Der britische Domain-Registrar 123 Reg hat einen Cyberangriff offengelegt, bei dem Unbekannte auf Kundendaten zugreifen konnten. Der Vorfall ereignete sich am 18. September 2026. Betroffen sind unter anderem Namen, Telefonnummern, Länderangaben, Umsatzsteuer-Identifikationsnummern und Informationen zu gebuchten Produkten. Das zu GoDaddy gehörende Unternehmen bezeichnet die Attacke als seinen ersten bekannten „KI-gesteuerten Cyberangriff“ und vermutet einen Angreifer mit Verbindungen nach China.
Die Aktivität war nach Angaben von 123 Reg auf das Lesen von Daten beschränkt. Der Registrar hält es jedoch für möglich, dass die Angreifer Kopien angelegt haben. Genau darin liegt das unmittelbare Risiko für benachrichtigte Kunden: Die offengelegten Informationen enthalten genügend Kontext, um Anrufe, E-Mails oder Nachrichten glaubwürdig an bestehende Geschäftsbeziehungen mit 123 Reg anzulehnen.
Welche Daten der Angreifer lesen konnte
Nach Angaben des Unternehmens umfasste der Zugriff Namen, Telefonnummern, Länder, bevorzugte Sprachen und Währungen, Kontoerstellungsdaten, Marketingpräferenzen sowie Umsatzsteuer-Identifikationsnummern. Hinzu kamen Informationen über Produkte in den Kundenkonten, die aus einer Programmierschnittstelle stammten.
Vom Datenzugriff zum möglichen Folgerisiko
Die Grafik trennt bestätigte Erkenntnisse, eine mögliche Datenkopie und das daraus entstehende Risiko glaubwürdiger Täuschungsversuche.
Dass Produktinformationen aus einer API betroffen waren, belegt allerdings nicht, dass diese Schnittstelle auch der ursprüngliche Einstiegspunkt war. 123 Reg hat bislang weder den initialen Angriffsweg noch eine konkrete Schwachstelle oder Fehlkonfiguration öffentlich beschrieben. Auch die Zahl der betroffenen Kunden wird in den vorliegenden Angaben nicht genannt.
Passwörter, Zahlungsdaten und Verifizierungscodes führt das Unternehmen nicht unter den offengelegten Daten auf. Das begrenzt die direkte Auswirkung, beseitigt aber nicht das Folgerisiko. Wer Name, Telefonnummer, Sprache, Kontoalter und gebuchte Produkte kennt, kann sich bei einer Kontaktaufnahme wesentlich genauer als angeblicher Mitarbeiter oder Dienstleister ausgeben.
„KI-gesteuert“ beschreibt das Werkzeug, nicht den Angriffsweg
123 Reg begründet die Bezeichnung als KI-Angriff mit Artefakten auf der Infrastruktur der mutmaßlichen Täter. Die Untersuchung fand dort Kopien von durch Anthropic quelloffen bereitgestellten „Skills“, weitere Frameworks und Skripte sowie ARTEX. Dabei handelt es sich um ein im Juli 2026 veröffentlichtes, in China entwickeltes Open-Source-Werkzeug für agentenbasierte Penetrationstests.
Die Befunde sprechen dafür, dass KI-Werkzeuge bei der Operation eingesetzt wurden. Sie beantworten aber noch nicht, welche Aufgaben ein Agent selbstständig ausführte, welche Schritte durch Menschen gesteuert wurden oder ob KI für den Erfolg des Einbruchs entscheidend war. Ohne veröffentlichten Ablauf bleibt „KI-gesteuert“ deshalb eine Beschreibung der eingesetzten Werkzeugklasse und keine technische Ursachenanalyse.
Für die Sicherheitsbewertung ist diese Unterscheidung relevant. Es handelt sich nicht um die Meldung einer allgemein ausnutzbaren Produktlücke mit CVE, betroffenen Versionen und Patch. 123 Reg nennt keinen solchen Fix. Kunden können daher keine konkrete Softwareversion aktualisieren, um diesen bereits erfolgten Zugriff zu beheben. Ihre Aufgabe besteht vor allem darin, möglichen Missbrauch der offengelegten Daten zu erkennen und ihre Konten zusätzlich abzusichern.
Der China-Bezug ist eine Attribution, keine Bestätigung
Als Indizien nennt 123 Reg zentrale Angreifer-Infrastruktur in China und Singapur, auf chinesischer Infrastruktur gehostete Angriffswerkzeuge sowie Benennungskonventionen auf den untersuchten Servern. Das Unternehmen sieht außerdem Ähnlichkeiten zu einer mutmaßlich staatlich unterstützten chinesischen Gruppe, die Claude Code bei Angriffen auf mindestens 30 Organisationen missbraucht haben soll.
Eine weitere Verbindung ergibt sich aus ARTEX. CrowdStrike beschrieb am 7. Oktober 2026 in dem Advisory CSA-261162 einen unbekannten, wahrscheinlich chinesischsprachigen Akteur, der seit Ende September südkoreanische Finanzorganisationen mit diesem Werkzeug angegriffen habe. Dieser Zeitraum überschneidet sich mit dem Angriff auf 123 Reg. Der Registrar hält es deshalb für möglich, dass dieselbe Gruppe hinter beiden Operationen steht.
Die Zuordnung bleibt dennoch ein Verdacht. Serverstandorte, Sprache, Werkzeugwahl und zeitliche Überschneidungen können eine Attribution stützen, beweisen aber für sich genommen weder die Identität noch eine staatliche Steuerung. Gerade ein quelloffenes Werkzeug wie ARTEX ist grundsätzlich auch für andere Akteure verfügbar.
Was betroffene Kunden jetzt tun sollten
123 Reg rät Kunden, Nachrichten und Anrufe, die angeblich vom Unternehmen stammen, besonders kritisch zu prüfen. Bei Unsicherheit sollten sie keine mitgesendeten Links verwenden, sondern die Website von 123 Reg selbst aufrufen und sich dort anmelden. Das Unternehmen betont, dass es weder per E-Mail noch per SMS oder Telefon nach Passwörtern, Zahlungsdaten oder Verifizierungscodes frage.
Zusätzlich empfiehlt der Registrar, die Zwei-Schritt-Verifizierung, bei 123 Reg als 2SV bezeichnet, einzuschalten. Sie kann eine Kontoübernahme erschweren, falls ein Kunde sein Passwort bei einem Täuschungsversuch preisgibt. Sie verhindert allerdings nicht, dass die bereits gelesenen Kontakt- und Produktinformationen für weitere Ansprachen verwendet werden.
123 Reg hat Strafverfolgungsbehörden, die US-Handelsaufsicht FTC sowie Datenschutzbehörden in Großbritannien und der EU informiert und externe Sicherheitsexperten hinzugezogen. Zusammen mit Providern in Singapur seien dortige Server der Angreifer abgeschaltet worden. Diese Maßnahmen können die konkrete Infrastruktur stören; mögliche Datenkopien holen sie nicht zurück.
Der operative Schaden beginnt nach dem Zugriff
Der auffällige Teil des Vorfalls ist der Einsatz agentenbasierter Angriffswerkzeuge. Für Kunden ist jedoch ein nüchterneres Detail wichtiger: Der Täter konnte Geschäftskontext lesen. Ob ARTEX Aufklärung, Exploitation oder andere Schritte automatisierte, ändert wenig daran, dass Produktlisten, Telefonnummern und Kontomerkmale spätere Täuschungsversuche präziser machen können.
Damit verschiebt sich die praktische Reaktion weg von einer nicht vorhandenen Patch-Anweisung hin zur Identitätsprüfung bei jeder Kontaktaufnahme. Der Begriff „KI-Cyberangriff“ erklärt möglicherweise, wie der Angreifer seine Arbeit skaliert hat. Welche Folgen daraus entstehen, entscheidet sich nun aber an gewöhnlichen Abläufen: wie Kunden Links öffnen, Anrufer prüfen, Zugangsdaten schützen und 2SV verwenden.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
