Am 15. Oktober 2026 veröffentlichte das Threat Hunter Team von Symantec eine Analyse, die in der Entwickler-Community Wellen schlägt. Neue Varianten der Schadsoftware Aoki, auch unter dem Namen Aokigahara oder Infostealer.Aoki bekannt, durchsuchen infizierte Windows-Systeme gezielt nach Zugangsdaten und Sitzungsdateien von KI-Coding-Assistenten. Betroffen sind laut dem Bericht acht Werkzeuge, die mittlerweile zum festen Bestandteil des Entwickleralltags gehören: Claude und ChatGPT, OpenAIs Codex, Cursor, GitHub Copilot, Google Gemini, JetBrains AI Assistant, AWS Kiro und Codeium.
Der Fall markiert einen Wendepunkt. Infostealer jagten bisher vor allem Browser-Passwörter, Krypto-Wallets und VPN-Zugänge. Mit Aoki rückt eine neue Kategorie von Zielobjekten in den Fokus: API-Schlüssel und Sitzungstoken, die Angreifern Zugriff auf Code-Repositories, Cloud-Infrastruktur und CI/CD-Pipelines verschaffen können. Für Entwickler in Österreich und Deutschland, die KI-Coding-Assistenten längst produktiv einsetzen, ist das mehr als eine theoretische Gefahr.
Die Fakten im Überblick: Was Symantec entdeckt hat
Symantecs Threat Hunter Team veröffentlichte seine Erkenntnisse am 15. Oktober 2026. In den folgenden drei Tagen griffen mehrere Sicherheitsmedien das Thema auf, darunter Cyware, CyberPress und das Analyseportal Twarx. Die Infosecurity Magazine war eine der ersten Publikationen, die über den Fund berichtete. Auch SC World und Cybersecurity News griffen die Symantec-Analyse in eigenen Beiträgen auf und bestätigten unabhängig voneinander die zentralen technischen Details zu den betroffenen Tools und Dateien.
Bemerkenswert ist, was in den bisherigen Berichten fehlt: Es gibt noch keine belastbare Zahl zu infizierten Rechnern, betroffenen Organisationen oder gestohlenen Zugangsdaten. Die verfügbaren Quellen beschreiben die Fähigkeiten der Schadsoftware, nicht das Ausmaß einer konkreten Kampagne. Das ist bei frisch entdeckter Malware normal, macht die Lage für Sicherheitsteams aber nicht einfacher. Wer nicht weiß, wie viele Systeme betroffen sein könnten, muss vorsorglich jedes potenziell exponierte Gerät prüfen.
Aoki selbst ist keine Neuerscheinung. Die Malware-Familie war bereits zuvor aktiv und sammelte Daten aus Browsern, Gaming-Anwendungen und Messengern. Neu ist die gezielte Erweiterung auf KI-Entwicklerwerkzeuge, ein Schritt, der zeigt, wie schnell Angreifer ihre Werkzeuge an neue, wertvolle Angriffsflächen anpassen.
So funktioniert der Datenklau: Der technische Ablauf
Die neuesten Aoki-Samples durchsuchen Windows-Rechner nach lokal gespeicherten Artefakten. Dazu zählen API-Schlüssel, Authentifizierungstoken, Sitzungsdateien, Browser-Cookies, Anwendungs-Zugangsdaten sowie Cloud-Zugangsdaten einschließlich AWS-Credentials. Ergänzend greift die Malware auf Discord-Token, Telegram-Sitzungsdaten, Outlook-Passwörter, automatisch ausgefüllte Zahlungsdaten im Browser, Kryptowährungs-Wallets und VPN-Zugangsdaten zu.
Für die KI-Coding-Tools nennt der Bericht konkrete Dateien und Mechanismen. Bei Claude sucht die Malware nach der Konfigurationsdatei .claude.json sowie nach Cookies der Claude-Desktop-App. Bei ChatGPT werden lokal gespeicherte Cookies abgegriffen. OpenAIs Codex ist über die Dateien config.toml und .env betroffen, in denen häufig Klartext-Secrets liegen. Cursor verliert Token sowie Inhalte einer lokalen Zustandsdatenbank, die auch zwischengespeicherten Code und Chatverläufe enthalten kann. GitHub Copilot, Google Gemini, JetBrains AI Assistant und AWS Kiro tauchen im Bericht mit gestohlenen Token auf, ohne dass die Quellen bislang exakte Dateinamen nennen.
Die gesammelten Daten verschickt Aoki über einen /gate-Endpunkt an eine Command-and-Control-Infrastruktur. Eine Analyse von Twarx nennt dabei die Domain dobeqnesmot[.]cc und die IP-Adresse 185[.]141[.]216[.]194 als zugehörige Indikatoren. Wie genau sich Aoki auf den ersten Rechnern einnistet, also ob über gefälschte npm-Pakete, Phishing-Mails, bösartige Erweiterungen oder kompromittierte Repositories, legen die bisherigen Berichte nicht offen. Diese Lücke in der öffentlichen Analyse ist selbst eine wichtige Information, denn sie zeigt, wie früh die Aufklärung noch steht.
Acht KI-Coding-Tools im Visier: Die Übersicht
Die folgende Tabelle fasst zusammen, welche Werkzeuge laut den bisherigen Berichten betroffen sind und welche Artefakte Aoki konkret entwendet.
| KI-Tool | Anbieter | Gestohlenes Artefakt |
|---|---|---|
| Claude / Claude Desktop | Anthropic | .claude.json, Desktop-Cookies |
| ChatGPT | OpenAI | Browser-Cookies |
| Codex | OpenAI | config.toml, .env |
| Cursor | Cursor (Anysphere) | Token, lokale Zustandsdatenbank |
| GitHub Copilot | GitHub / Microsoft | Gespeicherte Token |
| Google Gemini | Gespeicherte Token | |
| JetBrains AI Assistant | JetBrains | Gespeicherte Token |
| Kiro | AWS | Gespeicherte Token |
| Codeium | Codeium | Im Zielset genannt, Detail offen |
| AWS-Cloud-Zugang | Amazon | Cloud-Zugangsdaten |
Auffällig ist die Mischung aus Dateitypen. Während Copilot, Gemini, JetBrains AI Assistant und Kiro laut den Berichten nur als Token-Ziel genannt werden, liegen bei Codex gleich zwei Dateien mit potenziell unverschlüsselten Secrets offen. Cursor nimmt eine Sonderrolle ein, weil die lokale Datenbank nicht nur Zugangsdaten, sondern auch Quellcode-Fragmente aus früheren Sitzungen enthalten kann.
Warum gestohlene KI-Zugangsdaten so wertvoll sind
Ein gestohlenes Token für einen KI-Coding-Assistenten öffnet mehr Türen als ein einzelnes Passwort. Wer ein Copilot- oder Claude-Token besitzt, kann unter einer fremden Entwickleridentität agieren, das bezahlte KI-Kontingent des Opfers verbrauchen und im schlimmsten Fall auf verknüpfte Repositories, Cloud-Dienste und CI/CD-Systeme zugreifen. Die Angriffsfläche wächst, weil moderne Entwicklerumgebungen KI-Agenten tief in Build- und Deploy-Prozesse einbinden.
Die schiere Größe des Nutzerkreises verstärkt das Risiko. GitHub Copilot zählt laut einem NVIDIA-Blogbeitrag zu den meistgenutzten Coding-Agenten weltweit und wird von Millionen Entwicklern eingesetzt. Auch im aktuellen Ranking von AI-Entwicklerwerkzeugen zeigt sich, wie dicht das Feld inzwischen ist. Laut einer Analyse von LogRocket führte Claude Code im September- und Oktober-Ranking 2026 vor OpenCode und Cursor. Jedes dieser Werkzeuge bringt eine eigene Angriffsfläche mit, sobald Zugangsdaten lokal und oft unverschlüsselt auf der Festplatte liegen.
Ein zusätzliches Risiko entsteht durch sogenanntes LLMjacking: Angreifer nutzen gestohlene API-Schlüssel, um kostenpflichtige KI-Modelle über die Rechnung des Opfers laufen zu lassen. Bei Modellen mit hohen Token-Preisen kann sich das innerhalb weniger Stunden zu einer spürbaren finanziellen Belastung summieren, selbst wenn kein einziges Repository kompromittiert wird.
Kein Einzelfall: Angriffe auf Entwicklerwerkzeuge im Jahr 2026
Aoki reiht sich in eine Serie von Sicherheitsvorfällen rund um KI-Coding-Tools ein, die das Jahr 2026 bereits geprägt haben. Im Frühjahr sorgte der npm-Wurm Shai-Hulud für Schlagzeilen, der mehr als 100 Repositories kompromittierte. Später folgten die Sicherheitslücken-Sammlung GitSpawn mit acht Schwachstellen in sieben KI-Agenten, der Exploit Plugin4Shell, der vier KI-Agents betraf, und ein Vorfall im JetBrains Marketplace, bei dem 15 gefälschte Plugins rund 70.000 KI-Schlüssel abgriffen.
Der Unterschied zu Aoki ist strukturell wichtig. Shai-Hulud war ein sich selbst verbreitender Lieferketten-Wurm, GitSpawn und Plugin4Shell beruhten auf Schwachstellen in der Software der Agenten selbst, und der JetBrains-Vorfall nutzte gefälschte Marketplace-Einträge als Einfallstor. Aoki dagegen ist ein klassischer, nachträglich agierender Infostealer: Er nutzt keine Schwachstelle im KI-Tool selbst, sondern sammelt nach einer bereits erfolgten Kompromittierung des Rechners die dort liegenden Zugangsdaten ein. Das macht ihn nicht harmloser, im Gegenteil: Infostealer sind oft die erste Stufe größerer Angriffsketten.
| Vorfall | Zeitraum 2026 | Mechanismus | Unterschied zu Aoki |
|---|---|---|---|
| Shai-Hulud | Frühjahr 2026 | Selbstverbreitender npm-Wurm | Lieferkettenangriff statt Post-Infektions-Sammlung |
| GitSpawn | 2026 | 8 Schwachstellen in 7 KI-Agenten | Exploit im Tool selbst, kein externer Stealer |
| Plugin4Shell | 2026 | Exploit in 4 KI-Agents | Codeausführung über Schwachstelle, nicht über Malware |
| JetBrains-Marketplace-Hack | 2026 | 15 gefälschte Plugins, 70.000 Keys | Täuschung im Marketplace statt Windows-Infostealer |
| Aoki | Oktober 2026 | Infostealer sammelt lokale Token/Dateien | Zielt auf 8 KI-Tools gleichzeitig, nach bereits erfolgter Infektion |
Historischer Kontext: Vom Passwort-Dieb zum KI-Token-Jäger
Infostealer gibt es seit weit über einem Jahrzehnt. Früh konzentrierten sich Familien wie Zeus oder SpyEye auf Online-Banking-Zugänge, später übernahmen Stealer wie RedLine oder Raccoon den Markt mit einem breiteren Fokus auf Browser-Passwörter, Kreditkartendaten und Krypto-Wallets. Der nächste große Sprung kam mit der Verbreitung von Cloud-Diensten: Angreifer erkannten, dass ein gestohlenes AWS- oder Azure-Token oft wertvoller ist als hundert einzelne Zugangsdaten, weil es ganze Infrastrukturen öffnet.
Mit dem Durchbruch von KI-Coding-Assistenten ab 2023 und ihrer massenhaften Verbreitung in den Jahren 2025 und 2026 entstand eine dritte Welle von Zielobjekten. Entwickler speichern Zugangsdaten für Claude, Codex oder Copilot oft genauso sorglos lokal ab wie früher ihre Browser-Passwörter, nur dass diese Token heute direkten Zugriff auf Quellcode, Build-Pipelines und teils produktive Cloud-Umgebungen gewähren. Aoki ist damit kein isolierter Einzelfall, sondern der bisher deutlichste Beleg dafür, dass klassische Infostealer-Malware ihre Zielsetlisten konsequent an die Werkzeuge anpasst, die Entwickler tatsächlich täglich nutzen. Vor zehn Jahren wäre ein Eintrag wie .claude.json in einer Malware-Analyse schlicht undenkbar gewesen, weil es das Produkt noch gar nicht gab.
Konkurrenzvergleich: Unterschiedliche Angriffsflächen bei Claude, Copilot und Cursor
Nicht jedes KI-Coding-Tool speichert seine Zugangsdaten auf die gleiche Art, und das hat direkte Folgen für das Risiko im Aoki-Szenario. OpenAIs Codex liegt mit config.toml und .env besonders offen, weil solche Dateien in der Entwicklerpraxis häufig weitere Klartext-Secrets wie Datenbank-Zugänge oder weitere API-Schlüssel enthalten. Wer eine .env-Datei kompromittiert, bekommt oft mehr als nur ein KI-Token.
Cursor nimmt eine andere Zwischenstellung ein. Die lokale Zustandsdatenbank, auf die Aoki zugreift, speichert nicht nur Authentifizierungsdaten, sondern laut den Berichten auch zwischengespeicherten Code und Chatverläufe. Ein Angreifer bekommt damit potenziell Einblick in internen Quellcode, selbst wenn kein einziges Repository direkt angegriffen wird.
Bei GitHub Copilot, Google Gemini, JetBrains AI Assistant und Kiro beschränken sich die bisherigen Berichte auf den Begriff Token, ohne Dateinamen oder Speicherort zu nennen. Das kann bedeuten, dass diese Anbieter ihre Zugangsdaten in weniger offensichtlichen Formaten ablegen, es kann aber auch schlicht heißen, dass die Analyse an dieser Stelle noch nicht so detailliert veröffentlicht wurde wie bei Claude und Codex. Unternehmen sollten sich auf diese Unsicherheit nicht verlassen und vorsorglich alle acht betroffenen Tools gleich behandeln.
Welche Dateien und Token Angreifer ins Visier nehmen
Für Sicherheitsteams, die ihre eigene Umgebung prüfen wollen, lohnt sich ein Blick auf die konkret genannten Zielobjekte. Die folgende Liste fasst zusammen, wonach aktuelle Aoki-Samples laut den verfügbaren Berichten suchen.
Von Aoki als Ziel genannte Artefakte (Oktober 2026):
Claude -> .claude.json, Claude-Desktop-Cookies
ChatGPT -> Browser-Cookies
Codex -> config.toml, .env
Cursor -> Token, lokale Zustandsdatenbank
GitHub Copilot-> gespeicherte Token
Google Gemini -> gespeicherte Token
JetBrains AI -> gespeicherte Token
Kiro (AWS) -> gespeicherte Token
AWS-Cloud -> Cloud-Zugangsdaten
Zusatz -> Discord-Token, Telegram-Sitzungen,
Outlook-Passwörter, Browser-Autofill,
Krypto-Wallets, VPN-ZugangsdatenWer eine dieser Dateien oder Token auf einem möglicherweise infizierten Rechner findet, sollte nicht nur die Malware entfernen, sondern jedes betroffene Konto als kompromittiert behandeln. Ein reines Antivirus-Scan-und-Fertig-Vorgehen reicht hier nicht aus.
Was Sicherheitsforscher jetzt empfehlen
Aus den technischen Befunden lassen sich klare Schutzmaßnahmen ableiten, auch wenn kein Anbieter bislang eine offizielle gemeinsame Checkliste veröffentlicht hat. Folgende Schritte gelten als sinnvolle Reaktion auf eine mögliche Aoki-Infektion.
- Alle API-Schlüssel, OAuth-Token, Sitzungstoken und AWS-Zugangsdaten auf potenziell infizierten Systemen rotieren und widerrufen
- Aktive Sitzungen abmelden und Refresh-Token invalidieren, wo der Anbieter das unterstützt
- Dateien wie .claude.json, config.toml, .env, Browser-Cookies und die Cursor-Zustandsdatenbank gezielt prüfen
- Langlebige Secrets aus .env-Dateien und lokalen Konfigurationen entfernen, wo möglich
- Kurzlebige Zugangsdaten, Least-Privilege-Prinzipien, Mehr-Faktor-Authentifizierung und zentrales Secret-Management durchsetzen
- GitHub-, Cloud-, CI/CD- und KI-Anbieter-Logs auf ungewöhnliche Sitzungen, Token-Nutzung und Kontingentverbrauch prüfen
- AWS CloudTrail und vergleichbare Cloud-Audit-Logs auf anomale API-Aufrufe überwachen
- Einen Verdachtsfall als Zugangsdaten-Kompromittierung behandeln, nicht nur als Malware-Bereinigung
- Kompromittierte Entwickler-Workstations nach forensischer Sicherung aus vertrauenswürdigen Images neu aufsetzen
- Ausgehenden Datenverkehr einschränken und auf Aoki-typische C2-Indikatoren wie das /gate-Muster achten
Marktauswirkungen: Vertrauen in KI-Coding-Tools unter Druck
Belastbare Zahlen zu finanziellen Schäden, gestiegenen Versicherungsprämien oder konkreten Sicherheitsbudget-Erhöhungen liegen zum jetzigen Zeitpunkt nicht vor. Das ist selbst eine relevante Information: Die Branche reagiert auf Aoki, bevor überhaupt klar ist, wie groß der tatsächliche Schaden ausfällt. Genau das unterscheidet reine Panikmeldungen von ernstzunehmender Sicherheitsberichterstattung, und genau deshalb lohnt sich ein nüchterner Blick auf die strukturellen Risiken statt auf große Schlagzeilen.
Strukturell bleibt das Risiko groß, weil ein einziges gestohlenes Entwickler-Token mehrere vertrauenswürdige Bereiche gleichzeitig öffnen kann: KI-Dienste, Quellcode-Repositories, Cloud-Konten, CI/CD-Pipelines und teilweise auch private Kommunikationskanäle. Aokis eigentliche Bedeutung liegt deshalb weniger in einer bewiesenen Kampagnengröße als in der Konzentration mehrerer hochwertiger Entwicklerzugänge in lokalen Dateien und Anwendungszuständen, die bislang kaum gezielt gehärtet wurden.
Für Unternehmen in Österreich, die KI-Coding-Assistenten in ihre Entwicklungsprozesse integriert haben, verschärft sich damit eine ohnehin bestehende Aufgabe. Das österreichische NIS2-Umsetzungsgesetz verpflichtet betroffene Firmen bereits zu Mindestsicherheitsmaßnahmen und Meldefristen bei Sicherheitsvorfällen. Ein Infostealer, der gezielt Entwicklerzugänge abgreift, fällt klar in diesen Zuständigkeitsbereich, selbst wenn noch keine konkrete österreichische Betroffenheit öffentlich bekannt ist.
Einordnung: Aoki und die neue Ära der KI-Agenten-Arbeitsplätze
Der Zeitpunkt des Fundes ist kein Zufall. Die gesamte Branche der KI-Coding-Tools befindet sich mitten im Umbau vom klassischen Editor zum agentischen Arbeitsplatz. Mehrere Coding-Agenten laufen inzwischen parallel über verschiedene Repositories, Branches und Umgebungen, oft über mehrere Werkzeuge hinweg gleichzeitig. Die GitHub-Copilot-App wurde im Juni 2026 allgemein verfügbar und unterstützt parallele Sitzungen über mehrere Repositories, Cursor erhielt bereits im April 2026 ein eigenes Agents-Fenster für mehrere gleichzeitig laufende Agenten.
Diese Entwicklung erhöht automatisch den Wert jedes einzelnen Zugangstokens, weil ein Token nicht mehr nur eine einzelne Chat-Sitzung freischaltet, sondern potenziell mehrere laufende Agenten mit Zugriff auf unterschiedliche Projekte. Anthropic brachte mit Claude Opus 5.5, Sonnet 5.5 und am 7. Oktober 2026 veröffentlichtem Haiku 5.5 eine neue Modellgeneration, die inzwischen in GitHub Copilot allgemein verfügbar ist und schrittweise auf VS Code, Visual Studio, JetBrains-IDEs, Xcode, Eclipse und mobile Copilot-Apps ausgeweitet wird. Jede neue Integration vergrößert die Zahl der Orte, an denen ein einzelnes Token gültig ist, und damit auch die Zahl der Orte, an denen ein gestohlenes Token Schaden anrichten kann.
Prognosen: Wie sich die Bedrohungslage weiterentwickelt
Auf Basis der aktuellen Entwicklung lassen sich mehrere Trends für die kommenden Monate einschätzen, auch wenn es sich dabei um redaktionelle Einordnungen und keine gesicherten Fakten handelt.
- Weitere Infostealer-Familien dürften ihre Zielsetzliste um KI-Coding-Assistenten erweitern, sobald sich zeigt, wie lukrativ gestohlene KI-Token sind
- Anbieter wie Anthropic, OpenAI und GitHub werden den Druck verspüren, kurzlebige Token und verschlüsselte lokale Speicherung schneller auszurollen
- Unternehmen mit vielen KI-gestützten Entwicklern werden Zero-Trust-Prinzipien und zentrales Secret-Management stärker auf Entwickler-Workstations statt nur auf Server ausweiten
- Sicherheitsforscher werden weitere Varianten von Aoki und vergleichbaren Infostealern mit erweiterten KI-Tool-Zielsets veröffentlichen
- Regulierungsbehörden in der EU, einschließlich Österreichs NIS2-Aufsicht, werden Vorfälle rund um KI-Entwicklerwerkzeuge stärker in ihre Meldepflichten einbeziehen
Keine dieser Einschätzungen ersetzt eine konkrete Reaktion. Wer heute Claude, Cursor, Copilot, Gemini, JetBrains AI Assistant, Kiro, Codeium oder Codex einsetzt, sollte die oben genannten Schutzmaßnahmen unabhängig davon umsetzen, wie sich die Bedrohungslage in den nächsten Wochen entwickelt.
Häufig gestellte Fragen zum Aoki-Infostealer
Was ist der Aoki-Infostealer genau?
Aoki, auch Aokigahara oder Infostealer.Aoki genannt, ist eine Windows-Schadsoftware, die Zugangsdaten, Token, Sitzungsdateien und Cookies von infizierten Systemen sammelt und an eine Command-and-Control-Infrastruktur sendet. Neue Varianten vom Oktober 2026 erweitern das Zielset gezielt um KI-Coding-Assistenten.
Welche KI-Coding-Tools sind von Aoki betroffen?
Laut Symantecs Analyse zielt Aoki auf Claude und Claude Desktop, ChatGPT, OpenAIs Codex, Cursor, GitHub Copilot, Google Gemini, JetBrains AI Assistant, Kiro und Codeium sowie auf allgemeine AWS-Cloud-Zugangsdaten.
Wie gelangt Aoki auf einen Rechner?
Der konkrete Infektionsweg der aktuellen Kampagne ist in den bisher verfügbaren Berichten nicht belegt. Frühere Aoki-Varianten verbreiteten sich über klassische Infostealer-Kanäle, eine bestätigte Zuordnung für die Oktober-2026-Variante liegt öffentlich noch nicht vor.
Wie viele Entwickler oder Unternehmen sind betroffen?
Eine belastbare Zahl zu infizierten Systemen, betroffenen Organisationen oder gestohlenen Zugangsdaten gibt es bislang nicht. Die veröffentlichten Berichte beschreiben die Fähigkeiten der Malware, nicht das Ausmaß einer bestätigten Kampagne.
Was sollte ich tun, wenn ich einen Aoki-Befall vermute?
Alle Token und API-Schlüssel der genannten KI-Tools sowie AWS-Zugangsdaten sofort rotieren, aktive Sitzungen abmelden, betroffene Dateien wie .claude.json, config.toml und .env prüfen und den betroffenen Rechner nach forensischer Sicherung aus einem vertrauenswürdigen Image neu aufsetzen.
Unterscheidet sich Aoki von Angriffen wie Shai-Hulud oder GitSpawn?
Ja. Shai-Hulud war ein sich selbst verbreitender npm-Wurm, GitSpawn und Plugin4Shell nutzten Schwachstellen direkt in KI-Agenten. Aoki ist ein klassischer Infostealer, der nach einer bereits erfolgten Rechner-Kompromittierung lokal gespeicherte Zugangsdaten mehrerer KI-Tools gleichzeitig abgreift.
Welche Rolle spielt die Cursor-Zustandsdatenbank bei diesem Angriff?
Cursors lokale Zustandsdatenbank kann laut den Berichten nicht nur Zugangstoken, sondern auch zwischengespeicherten Code und Chatverläufe enthalten. Damit reicht der mögliche Schaden über gestohlene Zugangsdaten hinaus bis zu einem Einblick in internen Quellcode.
Gilt die NIS2-Meldepflicht in Österreich auch für solche Vorfälle?
Unternehmen, die unter das österreichische NIS2-Umsetzungsgesetz fallen, müssen Sicherheitsvorfälle mit erheblichen Auswirkungen fristgerecht melden. Ein Infostealer, der gezielt Entwicklerzugänge zu Code-Repositories und Cloud-Diensten abgreift, kann je nach Ausmaß in diesen Meldebereich fallen.