können vollautomatisch und in großen Mengen realistische Phising-Mails erzeugt werden, die zum Beispiel auf Stellenanzeigen Bezug nehmen und passend formuliert sind. Weiterhin kann man Mails mit audiovisueller Kommunikation kombinieren. Rein technisch sind solche multimodalen Angriffe bereits heute möglich. Der limitierende Faktor ist dabei die Verfügbarkeit der Trainingsdaten. Für die meisten Menschen ist (aktuell) ausreichendes Audio- und Video-Material kaum verfügbar. Ebenso werden Angreifer eine Abwägung zwischen Aufwand und Nutzen vornehmen. Man sollte sich aber der Bedrohung bewusst sein und geeignete Maßnahmen treffen, beispielsweise Signierung und Verschlüsselung von E-Mails. Um sich gegen die Bedrohungen durch KI-basierte Angriffe zu schützen, benötigt man resiliente Systeme und eine dem Stand der Technik entsprechende Sicherheitsarchitektur nach den Konzepten von Security by Design, Least Privilege, Separation und Verteidigung in der Tiefe, und Zero Trust. Man muss vor allem anerkennen, dass es zunehmend schwierig wird, die Kompromittierung von Systemen zu verhindern, und man stattdessen die Auswirkungen des Angriffs reduzieren muss. Beispielsweise kann man Mail- Client und Web-Browser virtualisieren und damit die Auswirkungen von Phishing stark reduzieren. Ebenso erforderlich ist eine Integration in bereits existierende Managementprozesse. Das KI-Risikomanagement sowie die Planung der Gegenmaßnahmen unterscheiden sich von einem herkömmlichen IT-Risikomanagement, da KI-Systeme und laufendes KI-Risikomanagement Fragen betrachten müssen wie „Was tut das System inhaltlich“? und nicht nur die Frage „Läuft das KI-System (sicher, zuverlässig und robust)?“. Die Anforderungen an die Beurteilungsfähigkeit nehmen zu. Weiterhin sind die immer komplexer werdenden rechtlichen Anforderungen bei der Entwicklung und dem Einsatz von KI-basierten Sicherheitssystemen zu beachten. KI ist ein weiteres, sehr mächtiges Werkzeug, darf aber niemals Selbstzweck sein. Die klassischen Ansätze der Cybersecurity, wie etwa Verschlüsselung, Zugriffskontrolle oder signaturbasierte Detektion von Angriffen, sind immer noch relevant. Sie werden durch KI-basierte Lösungen selten ersetzt, aber oft verbessert und erweitert. Dabei muss man die konkreten Tools betrachten. Vieles ist hilfreich, anderes ist nur Marketinghype. Der vollautomatische Schutz des Systems wird erst einmal nicht möglich sein. Unterstützung bieten die IHK Berlin und die ZAC. ■ Faszinierend und zugleich bedrohlich: KI ist die Basis für zukunftsweisende Technologien und die Grundlage für zerstörerische Angriffe rator und Diskriminator können sich beide gegenseitig trainieren und optimieren. Der Generator erzeugt immer bessere Bilder, der Diskriminator kann die Bilder immer besser unterscheiden. Das Konzept der GAN ist direkt auf Cybersecurity übertragbar, etwa durch Kopplung von Angriff, wie Erzeugung von Malware, und deren Detektion. Auch hier verbessern sich sowohl die Malware-Erzeugung als auch deren Detektion gegenseitig. So einfach das Konzept klingen mag, ist die praktische Implementierung von GAN in der Cybersecurity hochkomplex und erfordert große Ressourcen. Sie werden anscheinend derzeit noch nicht praktisch eingesetzt. Es ist aber davon auszugehen, dass staatliche Stellen sehr intensiv in diesem Bereich arbeiten. Jetzt, oder in naher Zukunft, geht von GAN bereits eine große Bedrohung aus, die Optimierung von Angriffen mit Humans in the Loop (HITL) oder Social Engineering, wie Phishing, Enkeltrick oder CEO Fraud. Cyberangriffe werden mehr und mehr mit Organisierter Kriminalität zusammenwachsen. Bisher übliche Verteidigungsstrategien, Awareness und eine gute Schulung der Mitarbeitenden, werden in Zukunft nicht mehr ausreichen, denn mit KI können die entsprechenden Angriffe optimiert werden. Durch generative KI Anna Borodenko, IHK-Fachkoordinatorin Digitalisierung und Cybersicherheit Tel.: 030 / 315 10-522 anna.borodenko@ berlin.ihk.de Beratung Bei Cyber-Attacken hilft die Zentrale Ansprechstelle Cybercrime (ZAC) für die Berliner Wirtschaft im LKA Berlin, Tel.: 030 / 466 49 72 972 zac@polizei.berlin.de Die Autoren Christian Köhler ist Geschäftsführer der NKMG mbH und Vorstandsvorsitzender des IT-Sicherheitsnetzwerks it’s.BB, Rudolf Schreiner ist Geschäftsführer der ObjectSecurity OSA GmbH. ILLUSTRATION: GETTY IMAGES/EUGENE MYMRIN; FOTO: FOTOSTUDIO CHARLOTTENBURG Cybersicherheit | 59 Berliner Wirtschaft 11 | 2024
RkJQdWJsaXNoZXIy MTk5NjE0NA==