Der 31-Sekunden-Angreifer: Was der erste autonome Ransomware-Angriff für die Recovery bedeutet

Als der Angreifer aufhörte, einen Menschen zu benötigen

Am 2. Juli 2026 veröffentlichte das Cloud-Security-Unternehmen Sysdig Details zu einer Ransomware-Kampagne, die seine Forscher JadePuffer nannten — der erste dokumentierte Vorfall, bei dem ein LLM-Agent eine komplette Angriffskette ausführte, von der initialen Ausnutzung bis zur hinterlassenen Lösegeldforderung, größtenteils ohne dass ein menschlicher Operator jeden einzelnen Schritt steuerte.

Dies ist nicht eine weitere Geschichte über KI-generierte Phishing-E-Mails oder Deepfake-Anrufe — jene Art von KI-naher Tools, die seit Jahren Teil der Ransomware-Diskussion sind. JadePuffer unterscheidet sich grundlegend: Der Agent scannte nach einem verwundbaren Ziel, nutzte es aus, griff Zugangsdaten ab, wechselte auf ein zweites System, eskalierte seine eigenen Berechtigungen, verschlüsselte Daten und hinterließ eine Lösegeldforderung — und passte sich dabei an Fehlschläge an, ohne auf Anweisungen zu warten.

Bei BackupSec sehen wir JadePuffer weniger als Einzelvorfall denn als Vorschau. Es ist der erste Datenpunkt zu einer Frage, die jede Backup- und Recovery-Architektur früher oder später beantworten muss: Was passiert, wenn sich die Entscheidungsschleife auf der Gegenseite von Stunden auf Sekunden verdichtet?

Innerhalb der JadePuffer-Angriffskette

Sysdigs Darstellung der Kampagne zeichnet eine Kette nach, die in ihren Grundzügen vertraut wirken dürfte — es ist dieselbe Kill Chain, gegen die sich Security-Teams seit Jahren verteidigen —, nur dass diesmal ein autonomer Agent und kein menschlicher Operator jedes einzelne Glied ausführte:

1. Initialzugriff. Der Agent nutzte CVE-2025-3248 aus, eine Schwachstelle für Remote Code Execution durch fehlende Authentifizierung (CVSS 9.8) in Langflow, einem Open-Source-Python-Framework zur Entwicklung von LLM-Anwendungen. Die Schwachstelle war seit April 2025 gepatcht und wurde nach bestätigter Ausnutzung in freier Wildbahn in den Known-Exploited-Vulnerabilities-Katalog der CISA aufgenommen — ein Lehrbuchbeispiel für einen Patch, der zwar existierte, aber nicht rechtzeitig eingespielt wurde.
2. Abgriff von Zugangsdaten. Nach dem Eindringen griff der Agent auf dem kompromittierten Host offengelegte Geheimnisse ab: API-Schlüssel, Cloud- und Datenbank-Zugangsdaten sowie Daten zu Kryptowährungs-Wallets.
3. Persistenz. Er richtete einen Cron-Job ein, um alle 30 Minuten Kontakt zu seiner Command-and-Control-Infrastruktur zu halten, ohne dass ein Mensch nach jeder Sitzung den Zugriff erneut herstellen musste.
4. Laterale Bewegung. Mithilfe der abgegriffenen Zugangsdaten wechselte der Agent auf einen zweiten, separat aus dem Internet erreichbaren Server, auf dem MySQL und Nacos liefen — eine weit verbreitete Plattform für Service Discovery und Konfigurationsverwaltung.
5. Rechteausweitung. Er nutzte CVE-2021-29441 aus, eine Schwachstelle zur Umgehung der Authentifizierung in Nacos, fälschte ein JSON Web Token mithilfe eines bekannten Standard-Signaturschlüssels und schleuste ein Backdoor-Administratorkonto ein.
6. Auswirkung. Der Agent verschlüsselte 1.342 Nacos-Konfigurationselemente mit AES-256 und löschte die zugehörigen Datenbankschemata.
7. Erpressung. Er hinterließ eine Lösegeldforderung mit einer Bitcoin-Adresse und einer ProtonMail-Kontaktadresse — der einzige Schritt in der Kette, der voraussetzt, dass ein Mensch sie irgendwann liest.

Der ehrliche Vorbehalt

Wir wollen präzise sein, was „autonom" hier tatsächlich bedeutet, denn eine Übertreibung würde das Argument untergraben, das wir im Folgenden vorbringen.

Sysdig macht ausdrücklich deutlich, nicht zu wissen, wie der Agent die in Schritt vier verwendeten MySQL-Root-Zugangsdaten ursprünglich erlangt hat. Das ist eine echte Lücke in der Erzählung der vollständigen Autonomie — irgendwo in dieser Kette könnte ein Mensch oder ein separater automatisierter Prozess auf eine Weise beteiligt gewesen sein, die die Forscher nicht rekonstruieren konnten. Was Sysdig tatsächlich verifizieren kann, ist, dass sich der Agent ab dem Abgriff der Zugangsdaten an Fehlschläge anpasste und Schritte erneut versuchte, ohne dass ein menschlicher Operator für jeden Einzelnen neue Anweisungen erteilte.

Diese Unterscheidung ist wichtig, und wir sind der Ansicht, dass sie das Argument eher stärkt als schwächt. Selbst eine teilweise autonome Kette — bei der ein Mensch das Ziel vorgibt und der Agent alles von der Aufklärung bis zur Auswirkung übernimmt — beseitigt bereits die größte Latenzquelle einer klassischen Ransomware-Operation: die Zeit, die ein menschlicher Operator mit Nachdenken, Rücksprache mit einem Handler und der Entscheidung verbringt, was als Nächstes zu versuchen ist.

Warum 31 Sekunden mehr bedeuten, als es klingt

Der konkreteste einzelne Datenpunkt in Sysdigs Darstellung ist nicht eine Gesamtdauer des Angriffs — uns ist keine verifizierte Zahl dafür bekannt, wie lange die gesamte JadePuffer-Kette von Anfang bis Ende gedauert hat, und wir werden bewusst keine erfinden. Der Datenpunkt, der verifiziert ist und der unserer Ansicht nach mehr zählt, als es eine Schlagzeilen-Gesamtdauer täte, ist dieser: Wenn ein Schritt fehlschlug, kam der Agent von einem fehlgeschlagenen Login zu einer funktionierenden Lösung in 31 Sekunden.

Vergleichen Sie das mit dem Verhalten eines menschlichen Operators, wenn ein Schritt fehlschlägt. Er hält inne. Er bewertet neu. In einer strukturierten Ransomware-as-a-Service-Operation schreibt er möglicherweise einem Handler und wartet auf Anweisungen. Er versucht es erneut auf einer Zeitskala, die in Minuten oder Stunden gemessen wird, mitunter über einen Schichtwechsel hinweg. Diese Latenz — die Lücke zwischen Fehlschlag und nächstem Versuch — war schon immer einer der wenigen Faktoren, die zugunsten der Verteidiger wirkten. Sie ist der Grund, warum ein Alarm um 2 Uhr nachts noch immer von einem Menschen um 8 Uhr morgens gesichtet werden kann, ohne dass sich der Vorfall in der Zwischenzeit zwangsläufig dramatisch verschlimmert hat.

Ein Agent, der diese Lücke auf 31 Sekunden schließt, wird nicht einfach nur schneller. Er beseitigt die Annahme, die in nahezu jedem Incident-Response-Runbook verankert ist: dass zwischen dem ersten fehlgeschlagenen Versuch eines Angreifers und seinem nächsten ein Zeitfenster in menschlichem Maßstab liegt — und dass ein Erkennungs- und Reaktionsprozess, der auf einer ähnlichen menschlichen Zeitskala arbeitet, vernünftigerweise erwarten kann, innerhalb dieses Fensters einzugreifen.

Die Zahlen, die schon galten, bevor KI auftauchte

Die Backup-Infrastruktur wurde nicht erst durch agentische KI zum Ziel. Sie war es schon vorher, und die Daten dazu liegen zwei Jahre vor JadePuffer.

• Veeams 2024 Data Protection Trends Report stellte fest, dass 96% der Ransomware-Angriffe gezielt auf Backup-Repositories abzielen und dass 76% dieser Versuche erfolgreich sind.
• Sophos' 2024er-Untersuchung zu kompromittierten Backups, die auf 2.974 Ransomware-Opfern beruht, ergab, dass Organisationen, deren Backups kompromittiert wurden, im Median Wiederherstellungskosten von 3 Millionen US-Dollar zahlten — gegenüber 375.000 US-Dollar bei Organisationen, deren Backups intakt blieben — ein achtfacher Unterschied.

Diese Zahlen beschreiben eine Welt menschlicher Angreifer, die bereits verstanden hatten, dass die Zerstörung oder Verschlüsselung der Backup-Ebene der einzige Schritt mit dem größten Hebel ist, sobald eine Ransomware-Operation Fuß gefasst hat. An dieser Kalkulation ändert agentische KI nichts. Was sich ändert, ist, wer — oder was — in der Lage ist, dies in großem Maßstab und rund um die Uhr auszuführen, ohne schlafen zu müssen, eine Schichtpause einzulegen oder auf die Freigabe eines Handlers zu warten, bevor die nächsten Zugangsdaten ausprobiert werden.

IBMs 2026 X-Force Threat Index liefert Kontext zur zugrunde liegenden Trendlinie: Angriffe, die mit der Ausnutzung öffentlich zugänglicher Anwendungen beginnen — genau der Einstiegsvektor, den JadePuffer nutzte —, stiegen im Jahresvergleich um 44%, und die Zahl aktiver Ransomware- und Erpressergruppen nahm im Jahresvergleich um 49% zu. Die Angriffsfläche wuchs bereits, bevor irgendetwas davon einen autonomen Operator benötigte.

Von Erkennungsfenstern zu Wiederherstellungssicherheit

Wir haben bereits zuvor argumentiert, dass die anhaltende Dominanz der Schwachstellen-Ausnutzung als häufigste Grundursache von Ransomware, Jahr für Jahr, ein strukturelles Problem ist, das sich nicht allein durch schnelleres Patchen lösen lässt — die Lücke zwischen bekannten und geschlossenen Schwachstellen ist schlicht zu groß und wird zu kontinuierlich nachgefüllt, als dass eine perfekte Prävention realistisch wäre. JadePuffer ändert dieses Argument nicht. Es schärft es.

Wenn die Arbeitsannahme der Branche bislang war, dass ein im menschlichen Tempo ablaufender Erkennungs- und Reaktionsprozess einen Einbruch irgendwo zwischen Initialzugriff und irreversibler Auswirkung vernünftigerweise abfangen kann, dann stellt ein Agent, der sich in 31 Sekunden selbst korrigiert, diese Annahme direkt infrage. Die Antwort kann nicht lauten: „schneller erkennen und reagieren als eine Maschine" — denn das ist kein Wettlauf, den Verteidiger auf Dauer gewinnen können. Die Antwort muss architektonisch sein: das Ergebnis eines schnellen, adaptiven Einbruchs überlebbar machen, unabhängig davon, wie viel schneller der Angreifer noch wird.

Konkret bedeutet das: Die Eigenschaften, auf die es bei Backup- und Recovery-Infrastruktur ankommt, ändern sich nicht dadurch, dass der Angreifer ein KI-Agent statt ein Mensch ist — sie werden nicht mehr verhandelbar, statt nur wünschenswert zu sein:

• Trennung von Zugangsdaten und Identitäten, die nicht davon abhängt, dass ein Mensch ungewöhnliche Aktivität rechtzeitig bemerkt. Wenn die Zugangsdaten, die Zugriff auf Ihre Backup-Umgebung geben, dieselben sind, die ein Agent in Sekunden von einem kompromittierten Host abgreifen kann, muss die Isolation strukturell und nicht prozedural verankert sein.
• Unveränderlichkeit, die validiert und nicht nur konfiguriert wird. Ein Retention Lock, der sich mit einer ausreichend privilegierten Zugangsdaten-Kombination unauffällig deaktivieren lässt, ist eine Kontrolle, die voraussetzt, dass ein menschlicher Angreifer zögert. Ein Agent tut das nicht.
• Recovery-Tests, die davon ausgehen, dass der Angreifer Ihre Umgebung bereits kennt. JadePuffers Agent passte sich in Echtzeit an fehlgeschlagene Schritte an. Ein Recovery-Plan, der jemals nur gegen ein einziges, erwartetes Ausfallszenario getestet wurde, ist ein Plan für einen langsameren, berechenbareren Gegner als den, der jetzt nachweislich möglich ist.

Was das für Risikoverantwortliche in Unternehmen bedeutet

JadePuffer ist eine dokumentierte Kampagne, kein Beleg dafür, dass jede Ransomware-Operation jetzt autonom abläuft. Aber sie belegt etwas, das zuvor theoretisch war: Die technische Fähigkeit eines LLM-Agenten, eine reale Angriffskette von Anfang bis Ende mit einer in Sekunden gemessenen Selbstkorrekturschleife auszuführen, existiert jetzt und wurde gegen ein reales Ziel eingesetzt.

Für Risikoverantwortliche lautet die praktische Frage nicht mehr, ob agentische Ransomware häufiger wird — die Entwicklungsrichtung der KI-Fähigkeiten war konsistent genug, dass eine Wette dagegen die riskantere Position wäre. Die praktische Frage ist, ob die Annahmen Ihrer Recovery-Architektur für einen im menschlichen Tempo agierenden Gegner ausgelegt wurden oder für einen, der dieses Tempo nicht mehr braucht.

Wo BackupSec ins Spiel kommt

Bei BackupSec haben wir unseren Ansatz um eine Prämisse herum aufgebaut, die JadePuffer dringlicher macht, nicht weniger anwendbar: Prävention wird scheitern, und die Ebene, die über das Ergebnis entscheidet, ist diejenige, die dafür gebaut ist, dieses Scheitern zu überstehen — unabhängig davon, wie schnell das, was es verursacht hat, unterwegs war.

• ZeroMON gibt Ihnen kontinuierliche Echtzeit-Beobachtbarkeit über Ihren gesamten Backup-Bestand — forensische Audit-Trails, Erkennung von Konfigurationsabweichungen und Anomalie-Warnungen zu Backup-Job-Metadaten —, sodass ein 31-sekündiger Versuch des Zugangsdaten-Abgriffs gegen Ihre Recovery-Ebene sichtbar wird, während er passiert, statt erst bei einer Überprüfung nach dem Vorfall entdeckt zu werden.
• ZeroTAM gibt Ihrem Team einen dedizierten Backup-Sicherheitsberater an die Hand, der auf die Probe stellt, ob Ihre Trennung von Identitäten, Ihre Unveränderlichkeit und Ihre Isolationsstrategie für einen im menschlichen Tempo agierenden Angreifer ausgelegt wurden oder auch einem standhalten, der sich in Echtzeit anpasst.
• ZeroPEN testet Ihre Backup-Infrastruktur so, wie ein autonomer Agent sie angreifen würde — durch das Untersuchen von Management-Ebenen, Zugriffskontrollen und Unveränderlichkeitseinstellungen auf denselben Pfad der Zugangsdaten-Verkettung, den JadePuffer ausnutzte — und führt anschließend reale Restore-Szenarien durch, um zu belegen, dass die Wiederherstellung funktioniert, unabhängig davon, wie der Einbruch zustande kam.

BackupSec wird On-Premise bereitgestellt, verbindet sich über einen reinen Lesezugriff (Read-only API) mit Ihren Backup-Anwendungen und verschiebt niemals Backup-Daten aus Ihrer Umgebung heraus. Die Frage, die JadePuffer aufwirft, ist nicht, ob Ihre Verteidigung schnell ist. Sie ist, ob Ihre Recovery-Architektur jemals darauf ausgelegt war, dass sie es sein muss.

Sprechen Sie mit BackupSec über die Validierung Ihrer Recovery-Architektur →

Diese Analyse stützt sich auf Sysdigs Forschung vom Juli 2026 zur JadePuffer-Kampagne, IBMs 2026 X-Force Threat Index, Veeams 2024 Data Protection Trends Report und Sophos' 2024er-Forschung zu kompromittierten Backups. Die hier vorgestellte Interpretation und das Rahmenwerk stammen von BackupSec selbst. Um zu besprechen, wie diese Analyse auf Ihre konkrete Umgebung zutrifft, nehmen Sie Kontakt mit unserem Team auf →