Nordkoreanische Hackergruppen haben ihre Cyberangriffe mit eigener KI-Infrastruktur massiv ausgebaut. Die Gruppe Kimsuky nutzt offene Sprachmodelle für automatisierte Phishing-Angriffe und Datenanalyse – eine neue Bedrohung auch für deutsche Unternehmen und Behörden.
Die südkoreanische Cybersicherheitsfirma Genians hat in einem Bericht vom heutigen Montag aufgedeckt, dass staatlich gesteuerte Hacker aus Nordkorea ihre technischen Fähigkeiten erheblich erweitert haben. Statt auf teure kommerzielle Lösungen zu setzen, bauen die Angreifer auf frei verfügbare KI-Modelle – und machen damit Jagd auf Unternehmen weltweit.
Eigene KI-Server statt Cloud-Dienste
Die als Kimsuky bekannte Gruppe hat laut den Sicherheitsforschern eine komplett offline betriebene KI-Umgebung aufgebaut. Zum Einsatz kommen dabei Open-Source-Tools wie Ollama, GPT4All und Msty. Der entscheidende Vorteil für die Hacker: Da sie keine externen Cloud-Dienste nutzen, bleiben ihre Aktivitäten für Sicherheitsbehörden unsichtbar.
Besonders perfide ist der Einsatz der sogenannten Retrieval-Augmented-Generation-Technologie (RAG). Damit können die Angreifer große Mengen gestohlener Dokumente automatisiert auswerten und zusammenfassen. Was früher mühsame Handarbeit war, erledigt nun eine KI in Sekundenschnelle.
KI-gestützte Angriffswellen
Auch bei der Entwicklung von Schadsoftware setzt Kimsuky auf künstliche Intelligenz. KI-gestützte Codierungswerkzeuge wie Cursor und verschiedene Agent-Frameworks helfen den Hackern, Malware zu programmieren und repetitive Aufgaben zu automatisieren. Bereits seit Anfang 2026 nutzt die Gruppe KI-generierte Dokumente für gezielte Phishing-Angriffe – ein deutlicher Schritt hin zu vollautomatisierter Social Engineering.
Wer sich mit den neuen Methoden der Cyberkriminellen befasst, erkennt schnell die Gefahr durch täuschend echte Phishing-Mails. Dieser kostenlose Report enthüllt die aktuellen psychologischen Schwachstellen und hilft Unternehmen, Angriffe rechtzeitig zu entlarven. Diese 7 psychologischen Schwachstellen Ihrer Mitarbeiter nutzen Hacker gnadenlos aus
Die spezialisierten KI-Modelle dienen vor allem dazu, Angriffe zu verfeinern. Die Hacker erstellen damit täuschend echte Phishing-Mails und Dokumente, die professioneller Kommunikation zum Verwechseln ähnlich sehen. Die Zeit für die Recherche von Zielpersonen und die Erstellung täuschender Inhalte reduziert sich dadurch drastisch.
Weitere Gruppen folgen dem Trend
Kimsuky ist nicht allein: Auch die Gruppe APT45 setzt nach Erkenntnissen von Kaspersky auf KI für Social Engineering und das Ausspähen von Schwachstellen. Die Sicherheitsexperten entdeckten zudem, dass Kimsuky das Backdoor-Tool „HelloDoor“ mithilfe von KI entwickelte – ein Beleg für den praktischen Einsatz der Technologie in laufenden Operationen.
Die Zahlen sind alarmierend: Allein in den ersten neun Monaten 2025 erbeuteten nordkoreanische Hacker mehr als zwei Milliarden Euro in Kryptowährungen. Die Gruppe Famous Chollima war zwischen April 2025 und Mai 2026 für fast die Hälfte aller staatlich gesteuerten Technologie-Hacks verantwortlich.
Angesichts immer professionellerer Hacker-Methoden müssen Unternehmen ihre proaktiven Schutzmaßnahmen dringend verstärken. Erfahren Sie in diesem kostenlosen Leitfaden, wie Firmen aus verschiedenen Branchen ihre IT-Sicherheit in vier Schritten effektiv gegen Phishing-Versuche wappnen. In 4 Schritten zum sicheren Unternehmen: So stoppen Sie Phishing-Angriffe
Neue Dimension der Bedrohung
Kimsuky, bereits 2023 von den USA mit Sanktionen belegt, treibt die Entwicklung weiter voran. Mit der Kampagne „GitPower“ nutzt die Gruppe Plattformen wie GitHub und GitLab für die Steuerung ihrer Angriffe und die Verteilung von Fernzugriffs-Trojanern.
Die zunehmende KI-Nutzung fällt in eine Zeit wachsender regionaler Sicherheitsprobleme. Im asiatisch-pazifischen Raum stieg die Betrugsrate von 31 Prozent im Jahr 2024 auf 45 Prozent im Jahr 2025. Die Prognosen für die Region sind entsprechend düster: Bis 2028 sollen die Ausgaben für Cybersicherheit auf umgerechnet rund 56 Milliarden Euro steigen – ein klares Zeichen, dass Unternehmen und Regierungen die Bedrohung ernst nehmen.
Für deutsche Unternehmen bedeutet das: Die Angreifer werden schneller, raffinierter und schwerer zu erkennen. Klassische Sicherheitsmaßnahmen stoßen zunehmend an ihre Grenzen.
