ARTEX: Der Zeitvorteil liegt zwischen den Schritten.
Themenstand: 03.11.2026 · Für den Blog aufbereitet am 06.11.2026. Auf Basis vorhandener Postingtexte neu ausgearbeitet.
Agentische Angriffswerkzeuge verkürzen die Pausen zwischen bekannten Techniken. Für die Verteidigung zählen die erreichbaren Berechtigungen und die Reaktionskette.
Bekannte Mechanik, dichterer Ablauf.
Google Threat Intelligence und Mandiant beschreiben Ende Oktober den beobachteten Missbrauch agentischer Pentest-Frameworks. ARTEX ist eines davon: Ein in Go geschriebenes System koordiniert spezialisierte Teilagenten und übersetzt Ziele in ausführbare Aktionen. Die Forschenden beobachteten solche Werkzeuge seit Ende August 2026 in untersuchten Vorfällen.
Die interessante Veränderung ist das Verkürzen der Arbeit zwischen Einzelschritten: Ergebnisse lesen, den nächsten Weg wählen, Fehler behandeln und erneut versuchen. Die bekannten Voraussetzungen bleiben relevant, etwa gestohlene Zugangsdaten und unzureichend abgesicherte Systeme. Das ist keine Garantie, dass jede Umgebung in Minuten fällt.
Warum Dienstkonten zum Übergang werden.
Kerberoasting zeigt die Bedeutung der Berechtigungen gut. Ein angemeldetes Konto kann Diensttickets für registrierte Dienste anfordern. Teile eines solchen Tickets lassen sich offline gegen Passwortkandidaten prüfen. Ob daraus ein verwendbarer Zugang entsteht, hängt unter anderem vom Passwort des Dienstkontos und den eingesetzten Verfahren ab.
DCSync ist ein anderer Schritt: Wer passende Replikationsrechte besitzt, kann die Verzeichnissynchronisation missbrauchen, um sensible Kontodaten abzurufen. Dafür genügt nicht irgendein normales Benutzerkonto. Genau die Verbindung zwischen erstem Zugang, Dienstkonto und weitergehenden Rechten würde ich in einer eigenen Umgebung nachvollziehen.
Die Erkennung muss Abläufe zusammenführen.
Meine Arbeitshypothese für das Monitoring wäre eine verdichtete Folge ungewöhnlicher Aktivitäten: umfangreiche Verzeichnisabfragen, auffällige Ticketanforderungen und danach Zugriff von einem neuen System. Ein einzelner Vorgang kann legitime Administration sein. Interessant wird die Folge mit demselben Konto, engem Zeitbezug und einem unüblichen Ausgangsgerät.
Ein Dateiname oder ein bekannter Werkzeugname ist dafür ein ergänzender Hinweis. Er beweist weder KI-Nutzung noch schließt sein Fehlen einen Angriff aus. Für eine brauchbare Erkennung braucht das Team zuerst die relevanten Daten, eine Vergleichsbasis und einen überprüfbaren Umgang mit Ausnahmen.
Die Verteidigung darf nicht auf die letzte Freigabe warten.
Ich würde einen kurzen Ablauf im eigenen Lab messen: Alarm entsteht, eine Person bewertet ihn, ein Konto wird begrenzt und der betroffene Zugriffsweg überprüft. Dabei zählt auch die Zeit, die zwischen zwei Teams verloren geht. Eine technisch gute Regel ohne erreichbaren Verantwortlichen verschenkt ihren Vorsprung.
Parallel gehören die Übergänge enger gezogen: Dienstkonten mit minimalen Rechten, robuste verwaltete Kennwörter, getrennte Administrationswege und geprüfte Replikationsberechtigungen. Die entscheidende Übungsfrage lautet: Welchen nächsten Schritt verhindern wir tatsächlich, wenn ein gewöhnliches Konto bereits verloren ist?