Ein mutmaßlich russisch-staatsnaher Cyberakteur hat eine staatliche Technologiebehörde in Nordafrika gehackt und dabei mehr als 300.000 nationale Identitätsdatensätze sowie Handelsregisterdaten von über einer halben Million Unternehmen erbeutet. Anthropic veröffentlichte die Erkenntnisse am 10. September 2026. Das KI-Unternehmen nennt das angegriffene Land nicht, doch mehrere Merkmale der betroffenen Infrastruktur passen auffällig zu Tunesien und insbesondere zum staatlichen Centre National de l’Informatique, CNI. Eine Bestätigung, dass tatsächlich das CNI betroffen war, liegt bislang nicht vor.
Angreifer übernahm zentralen Zugangsdienst
Der Angriff begann nach Erkenntnissen von Anthropic mit gestohlenen Zugangsdaten zu einem VPN-System der Behörde. Über diesen Zugang gelang es dem Angreifer, den zentralen Account-Server der Organisation zu übernehmen.
Anschließend wurde die vollständige dort verfügbare Zugangsdatenbank kopiert. Anthropic beziffert die Beute auf mehr als 300.000 nationale Identitätsdatensätze. Zusätzlich seien Daten aus dem Handelsregister zu mehr als einer halben Million Unternehmen des betroffenen Landes abgeflossen.
Wie lange der Angreifer Zugriff auf die Systeme hatte und welche konkreten personenbezogenen Informationen in den Datensätzen enthalten waren, wird nicht angegeben. Auch die betroffene Behörde und das Land bleiben anonymisiert.
Anthropic sieht Verbindung zu russischer Cyberspionage
Anthropic führt den Angreifer unter der internen Bezeichnung GTG-20006. Die Zuordnung stimme mit öffentlichen Berichten überein, die den Akteur mit der als Midnight Blizzard bekannten russischen Cybergruppe in Verbindung bringen. Einer der beobachteten Betreiber verwendete den Namen „JackPoterz“, sprach Russisch und zeigte nach Einschätzung des Unternehmens ein Vorgehen und eine Zielauswahl, die mit russischer staatlich verbundener Spionage übereinstimmen.
Die nordafrikanische Behörde war nur eines von mehr als 20 beobachteten Zielen. Der Schwerpunkt der Operation lag auf ukrainischen und europäischen Regierungsstellen, Nachrichtendiensten, diplomatischen Einrichtungen sowie Unternehmen aus der Verteidigungsindustrie. Besonders häufig richteten sich die Aktivitäten gegen die Ukraine und gegen Hersteller sowie Zulieferer militärischer Drohnentechnik.
Der Akteur setzte Claude über weite Teile seiner Operation ein. Die KI unterstützte unter anderem bei der Erkundung fremder Systeme, dem Aufbau von Phishing-Infrastruktur, der Verarbeitung gestohlener Daten und der Anpassung von Schadsoftware. Wurde Malware von Sicherheitsprogrammen erkannt, ließ der Angreifer sie mithilfe automatisierter KI-Abläufe verändern und neu erstellen.
Warum die Spur nach Tunesien führt
Anthropics Beschreibung der angegriffenen Organisation als staatliche Technologiebehörde passt besonders gut auf das tunesische Centre National de l’Informatique. Das CNI ist eine zentrale öffentliche IT-Einrichtung mit Sitz in Tunis und betreibt große staatliche Informationssysteme sowie technische Infrastruktur der Verwaltung. Zu seinen Strukturen gehört eine eigene Direktion für nationale Großsysteme.
Auch die beim Angriff beschriebene zentrale Benutzerverwaltung weist in diese Richtung. Das CNI betreibt ein staatliches Intranet mit zentralen Verzeichnisdiensten. Zur Infrastruktur gehören ausdrücklich Identitätsverwaltung über LDAP, die Verwaltung von Zugriffsrechten und ein zentrales Single-Sign-on-System. Ein kompromittierter zentraler Account-Server, wie ihn Anthropic beschreibt, würde damit zu einer Kernfunktion dieser Infrastruktur passen.
Noch stärker ist die Verbindung bei den nationalen Identitätsdaten. Nach tunesischem Recht übernimmt das CNI die technischen und operativen Aufgaben beim Register der einheitlichen Bürgeridentifikationsnummer. Dieses Register enthält unter anderem Namen, Geburtsdaten, Geburtsorte, Staatsangehörigkeit, Wohnadresse und Angaben zum Personenstand. Artikel 26 der entsprechenden Regierungsverordnung überträgt dem CNI ausdrücklich die technischen und operativen Aufgaben bei der Verwaltung dieses Registers.
Daneben betreibt das CNI das nationale Personenstandssystem MADANIA. Dieses führt eine zentralisierte Datenbank für Geburts-, Heirats-, Scheidungs- und Sterbeurkunden und ermöglicht den elektronischen Austausch dieser Informationen zwischen staatlichen Stellen.
Auch die Größenordnung des Unternehmensregisters passt
Tunesien verfügt zudem über ein zentralisiertes nationales Unternehmensregister. Das Registre National des Entreprises weist derzeit rund 332.600 juristische und knapp 582.000 natürliche Personen aus. Die Gesamtzahl der registrierten wirtschaftlichen Akteure liegt damit deutlich über einer halben Million.
Diese Größenordnung ist mit der von Anthropic beschriebenen Datenmenge vereinbar. Sie beweist die Identität des betroffenen Landes jedoch nicht. Anthropic spricht von Handelsregisterdaten zu mehr als einer halben Million Unternehmen, ohne näher zu erläutern, welche Kategorien von Einträgen darunter fallen.
Auch zwischen dem CNI und dem tunesischen Unternehmensregister wird in den öffentlich verfügbaren Angaben keine Verbindung dokumentiert, die allein den Cyberangriff eindeutig zuordnen würde. Die Hinweise ergeben sich vielmehr aus der Kombination von staatlicher IT-Funktion, zentraler Identitätsverwaltung, Regierungs-Intranet und der Größenordnung nationaler Register.
Tunesien verschärfte Anfang September die Cybersicherheit
Hinzu kommt ein zeitlicher Zusammenhang, dessen Ursache allerdings offenbleibt. Die tunesische Nationale Cybersicherheitsagentur stufte die nationale Cyberwarnlage für August 2026 als „sehr hoch“ ein.
Am 2. September erließ die Regierung zudem neue Vorgaben zur Absicherung der digitalen Systeme öffentlicher Einrichtungen. Behörden sollen unter anderem Mehrfaktor-Authentifizierung einsetzen, gemeinsame Zugangskonten verhindern, Zugriffsrechte strenger begrenzen und Cybervorfälle unmittelbar an die Nationale Cybersicherheitsagentur melden. Die Vorschriften betreffen ausdrücklich staatliche Plattformen, Informationssysteme und besonders sensible Datenbanken.
Ob die verschärften Vorgaben oder die hohe Warnstufe mit dem von Anthropic dokumentierten Einbruch zusammenhängen, ist nicht bekannt. Weder das CNI noch die tunesischen Behörden haben den von Anthropic anonymisierten Angriff bislang öffentlich als eigenen Sicherheitsvorfall bestätigt.
