Künstliche Intelligenz (KI) verändert die Cyberbedrohungslage grundlegend und erhöht den Druck auf den Faktor Mensch. Welche neuen Herausforderungen für umfassenden Unternehmensschutz damit einhergehen.
Künstliche Intelligenz ist längst Motor für Innovations- und Effizienzsteigerungen. Gleichzeitig setzt die kriminelle KI-Nutzung Wirtschaft und Kritische Infrastrukturen (KRITIS) immer stärker unter Druck. So haben sich etwa laut aktuellem Bericht der Global Anti-Scam-Alliance (GASA) KI-gesteuerte Phishingangriffe im laufenden Jahr bereits um das 14-Fache erhöht. Rund 83 Prozent der Phishing-E-Mails werden mittlerweile von Kriminellen automatisiert mit KI erstellt. Schon diese Zahlen lassen erahnen, dass die Cybercrimeschäden, die allein hierzulande bereits über 200 Milliarden Euro betragen (Quelle: Bitkom), künftig weiter in die Höhe schnellen werden. Dabei rückt der Faktor Mensch als Angriffsziel immer weiter in den Fokus.
Welche Relevanz der Schutz von Unternehmen und KRITIS-Betreibern (Krankenhäuser, Energieversorger, Nahrungsmittelproduzenten et cetera) in Zeiten von Künstlicher Intelligenz hat, unterstrich jüngst auch die Sicherheitskonferenz State of Security, zu der Kötter Security und German Business Protection ins Allianz-Forum nach Berlin eingeladen hatten. Rund 170 Experten von Unternehmen und KRITIS-Betreibern sowie aus Politik, Wissenschaft und der Sicherheitsbranche diskutierten über die großen Herausforderungen und schlagkräftige Antworten. Friedrich P. Kötter, Verwaltungsrat der Kötter Security Gruppe, betonte dabei unter anderem: "KI verändert Wirtschaft, Gesellschaft und Sicherheitsarchitekturen in rasanter Geschwindigkeit. Sie eröffnet enorme Chancen, zugleich entstehen neue Risiken, neue Abhängigkeiten und neue Verantwortlichkeiten. Wenn der Schutz unserer Unternehmen nicht schon länger eine strategische Führungsaufgabe war, ist er es spätestens jetzt im Zeitalter Künstlicher Intelligenz."
Dieser Weckruf ist auch deshalb vonnöten, weil viele gerade mittelständische Player in Wirtschaft und KRITIS-Sektor notwendige Schutzmaßnahmen immer noch zu stark vernachlässigen oder Investitionen schwerpunktmäßig auf Firewalls, Virenschutzprogramme et cetera konzentrieren. Dabei lassen sie außer Acht, wie sehr der Faktor Mensch schon immer Angriffsfläche war und im Kontext KI-forcierter Cyberkriminalität nun noch massiver in den Fokus von Angreifern rückt. So zeigen Untersuchungen, dass gestohlene Nutzerkonten inzwischen zu den häufigsten Einfallstoren für Cyberangriffe zählen. Laut IBM X-Force Threat Intelligence Index erfolgte bei rund 30 Prozent der analysierten Vorfälle der Erstzugriff über kompromittierte Identitäten. Gleichzeitig steigt die Zahl von Angriffen, bei denen Zugangsdaten über Phishingkampagnen, Schadsoftware oder Social Engineering erbeutet werden.
Mitarbeiter geraten stärker ins Visier
"Dies verdeutlicht einen radikalen Paradigmenwechsel: Cyberkriminelle haben ihre Strategien durch KI-Nutzung längst grundlegend verändert. Die neue Technologie ermöglicht es ihnen, Phishingkampagnen, Social-Engineering-Angriffe und digitale Täuschungsmanöver schneller, präziser und glaubwürdiger denn je umzusetzen", erläutert Dirk H. Bürhaus, Geschäftsführender Direktor in der Kötter-Security-Gruppe und zudem Geschäftsführer von Kötter Cyber Security. "Nicht allein technische Schwachstellen, sondern vielmehr auch individuelle Fehlentscheidungen, Unachtsamkeit oder gezielte Manipulation von einzelnen Mitarbeitern eröffnen kriminellen Akteuren den Weg in Unternehmensnetzwerke."
Beispielsweise ließen sich früher Phishingangriffe oft leicht erkennen: fehlerhafte Formulierungen, unpersönliche Anreden oder offensichtlich gefälschte Absender waren typische Warnsignale. Mit dem Einsatz generativer Künstlicher Intelligenz hat sich das grundlegend verändert. Cyberkriminelle können heute innerhalb weniger Sekunden tausende individuell formulierte Nachrichten erstellen, die sprachlich überzeugend wirken und gezielt auf einzelne Personen zugeschnitten sind. Die Grundlage dafür liefern öffentlich verfügbare Informationen aus sozialen Netzwerken, Unternehmenswebsites oder Businessplattformen. Aus beliebigen Mitarbeitern werden so präzise ausgewählte Angriffsziele.
Hyperpersonalisierung statt Massenangriff
Dies funktioniert wie folgt: Cyberkriminelle beschaffen sich heute häufig zunächst Informationen über Beschäftigte, bevor der eigentliche Angriff erfolgt. Über die genannten öffentlichen Quellen sammeln sie Informationen zu Funktionen, Verantwortlichkeiten, Kommunikationswegen und geschäftlichen Kontakten. Mithilfe von KI lassen sich diese Daten innerhalb kürzester Zeit analysieren und zu detaillierten Angriffsprofilen zusammenführen.
Je mehr Informationen über eine Person vorliegen, desto gezielter kann ein Angriff erfolgen:
- Der Einkaufsleiter erhält eine scheinbar authentische Nachricht eines langjährigen Lieferanten mit geänderter Bankverbindung.
- Die Personalabteilung bekommt eine professionell gestaltete Bewerbung mit schädlichem Anhang.
- Ein Objektleiter wird vermeintlich von einem Kunden um die Bereitstellung vertraulicher Unterlagen gebeten.
- Die Buchhaltung erhält eine dringende Zahlungsfreigabe im Namen der Geschäftsführung.
Die Angriffe wirken glaubwürdig, weil sie sich an realen Geschäftsbeziehungen, Zuständigkeiten und Kommunikationsmustern orientieren. Sicherheitsexperten sprechen in diesem Zusammenhang von Hyperpersonalisierung. Dadurch sinkt die Wahrscheinlichkeit, dass Beschäftigte einen Betrugsversuch rechtzeitig erkennen. Phishing und Social Engineering erreichen so eine neue Qualität und eine deutlich höhere Erfolgsquote.
Deepfakes: Die Stimme des Chefs als Risiko
Noch gefährlicher wird die Entwicklung durch KI-generierte Audio- und Videofälschungen. Bereits wenige öffentlich verfügbare Sprachaufnahmen reichen heute aus, um Stimmen nahezu perfekt zu imitieren. Cyberkriminelle können dadurch Anrufe von Geschäftsführern, Kunden oder Kollegen simulieren und Mitarbeiter zu Überweisungen, Passwortfreigaben oder Datenweitergaben bewegen.
Studien zeigen, wie überzeugend KI-generierte Stimmen inzwischen wirken. Eine aktuelle Untersuchung der University of California, Berkeley kommt zu dem Ergebnis, dass Menschen KI-generierte Stimmen nur eingeschränkt erkennen können. In den Tests wurden künstlich erzeugte Stimmen häufig für echt gehalten und oftmals derselben Person wie die Originalstimme zugeordnet. Die Folge: Social Engineering beschränkt sich längst nicht mehr auf E-Mails. Angriffe erfolgen heute über Telefon, Videokonferenzen, Messengerdienste und hybride Kommunikationskanäle. Die Vertrauensbasis digitaler Kommunikation wird damit zunehmend angegriffen.
Shadow AI: Wenn KI-Nutzung neue Sicherheitslücken schafft
Neben externen Cyberangriffen entsteht für Unternehmen eine weitere Herausforderung: Immer mehr Mitarbeiter nutzen eigenständig KI-Anwendungen, um Texte zu erstellen, Informationen auszuwerten oder Arbeitsprozesse effizienter zu gestalten. Häufig geschieht dies jedoch außerhalb der etablierten IT- und Sicherheitsprozesse. Experten sprechen in diesem Zusammenhang von Shadow AI.
Die Risiken sind erheblich. Werden vertrauliche Kundendaten, interne Dokumente oder personenbezogene Informationen in frei verfügbare KI-Systeme eingegeben, können geschützte Daten die kontrollierte Unternehmensumgebung verlassen. Studien belegen, dass die Nutzung nicht freigegebener KI-Anwendungen zu den am schnellsten wachsenden Sicherheitsrisiken in Unternehmen zählt. Insbesondere die Eingabe vertraulicher Informationen in öffentliche KI-Systeme erhöht das Risiko von Datenabflüssen, Datenschutzverstößen und der unbeabsichtigten Offenlegung von Geschäftsgeheimnissen erheblich.
Dabei handelt es sich in den meisten Fällen nicht um vorsätzliches Fehlverhalten. Vielmehr nutzen Beschäftigte KI-Werkzeuge, um ihre Aufgaben schneller und effizienter zu erledigen. Gerade deshalb benötigen Unternehmen klare Richtlinien, technische Schutzmechanismen und gezielte Sensibilisierungsmaßnahmen, um die Vorteile von KI sicher nutzen zu können.
Die wirksamste Verteidigung bleibt der Mensch
"Die gute Nachricht lautet aber: Dieselben Mitarbeiter, die von Cyberkriminellen als potenzielle Schwachstelle betrachtet werden, können zugleich die stärkste Verteidigungslinie eines Unternehmens sein. Voraussetzung ist jedoch eine Sicherheitsstrategie, die den Faktor Mensch gezielt einbezieht“, sagt Dirk H. Bürhaus. "Besonders im Bereich Phishing, Social Engineering und Deepfakeangriffe müssen Unternehmen ihre Schutzmaßnahmen deutlich ausbauen. Denn die meisten erfolgreichen Angriffe beginnen heute nicht mit einer technischen Schwachstelle, sondern mit einer Manipulation von Beschäftigten."
Zu den wirksamsten Maßnahmen gehören:
- Regelmäßige Awarenessschulungen. Beschäftigte sollten kontinuierlich über aktuelle Angriffsmethoden informiert werden. Dabei müssen insbesondere KI-generierte Phishing-E-Mails, gefälschte Bewerbungen, Deepfakeanrufe und Social-Engineering-Angriffe thematisiert sowie Sicherheits- und Verhaltensmaßnahmen trainiert werden.
- Verpflichtende Verifizierungsprozesse. Zahlungsanweisungen, Änderungen von Bankverbindungen oder die Herausgabe sensibler Daten dürfen niemals ausschließlich auf Basis einer E-Mail, eines Telefonats oder einer Videobotschaft erfolgen.
- Vier-Augen-Prinzip bei sensiblen Entscheidungen. Insbesondere bei Überweisungen, Vertragsänderungen, Systemfreigaben oder dem Zugriff auf vertrauliche Informationen sollte stets eine zusätzliche Freigabe erforderlich sein.
- Klare Regeln für KI-Nutzung und Shadow AI. Unternehmen benötigen verbindliche Richtlinien, welche KI-Anwendungen genutzt und welche Daten keinesfalls in externe Systeme eingegeben werden dürfen.
- Technische Schutzmaßnahmen gegen Identitätsmissbrauch. Dazu gehören unter anderem Multi-Faktor-Authentifizierung (MFA), moderne E-Mail-Sicherheitslösungen sowie Systeme zur Erkennung ungewöhnlicher Benutzeraktivitäten.
- Meldewege und Sicherheitskultur etablieren. Mitarbeiter müssen verdächtige Vorfälle unkompliziert melden können. Entscheidend ist eine offene Sicherheitskultur, die Aufmerksamkeit fördert, statt Fehler zu sanktionieren.
Ganzheitlicher Schutz gegen moderne Cyberbedrohungen
Weil sich Cyberrisiken also heute nicht mehr als reine IT-Herausforderung betrachten und beantworten lassen, erfordert dies ein tiefgehendes Umdenken in der Unternehmenssicherheit – hin zu 360-Grad-Sicherheitslösungen. "Unternehmen und KRITIS-Betreiber sind gefordert, Cyber-Security, organisatorische Schutzmaßnahmen, physische und technische Sicherheit sowie vor allem fortlaufende Mitarbeitersensibilisierung und -schulung eng miteinander zu verzahnen", unterstreicht Dirk H. Bürhaus. Dazu gehören unter anderem kontinuierliche Risiko- und Schwachstellenanalysen, Security Operations Center (SOC) mit permanentem Monitoring, Awareness- und Schulungsprogramme für Mitarbeiter sowie Notfall- und Krisenmanagementprozesse. Ebenso wichtig sind der Schutz sensibler Unternehmens- und Kundendaten sowie Sicherheitsmaßnahmen, die entlang der gesamten Wertschöpfungskette greifen. Denn gleichzeitig gilt ebenso: "Die entscheidende Frage lautet heute nicht mehr, ob ein Angriff erfolgt, sondern wie früh er erkannt und wie wirksam er abgewehrt werden kann", erläutert Dirk H. Bürhaus.
Damit einhergehend verändert sich auch die Rolle der Sicherheitsdienstleister grundlegend. "Auftraggeber brauchen und fordern heute Sicherheitsunternehmen, die sich nicht mehr als reiner Dienstleister definieren, sondern sich als strategischer Partner für ganzheitliche Unternehmenssicherheit positionieren", sagt Dirk H. Bürhaus. "Dies beinhaltet, dem jeweiligen Kunden passende Bausteine für sämtliche Sicherheitsteilbereiche zu bieten und diese zu einer schlagkräftigen All-inclusive-Sicherheitslösung zusammenzufügen." Eine riesige Aufgabe bereits mit Blick auf das eigene Dienstleistungsportfolio. Weitere Herausforderungen bestehen zum Beispiel in der fortlaufenden Aus- und Weiterbildung der eigenen Beschäftigten sowie insbesondere auch hinsichtlich des Risk- und Business-Continuity-Managements (BCM), „bei dem wir an uns selbst natürlich höchste Anforderungen stellen“..
Quelle: Kötter Services | markus.targiel@holzmann-medien.de
