Strategien in der Cybersecurity für KI-Anwendungen

Der Hype um die KI-Anwendung ChatGPT und die Möglichkeiten Künstlicher Intelligenz hat längst auch die Cybersecurity-Branche erfasst. Was vor wenigen Monaten noch als intelligente Spielerei mit textbasierten Fragen und Antworten anmutete, ist mittlerweile aus dem öffentlichen und unternehmerischen Leben nicht mehr wegzudenken. Laut dem Unternehmen Skyhigh Security nutzen bereits über eine Million User die Chatsoftware über die IT-Infrastruktur ihres Unternehmens. Die hieraus resultierenden Probleme für die IT-Sicherheit können vielfältig sein, angefangen von Preisgeben persönlicher Daten an die KI zur Formulierung einer passgenauen Antwort bis zur Nutzung der KI für kleine Scrips, die die Arbeit mit Programmen erleichtern sollen, aber nicht notwendigerweise im Sinne der Cybersecurity auch sicher sind. Zumal Sprachmodelle in ihrer „Ethik“ auch umgangen werden können, um kriminelle Vorhaben zu unterstützen. US-Wissenschaftler haben etwa ein Verfahren aufgezeigt, mit dem sich die ethischen Sicherheitsleitplanken verschiedener Large-Language-Modelle (LLM) außer Kraft setzen lassen. Dies macht es Kriminellen bei entsprechenden Kenntnissen noch leichter, KI-Sprachmodelle für ihre Zwecke zu nutzen, denn deren „Intelligenz“ basiert auf gigantischen Datenmengen, die je nach Anwendung, durch das Erlenen aus Fragen und Antworten, weiter anwachsen und zur Optimierung dienen.

Gerade im Phishing-Bereich sind KI-Tools wie Sprachmodelle ungemein nützlich, eine ohnehin bereits arbeitsteilige kriminelle Infrastruktur nochmals effizienter zu machen. Phishing-Texte lassen sich automatisiert erstellen und Daten aus Social-Media-Kanälen darin verknüpfen, um somit passgenaue Ansprachen zu generieren, auf die das vermeintliche Opfer reinfällt. Doch Unternehmen können hier aktiv gegensteuern, indem sie ebenfalls KI-Tools einsetzen, um genau solche E-Mails oder andere Texte zu erkennen und abzupassen, bevor sie den Adressaten erreichen. KI generierte Texte sind als solche durchaus zu erkennen – eben durch vergleichbare KI-Modelle, die darauf trainiert sind. Der Einsatz solcher Hilfsmittel bedarf allerdings entsprechendes Know-how, das in Zeiten des allgemeinen Fachkräftemangels ohnehin ein knappes Gut und aktuell im Bereich Cybersecurity von Behörden, Institutionen und Unternehmen gleichermaßen umkämpft ist.

Daraus folgt, dass vor allem Cybersecurity-Mitarbeiter kontinuierlich geschult und neue Entwicklungen in der IT-Sicherheit zügig vermittelt werden. „Re-Skilling“ von Mitarbeitern ist hier das Zauberwort. Gleichzeitig benötigt es staatliche Programme, die vor allem den Mittelstand hinsichtlich neuer IT-Risiken unterstützen. Ein solches war beispielsweise die Transferstelle IT-Sicherheit im Mittelstand (TISiM), die passgenaue Informationen zum Thema IT-Sicherheit für den Mittelstand zur Verfügung gestellt hat und seit Juli unter dem Namen „Transferstelle für Cybersicherheit im Mittelstand" fortgeführt wird. Denn gerade der Mittelstand ist für Cyberkriminelle attraktiv, da hier nach wie vor häufig noch nicht dieselben Cybersecurity-Maßnahmen etabliert sind wie bei großen Konzernen.

Hier gilt es weiterhin, Awareness für die Bedrohungen, aber auch für die Abwehrmöglichkeiten zu schaffen und gleichzeitig die „Scham“ im Falle eines erfolgreichen Cyberangriffs abzubauen, damit die Strafverfolgungsbehörden ermitteln können. Viele Betroffene aus dem Mittelstand melden auch kleinere Vorfälle nicht, aus Angst um Reputation und Imageverlust. Doch je mehr Vorfälle offiziell bekannt werden, desto besser wird das allgemeine Lagebild und desto effizienter lassen sich auch neue Trends bei Cyberbedrohungen erkennen. 

Es ist also notwendig, dass Unternehmen und öffentliche Einrichtungen gleich welcher Größe sich auf die neue „Realität“ zügig einstellen. Noch steckt diese in den Kinderschuhen und noch haben alle Beteiligten (Kriminelle wie Unternehmen und Behörden) annähernd die gleichen Ausgangschancen, die Technologie für ihre Zwecke zu nutzen und im Falle der letzten beiden, für ausreichende IT-Sicherheit und -Standards zu sorgen. Die Seite, die diese Entwicklung verschläft oder zu zögerlich ist, verliert auf lange Sicht das Wettrennen.

Isabelle Ewald, Managerin Information Security Awareness bei der BDO AG Wirtschaftsprüfungsgesellschaft. In ihrer Freizeit ist sie Co-Host des Cybercrime-Podcasts „Mind the Tech“.