KI-Agenten haben hunderte PaperCut-Server gekapert: was das für deine IT bedeutet

Ein Angreifer musste diesmal kaum noch selbst tippen. Er ließ hunderte KI-Agenten gleichzeitig loslaufen, jeder mit demselben Ziel: eine bekannte Sicherheitslücke in der weit verbreiteten Drucker-Verwaltungssoftware PaperCut finden und ausnutzen. Das Ergebnis: mindestens 440 gekaperte Server bei über 395 Organisationen in 48 Ländern. Tempo ist der Unterschied, den KI-Automatisierung macht, wenn eine Sicherheitslücke offen bleibt.

Was ist passiert

Die Sicherheitsfirma GreyNoise beschreibt in einem Bericht vom 9. September 2026, wie ein mutmaßlich russischsprachiger Angreifer zwei bereits bekannte PaperCut-Sicherheitslücken vollautomatisiert ausnutzte: CVE-2026-81578, eine Umgehung der Zugriffskontrolle im Web-Interface (CVSS 8.8), und CVE-2026-82078, eine kritische Schwachstelle beim dynamischen Laden von Programmcode (CVSS 9.4). Zusammen erlauben beide Lücken einen Fernzugriff auf den Server, ganz ohne Anmeldung. PaperCut hatte die Lücken laut eSentire bereits am 27. August 2026 öffentlich gemacht, die US-Behörde CISA nahm sie am 31. August in ihre Liste aktiv ausgenutzter Schwachstellen auf, und PaperCut lieferte am 1. September einen Notfall-Patch nach.

Genau in diesem Zeitfenster wurde die Lücke laut GreyNoise im großen Stil ausgenutzt, bestätigt unabhängig von The Hacker News. Der Angreifer baute zunächst eine eigene Testumgebung mit einer verwundbaren PaperCut-Kopie und einem Verzeichnisdienst auf, um den Exploit vorzubereiten. Danach übernahmen KI-Agenten, gesteuert über eine Kombination aus dem OpenAI-Codex-Werkzeug und einem DeepSeek-Modell zusammen mit öffentlich verfügbaren Angriffs-Tools, den Rest: Ziele suchen, Zugriff verschaffen, sich im Netzwerk ausbreiten. Von einer leeren Arbeitsumgebung bis zum ersten echten Zugriff auf einen fremden Server vergingen laut GreyNoise weniger als vier Stunden, bis zum ersten vollständigen Zugriff auf die Verzeichnisdienst-Verwaltung weitere zwei Stunden. Als die Kampagne in vollem Umfang lief, kaperte der Angreifer laut The Register mindestens elf Organisationen innerhalb von 26 Sekunden; bei einer betroffenen US-Schule dauerte der Weg vom ersten Zugriff bis zur vollen Verzeichnisdienst-Kontrolle nur sieben Minuten.

Help Net Security beziffert die betroffenen Branchen: Bildungseinrichtungen traf es mit 204 Opfern am härtesten, gefolgt von Einzelhandel, Dienstleistungsbetrieben und Gastgewerbe. Bei 12 der betroffenen Organisationen erlangte der Angreifer die volle Kontrolle über den Verzeichnisdienst. Weder OpenAI noch PaperCut haben sich nach bisheriger Berichterstattung offiziell zu diesem konkreten Vorfall geäußert.

Was das für dich als Unternehmen bedeutet

PaperCut ist kein Nischenprodukt für IT-Abteilungen großer Konzerne. Es läuft in Schulen, Copyshops, Einzelhandelsketten, Kanzleien und Hotels, überall dort, wo mehrere Arbeitsplätze gemeinsame Drucker nutzen. Genau diese Branchen tauchen in der Opferliste oben an. "Zu klein, um ein Ziel zu sein" stimmt nicht mehr. Ein KI-Agent unterscheidet nicht. Er prüft jede erreichbare Adresse, ob Konzern oder Betrieb mit zwölf Mitarbeitenden.

Die eigentliche Verschiebung liegt im Tempo. Bislang lag zwischen der Veröffentlichung einer Sicherheitslücke und ihrer breiten Ausnutzung oft genug Zeit, um in Ruhe zu patchen. Hier lagen zwischen Advisory (27.8.) und Notfall-Patch (1.9.) nur fünf Tage, und die Kampagne lief nach den vorliegenden Berichten bereits in genau diesem Fenster an. Sobald die KI-Agenten liefen, brauchten sie pro Organisation teils nur Sekunden bis Minuten. Wer ein internetseitig erreichbares PaperCut-System bislang halbjährlich oder "wenn Zeit ist" gepatcht hat, rechnet mit der falschen Uhr. Die neue Uhr tickt in Sekunden.

Wichtig ist dabei, das Bild nicht zu verdrehen: Weder OpenAI-Codex noch das DeepSeek-Modell wurden selbst gehackt oder gaben von sich aus Angriffsbefehle. Ein Mensch hat sie gezielt als Werkzeug eingespannt, so wie er auch selbst geschriebene Skripte hätte einspannen können. Der Unterschied ist nicht die Bösartigkeit der KI. Es ist die Reichweite. Ein einzelner Angreifer erreicht jetzt ohne großes Team, wozu früher ein ganzes Team nötig war.

Was du jetzt tun (oder lassen) solltest

Tun:

1. Prüfen, ob überhaupt ein selbst betriebener PaperCut-NG/MF-Server im Einsatz ist, insbesondere einer, der aus dem Internet erreichbar ist, nicht nur aus dem internen Netz.
2. Sofort auf den aktuellen Patch-Stand bringen (mindestens PaperCut Emergency Patch Release 3 vom 1. September 2026 oder neuer), falls das noch nicht geschehen ist.
3. Bei fehlender Möglichkeit zum sofortigen Patchen den Server aus dem Internet nehmen oder zumindest über eine Web Application Firewall absichern; laut GreyNoise blieb mindestens ein Opfer dank Cloudflare-WAF vor dem vollen Zugriff verschont.
4. Verzeichnisdienst und Zugangsprotokolle auf ungewöhnliche Aktivität seit Ende August prüfen, falls der Patch erst nach dem 31. August eingespielt wurde, für den Fall, dass die Lücke bereits zuvor ausgenutzt wurde.

Lassen:

• Nicht davon ausgehen, dass die eigene Größe schützt. Bildung, Einzelhandel, Dienstleister und Gastgewerbe waren die am stärksten betroffenen Branchen, nicht Großkonzerne.
• Nicht pauschal Angst vor KI-Werkzeugen wie Codex entwickeln. Die Werkzeuge selbst wurden nicht kompromittiert, ein Mensch hat sie zur Automatisierung genutzt. Die eigentliche Lehre betrifft die Patch-Geschwindigkeit, nicht die KI an sich.

Wer nicht sicher ist, wie schnell die eigene Infrastruktur auf eine solche Meldung reagieren könnte, bekommt mit dem kostenlosen Express-Audit einen Report per Mail, ganz ohne Verkaufsgespräch dazwischen. Wer lieber gar nicht selbst hinterherpatchen will, für den übernimmt das Managed Hosting die laufende Server-Verwaltung.

Häufige Fragen

Bin ich automatisch betroffen, wenn mein Betrieb PaperCut nutzt? Nur, wenn ein selbst betriebener PaperCut-NG/MF-Anwendungsserver läuft, der die beiden genannten Sicherheitslücken noch nicht per Patch geschlossen hat. Wer bereits seit Anfang September aktualisiert hat, ist gegen genau diese Lücken abgesichert.

Reicht es, jetzt nachträglich zu patchen? Der Patch schließt die Lücke, ersetzt aber keine Prüfung, ob in der Zwischenzeit bereits jemand eingedrungen ist. Wer den Patch erst nach dem 31. August eingespielt hat, sollte Verzeichnisdienst und Logs auf diesen Zeitraum hin kontrollieren.

Muss ich jetzt generell KI-Agenten in meinem Betrieb misstrauen? Nein. In diesem Fall hat ein Angreifer gezielt fremde KI-Werkzeuge missbraucht, um eine bereits vorhandene Sicherheitslücke schneller auszunutzen. Das ist ein Argument für schnelleres Patchen, kein Argument gegen den eigenen Einsatz von KI-Werkzeugen.

Die Einschätzung kommt nicht vom Schreibtisch, sondern von jemandem, der Server- und Shop-Infrastruktur selbst betreibt. Wie das aussah, steht anonymisiert in der Case Study und der Geschichte dahinter. Dieser Artikel ist eine Orientierung, keine Sicherheitsberatung.

Diesen Artikel hat die KI von ESD geschrieben; ein zweiter, unabhängiger KI-Lauf hat ihn vor der Veröffentlichung gegen die Originalquellen geprüft.