablieren können sich an einen
Security-Experten wie Arctic Wolf wenden, der die nötigen Security Operations
und Threat-Intelligence-Analysen durchführt und dazu Manpower, Know-how und
Tools – ebenfalls KI-gestützt – einbringt und so Erkennung von KI-gestützten
Cyberangriffen ermöglicht und die Cyberresilienz fördert.
FAZIT: EVOLUTION STATT REVOLUTION
Die aktuelle Entwicklung zeigt klar: KI verändert die Cyberbedrohungslandschaft
nicht durch völlig neue Angriffskonzepte, sondern durch Geschwindigkeit,
Skalierung und Zugänglichkeit.
Malware wird nicht zwingend komplexer, aber sie entsteht schneller, in größerer
Zahl und durch eine breitere Gruppe von Akteuren. Gleichzeitig bleiben
grundlegende Angriffsmuster bestehen – und damit auch Ansatzpunkte für die
Verteidigung.
Für Unternehmen und Sicherheitsverantwortliche bedeutet das: Der Fokus sollte
weniger auf der Frage liegen, ob Malware mit oder ohne KI entwickelt wurde.
Entscheidend ist vielmehr die Fähigkeit, Angriffsverhalten über verschiedene
Ebenen hinweg zu erkennen und einzuordnen.
Die wirksamste Antwort auf KI-gestützte Cyberbedrohungen bleibt daher eine
integrierte, mehrschichtige Sicherheitsstrategie, die Sichtbarkeit, Kontext und
Analyse über alle relevanten Systeme hinweg miteinander verbindet sowie das
konsequente und kontinuierliche Durchführen von Basismaßnahmen zu den auch
Awareness-Trainings und Ausbau der Cyberhygiene zählt.
ZENTRALE ERKENNTNISSE DER ARCTIC-WOLF-ANALYSE ZU MASSENTAUGLICHKEIT VON KI IN
DER CYBERSECURITY:
• Angreifer lernen iterativ mithilfe von LLMs, strukturieren Code, schließen
Lücken und entwickeln Proof-of-Concepts schneller zu funktionsfähiger Malware.
• 39 Prozent der 22.331 analysierten Dateien wurden zum Zeitpunkt der Erhebung
von signaturbasierten Antivirenlösungen nicht erkannt – ein Hinweis auf aktive
Umgehung oder neuartige Konstruktionen.
• Malware wird nicht mehr nur mithilfe von KI entwickelt, sondern nutzt in
einigen Fällen auch KI während der Ausführung, etwa durch die Integration von
LLM-APIs.
• Sprachliche und stilistische Muster deuten auf unterschiedliche
Entwicklergruppen hin, u. a. mit Bezug zu russischen,
portugiesisch/brasilianischen, türkischen, indonesischen und chinesischen
Gruppen.
(ID:50816485)