Johnsons Vorgeschichte ist ungewöhnlich: 39 Anklagepunkte, zu denen er sich schuldig bekannte, ein Platz auf der Most-Wanted-Liste der USA und ein Gefängnisausbruch. Shadow Crew schaffte es im August 2004 auf das Titelblatt von Forbes; am 26. Oktober 2004 nahm der Secret Service 33 Personen in sechs Ländern innerhalb von sechs Stunden fest. Johnson war der einzige öffentlich genannte Flüchtige, wurde rund vier Monate später aufgegriffen, arbeitete anschließend für den Secret Service – und beging weitere zehn Monate lang Straftaten aus deren Büros heraus. Danach folgten eine Serie von Delikten mit 600.000 Dollar Beute in vier Monaten, erneute Verhaftung, Ausbruch und Haft. Als Menschen, die seine Wende ermöglichten, nennt er seine Ex-Frau Michelle, den FBI-Agenten Keith Mularski (in kriminellen Kreisen als “Master Splinter” unterwegs) und Karisse Hendrick, Redakteurin der Card-Not-Present-Gruppe.
In der Demonstration mit Illumio ging es Johnson nicht darum, dass KI einen Angriff selbst startet. Entscheidend sei die Zeitkompression: Früher musste er Unternehmen recherchieren, Ziele auswählen und die “Kronjuwelen” identifizieren – auch noch nach dem Eindringen in die Umgebung. KI übernehme diese Arbeit. “Alles, was ich noch tun muss, ist, Zugang zu erlangen und an die Arbeit zu gehen”, so seine Beschreibung. Der Verteidiger dagegen sehe den Eindringling und müsse erst überlegen, was zu tun ist.
Dass KI auch der Abwehr helfen kann, bestreitet Johnson nicht. Er verweist darauf, dass 90 Prozent aller Angriffe einen bekannten Exploit nutzen, über 41 Prozent aller Router das Standardpasswort behalten und die meisten Sicherheitsvorfälle mit Phishing beginnen. Diese Bedrohungslandschaft lasse sich mit KI abscannen und schließen. Sein Vorwurf lautet Untätigkeit: Ein veröffentlichtes Update sei praktisch eine Ansage an jeden Angreifer, an welche Tür er klopfen muss – wer das Problem kenne und nichts tue, verliere.
Den Zulauf neuer Täter erklärt Johnson weniger mit KI als mit dem Milieu selbst: Auf Telegram oder im Dread-Forum werde Wissen geteilt, Tutorials seien käuflich, Mitglieder erklärten Neulingen Kreditkarten- oder synthetischen Betrug. Kriminelle kollaborierten dabei deutlich besser als die Verteidiger – ein Grund, warum Cybercrime heute die drittgrößte Ökonomie der Welt sei. Gleichzeitig verschiebe sich der Schwerpunkt von technisch anspruchsvollen Angriffen zum Social Engineering. KI wiederum bringe Einsteigern das Vorgehen bei, helfe ihnen, unentdeckt zu bleiben, und liefere Ziellisten. Frühere Hürden fielen weg: Eigene Ransomware zu bauen sei früher fast unmöglich gewesen, weil es kaum Programmierer in den Foren gab – Werkzeuge wie DeepSeek, Anthropic oder OpenAI programmierten inzwischen sehr gut.
Gefragt, was er selbst mit einem Werkzeug wie Mythos getan hätte, antwortet Johnson knapp: Zero-Day-Angriffe gegen Infrastruktur und Krankenhäuser suchen, alles lahmlegen und Geld erpressen. Werkzeuge, die das für jeden möglich machen, senkten die Gewinnmargen der etablierten Akteure – und drängten Angreifer zu lohnenden Zielen wie Krankenhäusern, Schulen und Stromnetzen. Abschreckung funktioniere nur über Konsequenzen: Manche Darknet-Marktplätze verbieten den Handel mit Waffen oder Fentanyl nicht aus Moral, sondern aus Angst vor lebenslanger Haft. Vor einigen Sommern hätten sich Ransomware-Gruppen für Angriffe auf Krankenhäuser entschuldigt, weil ihre Partner die Software dort eingesetzt hatten.
Für das Gesundheitswesen fordert Johnson sinnvolle Regulierung, da Firmware-Vorschriften Updates verzögerten. Sicherheitsschulungen hält er für weitgehend wirkungslos: HIPAA-Training bestehe aus einem halbstündigen Video und wirke rein rational, während Angreifer auf emotionale Reaktionen zielen.