Mittlerweile hat auch der größte Skeptiker erkannt: An künstlicher Intelligenz führt kein Weg mehr vorbei. Egal ob es um Chatbots im Kundenservice, Predictive Maintenance in der Industrie, Betrugserkennung im Finanzwesen, Kreditrisikobewerbung, Sprachassistenten oder Smart Home-Anwendungen geht: Die Liste an KI-Helfern ist schier endlos, und mit den um sich greifenden technologischen Fortschritten und der zunehmenden Verfügbarkeit von Daten, erschließen sich immer neue Anwendungsgebiete. Für die IT-Security gilt in diesem Zusammenhang, was auch andere Bereiche beschäftigt: KI ist Fluch und Segen zugleich. Sie hilft, Systeme sicherer zu machen, kommt aber auch vermehrt bei Cyber-Attacken zum Einsatz. Es wird Zeit, Abwehrtaktiken in den Fokus zu rücken, die neuen, KI-gestützten Angriffsmethoden Paroli bieten.

• Nach Angaben von Next Move Strategy Consulting wird der Markt für künstliche Intelligenz – wenig verwunderlich – in den kommenden zehn Jahren von starkem Wachstum geprägt sein: Der aktuelle Wert von fast 100 Milliarden US-Dollar soll sich bis 2030 auf fast zwei Billionen US-Dollar verzwanzigfachen.
• Laut LearnBonds wird der Umsatz mit KI-Software bis 2025 auf über 126 Milliarden US-Dollar steigen, verglichen mit 22,6 Milliarden US-Dollar im Jahr 2020. Jeder fünfte Mitarbeitende wird einige seiner Aufgaben an KI abgeben müssen.
• Eine Untersuchung von McKinsey hat darüber hinaus herausgefunden, dass KI-Technologien das Potenzial haben, die globale Wirtschaftsleistung bis 2030 um durchschnittlich 1,2 Prozent pro Jahr zu steigern.
• Laut ifo Institut nutzen aktuell 13,3 Prozent der Unternehmen in Deutschland KI, 9,2 Prozent planen den Einsatz. Weitere 36,7 Prozent der befragten Firmen diskutieren über mögliche Anwendungsszenarien.
• Zu den am häufigsten genutzten Anwendungsfällen für KI in Unternehmen gehören die Automatisierung von Geschäftsprozessen, die Analyse von Daten zur Entscheidungsfindung und die Verbesserung der Produktqualität und -leistung.
• Zugleich befürchtet so mancher aber auch die negativen Folgen der KI-Welle: Knapp zwei Drittel der Deutschen treibt etwa die Sorge um, dass durch den Einsatz von KI Arbeitsplätze verloren gehen könnten. Insgesamt 45 Prozent der Deutschen stehen dem Einsatz von Künstlicher Intelligenz laut YouGov skeptisch gegenüber.

Ein weiterer negativer Aspekt, der neben vielen positiven Errungenschaften, mit dem Einsatz von KI einhergehen kann, sind zunehmende und immer gefährlichere Cyber-Angriffe. Waren bislang oft ein hohes Maß an IT-Knowhow, viel Zeit und Aufwand vonnöten, um einen Angriff zu lancieren, können mithilfe von KI heute schon Laien mit wenigen Klick zum Hacker werden. Unternehmen und Behörden sind gefordert, sich dieser Entwicklung zu stellen.

Vorteile der KI für die Cyber-Security:

1. Verbesserte Bedrohungsanalysen
2. Optimierte Identifizierung von Angriffsvorläufern
3. Verbesserte Zugriffskontrolle und Passwort-Praktiken
4. Minimierung und Priorisierung von Risiken
5. Automatisierte Erkennung von Bedrohungen
6. Verbesserte Effizienz und Effektivität der Mitarbeitenden

Nachteile der KI für die Cyber-Security

1. Schwierigkeiten hinsichtlich Verlässlichkeit und Genauigkeit
2. Bedenken bei Datenschutz und -sicherheit
3. Mangelnde Transparenz
4. Verzerrung von Trainingsdaten und Algorithmen

Social Engineers setzen auf KI, um präzisere Phishing-Strategien und Deepfakes in die Wege zu leiten. Hacker vertrauen auf KI-gestützte Passwort-Schätzung und knacken CAPTCHA, um unbefugten Zugriff auf sensible Daten zu erhalten. Moderne Angreifer agieren heute so schnell und mit immer neuen Methoden, dass Unternehmen oft nur mit Mühe Kontrollen automatisieren und Sicherheits-Patches installieren können, um Schritt zu halten. Was Sie deshalb brauchen, ist ein Programm für das kontinuierliche Management von Bedrohungen, das die größten Threats aufdeckt und aktiv priorisiert. KI ist die Basis für zahlreiche neue Angriffsmethoden und Taktiken, die zudem immer automatisierter sind, sodass Hacker heute so breit und skaliert vorgehen wie nie zuvor.

Diese KI-generierten Angriffsmuster rücken in den Fokus:

• Phishing und Social Engineering: KI wird verwendet, um personalisierte und überzeugende Phishing-E-Mails zu erstellen. Diese können Mitarbeitende dazu verleiten, sensible Informationen preiszugeben oder bösartige Links zu öffnen.
• Adversarial Attacks: Kriminelle können KI verwenden, um speziell manipulierte Daten zu generieren, die dafür sorgen, dass KI-Systeme, wie etwa Bilderkennungs-Tools oder Sicherheitsmechanismen, fehlerhafte oder unerwartete Entscheidungen treffen.
• Automatisierte Angriffe: KI-gesteuerte Bots können automatisch Schwachstellen in Systemen erkennen, Exploits ausnutzen und Angriffe durchführen – ganz ohne menschliches Eingreifen.
• Erkennung von Sicherheitslücken: Mittels KI lassen sich große Datenmengen analysieren und potenzielle Sicherheitslücken in Systemen oder Netzwerken identifizieren, die dann für Angriffe ausgenutzt werden.
• Verschleierung von Malware: KI hilft Malware zu entwickeln, die schwer zu erkennen ist, weil sie ihre Eigenschaften an die Umgebung anpasst oder sich eigenständig verändert, um herkömmliche Sicherheitsmechanismen zu umgehen.

Das große Aber: Unternehmen können künstliche Intelligenz auch für ihre Zwecke nutzen und Hacker mit den eigenen Waffen schlage, denn KI kann auch der Verteidigung von Systemen und Daten dienen. Mithilfe innovativer KI-Tools lassen sich viele Angriffe frühzeitig erkennen und automatisch Gegenmaßnahmen ergreifen, um die Auswirkungen zu minimieren. Beispiele sind die bereits erwähnten verbesserten Zugriffskontrollen, Bedrohungsanalysen oder Priorisierung von Risiken.

Mit einer einzigen Lösung oder Firewall ist es nicht getan: Wer seine Systeme, Daten oder Mitarbeitenden wirklich nachhaltig vor KI-gestützten Angriffen schützen will, benötigt eine Kombination aus technischen Lösungen, Schulungen und proaktiven Sicherheitsstrategien. So muss einerseits die Belegschaft in speziellen Security Awareness-Trainings für die Risiken KI-gestützter Angriffe sensibilisiert werden. Mitarbeitende sollten in der Lage sein, verdächtige Aktivitäten zu erkennen und angemessen zu reagieren. Zudem müssen klare Sicherheitsrichtlinien und Verfahren für den Umgang mit KI-Technologien und potenziellen Angriffen implementiert werden. Dies umfasst Vorgaben für den Zugriff auf sensible Daten, die Nutzung von KI-Tools und den Umgang mit verdächtigen Aktivitäten. Hinzukommt eine kontinuierliche Überwachung und Analyse des Netzwerkverkehrs, der Systemaktivitäten und anderer Indikatoren auf potenzielle Angriffe, um verdächtige Aktivitäten frühzeitig zu erkennen und zu unterbinden.

Ein weiterer Aspekt sind technische Sicherheitsmaßnahmen: Hierzu gehören Tools zur Erkennung und Abwehr von Angriffen, einschließlich Intrusion Detection-Systeme (IDS), Intrusion Prevention-Systeme (IPS), Firewalls, Antivirus-Software und Endpoint-Sicherheitslösungen. Regelmäßige Aktualisierungen von Software und Betriebssystemen tragen dazu bei, Sicherheitslücken zu schließen und potenzielle Angriffspunkte zu minimieren. Auch Angriffssimulationen und Penetrationstests helfen, die Widerstandsfähigkeit des Unternehmens gegen KI-gestützte Angriffe zu testen und Schwachstellen zu identifizieren. Ein weiterer Teil der ganzheitlichen Sicherheitsstrategie ist zweifelsohne eine enge Kooperation und Absprache mit anderen Organisationen, Regierungsbehörden und Co. In Gesprächen und Meetings lassen sich Informationen über neue Bedrohungen und Angriffstechniken sowie Best Practices austauschen und von den Erfahrungen anderer lernen.

Geht es um die Abwehr von KI-generierten Cyber-Angriffen, fällt früher oder später der Begriff Continuous Threat Exposure Management (CTEM). Mithilfe eines derartigen Ansatzes wappnen sich Organisationen für sich ständig verändernde Sicherheitsbedrohungen und entwickeln schnelle und effiziente Reaktionsoptionen. CTEM unterstützt die kontinuierliche Überwachung und Bewertung von Bedrohungen und Sicherheitsrisiken. Ziel ist es, die Exposition einer Organisation gegenüber potenziellen Bedrohungen und Schwachstellen immer wieder neu zu bewerten, zu kontrollieren und einzudämmen. Im Gegensatz zu traditionellen Ansätzen zur Sicherheitsüberwachung, die oft auf reaktiven Maßnahmen basieren, konzentriert sich CTEM auf proaktive und kontinuierliche Überwachung, um potenzielle Bedrohungen frühzeitig zu erkennen und zu adressieren.

1. Setzen Sie auf 24/7-Überwachung. Zunächst einmal sollten Organisationen ihre Netzwerke, Systeme, Anwendungen und Daten, kontinuierlich überwachen, denn nur so können sie potenzielle Sicherheitsbedrohungen früh genug erkennen.
2. Bewerten und priorisieren Sie Risiken. Sicherheitsrisiken sollten basierend auf ihres Bedrohungspotentials, möglicher Auswirkungen und der Wahrscheinlichkeit eines Angriffs analysiert und eingeordnet werden, um Ressourcen effektiv einzusetzen und sich auf die wichtigsten Bedrohungen zu konzentrieren.
3. Automatisieren Sie Abläufe. Mithilfe innovativer Automatisierungslösungen und fortschrittlicher Analysetechniken wie maschinelles Lernen und künstliche Intelligenz lassen sich große Mengen von Sicherheitsdaten verarbeiten und ungewöhnliche, anomale Aktivitäten identifizieren.
4. Integrieren Sie Bedrohungsdaten. Indem Sie Daten aus verschiedenen Quellen, wie Sicherheitsinformationen und -ereignissen (SIEM), Bedrohungsintelligenz und Schwachstellenmanagement zusammenführen, erhalten Sie ein umfassendes Bild der Sicherheitslage.
5. Planen Sie kontinuierliche Anpassungen ein. Stete Anpassungen und Verbesserungen sind wichtig, um auf sich verändernde Bedrohungslandschaften und neue Sicherheitsrisiken zu reagieren – gerade hinsichtlich schnelllebiger KI, mit der es fast täglich neue Ansätze geben kann.

CTEM deckt all die zuvor genannten Punkte ab und hilft Organisationen, ihre Sicherheitspraktiken zu verbessern, die Reaktionszeiten auf Sicherheitsvorfälle zu verkürzen und das Risiko von Sicherheitsverletzungen und Datenverlusten zu minimieren.

KI wird künftig eine immer wichtigere Rolle in der Cyber-Sicherheit spielen. Sie hat das Potenzial, IT- und Sicherheitsexperten zu unterstützen, Innovationen voranzutreiben und die Informationssicherheit zu verbessern. Zugleich sind Organisationen aber gefordert, Cyber-Kriminellen, die KI für ihre Zwecke nutzen, in die Schranken zu weisen. Es sind die Entscheidungen von uns Menschen, die darüber bestimmen, ob KI als „good“ oder „bad guy“ agiert.

Social Engineering ist so alt wie die Menschheit – und funktioniert immer noch erschreckend gut: Ein solcher Angriff basiert darauf, Vertrauen zu erschleichen und das Opfer dazu zu bringen, Dinge zu tun, die es eigentlich nicht tun sollte: Zum Beispiel Passwörter oder andere sensible Informationen preiszugeben. Immer häufiger setzen Angreifer dabei auf sogenannte Deepfakes. Bei Deepfakes handelt es sich um manipulierte Videos, Bilder oder Audioaufnahmen, bei denen künstliche Intelligenz und maschinelles Lernen zum Einsatz kommen, um das Gesicht oder die Stimme einer Person in eine andere Szene zu integrieren. Mit dieser Technologie lassen sich täuschend echte, von realen Inhalten kaum zu unterscheidende Fälschungen erstellen. So stehen Angreifern nicht mehr nur manipulative E-Mails für Täuschungsmanöver zur Verfügung, sondern sie können beispielsweise ein Telefonat arrangieren, bei dem sich der Anrufer durch frei im Internet verfügbare KI-Technologie wie der Chef des anzugreifenden Unternehmens anhört.

Die dafür notwendige Technik, die auf komplexen Algorithmen des maschinellen Lernens basiert, hat sich in den letzten Jahren rasant weiterentwickelt. Dementsprechend tauchen immer mehr solch ausgeklügelter Deepfakes auf. Einige kommen bei Online-Betrug zum Einsatz, andere als „Fake News”. Vor allem Politiker gehören zu den Opfern, wie etwa Joao Doria, der Gouverneur des brasilianischen Bundesstaates São Paulo. 2018 tauchte ein Video auf, das ihn bei einer angeblichen Sexorgie zeigte. Erst später stellte sich heraus, dass es sich um eine Fälschung handelte. Denunziation ist eine Gefahr, gezielte Desinformation eine andere. Fake News sind schon heute vor Wahlen an der Tagesordnung, auch gefälschte Nachrichtenvideos tauchen immer häufiger auf und finden online schnell weiter Verbreitung. Schon heute ist es möglich, Politikern Worte in den Mund zu legen, die sie nie gesagt haben. Früher waren manipulierte Clips mit einem prüfenden Blick leicht zu erkennen. Inzwischen müssen selbst Experten mindestens zweimal hinschauen.

Deepfake-Technologie birgt eine Reihe von IT-Risiken für Unternehmen. Beim Deepfake-Phishing versuchen Cyber-Kriminelle beispielsweise, Opfer mit Hilfe von Deepfake-Inhalten dazu zu bringen, unberechtigte Zahlungen zu leisten oder sensible Informationen preiszugeben. Wie das funktioniert, zeigt ein aktueller Fall aus Hongkong: Nach Polizeiangaben überwies ein Finanzangestellter eines multinationalen Unternehmens 25 Millionen Dollar an Betrüger, die sich in einer Videokonferenz erfolgreich als Finanzchef des Unternehmens ausgaben. “In der Videokonferenz mit mehreren Personen stellte sich heraus, dass alle anwesenden Personen falsch waren”, so Hauptkommissar Baron Chan Shun-ching. Der Angestellte vermutete zwar zunächst, dass es sich bei der Einladung zu der Videokonferenz um eine Phishing-E-Mail handelte. Während des Videoanrufs legte der Mitarbeiter jedoch seine Zweifel beiseite, da die anderen Teilnehmer genauso aussahen und klangen wie seine Kollegen. Im Glauben, dass alle anderen Gesprächsteilnehmer echt seien, willigte der Arbeiter ein, insgesamt 200 Millionen Hongkong-Dollar zu überweisen – das entspricht rund 25,6 Millionen US-Dollar. Dies ist nur einer von vielen Fällen, in denen Betrüger mit Hilfe von Deepfakes öffentlich zugängliches Video- und anderes Filmmaterial manipulierten, um Unternehmen um ihr Geld zu bringen.

Wie gut Deepfake-Videos inzwischen aussehen, zeigt dieses Beispiel: https://www.youtube.com/watch?v=WFc6t-c892A

Solche Deepfake Phishing-Kampagnen treten effektiver und häufiger auf, je weiter die KI-Technologie voranschreitet. CISOs sind gut beraten, ihre Mitarbeitenden auf die Abwehr solcher Angriffe vorzubereiten. Eine Möglichkeit besteht darin, ihnen zu erklären, was Deepfake Phishing ist und wie es funktioniert. Im Wesentlichen gibt es zwei Arten von Deepfake Phishing-Angriffen:

• Echtzeit-Angriffe: Bei einem erfolgreichen Echtzeit-Angriff sind die gefälschten Audio- oder Videodaten so ausgeklügelt, dass das Opfer glaubt, die Person am Telefon oder in einer Videokonferenz sei diejenige, für die sie sich ausgibt, zum Beispiel ein Kollege oder ein Kunde. Bei diesen Interaktionen erzeugen die Angreifer oft ein starkes Gefühl der Dringlichkeit, indem sie den Opfern imaginäre Fristen, Strafen und andere Konsequenzen für Verzögerungen vorgaukeln, um sie unter Druck zu setzen und zu unüberlegten Reaktionen zu bewegen.
• Nicht-Echtzeit-Angriffe: Bei Nicht-Echtzeit-Angriffen geben sich Cyber-Kriminelle durch gefälschte Audio- oder Videobotschaften als eine andere Person aus, in deren Namen sie dann über asynchrone Kommunikationskanäle wie Chat, E-Mail, Voicemail oder soziale Medien gefälschte Anweisungen verbreiten. Diese Art der Kommunikation verringert den Druck auf die Kriminellen, in Echtzeit glaubwürdig zu reagieren. Gleichzeitig ermöglicht es ihnen, Deepfake-Clips vor der Verbreitung zu perfektionieren. Daher kann ein Angriff, der nicht in Echtzeit erfolgt, sehr ausgeklügelt sein und bei den Opfern weniger Verdacht erregen.

Im Vergleich zu textbasierten Phishing-Kampagnen haben per E-Mail verschickte Deepfake-Video- oder Audio-Clips zudem eine höhere Chance, Sicherheitsfilter zu passieren. Angriffe, die nicht in Echtzeit erfolgen, ermöglichen es Angreifern zudem, deren Reichweite zu erhöhen. Beispielsweise kann sich ein Angreifer als Finanzvorstand ausgeben und die gleiche Audio- oder Videonachricht an alle Mitarbeitenden der Finanzabteilung senden. Dadurch vergrößert sich die Wahrscheinlichkeit, dass jemand darauf hereinfällt und vertrauliche Informationen preisgibt. Bei beiden Angriffsarten liefern Spuren in sozialen Medien den Angreifern in der Regel genügend Informationen, um strategisch dann zuzuschlagen, wenn die Ziele am wahrscheinlichsten abgelenkt oder besonders empfänglich sind.

Die Erkennung von Deepfake-Phishing-Angriffen basiert auf vier Säulen:

• Phishing generell: Diesen Grundsatz muss jede Führungskraft und jeder Mitarbeitende verinnerlichen: Phishing basiert darauf, Opfer zu unüberlegten Entscheidungen zu verleiten. Deshalb sollte bei jeder Interaktion ein Gefühl der Dringlichkeit sofort Alarm auslösen. Wenn zum Beispiel eine Person – und sei es der CEO oder wichtige Kunden – um die sofortige Überweisung oder Produktlieferung verlangt, sollte jeder innehalten und prüfen, ob es sich um ein legitimes Anliegen handelt.
• Deepfake-Merkmale in Videos: Die Sicherheitsverantwortlichen im Unternehmen sollten die Mitarbeiterinnen und Mitarbeiter durch kontinuierliche Schulungen für bekannte und neue Angriffsmethoden sensibilisieren. Ein Vorteil dabei: Deepfake Phishing-Schulungen empfinden die meisten als besonders interessant, ansprechend und lehrreich. Schließlich bereitet es fast schon Vergnügen, sich Deepfake-Videos anzusehen und verdächtige visuelle Hinweise zu identifizieren. Typische Anzeichen dafür, dass es sich um ein Deepfake-Video handeln könnte, sind zum Beispiel unrealistisches Blinzeln, ungleichmäßige Beleuchtung sowie unnatürliche Gesichtsbewegungen. Weitere Hinweise auf eine Fälschung sind Flackern an den Rändern der verfremdeten Gesichter, Haare, Augen und anderen Gesichtspartien.
• Deepfake-Merkmale in Audiodateien: Bei Text-to-Speech-Systemen (TTS) treten häufig Aussprachefehler auf, insbesondere wenn das gesprochene Wort nicht der trainierten Sprache entspricht. Monotone Sprachausgabe wird durch unzureichende Trainingsdaten verursacht, während Fälschungsverfahren derzeit noch Schwierigkeiten aufweisen, bestimmte Merkmale wie Akzente korrekt zu imitieren. Unterschiedliche Eingabedaten können zu unnatürlichen Geräuschen führen, und die Notwendigkeit, den semantischen Inhalt vor der Synthese zu erfassen, kann die Erzeugung qualitativ hochwertiger Fälschungen zeitlich stark verzögern. Tipp: Für das Training der Erkennung manipulierter Audiodaten bietet sich das Angebot der Fraunhofer AISEC an.
• Bestätigung der Identität: Bei dringenden Anfragen sollten die Mitarbeitenden höflich darauf hinweisen, dass die Person aufgrund der Zunahme von Phishing-Angriffen ihre Identität im Rahmen einer Zwei-Faktor-Authentifizierung über separate Kanäle bestätigen muss. Alternativ sollte bei verdächtigen Interaktionen per Telefon oder E-Mail die andere Person Informationen preisgeben, die nur beiden Parteien bekannt sind. Ein typisches Beispiel wäre die Frage nach der Dauer der Betriebszugehörigkeit. Enge Mitarbeitende können sogar persönlichere Fragen stellen, etwa wie viele Kinder die andere Person hat oder wann sie das letzte Mal zusammen gegessen haben. Dies mag unangenehm sein, ist aber ein wirksamer und effizienter Mechanismus, um Betrüger zu entlarven.