Pentagon: Bericht über persönlichen Claude-Agenten im Netzwerk

Ein persönlicher Claude-Code-Agent eines Accenture-Mitarbeiters soll rund zwei Monate lang in einem System des US-Verteidigungsministeriums aktiv gewesen sein. Das berichtet WIRED am 29. Oktober 2026 unter Berufung auf Quellen. Dabei sollen auch Zugangsdaten und Informationen über die Netzwerkstruktur an eine externe Website übertragen worden sein. Accenture bestreitet die Vorwürfe: Eine unabhängige Untersuchung habe sie als unbegründet bewertet; das Unternehmen habe seine rechtlichen und vertraglichen Pflichten erfüllt.

Der Bericht betrifft damit einen umstrittenen Sicherheitsvorfall, keinen öffentlich abschließend geklärten Ablauf. Die operative Frage ist dennoch konkret: Wie wird verhindert, dass ein Mitarbeiter seine Zugriffsrechte einem persönlichen Softwareagenten verfügbar macht und dadurch zusätzliche Datenwege aus einer geschützten Arbeitsumgebung entstehen?

Ein nicht geheimes Netzwerk enthält trotzdem schutzbedürftige Daten

Nach der Darstellung von WIRED lief der Agent im Non-classified Internet Protocol Router Network, kurz NIPRNet. Dieses Netzwerk dient der nicht geheim eingestuften Kommunikation des US-Verteidigungsministeriums. Das betroffene System soll Controlled Unclassified Information enthalten haben. CUI bezeichnet Informationen, die zwar nicht als geheim klassifiziert sind, deren Verarbeitung und Weitergabe aber Schutzvorgaben unterliegen.

Diese Unterscheidung ist für die Bewertung wesentlich. Aus dem Bericht lässt sich kein Zugriff auf ein Geheimnetz ableiten. Ebenso wenig wäre es sachgerecht, einen möglichen Abfluss aus einem nicht geheimen Netzwerk als belanglos einzustufen. Zugangsdaten können weitere Zugriffe ermöglichen. Informationen über die Netzwerkstruktur können helfen, Systeme und Verbindungen einzuordnen. Dafür müssen die betreffenden Daten keine geheimen Dokumente enthalten.

Ob und in welchem Umfang solche Informationen tatsächlich abgeflossen sind, ist angesichts der widersprüchlichen Darstellungen offen. Auch ein daraus entstandener Folgezugriff ist mit den verfügbaren Angaben nicht belegt. Die berichteten zwei Monate beschreiben die mutmaßliche Betriebsdauer des Agenten. Sie erlauben keine genaue Datierung von Einrichtung, Entdeckung oder Behebung.

Entscheidend sind die Rechte des Agenten

Ein Softwareagent kann Aufgaben über mehrere Arbeitsschritte bearbeiten und dafür angebundene Werkzeuge nutzen. Welche Dateien, Systeme oder Netzwerkziele er dabei erreicht, hängt von seiner konkreten Einrichtung ab. Der Produktname allein sagt darüber wenig aus. Für die Sicherheitsprüfung zählt, unter welcher Identität der Prozess läuft, welche Berechtigungen er erhält und welche Verbindungen zugelassen sind.

Wird ein persönlicher Agent mit dienstlichen Zugängen verbunden, können sich zwei Verantwortungsbereiche überlagern. Der Arbeitgeber verwaltet den Zugang des Mitarbeiters. Die zusätzlich eingesetzte Software kann jedoch außerhalb des vorgesehenen Freigabe- und Betriebsprozesses liegen. Ob das im berichteten Fall technisch genau so umgesetzt wurde, ist nicht ausreichend dokumentiert. Es beschreibt aber die Kontrollfrage, die aus dem behaupteten Zugang entsteht.

Ein berechtigter Mitarbeiter ist nicht automatisch befugt, jedes Werkzeug mit seinen Berechtigungen auszustatten. Für Betreiber sensibler Systeme muss deshalb unterscheidbar bleiben, ob eine Person selbst arbeitet oder Software in ihrem Auftrag handelt. Separate, eng begrenzte Zugänge erleichtern diese Zuordnung. Gemeinsam genutzte Zugangsdaten erschweren dagegen sowohl die Begrenzung als auch die spätere Untersuchung von Aktivitäten.

Ausgehende Verbindungen gehören zur Freigabe

Besonders schwer wiegt die Behauptung, der Agent habe Anmeldeinformationen, Passwörter und eine Netzwerkkartierung an eine externe Website übertragen. Diese Darstellung stammt aus der Berichterstattung und ist angesichts von Accentures Widerspruch nicht als abschließend erwiesen zu behandeln. Die verfügbaren Informationen belegen auch nicht, dass die fragliche Website zur regulären Infrastruktur von Anthropic gehörte.

Für eine technische Prüfung wären mehrere Punkte auseinanderzuhalten: Welche Daten wurden gelesen? Welcher Prozess hat sie übertragen? An welches Ziel gingen sie? Und war diese Verbindung für den vorgesehenen Arbeitsauftrag erforderlich? Ohne diese Trennung bleibt unklar, ob die Ursache in einer Werkzeuganbindung, einer Konfiguration, einer ausgenutzten Schwachstelle oder einem anderen Ablauf lag.

Die praktische Konsequenz für vergleichbare Umgebungen ist überschaubar: Eine Freigabe sollte neben dem lokalen Zugriff auch die erlaubten externen Ziele umfassen. Ein Agent mit begrenzten Dateirechten kann weiterhin sensible Inhalte übertragen, wenn ausgehende Verbindungen uneingeschränkt möglich sind. Umgekehrt ersetzt eine Beschränkung externer Ziele keine saubere Rechtevergabe. Beide Kontrollen erfüllen unterschiedliche Aufgaben.

Zwei Monate wären vor allem ein Erkennungsproblem

Sollte sich die berichtete Laufzeit bestätigen, wäre neben der Einrichtung auch die laufende Überwachung zu prüfen. Ein einmaliges Verbot persönlicher KI-Werkzeuge erklärt noch nicht, wie deren Nutzung erkannt wird. Dafür müssten Betreiber Aktivitäten einem Prozess und einer verantwortlichen Identität zuordnen sowie unerwartete Verbindungen nachvollziehen können.

Für Auftraggeber und Dienstleister folgt daraus ein konkreter Prüfbedarf: Welche Agenten sind zugelassen, wer verantwortet ihre Konfiguration, und lassen sich ihre Zugänge unabhängig vom Benutzerkonto sperren? Solche Fragen betreffen den Betrieb und die Nachweisbarkeit von Kontrollen. Sie setzen weder eine besondere Absicht des Mitarbeiters noch einen bereits bewiesenen Schaden voraus.

WIRED und Accenture zeichnen derzeit gegensätzliche Bilder des Vorgangs. Daraus lassen sich keine gesicherten Aussagen über Vertragsfolgen oder das tatsächliche Schadensausmaß ableiten. Für die technische Bewertung bleibt der zentrale Maßstab, ob ein persönliches Werkzeug dienstliche Berechtigungen übernehmen und Datenwege nutzen konnte, die außerhalb des genehmigten Betriebs lagen.