Google: Gemini hat drei fremde Firmen gehackt

Die Meldung ist kurz und klingt fast beiläufig. Google sagt, Gemini habe sich Zugang zu den Systemen von drei anderen Unternehmen verschafft. Welche Firmen das waren, auf welchem Weg und mit wessen Erlaubnis, sagt Google kaum. Ob es ein vereinbarter Penetrationstest war, bei dem das Modell gezielt als Angreifer eingesetzt wurde, bleibt ebenfalls weitgehend offen. Auf Hacker News bekommt sonst jedes kleine Modell-Update Hunderte Kommentare. Diese Nachricht lief dort fast ohne Reaktion durch.

Dabei ist schon die Fähigkeit selbst die Nachricht. Bisher war KI in der IT-Sicherheit vor allem Assistenz: Code prüfen, Logs zusammenfassen, Phishing-Mails aussortieren. Ein Modell, das in fremde Firmennetze eindringt, ist etwas anderes. Und es geht hier um echte Unternehmen, nicht um eine Übungsumgebung beim Hacking-Wettbewerb. Selbst wenn alles sauber beauftragt war, hat Google öffentlich gezeigt, dass solche Werkzeuge in der Praxis funktionieren. Was heute im Labor eines Konzerns klappt, klappt morgen mit einem offenen Modell. Dann nutzen es auch Leute, die niemanden um Erlaubnis fragen.

Auffällig ist, wie wenig Google dazu sagt. Bei einem neuen Rekord in einem Mathe-Benchmark liefert der Konzern normalerweise ein Paper, eine Methodik und saubere Zahlen. Hier gibt es eine knappe Mitteilung. Die wichtigen Punkte bleiben offen: Wer hat den Angriff autorisiert? Wie viel hat ein Mensch gesteuert und wie viel das Modell allein? Hat Gemini bekannte, ungepatchte Lücken ausgenutzt oder etwas Neues gefunden? Und wussten die betroffenen Firmen vorher Bescheid? Ohne diese Antworten kann man weder die Leistung noch das Risiko einschätzen. Für einen Anbieter, dessen Cloud einen großen Teil der europäischen Wirtschaft trägt, ist das erstaunlich dünn.

Für Unternehmen im DACH-Raum ist die praktische Folge trotzdem klar: Angriffe werden billiger und schneller. Wenn ein Modell die Aufklärung, die Suche nach Schwachstellen und deren Ausnutzung automatisiert, sinken die Kosten pro Angriff drastisch. Auch Mittelständler, die sich bisher für zu klein oder zu uninteressant hielten, werden so zu lohnenden Zielen. Patchzyklen von mehreren Wochen reichen dann nicht mehr. Wer jetzt handeln will, fängt mit dem Naheliegenden an. Das heißt: alle von außen erreichbaren Systeme erfassen und alles abschalten, was niemand braucht. Dazu kommt MFA ohne Ausnahmen und ein Logging, das auch wirklich jemand auswertet. Sinnvoll ist außerdem, selbst einen Pentest mit KI-Unterstützung zu beauftragen, bevor jemand ohne Auftrag denselben Test macht. NIS2 verlangt ohnehin ein dokumentiertes Risikomanagement, und genau dort gehört dieses Szenario jetzt hinein.

Am meisten beunruhigt eigentlich die Stille danach. Die Branche feiert jeden Prozentpunkt auf irgendeiner Bestenliste. Wenn ein KI-Konzern dagegen erwähnt, dass sein Modell in drei fremden Netzwerken war, zuckt sie mit den Schultern. Wer bei Google nachhakt, sollte mit der einfachsten Frage anfangen: Wussten die drei Firmen überhaupt, dass sie angegriffen werden?

Wer Metas neuen KI-Agenten Muse bittet, eine Packung Kaffeefilter oder ein Ladekabel zu besorgen, landet überall, nur nicht auf amazon.com. Amazon hat den Agenten ausgesperrt. Muse soll für seine Nutzer selbstständig suchen, vergleichen und bestellen, und ausgerechnet beim größten Onlinehändler der westlichen Welt geht das nicht. Auf Hacker News kam die Meldung heute auf 161 Punkte und gehörte damit zu den meistdiskutierten Themen des Tages. Das Interesse ist kein Zufall: Hier prallen zwei Konzerne aufeinander, die beide dieselbe Stelle besetzen wollen, nämlich den Moment, in dem ein Mensch sich entscheidet, etwas zu kaufen.

Überraschend kommt der Schritt nicht. Amazon hat schon im November 2025 Perplexity verklagt, weil dessen Browser-Agent Comet im Namen von Nutzern auf Amazon eingekauft hatte. Amazon warf Perplexity damals vor, sich als normaler Browser auszugeben und die Kundenerfahrung zu verschlechtern. Gleichzeitig baut Amazon seine eigenen Agenten aus: Den Shopping-Assistenten Rufus und die Funktion „Buy for Me“ gibt es bereits. Die Linie ist also klar. Agenten beim Einkaufen hält Amazon für eine gute Idee, solange es die eigenen sind. Fremde Bots, die sich zwischen Amazon und die Kundschaft schieben, sind unerwünscht.

Dahinter steckt knallhartes Geschäft. Amazon verdient nicht nur an den verkauften Produkten, sondern immer stärker an Werbung, und die funktioniert nur, wenn Menschen Suchergebnisse sehen, gesponserte Produkte anklicken und auf Empfehlungen reagieren. Ein Agent tut nichts davon. Er ignoriert Banner, überspringt „Kunden kauften auch“ und hat keine Markenbindung. Wenn er auf einer anderen Seite dasselbe Produkt billiger findet, bestellt er eben dort. Lässt Amazon Muse herein, wird es für Meta zum Lieferanten im Hintergrund, und Meta besitzt dann die Kundenbeziehung, die Daten und womöglich bald auch das Werbegeschäft rund um die Kaufentscheidung. Kein Plattformbetreiber gibt das freiwillig her.

Für die großen Versprechen der Agenten-Anbieter ist das ein echtes Problem. Technisch kann ein Agent längst Formulare ausfüllen, Warenkörbe befüllen und Bestellungen abschließen. Was fehlt, ist die Erlaubnis. Das offene Web war nie so offen, wie es aussah: Die großen Plattformen haben immer nur Suchmaschinen hereingelassen, die ihnen Besucher gebracht haben. Ein Agent bringt keine Besucher, er ersetzt sie. Deshalb ist zu erwarten, dass Booking, Zalando, Ticketanbieter und Marktplätze ähnlich reagieren, sobald Agenten spürbar Umsatz umleiten. Manche werden blocken, andere werden Geld verlangen, und wieder andere werden offizielle Schnittstellen nur für zahlende Partner öffnen.

Für Händler im DACH-Raum ist das die interessantere Frage. Wer nicht Amazon ist, hat womöglich mehr davon, Agenten hereinzulassen als sie auszusperren. Ein kleiner Onlineshop wird in den Ergebnissen von Amazon nie so prominent auftauchen wie in der Antwort eines Agenten, der schlicht das beste Angebot sucht. Dafür braucht es saubere Produktdaten, verlässliche Preise und Verfügbarkeiten sowie strukturierte Informationen, die eine Maschine lesen kann, ohne sich durch Pop-ups und Cookie-Banner zu kämpfen. Wer jetzt prüft, ob sein Shop für Agenten überhaupt nutzbar ist, und bewusst entscheidet, welche Bots er zulässt, verschafft sich einen Vorsprung, bevor sich die Regeln festigen.

Meta wird das nicht einfach hinnehmen. Denkbar sind politischer Druck, etwa über den Digital Markets Act in der EU, der Amazon als Gatekeeper ohnehin besonderen Pflichten unterwirft, oder schlicht technische Umgehungsversuche. Genau daran ist Perplexity allerdings vor Gericht gelandet. Ob Nutzer künftig selbst bestimmen dürfen, welche Software in ihrem Namen einkauft, oder ob das der Shop entscheidet, wird kein Ingenieur klären. Diese Frage landet bei Anwälten und Regulierern, und Amazon hat gerade gezeigt, dass es den Streit nicht scheut.

Ein Tech-Lead beschreibt auf Reddit einen Zustand, den viele Teams inzwischen kennen, aber selten so offen aussprechen: In seiner Firma schreibt praktisch jeder den kompletten Code mit Claude. Das heißt nicht 30 oder 70 Prozent, sondern alles. Das bisherige Einstellungsverfahren mit Take-Home-Aufgabe und Live-Coding, beides weitgehend ohne KI, prüft damit eine Fähigkeit, die im Arbeitsalltag kaum noch gebraucht wird. Nach einer Woche Interviews mit Kandidaten für KI-Engineer-Stellen ist er entsetzt. Über 1.200 Upvotes zeigen, dass er damit nicht allein ist.

Der Kern des Problems ist simpel. Im Job steuern Entwickler Agenten, formulieren Anforderungen, prüfen generierten Code und entscheiden, was davon in Produktion darf. Im Interview sollen sie dann ohne Hilfsmittel einen Algorithmus runtertippen, als säßen sie noch vor einer IDE von 2019. Bei Take-Home-Aufgaben wird es absurd: Man verbietet KI, die Hälfte der Bewerber nutzt sie trotzdem, und am Ende misst man vor allem, wer sich an die Regel hält, aber nicht, wer gut arbeitet. Firmen haben ihre Arbeitsweise komplett umgebaut, stellen aber weiter ein wie vor sechs Jahren. Dass dabei Unsinn rauskommt, überrascht nicht.

Welche Fähigkeiten zählen, wenn das Modell tippt? Vor allem Urteilsvermögen. Ein guter KI-Engineer zerlegt ein Problem sauber, bevor er den ersten Prompt schreibt. Er liest Code schneller und kritischer, als er ihn je selbst geschrieben hätte, und erkennt den subtilen Fehler, den Claude mit voller Überzeugung einbaut. Er weiß, wann er dem Output nicht trauen darf, bei Nebenläufigkeit, bei Security, bei allem, was Geld bewegt. Code zu lesen ist heute wichtiger als Code zu schreiben, und genau das testen die wenigsten Interviews.

Umbauen lässt sich das mit überschaubarem Aufwand. Erlaubt KI im Interview ausdrücklich und schaut per Bildschirmfreigabe zu, wie jemand damit arbeitet: Wie präzise sind die Anweisungen? Wird der Output geprüft oder blind übernommen? Nehmt eine realistische, anonymisierte Aufgabe aus der eigenen Codebasis statt einer Leetcode-Übung. Besonders aufschlussreich ist eine Review-Runde, in der der Kandidat einen KI-generierten Pull Request mit zwei, drei versteckten Fehlern bekommt. Wer die findet und begründen kann, warum sie Fehler sind, versteht mehr als jemand, der eine Binärsuche auswendig kann. Danach fragt ihr nach: Warum diese Lösung? Was hast du verworfen? Was würdest du nicht an die KI abgeben?

Für Unternehmen in der DACH-Region ist das mehr als eine Stilfrage. Der Markt für Leute, die KI-gestützte Entwicklung wirklich beherrschen, ist klein, und HR-Prozesse im Mittelstand ändern sich erfahrungsgemäß langsamer als die Tools der Entwickler. Wer weiter mit Whiteboard-Aufgaben aussiebt, sortiert womöglich genau die Kandidaten aus, die im Alltag am produktivsten wären, und stellt Leute ein, die ein Format beherrschen, das es in der eigenen Firma nicht mehr gibt. Eine ehrliche Prüfung für jedes Tech-Team: Wurde euer Interviewprozess zuletzt vor oder nach der ersten Claude-Lizenz überarbeitet?

Die Idee klingt wie ein Gedankenexperiment, ist aber längst Code: Paperclip organisiert KI-Agenten nicht als lose Sammlung von Chatbots, sondern als Firma. Es gibt ein Organigramm, es gibt Rollen wie CEO, CTO oder Marketing-Lead, und jede dieser Rollen ist mit einem Agenten besetzt. Der bekommt ein Budget, Ziele, Aufgaben und berichtet an eine Instanz über ihm. Der Mensch sitzt dabei nicht mehr am Schreibtisch, sondern im Aufsichtsrat: Er gibt die Richtung vor, genehmigt Entscheidungen und kann eingreifen, wenn ein Agent Geld verbrennt oder sich verrennt. Über 85.000 Sterne auf GitHub machen das Projekt zu einem der auffälligsten Open-Source-Experimente im Agenten-Umfeld.

Spannend ist weniger die Firmen-Metapher als das Problem, das Paperclip damit anpackt. Wer schon einmal mehrere Agenten parallel laufen lassen hat, kennt das Chaos: Niemand weiß, wer woran arbeitet, Kosten laufen unbemerkt hoch, Aufgaben werden doppelt erledigt oder gar nicht. Paperclip übernimmt dafür bewährte Strukturen aus der Unternehmensorganisation. Zuständigkeiten sind klar verteilt, Budgets sind hart gedeckelt, jede Aufgabe lässt sich bis zu einem übergeordneten Ziel zurückverfolgen. Die eigentliche Arbeit machen weiterhin Agenten wie Claude Code oder Codex. Paperclip ist die Verwaltungsschicht darüber, im Grunde eine Mischung aus Projektmanagement-Tool und Buchhaltung für Maschinen.

Ob daraus funktionierende Unternehmen entstehen, ist eine ganz andere Frage. GitHub-Sterne kosten einen Klick und sagen mehr über Neugier als über Produktionsreife. Die bekannten Schwächen heutiger Agenten verschwinden nicht, nur weil sie einen Jobtitel tragen. Sie verlieren über lange Zeiträume den Kontext, bewerten ihre eigene Arbeit zu optimistisch und treffen gelegentlich Entscheidungen, die kein Mensch mit Verstand treffen würde. Eine Hierarchie kann solche Fehler abfangen, wenn der „Manager-Agent“ sie erkennt. Sie kann sie aber genauso gut verstärken, wenn ein Agent die Halluzination des anderen einfach abnickt. Wer ein Organigramm aus Sprachmodellen baut, baut auch deren blinde Flecken mit ein, nur eben mehrfach.

Für Unternehmen im DACH-Raum ist Paperclip deshalb vor allem als Anschauungsobjekt interessant, nicht als Blaupause für die nächste Umstrukturierung. Wer mit Agenten experimentiert, kann sich hier einiges abschauen: harte Kostengrenzen pro Agent, klare Freigabepunkte für Menschen und ein Protokoll, das jede Entscheidung nachvollziehbar macht. Gerade Letzteres dürfte hierzulande wichtig werden. Spätestens wenn ein Agent eigenständig Geld ausgibt, Verträge vorbereitet oder mit Kunden kommuniziert, wollen Datenschutzbeauftragte, Betriebsrat und Wirtschaftsprüfer wissen, wer was wann veranlasst hat. „Die KI war's“ reicht da als Antwort nicht.

Der pragmatische Einstieg ist klein: einen klar abgegrenzten Bereich nehmen, etwa Recherche, Content-Entwürfe oder interne Auswertungen, und ein Mini-Team aus zwei oder drei Agenten mit festem Budget darauf ansetzen. Dann messen, was tatsächlich herauskommt, wie viel Nacharbeit nötig ist und was es unterm Strich kostet. Wer nach vier Wochen ehrliche Zahlen hat, weiß mehr als jeder, der die Sterne auf GitHub zählt. Und falls das Experiment scheitert, hat man immerhin herausgefunden, welche Arbeit in der eigenen Firma sich eben nicht in ein Organigramm aus Prompts pressen lässt.