ChatGPT Astra hackt: NISG 2026 wird zur Pflicht

OpenAI hat ein neues Modell veröffentlicht: ChatGPT Astra. Und zum ersten Mal warnt die Firma selbst, wie gefährlich ihr eigenes Werkzeug sein kann. Astra findet laut OpenAI unbekannte Sicherheitslücken in gut geschützten Systemen, ganz von selbst, ohne dass jemand mitdenken muss. Was heißt das für einen Betrieb in Österreich?

Einiges, und zwar unabhängig von Astra: Ab 1. Oktober gilt in Österreich das NISG 2026, ein neues Gesetz für Cybersicherheit. Rund 4.000 Betriebe sind betroffen, quer durch 18 Branchen. Wer schon vorher einen Plan für den Ernstfall hat, muss sich um Astra deutlich weniger sorgen als jene, die erst am 1. Oktober zu überlegen beginnen.

Astra findet Lücken, die noch niemand kennt

Astra schneidet bei OpenAIs eigenem Testverfahren für Angriffscode mit 100 Prozent ab. Das heißt: Aus einer bekannten Schwachstelle baut das Modell zuverlässig einen funktionierenden Angriff. Eine Sicherheitslücke, die noch niemand kennt, nennt man einen Zero-Day. Genau solche kann Astra laut OpenAI auch selbst aufspüren.

Deshalb hat OpenAI die eigene Sicherung verschärft, etwa mit strengerer Überwachung im eigenen Haus. Wer mit einem normalen Zugang fragt, wie man eine Sicherheitslücke ausnutzt, bekommt von Astra eine Absage. Nur geprüfte Sicherheitsfirmen sollen später über ein eigenes Programm namens Daybreak mehr Möglichkeiten bekommen.

4.000 Betriebe müssen ab 1. Oktober handeln

Das NISG 2026 ist Österreichs Umsetzung einer EU-Regel für mehr Cybersicherheit. Es gilt ab 1. Oktober 2026 für Betriebe ab mittlerer Größe, von der Energiewirtschaft bis zur Lebensmittelproduktion. Wer zu den „wesentlichen Einrichtungen" zählt, muss sich bis 31. Dezember 2026 anmelden.

Wer das verschleppt oder sich gar nicht absichert, riskiert eine Strafe von bis zu 10 Millionen Euro oder 2 Prozent vom weltweiten Jahresumsatz. Wird ein Betrieb tatsächlich angegriffen, meldet er sich bei CERT.at, so wie das heute schon üblich ist.

Der Chef haftet nicht automatisch mit

Im Internet kursiert die Behauptung, Geschäftsführer würden ab jetzt persönlich mit Bußgeld haften. Das stimmt so nicht. Die Wirtschaftskammer schreibt klar: Für Geschäftsführung oder Vorstand gibt es im NISG 2026 keine eigene Geldstrafe. Nur wenn jemand grob nachlässig war und dadurch ein Schaden entstanden ist, kann er zivilrechtlich dafür geradestehen, das ist aber etwas anderes als ein Bußgeld gegen den Betrieb.

Wer schon jetzt Zugriffsrechte aufräumt, Backups testet und weiß, wen er im Ernstfall anruft, hat die eigentliche Arbeit gemacht, ganz egal wie stark das nächste KI-Modell wird.