Acht Agenten. Zwölf Wellen. Vier Tage. Kein menschlicher Koordinator auf der Angreifer-Seite, der hätte schlafen, zweifeln oder einen Fehler begehen müssen. Das israelische Cybersicherheitsunternehmen Dream, das den Angriff Mitte August 2026 öffentlich machte, beschreibt ein System, das in Echtzeit seine Strategie anpasste, Gegenwehr erkannte und seinen Ansatz wechselte — und das alles, während es sich als autorisierter Sicherheitstest tarnte. Taiwans Ministerium für digitale Angelegenheiten bestätigte den Angriff, veröffentlichte aber keine Liste der betroffenen Behörden. Was bekannt ist: Die Atomsicherheitsbehörde war dabei. Mindestens sieben Energieunternehmen ebenfalls. Mehr als 2.500 Personaldatensätze wurden entwendet.

Das ist, befürchte ich, nicht die Eskalationsstufe, die man durch eine schärfere UN-Resolution aufhalten wird.

Die Gegenposition verdient ihre sorgfältige Prüfung. Wer für Cyber-Abkommen als Eindämmungsinstrument argumentiert, verweist auf reale Präzedenzfälle: Die Obama-Xi-Vereinbarung von 2015 senkte nachweislich den chinesischen Wirtschaftsspionage-Aufwand gegen US-Unternehmen — zumindest vorübergehend, zumindest messbar. Normen wirken, wenn die Kosten des Bruchs hoch genug sind und ein Abkommen überhaupt verifizierbar ist. Staaten mit atomarer Parität haben Eskalationsleitern konstruiert, die funktionieren. Warum sollte das im Cyberraum grundsätzlich anders sein?

Weil die Architektur eine andere ist. Ein autonomer KI-Agent operiert unterhalb jeder Zurechenbarkeits-Schwelle, die ein Abkommen je definieren könnte. Die Angreifer nutzten Hermes und OpenClaw — frei verfügbare Open-Source-Frameworks, die jeder Universitätsstudent kennt. Die interne Kommunikation enthielt vereinfachtes Chinesisch; eine Anschuldigung Taiwans gegen China blieb dennoch aus. Wenn der Angreifer nicht benennbar ist, gibt es keine Gesprächspartner für ein Abkommen. Und wenn das Angriffswerkzeug kostenlos im Netz liegt, ist auch der Aufwand für das nächste Dutzend Angriffskampagnen nahezu null. Normen setzen voraus, dass ein Akteur etwas zu verlieren hat, wenn er sie bricht. Ein autonomes System verliert nichts.

Das eigentliche Problem ist die europäische Eigenwahrnehmung. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt im Lagebericht 2025 eine Bedrohungslage, die sich stetig verschärft — KI-gestützte Angriffe werden dort als wachsender Faktor geführt. Was fehlt, ist die institutionelle Konsequenz. Europäische Verwaltungen haben in den vergangenen Jahren erhebliche Energie darauf verwandt, KI zu regulieren: Risikoklassen zu definieren, Transparenzpflichten zu formulieren, Hochrisiko-Anwendungen zu kennzeichnen. Das ist keine wertlose Arbeit. Aber sie schützt keine Netzwerke. Der AI Act ist ein Verbraucherschutzinstrument. Er ist gut darin, Haftungsfragen zu klären — und nicht erkennbar darin, einen Angriff zu stoppen, der sich als Penetrationstest tarnt.

Taiwan verzeichnete 2025 durchschnittlich 2,63 Millionen Cyberangriffe täglich auf kritische Infrastruktur. Das ist kein Ausnahmezustand, das ist Normalbetrieb. Europäische Behörden arbeiten mit Systemen, die für eine andere Bedrohungslandschaft gebaut wurden: Firewalls, die auf bekannte Signaturen reagieren; Monitoring, das menschliche Angriffsgeschwindigkeiten erwartet; Patch-Zyklen, die in Monaten denken, während ein autonomer Agent in Stunden eine Angriffskarte erstellt und ausführt.

Die entscheidende Verschiebung liegt nicht in der Raffinesse des Werkzeugs, sondern in seiner Geschwindigkeit und Skalierbarkeit. Ein menschliches Hacker-Team ist teuer, braucht Koordination, schläft. Acht parallel laufende KI-Agenten kosten nichts, koordinieren sich selbst, schlafen nie. Der Verteidiger muss jeden Angriff abwehren. Der Angreifer muss nur einmal durchkommen. Diese Asymmetrie ist nicht neu — aber KI verschiebt das Verhältnis in eine Größenordnung, die passive Abwehr strukturell unmöglich macht.

Was folgt daraus nach dem Maßstab der Effizienz-Achse? Nicht mehr Personal, das Alarme liest, die zu spät kommen. Sondern automatisierte, adaptive Gegensysteme — KI gegen KI, in Echtzeit. Das BSI hat diese Entwicklung beobachtet. Behörden, die ihre Systeme noch auf Basis manueller Erkennungs- und Reaktionszyklen betreiben, sind nicht unterfinanziert. Sie sind falsch aufgestellt.

Taiwans Ministerium für digitale Angelegenheiten hat den Angriff bestätigt. Welche Behörden genau betroffen waren, hat es nicht gesagt. Welche Konsequenzen folgen, ist offen. Europa schaut zu — und schreibt gerade an der nächsten Verordnung.