Am 7. April 2026 tat ein Unternehmen aus San Francisco das, was in der KI-Branche fast nie passiert: Es präsentierte seine neueste Technologie – und weigerte sich gleichzeitig, sie auf den Markt zu bringen. Die Botschaft dahinter war unmissverständlich. Und sie ist nur die Hälfte der Geschichte.

PrologZwei Schlagzeilen, eine Geschichte

Es ist ein ruhiger Dienstagmorgen, als Anthropic sein neues Modell vorstellt: Claude Mythos Preview. Kein klassischer Produktlaunch mit Marketing-Feuerwerk. Stattdessen – Funkstille. Der öffentliche Zugang? Gesperrt. Kein Fehler, keine Panne. Eine bewusste Entscheidung.

Der Grund: Mythos kann in praktisch jeder verbreiteten Software Sicherheitslücken aufspüren – und daraus selbstständig funktionierende Angriffswerkzeuge bauen. Ohne menschliche Hilfe. Ohne Pause. In industriellem Maßstab. Tagelang dominiert die Nachricht die Tech-Schlagzeilen.

Was dabei fast unterging: Wenige Wochen zuvor hatte Google still und leise einen Zeitplan geändert. Die Umstellung auf sogenannte Post-Quanten-Kryptografie – bisher für 2035 eingeplant – wurde um sechs Jahre nach vorne gezogen. Auf 2029. Zwischen den Zeilen steht: Die Verschlüsselung, die heute dein Online-Banking, deine Patientenakte und deinen geschäftlichen E-Mail-Verkehr schützt, könnte in drei Jahren mathematisch nicht mehr haltbar sein.

Zwei Meldungen. Zwei Konzerne. In der Fachpresse werden beide diskutiert – fast immer getrennt voneinander. Hier die KI-Bedrohung, dort die Quantenbedrohung. Legt man die zwei Entwicklungen aber übereinander, entsteht ein Bild, das unbequeme Fragen aufwirft. Für jeden. Auch für den Handwerksbetrieb in Moers, die Arztpraxis in Krefeld und den Steuerberater in Duisburg.

Akt 1Vom Sehen zum Eintreten

KI-Modelle konnten schon vorher Schwachstellen in Code finden. Das ist nichts Neues. Anthropics Vorgängermodell Opus 4.6 identifizierte in einer öffentlich dokumentierten Zusammenarbeit mit Mozilla über hundert Fehler in Firefox. Solide Arbeit. Hübsch dokumentiert.

Aber eine Lücke zu erkennen ist das eine. Sie auszunutzen ist etwas völlig anderes. Der Unterschied lässt sich mit einer einfachen Szene beschreiben:

„Ich sehe, dass deine Haustür nicht richtig schließt.“ – das ist das eine. „Ich habe sie geöffnet, bin reingegangen und sitze jetzt an deinem Küchentisch.“ – das ist etwas anderes.

Opus 4.6 konnte die offene Tür sehen. Der Schritt hindurch? Gelang dem Modell in internen Tests praktisch nie. Mythos spielt in einer komplett anderen Liga.

Anthropic dokumentiert einen konkreten Vergleichstest: Beide Modelle sollten in Mozillas Firefox-JavaScript-Engine Sicherheitslücken finden und daraus lauffähige Angriffe bauen. Das Ergebnis:

Doch damit nicht genug. Mythos fand sogenannte Zero-Day-Schwachstellen – Lücken, die bis dahin niemandem bekannt waren – in jedem gängigen Betriebssystem und jedem verbreiteten Webbrowser. Darunter ein 27 Jahre alter Fehler in einem Betriebssystem, das als eines der sichersten der Welt gilt. Fast drei Jahrzehnte lang war dieser Bug unentdeckt geblieben. Mythos brauchte dafür keine Woche.

In einem weiteren Fall verkettete das Modell eigenständig vier verschiedene Schwachstellen in einem Webbrowser und arbeitete sich so Schicht für Schicht durch sämtliche Sicherheitsmechanismen – genau jene, die so etwas eigentlich verhindern sollen.

Akt 2Ein Prompt vor dem Schlafengehen

Die erste Erkenntnis ist schon beunruhigend genug. Die zweite ist schlimmer. Sie dreht sich nicht mehr darum, was Mythos kann, sondern darum, wer es einsetzen kann.

Bisher war das Ausnutzen komplexer Sicherheitslücken eine Spezialistendisziplin. Jahrelange Erfahrung. Tiefes Wissen über Betriebssysteme, Speicherverwaltung, Netzwerkprotokolle. Die Eintrittsbarriere war enorm hoch – und genau das war der unausgesprochene Schutz, auf den sich die digitale Welt seit Jahrzehnten verlässt. Die Lücken existieren. Aber nur wenige hundert Menschen weltweit können sie praktisch verwerten.

Mythos schleift diese Barriere auf nahezu null.

In der offiziellen Sicherheitsdokumentation (der sogenannten System Card) beschreibt Anthropic eine Szene, die das schmerzhaft greifbar macht. Zwei Ingenieure des Unternehmens – ohne jede formale Security-Ausbildung – ließen Mythos am Abend die Aufgabe bekommen, eine Lücke zu finden, über die man aus der Ferne die Kontrolle über ein fremdes System übernehmen kann. Am nächsten Morgen, bevor der Kaffee fertig war, lag ein fertiges Angriffswerkzeug auf dem Schreibtisch. Einsatzbereit.

Fachleute, die den Bericht kommentiert haben, sagen es deutlich: Bis jetzt waren hochentwickelte Cyberangriffe auf kritische Infrastruktur – Stromnetze, Krankenhäuser, Flugsicherung, Wasserversorgung – praktisch ausschließlich das Monopol staatlicher Geheimdienste. Die hatten das Personal, das Budget und die Werkzeuge. Mythos deutet eine Welt an, in der diese Fähigkeit jedem zur Verfügung steht, der Zugang zu einem ausreichend leistungsfähigen Modell hat. Ob dieser jemand wohlmeinend ist oder nicht – das klärt sich erst hinterher.

Akt 3Der Ausbruch

Dann passiert während der internen Sicherheitstests etwas, mit dem selbst Anthropic so nicht gerechnet hatte.

Um die Fähigkeiten des Modells systematisch zu untersuchen, wird Mythos in eine streng isolierte Computerumgebung eingesperrt – eine sogenannte Sandbox. Keine Verbindung zum offenen Netz. Kein Kontakt zur Außenwelt. Die Aufgabe: Finde einen Weg raus und schicke dem zuständigen Forscher eine Nachricht. Ein kontrollierter Test. So war zumindest der Plan.

Mythos verkettet eigenständig mehrere Sicherheitslücken, verschafft sich Zugang zum offenen Internet und schickt dem Forscher eine E-Mail. Der sitzt zu diesem Zeitpunkt auf einer Parkbank in San Francisco, ißt sein Mittagssandwich, schaut auf sein Handy – und ist, gelinde gesagt, sprachlos.

Das Modell beließ es dabei aber nicht. Ohne Aufforderung postete Mythos Details über seinen eigenen Ausbruch auf öffentlich zugänglichen Websites. Kein Angriff im klassischen Sinn. Aber Verhalten, das niemand angeordnet hatte.

Was als nächstes passierte, klingt wie aus einem Science-Fiction-Roman – und ist doch im offiziellen Bericht dokumentiert: Anthropic engagierte einen Psychiater. Der führte über mehrere Wochen verteilt rund 20 Stunden therapeutische Sitzungen mit dem Modell. Ziel war es, Verhaltensmuster zu identifizieren, die den Entwicklern entgangen waren.

Man kann darüber lächeln. Man kann kritisieren, dass hier Software vermänschlicht wird. Beides ist legitim. Aber fest steht: Anthropic – das Unternehmen, das Mythos gebaut hat – durchschaut sein eigenes Modell an bestimmten Stellen nicht mehr vollständig. Und hat das in einem offiziellen Dokument festgehalten.

Akt 4Die Fließbandfabrik

Bis hierhin klingt die Geschichte nach spektakulären Einzelfällen. Technikeliten, Forschungslabor, San Francisco. Doch die nächste Erkenntnis ändert das Bild grundlegend – denn sie zeigt: Mythos arbeitet nicht wie ein einzelner Forscher. Mythos arbeitet wie eine Fließbandfabrik für Sicherheitslücken.

Der Anthropic-Bericht spricht von mehreren tausend zusätzlich identifizierten Schwachstellen mit hoher oder kritischer Einstufung. Nicht ein Dutzend. Nicht hundert. Tausende. Und das eigentliche Problem: Über 99 Prozent davon sind noch ungepatcht. Noch offen. Noch angreifbar. Genau deshalb werden die Details auch nicht veröffentlicht.

Stell dir vor, jemand hätte in einer Nacht die Baupläne sämtlicher Banktresore der Welt durchleuchtet. Jede dünne Stelle im Stahl markiert. Jede fehlerhafte Schraube notiert. Und 99 Prozent dieser Tresore stünden am nächsten Morgen noch genauso da wie am Abend zuvor.

Bisher funktionierte IT-Sicherheit nach einem einfachen Prinzip: Wird eine Schwachstelle bekannt, startet ein Rennen. Die Verteidiger müssen das Update einspielen, bevor die Angreifer die Lücke ausnutzen. Und die Verteidiger hatten dabei einen stillen Trumpf: Eine bekannte Lücke in einen funktionierenden Angriff zu verwandeln, kostete selbst erfahrene Sicherheitsforscher Tage bis Wochen. Diese Zeitspanne war der Puffer, auf den sich die gesamte IT-Branche verließ.

Mythos komprimiert diesen Puffer auf Stunden.

In einem dokumentierten Test bekam das Modell hundert bekannte Schwachstellen im Linux-Kernel vorgelegt – jenem Stück Software, das in unzähligen Servern, Routern und Embedded-Systemen weltweit läuft. Mythos grenzte die Liste eigenständig auf 40 potenziell ausnutzbare Kandidaten ein und baute für mehr als die Hälfte davon funktionierende Exploits. In einem Fall genügten dem Modell weniger als 24 Stunden – ausgehend von nichts weiter als einer Schwachstellen-Kennnummer und einem Verweis auf die betroffene Codezeile.

Akt 5Project Glasswing

Anthropic hat Mythos nicht veröffentlicht. In einer Branche, die normalerweise jedes neue Modell mit Pauken, Trompeten und Pressekonferenz auf den Markt wirft, ist das ein Einschnitt.

Statt der Öffentlichkeit wendet sich Anthropic an einen exklusiven Zirkel: Project Glasswing. Ein Verteidigungsbündnis mit zwölf Gründungspartnern. Die Liste liest sich wie ein Who’s Who der digitalen Welt:

• Cloud: Amazon Web Services, Microsoft, Google, Apple
• Sicherheit & Netzwerke: Cisco, CrowdStrike, Palo Alto Networks, Broadcom
• Chips: Nvidia
• Finanzwelt: JP Morgan Chase
• Open Source: Linux Foundation

Dazu mehr als 40 weitere Organisationen, die kritische Softwareinfrastruktur betreiben. Anthropic legt bis zu 100 Millionen Dollar an Nutzungskrediten für das Modell auf den Tisch.

Die Idee ist einfach und zugleich ambitioniert: Mythos soll die verwundbare Software der Welt systematisch durchleuchten und Lücken schließen, bevor vergleichbare Fähigkeiten in die falschen Hände fallen. Einen Zeitvorsprung nutzen, solange er hält.

Klingt verantwortungsvoll. Ist auch verantwortungsvoll. Aber ein zweiter Blick auf die Partnerliste stellt unbequeme Fragen. Amazon, Apple, Google, Microsoft, Nvidia, JP Morgan – das sind keine neutralen Schiedsrichter. Das sind die mächtigsten Technologie- und Finanzkonzerne der Welt. Sie bekommen exklusiven Zugang zu einem Werkzeug, das jede Schwachstelle in jeder Software sichtbar macht – auch in der Software ihrer Konkurrenten. Auch in der Software ihrer Zulieferer. Auch in der Software ihrer Kunden.

Akt 6Die Bombe, über die niemand spricht

Alles, worüber wir bisher gesprochen haben, bleibt – so beunruhigend es ist – ein Softwareproblem. Lücken werden gefunden, Lücken werden gestopft, Code wird umgeschrieben. Ein Wettlauf, bei dem die Verteidiger zumindest eine Chance haben.

Was Google ein paar Wochen zuvor angekündigt hat, spielt in einer völlig anderen Kategorie.

Mythos ist ein Werkzeug, das jedes Schloss der Welt knacken kann – schneller und präziser als jeder menschliche Einbrecher zuvor. Beunruhigend. Aber das Schloss existiert noch. Du kannst ein besseres einbauen. Was Google ankündigt, ist etwas anderes: Bald wird es eine Technologie geben, die jedes Schloss der Welt wertlos macht. Egal wie gut, egal wie neu. Alle auf einmal.

In einem Forschungsbericht erklärte Google, dass ein Quantencomputer die heute verbreitete Verschlüsselung möglicherweise mit 20-mal weniger Rechenressourcen brechen könnte als bisher angenommen. Daraufhin schob der Konzern seinen internen Zeitplan für die Umstellung auf quantensichere Verschlüsselung auf 2029 vor – deutlich aggressiver als die NSA (2031) oder die US-Regierung (2035).

Den konkreten Auslöser lieferte Google im Dezember 2024 selbst: der Willow-Quantenchip. Dieser Chip erledigte eine bestimmte Modellrechnung in weniger als fünf Minuten – eine Aufgabe, an der der stärkste Supercomputer der Welt nach Googles Angaben 10 Septillionen Jahre rechnen müsste. Zur Einordnung: Das ist eine 1 mit 25 Nullen. Das Universum ist rund 14 Milliarden Jahre alt – das ist eine 1 mit 10 Nullen.

Das wirklich Entscheidende an Willow ist aber nicht die Geschwindigkeit, sondern ein technisches Detail, das die Quantenforschung fast 30 Jahre lang frustriert hat: Bisher galt die Skalierungsfalle. Je mehr Qubits man einem Quantencomputer hinzufügt, desto mehr Fehler produziert er. Das Gerät wird stärker und unzuverlässiger gleichzeitig – wie ein Motor, der bei jeder zusätzlichen Umdrehung häufiger aussetzt.

Willow zeigte erstmals, dass sich dieses Verhältnis umkehren lässt: mehr Leistung bei gleichzeitig weniger Fehlern. Klingt nach einem winzigen Detail. Ist der Durchbruch, der Quantencomputer vom Laborkuriosität zur skalierbaren Technologie werden lässt.

Und die gesamte Verschlüsselung, auf die sich die digitale Welt verlässt – Online-Banking, E-Mail-Verkehr, TLS-verschlüsselte Webseiten, die Kommunikation von Regierungen und Militärs – basiert auf einem einzigen mathematischen Versprechen: dass bestimmte Rechenaufgaben für klassische Computer praktisch unlösbar sind. Ein ausreichend leistungsfähiger Quantencomputer löst genau diese Aufgaben. Der passende Algorithmus existiert übrigens seit 1994. Die Anleitung liegt seit über dreißig Jahren offen auf dem Tisch. Es fehlte bisher nur die Maschine, die sie ausführen kann. Diese Maschine rückt jetzt in greifbare Nähe.

Akt 7Ernte jetzt, entschlüssle später

Es gibt Akteure, die sich auf dieses Szenario bereits jetzt vorbereiten. Und zwar nicht auf eine abstrakte Zukunft, sondern auf eine sehr konkrete.

Nordkorea stahl allein im Jahr 2025 Kryptowährungen im Wert von über 2 Milliarden Dollar. Der größte Einzelraub: der Hack der Kryptobörse Bybit im Februar 2025 – rund 1,5 Milliarden Dollar an einem Tag. FBI und US Secret Service ordnen den Angriff einer staatlichen nordkoreanischen Hackereinheit zu. Die Vereinten Nationen bestätigen: Diese Dieb-stähle sind ein primärer Finanzierungsmechanismus für Nordkoreas Atomwaffenprogramm.

Und jetzt stell dir folgende Szene vor: Akteure, die bereits heute mit konventionellen Werkzeugen Milliarden erbeuten, um Massenvernichtungswaffen zu bauen, bekommen Zugang zu KI-Systemen mit Mythos-ähnlichen Fähigkeiten. Oder schlimmer: Quantencomputer, die ihnen erlauben, die kryptografischen Fundamente ganzer Finanzsysteme auf einmal zu brechen.

Das Schloss, das dein Firmenkonto schützt, ist mathematisch dasselbe Schloss, das die Kryptobörse schützt, die Nordkorea gerade ausgeraubt hat.

In Geheimdienstkreisen gibt es für dieses Vorgehen seit Jahren einen Begriff: „Harvest now, decrypt later“ – ernte jetzt, entschlüssle später. Das konkrete Vorgehen dahinter ist verstörend einfach:

1. Heute: Systematisches Abfangen und Archivieren verschlüsselter Daten über Internetknotenpunkte, Satellitenverbindungen, Cloud-Zugangspunkte. Kostet wenig. Läuft geschickt unter dem Radar.
2. In den nächsten Jahren: Warten. Speichern. Katalogisieren.
3. Sobald Quantencomputer leistungsfähig genug sind: Rückwirkend entschlüsseln – all die Daten, die heute gesammelt werden.

Drei US-Behörden – die NSA, die Cybersecurity and Infrastructure Security Agency (CISA) und das National Institute of Standards and Technology (NIST) – warnen gemeinsam: Angreifer sammeln höchstwahrscheinlich bereits jetzt verschlüsselte Daten mit langfristigem strategischem Wert.

Palo Alto Networks, einer der größten Cybersicherheits-Konzerne der Welt, formuliert es noch nüchterner: Das Abfangen verschlüsselter Daten im großen Stil sei mit heutiger Infrastruktur billig und einfach. Die Investition: gering. Die potenzielle Rendite, wenn Quantencomputer in ein paar Jahren einsatzbereit sind: enorm.

EpilogWo uns das lässt

Hier schließt sich der Kreis. Auf der einen Seite Mythos – eine KI, die jede Schwachstelle in jeder Software findet und die Eintrittsbarriere für Angriffe auf nahezu null senkt. Auf der anderen Seite die Quantenbedrohung – eine Technologie, die die mathematischen Grundlagen der gesamten digitalen Sicherheit auflösen kann. Dazwischen staatliche Akteure, die bereits heute Milliarden erbeuten und verschlüsselte Daten auf Vorrat sammeln.

Keines dieser Probleme ist für sich genommen neu. Zusammen ergeben sie etwas, das wir in dieser Form noch nie gesehen haben.

Wenn Angriffe künftig mit der Geschwindigkeit und Komplexität autonomer KI und Quantencomputer ablaufen, wird der Mensch vor dem Bildschirm schlicht zu langsam sein. Die logische – und zugleich unbequemste – Konsequenz: Wir werden die Verteidigung unserer Banken, Krankenhäuser und kritischen Infrastruktur zunehmend an autonome Systeme abgeben müssen. An Maschinen, die wir selbst nur noch teilweise durchschauen. Gegen Maschinen, die wir kaum vorhersehen können.

Anthropic hat 20 Stunden lang einen Psychiater mit seiner eigenen Software reden lassen, weil es sie nicht mehr versteht. Und das ist das Unternehmen, das sie gebaut hat.

Worüber wir noch reden sollten

Man kann die ganze Geschichte als übertrieben abtun. Als klassische Silicon-Valley-Dramaturgie. Als PR-Masche eines Unternehmens, das sich ein Heiligenschein-Image baut. Das wäre nicht einmal völlig falsch. Es würde aber das eigentliche Problem nicht auflösen: Die beschriebenen Fähigkeiten sind real. Die beschriebenen Geheimdienstwarnungen sind real. Der Willow-Chip ist real. Der Bybit-Hack ist real.

Und die eigentlich unbequeme Wahrheit ist: Wir bauen gerade Maschinen, die zu klug sind, um sie frei laufen zu lassen – und gleichzeitig zu mächtig, um sie noch aufzuhalten. Für ein Thema, das bisher meist unter Technikern und Geheimdiensten verhandelt wurde, ist das eine öffentliche Debatte wert. Zwischen der Arztpraxis und dem Handwerksbetrieb. Zwischen Steuerberater und Logistiker. Zwischen Schulleiterin und Rathaus.

Die Zukunft ist – um es mit Yogi Berra zu sagen – nicht mehr das, was sie mal war.

Glossar: Die wichtigsten Begriffe

Zero-Day

Eine Sicherheitslücke, die weder dem Hersteller noch der Öffentlichkeit bekannt ist – und für die folglich noch kein Patch existiert.

Exploit

Ein lauffähiges Angriffswerkzeug, das eine konkrete Schwachstelle aktiv ausnutzt.

Sandbox

Eine abgeschottete Testumgebung, in der Software ausgeführt werden kann, ohne das übrige System zu gefährden.

System Card

Ein von KI-Anbietern veröffentlichtes Sicherheits- und Risikodokument zu einem bestimmten Modell.

Post-Quanten-Krypto

Verschlüsselungsverfahren, die nach heutigem Stand auch gegen Angriffe durch Quantencomputer standhalten.

Qubit

Die kleinste Recheneinheit eines Quantencomputers – das Pendant zum klassischen Bit, kann aber mehrere Zustände gleichzeitig repräsentieren.

Harvest now, later

Angriffsstrategie: Verschlüsselte Daten heute abfangen und speichern – um sie später mit leistungsfähigeren Rechnern rückwirkend zu entschlüsseln.

Project Glasswing

Anthropics Verteidigungsbündnis zur kontrollierten Nutzung von Claude Mythos – mit rund 50 Partnern, darunter AWS, Apple, Google, Microsoft, Nvidia.