ARTEX, ein Hackertool, das seine Angriffe mit KI-Agenten ausführt, ist jetzt für jeden Angreifer greifbar: Am 5. November 2026 zählte Censys mehr als 1.465 offen im Internet erreichbare Server, auf denen es läuft, und eine mit China verbundene Gruppe hat es bereits für eine Kampagne zum Erraten von Passwörtern genutzt, die in der Spitze 2.900 Anmeldeversuche pro Minute erreichte. Der günstigste und schnellste Schutz ist die Zwei-Faktor-Authentifizierung: Eine Microsoft-Studie ergab, dass sie das Risiko einer Kontoübernahme um 99,22 % senkt. Erledigen Sie diese Woche drei Dinge: Machen Sie die Zwei-Faktor-Authentifizierung für alle E-Mail- und Admin-Konten verpflichtend, schalten Sie veraltete Mail-Protokolle ab und lassen Sie sich berichten, wer sich noch nicht registriert hat. Wenn Ihr Unternehmen externe Apps mit Microsoft 365 verbindet, lesen Sie auch unseren Artikel über den ConnectWise-Angriff, denn diese Lücke schließt die Zwei-Faktor-Authentifizierung allein nicht.
Was ist ARTEX und warum sollte es Sie interessieren?
ARTEX ist ein Open-Source-Framework für automatisierte Penetrationstests, das sein Entwickler am 26. Juli 2026 auf GitHub veröffentlichte. Laut dem am 5. November 2026 veröffentlichten Censys-Bericht plant ein KI-Agent den Angriff und zerlegt ihn in Aufgaben, andere Agenten führen die Scan-Werkzeuge aus und melden zurück, und die Schleife wiederholt sich, bis das Ziel erreicht ist. Microsoft beschreibt es als Werkzeug, das einen Angriff von der Erkundung bis zum Datendiebstahl mit wenig menschlichem Zutun durchführt.
Nachdem sein Einsatz bei echten Angriffen bekannt wurde, kündigte der Entwickler an, den Code zu schließen, und nahm das Repository vom Netz, doch archivierte Kopien und umbenannte Versionen kursieren weiter. Censys zählte nach Abzug identisch konfigurierter Server rund 815 unabhängige Installationen, darunter 726 Server in den USA, 387 in Hongkong und 177 in China. Praktisch heißt das: Wofür früher ein Team von Angreifern nötig war, reichen jetzt eine Person und ein kostenloses Tool.
Was haben die Angreifer tatsächlich damit getan?
In seinem am 21. Oktober 2026 veröffentlichten Bericht dokumentierte Microsoft eine Kampagne der Gruppe, die es als Storm-0940 führt und die ARTEX nutzte, um zwischen dem 10. und 14. Oktober automatisch Passwörter zu erraten:
- 327 Konten in 8 Organisationen wurden per Password Spraying angegriffen, also durch das Ausprobieren gängiger Passwörter über viele Konten hinweg.
- Mehr als 151.000 fehlgeschlagene Anmeldungen, davon über 111.000 an einem einzigen Tag, mit einer Spitze von 2.900 Versuchen pro Minute am 11. Oktober.
- 48 Konten erhielten jeweils mehr als 1.000 fehlgeschlagene Versuche.
- Bei anderen Angriffen derselben Gruppe vergingen weniger als 3 Stunden zwischen dem ersten Anvisieren und privilegiertem Zugriff auf die Cloud-Infrastruktur.
Microsoft gibt an, aus genau dieser Kampagne keine erfolgreiche Anmeldung beobachtet zu haben, weil Kontosperren den Großteil abfingen. TechCrunch fasste am 6. November zusammen, dass viele dieser Angriffe einfache Schwächen ausnutzten: schwache oder bekannte Passwörter und fehlende Multi-Faktor-Authentifizierung.
Warum ein Passwort allein nicht mehr reicht
Es reicht nicht. Eine Maschine wird nicht müde und schläft nicht, und jedes Konto mit einem wiederverwendeten oder bereits geleakten Passwort wird früher oder später ausprobiert. Die Zwei-Faktor-Authentifizierung fügt einen zweiten Faktor hinzu, den der Angreifer nicht hat: einen Code in einer App auf dem Telefon des Mitarbeiters, einen Sicherheitsschlüssel oder einen Passkey. Microsoft-Forschende analysierten echte Konten mit verdächtiger Aktivität und stellten in ihrer veröffentlichten Studie fest, dass die Zwei-Faktor-Authentifizierung das Risiko einer Übernahme um 99,22 % senkt, und um 98,56 % selbst dann, wenn das Passwort bereits geleakt ist. Sie fanden auch, dass Authenticator-Apps SMS-Codes übertreffen, wobei beides weit besser ist als nichts.
Eine wichtige Warnung aus der Microsoft-Dokumentation: Veraltete Mail-Protokolle wie IMAP, POP3 und SMTP unterstützen keine Zwei-Faktor-Authentifizierung, sodass sich ein Angreifer darüber anmelden und den gesamten Schutz umgehen kann. Die Aktivierung ist erst vollständig, wenn sie abgeschaltet sind.
Was sagen die Kontrollen der Nationalen Cybersicherheitsbehörde?
Die von der saudischen Nationalen Cybersicherheitsbehörde (NCA) herausgegebenen Essential Cybersecurity Controls ECC-2:2024 verlangen die Multi-Faktor-Authentifizierung an mindestens drei Stellen:
- Kontrolle 2-2-3-2: für Fernzugriff und für privilegierte Konten.
- Kontrolle 2-4-3-2: für Fern- und Webmail-Zugriff auf E-Mail.
- Kontrolle 2-15-3-5: für den Zugriff von Nutzern auf externe Webanwendungen.
Die Kontrollen sind verbindlich für Regierungsstellen, deren verbundene Unternehmen und private Organisationen, die kritische nationale Infrastruktur besitzen, betreiben oder hosten, und die Behörde empfiehlt allen anderen Organisationen im Königreich nachdrücklich, sie zu nutzen. Wenn Sie Leistungen für eine Regierungsstelle erbringen, rechnen Sie damit, in Lieferantenbewertungen danach gefragt zu werden.
Schritte zum Einschalten in dieser Woche
- Microsoft 365: Öffnen Sie im Microsoft Entra Admin Center Entra ID, dann Overview, dann Properties, dann Manage security defaults, und aktivieren Sie sie. Die Sicherheitsstandards sind kostenlos, brauchen keine zusätzliche Lizenz, erzwingen die Zwei-Faktor-Authentifizierung für Administratoren und blockieren Legacy-Protokolle. Microsoft empfiehlt zwei Notfall-Admin-Konten, die an keinen einzelnen Mitarbeiter gebunden sind, damit Sie sich nie selbst aussperren.
- Google Workspace: Unter Menu, dann Security, dann Authentication, dann 2-step verification erlauben Sie zuerst die Registrierung der Mitarbeitenden und erzwingen sie dann ab einem festen Datum. Google erlaubt für neue Nutzer eine Registrierungsfrist von 1 Tag bis 6 Monaten, und Sie können für Geschäftsleitung und Finanzen Sicherheitsschlüssel oder Passkeys vorschreiben.
- Priorität: Beginnen Sie mit Admin-, Finanz- und E-Mail-Konten, dann folgt das übrige Personal, danach andere Systeme wie Buchhaltung, Onlineshop und Hosting-Panels.
- Nachverfolgung: Lassen Sie sich wöchentlich berichten, wer sich nicht registriert hat, und machen Sie nur befristete Ausnahmen mit schriftlicher Begründung.
Die Sicht von Origami
Geändert hat sich nicht die Art des Angriffs, denn das Erraten von Passwörtern ist alt, sondern seine Kosten: Es ist jetzt automatisiert, billig und für jeden verfügbar. Ein Unternehmen, dessen E-Mail und Buchhaltung sich noch mit einem bloßen Passwort öffnen, wettet darauf, dass der Angreifer nie ankommt, und diese Wette geht mit der Zeit verloren.
Deshalb ist jedes System, das Origami liefert, so gebaut, dass die Anmeldung über mindestens zwei Faktoren läuft, gekoppelt an Single Sign-on, wenn das Unternehmen bereits ein Microsoft- oder Google-Konto hat, wie wir in unserem Artikel über sichere Authentifizierung und SSO erklärt haben. Wenn Sie prüfen lassen möchten, wie sich Ihr Team bei Ihren Systemen anmeldet, oder diese an ein einziges geschütztes Konto binden wollen, nehmen Sie Kontakt auf.
Fazit
Ein kostenloses KI-Angriffstool probiert jetzt Tausende Passwörter pro Minute, ohne zu ermüden. Zwei-Faktor-Authentifizierung zusammen mit dem Abschalten veralteter Protokolle schließt den größten Teil dieser Tür, und sie lässt sich in Microsoft 365 und Google innerhalb weniger Tage ohne Zusatzkosten einschalten. Beginnen Sie heute mit Geschäftsleitung und Finanzen, und warten Sie nicht, bis Ihr Konto im nächsten Bericht auf der Opferliste steht.
Quellen
- Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise, 21. Oktober 2026
- Censys: Bericht zu ARTEX und offen erreichbaren Servern, 5. November 2026
- Nationale Cybersicherheitsbehörde (NCA): Essential Cybersecurity Controls ECC-2:2024
- Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
- Microsoft Learn: Configure security defaults for Microsoft Entra ID
- Google Workspace: Deploy 2-Step Verification
- TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web, 6. November 2026
Häufige Fragen
Was ist der Unterschied zwischen Zwei-Faktor-Authentifizierung und Bestätigung in zwei Schritten?
Im Grunde ist es dasselbe: Google nennt es Bestätigung in zwei Schritten, Microsoft Multi-Faktor-Authentifizierung. Die Idee ist identisch: Ein Passwort reicht nicht, ein zweiter Faktor wie ein App-Code oder ein Sicherheitsschlüssel ist nötig.
Reichen SMS-Codes oder brauchen wir eine Authenticator-App?
SMS ist weit besser als nichts, aber die Microsoft-Studie fand Authenticator-Apps stärker. Nutzen Sie eine App für alle Mitarbeitenden und, wo möglich, Sicherheitsschlüssel oder Passkeys für Admin- und Finanzkonten.
Braucht die Zwei-Faktor-Authentifizierung in Microsoft 365 eine kostenpflichtige Lizenz?
Nein. Die Sicherheitsstandards in Microsoft Entra sind für jeden Mandanten kostenlos, erzwingen die Zwei-Faktor-Authentifizierung und blockieren Legacy-Protokolle. Eine kostenpflichtige Lizenz brauchen Sie nur für eigene Richtlinien für bedingten Zugriff.
Ist die Zwei-Faktor-Authentifizierung in Saudi-Arabien gesetzlich vorgeschrieben?
Die Essential Cybersecurity Controls ECC-2:2024 verlangen sie für Fernzugriff, privilegierte Konten und E-Mail. Sie binden Regierungsstellen und Betreiber kritischer Infrastruktur, und die Nationale Cybersicherheitsbehörde (NCA) empfiehlt allen anderen Unternehmen nachdrücklich, sie anzuwenden.
