Black October: Schützen Sie Ihre Konten, während KI Cyberangriffe beschleunigt

Im Oktober 2026 zeigte eine Reihe schwerer Sicherheitsvorfälle — rasch Black October genannt —, wie Cyberangriffe aussehen, wenn Angreifer künstliche Intelligenz auf das Problem richten. Forscher fanden mithilfe von KI eine jahrzehntealte, kritische Schwachstelle in PHP (dem Code hinter einem großen Teil der Websites weltweit); eine vergiftete Version eines beliebten KI-Werkzeugs (LiteLLM) stahl Entwickler-Zugangsdaten; schwache Schlüssel bei einer Zertifizierungsstelle (eMudhra) untergruben das Schloss, das die Echtheit einer Seite beweisen soll; und ein Fehler höchster Schwere traf GitLab. Sicherheitsverantwortliche warnten vor einem kommenden „Schwachstellen-Tsunami“, und ein Anbieter berichtete, dass Exploit-Versuche binnen Stunden nach der Offenlegung von Tausenden auf Millionen sprangen.

Die unbequeme Erkenntnis der Fachleute: KI findet und bewaffnet Schwachstellen nun schneller, als die Welt sie patchen kann. Sie können die Infrastruktur des Internets nicht reparieren. Aber fast jeder Angriff, der normale Menschen erreicht, endet gleich — jemand meldet sich in Ihrem Konto an. Diesen Teil können Sie steuern, und dieser Leitfaden zeigt, wie.

Warum das wichtig ist, auch ohne eigene Website

Sie müssen keinen Server betreiben, um die Folgen zu spüren. Wenn Angreifer in die von Ihnen genutzten Dienste einbrechen, ist die Beute Zugangsdaten — E-Mails, Passwörter, Sitzungstoken, API-Schlüssel. Diese werden in automatisierte Werkzeuge eingespeist, die sie überall ausprobieren, überzeugendes Phishing in großem Stil starten und Konten übernehmen, um an Ihr Geld, Ihre Kontakte und Ihre digitalen Vermögenswerte zu gelangen. Die folgenden Schutzmaßnahmen gehen von einem schnellen, automatisierten und geduldigen Angreifer aus — denn das ist er jetzt.

Das zuerst: Wechseln Sie zu phishing-resistenter Anmeldung

Die größte Verbesserung überhaupt ist, Ihre wichtigsten Konten auf Passkeys oder einen Hardware-Sicherheitsschlüssel umzustellen. Beide nutzen einen Standard namens FIDO2, der an die echte Website gebunden ist, sodass eine gefälschte Login-Seite — so perfekt sie auch aussieht — schlicht nichts Verwertbares abgreifen kann. Das ist der einzige Schutz, der gegen KI-gefertigtes Phishing standhält.

• Passkeys sind in moderne Handys, Laptops und Browser integriert und ersetzen bei immer mehr Diensten das Passwort vollständig. Aktivieren Sie sie überall, wo sie angeboten werden.
• Hardware-Schlüssel (etwa ein YubiKey) sind kleine Geräte, die Sie antippen oder einstecken. Sie sind der Goldstandard für hochwertige Konten. Kaufen Sie zwei — einen Haupt- und einen Ersatzschlüssel —, registrieren Sie beide auf jedem kritischen Konto, damit der Verlust eines Schlüssels Sie nie aussperrt, und schützen Sie jeden mit einer PIN.

Wählen Sie mithilfe unseres Verzeichnisses für Zwei-Faktor- und Passkey-Tools. Beginnen Sie mit dem Konto, das alle anderen zurücksetzen kann: Ihrer E-Mail.

Sichern Sie die Schlüssel zu Ihrem Königreich, der Reihe nach

Arbeiten Sie Ihre Konten vom schlimmsten Fall ausgehend ab:

1. Haupt-E-Mail — wer sie kontrolliert, kann fast alles andere zurücksetzen. Geben Sie ihr eine einzigartige Passphrase und die stärkste verfügbare Anmeldemethode.
2. Bank- und Zahlungs-Apps.
3. Krypto-, Broker- und andere Vermögenskonten.
4. Ihr Passwort-Manager, dann nach und nach alles Übrige.

Nutzen Sie einen Passwort-Manager, damit jedes Konto ein langes, einzigartiges Passwort hat, das Sie sich nie merken müssen. Bietet ein Dienst nur Codes per SMS, ist das besser als nichts — bevorzugen Sie aber eine Authenticator-App oder einen Schlüssel, denn SMS lassen sich über SIM-Swapping-Angriffe stehlen. Die vollständige Anleitung finden Sie unter Zwei-Faktor-Authentifizierung und starke Passwörter.

Wechseln Sie, was möglicherweise schon offengelegt ist

Ereignisse wie Black October schwemmen Zugangsdaten auf den kriminellen Markt, wo sie das Credential Stuffing antreiben — automatisierte Versuche, Ihr geleaktes Passwort auf Hunderten von Seiten wiederzuverwenden. Kommen Sie dem zuvor:

• Prüfen Sie Ihre E-Mail auf haveibeenpwned.com, um zu sehen, welche Lecks Sie betreffen.
• Ändern Sie das Passwort überall dort, wo Sie es wiederverwendet haben, beginnend mit E-Mail und Finanzen.
• Ersetzen Sie jedes Passwort, das Sie an mehr als einer Stelle verwendet haben.
• Prüfen Sie in jedem wichtigen Konto die aktiven Sitzungen und verbundenen Apps und melden Sie alles ab oder entfernen Sie alles, was Sie nicht kennen.
• Bewahren Sie Ihre Backup-Codes sicher und getrennt auf, damit das Hinzufügen eines Schlüssels oder der Verlust eines Handys Sie nie aussperrt.

Schützen Sie Ihre Online-Vermögenswerte

Wenn Sie Kryptowährung oder andere digitale Vermögenswerte halten, behandeln Sie sie als eigene, höhere Risikostufe:

• Verschieben Sie langfristige Bestände auf eine Hardware-Wallet (Cold Storage); lassen Sie auf Börsen nur Ihr laufendes Geld.
• Schützen Sie Börsenkonten mit einem Hardware-Schlüssel und aktivieren Sie, wo möglich, Allowlists für Auszahlungsadressen und Auszahlungsverzögerungen.
• Nutzen Sie eine eigene E-Mail für Finanz- und Krypto-Konten, die Sie nie öffentlich machen.
• Geben Sie Ihre Wiederherstellungsphrase niemals irgendwo online ein — kein seriöser Dienst und kein „Support-Mitarbeiter“ wird je danach fragen.

Wenn Sie eine Website betreiben oder Code schreiben

Black October war im Kern eine Entwicklergeschichte. Wenn Sie Infrastruktur betreuen:

• Patchen Sie jetzt: Aktualisieren Sie PHP, Node.js, GitLab und andere Kernsoftware auf die korrigierten Versionen und abonnieren Sie Sicherheitshinweise.
• Erneuern Sie Geheimnisse: Betrachten Sie offengelegte API-Schlüssel, Token und Zugangsdaten als verbrannt — erzeugen Sie sie neu und bauen Sie jede Umgebung neu auf, die ein kompromittiertes Paket gezogen haben könnte.
• Härten Sie Ihre Lieferkette: Pinnen Sie Abhängigkeitsversionen, prüfen Sie Signaturen und Prüfsummen und seien Sie misstrauisch gegenüber brandneuen Versionen kritischer Pakete.
• Erzwingen Sie phishing-resistente Anmeldung bei Ihren Konten für Quellcodeverwaltung, Cloud und Paket-Registries — so kamen die LiteLLM-Angreifer hinein.

Sie können die Welt nicht patchen — aber ein schwer zu knackendes Ziel sein

Die Fachleute haben recht: Die kommende Zeit wird unruhig, und kein Einzelner kann die Grundlagen des Internets reparieren. Doch die Angriffe, die tatsächlich Konten leerräumen, hängen weiter an einer schwachen Anmeldung. Ein Wochenende, in dem Sie Passkeys oder Hardware-Schlüssel hinzufügen, wiederverwendete Passwörter bereinigen und von SMS-Codes wegwechseln, bringt Sie außer Reichweite der automatisierten, KI-gesteuerten Angriffe, die die nächsten Monate prägen werden. Tun Sie es jetzt, solange es ruhig ist — und schicken Sie diese Seite an jemanden, den Sie ungern gehackt sähen.