Mobile-Menu

Kein Grund zur Panik Bewährte Methoden schützen vor KI-gestützten Angriffen

Ein Gastbeitrag von Christina Hirsch 5 min Lesedauer

Anbieter zum Thema

Swisscom AG
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Es ist schon lange kein Geheimnis mehr: KI-Technologien haben sich bereits einen Namen als praktische Helfer gemacht haben, und es steht außer Frage, dass sie auch verheerende Schäden anrichten können. Dies wissen auch Cyberkriminelle, die sie für gezielte Angriffe nutzen. Zum Glück verfügen Unternehmen bereits über Möglichkeiten, sich vor KI-gestützten Angriffen zu schützen.

Cyberkriminelle, die auf fortschrittliche Taktiken setzen, erscheinen besonders bedrohlich und einschüchternd. Warum trotzdem kein Grund zu übertriebener Sorge besteht, erklärt dieser Beitrag. (Bild: © Gorodenkoff - stock.adobe.com)
Cyberkriminelle, die auf fortschrittliche Taktiken setzen, erscheinen besonders bedrohlich und einschüchternd. Warum trotzdem kein Grund zu übertriebener Sorge besteht, erklärt dieser Beitrag.
(Bild: © Gorodenkoff - stock.adobe.com)

Glauben Sie, dass Sie ausreichend gewappnet sind, um KI-Inhalte zu erkennen? Diese Frage hat der NDR seiner Community im Rahmen einer nicht repräsentativen Erhebung gestellt. 81 Prozent der über 15.000 Teilnehmenden klickten auf „nein“. Angesichts der wachsenden Anzahl KI-gestützter Angriffe, vor denen sogar das FBI sowie die Mehrheit der IT-Führungskräfte (51 Prozent) warnen, ist das ein gefährlicher Status quo.

Das Gute: Unternehmen können sich vor allem bei den drei typischen KI-gestützten Angriffsvektoren noch immer auf bewährte Sicherheitsmaßnahmen verlassen. Auch wenn in vielen aktuellen Diskussionen rund um KI ihre Reglementierung zunehmend im Mittelpunkt steht wird die Ausarbeitung und Umsetzung noch viel Zeit brauchen. Glücklicherweise können wir heute schon handeln.

Phishing: Angriffe, die überzeugen

Ein royales Erbe, ein gewonnenes iPhone oder immense Steuerrückzahlungen: All diese virtuellen Betrugsmaschen hatten nicht nur ihre Kreativität gemein, sondern meist auch schlechte Grammatik und Rechtschreibung – Hinweise, anhand derer wir Phishing-Versuche erkennen konnten. Das lag vor allem daran, dass sich die Akteure hinter solchen Nachrichten zwischen Qualität und Quantität entscheiden mussten. So standen ihnen für Massen-E-Mails generische Textbausteine zur Verfügung. Für Spear-Phishing-Angriffe auf Personen, die zum Beispiel eine hohe Position in einem Unternehmen innehaben, investierten sie hingegen viel Zeit in Recherche, um der Kampagne mehr Glaubwürdigkeit zu verleihen.

Heute greifen Cyberkriminelle dafür unter anderem auf Large-Language-Modelle (LLMs) zurück. Diese erleichtern die fehlerfreie E-Mail-Erstellung erheblich – und das in fast jeder Sprache. Die Tonalität ist kaum mehr von vertrauenswürdigen Nachrichten zu unterscheiden. Daneben verfügt die Technologie über fortschrittliche Analysefähigkeiten, mit denen sie das Internet – insbesondere die sozialen Medien – effizient nach personenbezogenen Informationen für noch überzeugendere Angriffe durchforstet.

Was können Unternehmen gegen hochwertige Phishing-Angriffe tun?

Mitarbeiter, die nicht wissen, worauf sie achten müssen, können zu einer kritischen Schwachstelle werden. Umso wichtiger ist es, die Belegschaft für aktuelle Bedrohungen zu sensibilisieren und ihnen in Schulungen zu zeigen, wie sie Phishing-Versuche erkennen. Dazu gehört auch, dass sie auf den ersten Blick überzeugend verfasste E-Mails kritisch hinterfragen.

Zusätzlich gibt es verschiedene technische Lösungen, die Unternehmen im Kampf gegen die Phishing-Flut unterstützen. So erkennen KI-basierte Analyse-Tools Ungereimtheiten in der Kommunikation, die Mitarbeitern womöglich im Arbeitsalltag entgehen würden – wie ein Versand, der zeitlich nicht zur Arbeitszeit des vermeintlichen Absenders passt. Daneben eignen sich qualifizierte Signaturen (QES) und elektronische Siegel, die auf asymmetrischer Kryptografie aufbauen, als Maßnahme zur Erkennung von gefälschten Dokumenten. Anders als bei einem simplen Wasserzeichen, das eine KI einfach mitkopieren könnte, lässt sich mit einer QES die Authentizität einer Nachricht zweifelsfrei bestätigen.

Deepfakes: authentische künstliche Bilder und Stimmen

Fake-Profile sind unter Cyberkriminellen mittlerweile weitverbreitet. Doch mithilfe von KI erstellen sie noch realistischere Audio-, Video- und Bildinhalte, um Personen zu imitieren – sogenannte Deepfakes. Mit gefälschten Aufnahmen von Politikern manipulieren sie zum Beispiel die öffentliche Meinung, streuen Falschinformationen oder begehen Betrug. Bezeichnenderweise haben im Laufe der letzten Jahre Fälle Schlagzeilen gemacht, in denen sich Akteure mithilfe von Deepfake-Videos oder -Anrufen als Führungspersonen eines Unternehmens ausgegeben und betrügerische Transaktionen – wie 220.000 Euro im Jahr 2019 im Falle eines britischen Geschäftsführers der seinen vermeintlichen Chef der deutschen Muttergesellschaft am Telefon vermutete – in die Wege geleitet haben.

Was können Unternehmen gegen Deepfakes tun?

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Auch die Echtheit von audiovisuellen Inhalten lässt sich mithilfe elektronischer Signaturen und Siegel feststellen. Eine elektronische Signatur nutzt dazu den Hash einer Datei als eine Art Quersumme. Werden die Daten verändert, verliert auch die ursprüngliche Signatur ihre Gültigkeit. Für die erneute Erstellung einer gültigen Signatur ist der private Schlüssel notwendig, der nur den jeweils berechtigten legitimen Ausstellern vorliegt. Personen des öffentlichen Lebens – vom Influencer über Medienhäuser bis hin zu Politikern – können auf diese Weise ihren Content als authentisch kennzeichnen. Dies lässt sich in der Praxis allerdings nur mithilfe von bewährten Technologien wie speziell abgeschirmten Hardware-Sicherheitsmodulen sowie einem streng regulierten Markt gewährleisten. Trust Service Provider sind in der EU verpflichtet, höchste Sicherheitsstandards einzuhalten und sich regelmäßigen Audits zu unterziehen. Unternehmen, die qualifizierte elektronische Signaturen (QES) benötigen, können sich auf geprüfte Lösungen dieser Partner verlassen.

Zudem gibt es Mittel und Wege, der wachsenden Masse an Fake-Profilen im Internet entgegenzuwirken. Verknüpft man Accounts beispielsweise mit einer realen Identität, ließe sich einfacher feststellen, welche Inhalte menschengemacht sind. Zu sogenannten Trust Spaces haben User nur nach einer Identitätsauthentifizierung Zugang. Gerade in Zeiten, in denen zum Beispiel der Faktencheck auf Meta durch Nutzerbewertungen ersetzt wird, könnten solche Technologien dabei helfen, das Vertrauen in den sozialen Netzwerken wieder zu stärken.

Brute Force 2.0: Mit Machine Learning Passwörtern auf der Spur

Je einfacher Passwörter sind, desto schneller können Cyberkriminelle sie knacken. Rankings, die Sicherheitsunternehmen und Einrichtungen wie das Hasso-Plattner-Institut veröffentlichen, zeigen: User setzen auf Kennwörter, die sie sich leicht merken können, wie „123456“ oder „hallo“. Um diese zu erraten, braucht es keine technischen Hilfsmittel, von KI ganz zu schweigen. Allerdings kann KI dabei helfen, komplexere Passwörter aufzudecken – und das nicht nur, weil sie mögliche Kombinationen effizienter testen könnte. Aus den zahlreichen Listen geleakter Passwörter könnten Akteure Regeln ableiten, die auf regionale oder zeitliche Trends bei der Passworterstellung hinweisen, und damit eine auf Machine Learning aufbauende Anwendung füttern.

Was können Unternehmen gegen Brute-Force-Angriffe tun?

Vor allem in Bereichen, in denen sensible Inhalte auf der Tagesordnung stehen, sollte der alleinige Einsatz von Passwörtern allmählich der Vergangenheit angehören. Unternehmen brauchen zusätzliche Schutzmechanismen wie die Multi-Faktor-Authentifizierung, bei der für Cyberkriminelle eine weitere Hürde geschaffen wird, zum Beispiel durch eine Authentifizierung via Mobilgerät.

Alternativ lassen sich Passwörter durch Passkeys ersetzen. Bei dieser Authentifizierungsmethode kommt ebenfalls asymmetrische Kryptografie zum Einsatz. Statt eines Kennworts im Kopf speichert der Nutzer jedoch einen privaten Schlüssel (Key) auf seinem Gerät; der Anbieter erhält den zugehörigen öffentlichen Key. Wenn sich der Nutzer anmelden möchte, signiert er ein Datenpaket (sogenannte Challenge) des Anbieters mit seinem Key. Ist die Entschlüsselung aufseiten des Anbieters erfolgreich, gilt die Identität als bestätigt. Das Gute an Passkeys: Nutzer müssen sich ihr Kennwort nicht merken, da die Authentifizierungsprozesse im Hintergrund ablaufen. Zudem können Cyberkriminelle durch Phishing-Angriffe keine wertvollen Credentials abgreifen, was Passkeys zu einer sichereren Log-in-Methode macht.

Fazit

Cyberkriminelle, die auf fortschrittliche Taktiken setzen, erscheinen besonders bedrohlich und einschüchternd. Grund zu übertriebener Sorge besteht dennoch nicht. Unternehmen verfügen bereits über zahlreiche Möglichkeiten, sich selbst vor KI-gestützten Phishing-, Deepfake- und Brute-Force-Angriffen zu schützen. Neben KI-Analysen und Multi-Faktor-Authentifizierung zählen dazu auch Mechanismen wie qualifizierte elektronische Signaturen und Passkeys, die auf asymmetrischer Kryptografie aufbauen. Unternehmen können sich also durchaus aktiv auf mögliche KI-gestützte Angriffe vorbereiten. Schließlich gilt: Es ist keine Frage des Ob, sondern des Wann.

Über die Autorin: Christina Hirsch ist EVP Digital Trust Business bei Swisscom.

(ID:50438251)

Weiterführende Inhalte