Künstliche Intelligenz in der Bedrohungsabwehr KI-Angriffe mit KI-Abwehr schlagen

Künstliche Intelligenz (KI) ist im Unternehmensalltag angekommen und kann viele Verbesserungen mit sich bringen. Doch die Technologie birgt auch neue Gefahren: So machen sich Bedrohungsakteure generative KI zunehmend zunutze, um schnellere, umfassendere und effektivere Cyberangriffe zu orchestrieren. Umso entscheidender ist es, KI auch auf der Abwehrseite in Cybersicherheitsstrategien einzubeziehen.

Cyberkriminelle suchen immer nach dem einfachsten Weg, um Schwachstellen auszunutzen und Unternehmen zu hacken. In den letzten Jahren haben sich neben Ransomware-as-a-Service Modellen auch viele Standard-Exploit-Toolkits wie Cobalt Strike und Brute Ratel C4 als perfekte Werkzeuge erwiesen. Der Incident Response Report 2024 von Unit 42 zeigt, dass erfolgreiche Angriffe in komplexen Umgebungen damit bereits innerhalb von acht Stunden nach dem Versand der ersten Phishing-E-Mail zur Datenexfiltration führen können – wie jüngst bei einem Black-Basta-Ransomware-Vorfall aufgedeckt. Aber es bleibt nicht dabei, die Angriffsgeschwindigkeit nimmt durch den Einsatz der KI durch Hacker noch weiter zu.

Auch bei generativer KI ist das gleiche Verhaltensmuster zu beobachten: Es etablieren sich Standardpraktiken und Tools, um verschiedene Angriffsvektoren zu automatisieren und damit ihre Erfolgschancen und Produktivität zu steigern.

KI als Waffe ein

APTs nutzen KI zur Verstärkung ihrer Cyberwaffen

KI-gestützte Cyberangriffe: Eine neue Ära der Cyberkriminalität?

Cyberangriffe beginnen oft damit, dass Cyberkriminelle Informationen über potenzielle Ziele sammeln. Mithilfe von KI können sie deutlich einfacher öffentlich verfügbare Daten von Websites, Social-Media-Plattformen und anderen Quellen zu den möglichen Opfern auslesen und zusammenstellen. Diese können wertvolle Einblicke wie persönliche Details und Zugehörigkeiten enthalten, die dann zur Planung und einer effektiveren Durchführung der Angriffe verwendet werden.

Und auch die Zeiten, in denen Phishing-E-Mails an Grammatik- oder Rechtschreibfehlern zu erkennen waren, sind vorbei. Durch den Einsatz von generativer KI können Hacker betrügerische Inhalte wie Phishing-E-Mails oder Webseiten fehlerfrei, täuschend echt und individuell auf die Zielperson und auf die tagesaktuelle Situation angepasst erstellen. Mit Hilfe von synthetisch erzeugten Inhalten wie Deepfake-Videos, -Bilder oder -Tonaufnahmen überträgt sich das Spoofing-Problem zum ersten Mal auch auf andere digitale Kommunikationskanäle. Damit wird es noch einfacher, mögliche Opfer zu täuschen oder diese dazu zu verleiten, etwas zu tun (wie z.B. eine Schadsoftware zu installieren oder einen Zugriff freizugeben), was sie so eigentlich nicht tun würden.

KI-gestützte Cyberbedrohungen

Wie Kriminelle Künstliche Intelligenz für Angriffe nutzen

Aber auch bei der Erkennung von Schwachstellen (im Rahmen von Fuzzing) oder Erstellung von Schadsoftware, experimentieren die Cyberkriminellen mittlerweile mit generativer KI. Diese bieten die Möglichkeit, Code durch einfache Anweisungen oder Eingaben zu ändern oder zu erstellen – selbst ohne vorherige Programmierkenntnisse. So können Hacker benutzerdefinierte Skripte erstellen, neue Malware-Varianten entwickeln und ihre Toolkits kontinuierlich weiterentwickeln, um der Bedrohungserkennung zu entgehen und effektiver zu agieren. Daneben können auch Open Source generative KI-Modelle wie Mistral oder LLama bei Ransomware-Erpressungen eingesetzt werden. Statt Terabyte an Daten über Tage vom Unternehmen zu stehlen, können die Daten im Unternehmensnetzwerk erst analysiert und nur die “kritischen Daten” exfiltriert werden.

Zudem schafft die generative KI selbst auch eine neue Angriffsfläche. Durch ihre probabilistische Funktionsweise können beispielsweise Chatbots oder Copilots über Prompt-Injection-Angriffe relativ einfach ausgetrickst werden, um sie zu einem bestimmten, nicht gewünschten Verhalten zu bewegen oder ihre Geheimnisse preiszugeben. Oder es können Schläfer-Backdoors in die Modellen selbst eingeschleust werden. Diese Anwendungsszenarien können zu schwerwiegenden Risiken führen, die von finanziellen Verlusten und Datenlecks bis hin zu Rufschädigung, Umsatzverlust und betrieblichen Störungen reichen.

Die neue heranwachsende Welle der Cyberbedrohungen stellt damit herkömmliche Cybersicherheitsarchitekturen auf den Prüfstand und erfordert eine Modernisierung der Sicherheitsstrategie und vieler Sicherheitskontrollen.

Generative KI in der IT-Sicherheit

Hoffnung auf GenAI in der Cyber­sicher­heit, aber die Zuversicht fehlt

KI in der Bedrohungsabwehr

Um mit der Geschwindigkeit der Veränderung, der Angriffe und neuen Angriffsvektoren mitzuhalten, müssen Unternehmen die Cybersicherheit nach und nach den Maschinen übergeben. Künstliche Intelligenz ist ein unverzichtbares Mittel im Kampf gegen Cyberbedrohungen und sollte fester Bestandteil jeder Cybersicherheitsstrategie sein. Das fängt bei der Architektur der Sicherheitskontrollen, dem Datenmanagement bis hin zu den Prozessen einer Sicherheitsorganisation an. Die Vorteile von KI in Sicherheitsprogrammen können auf verschiedene Weise effektiv genutzt werden:

• Automatisiertes Datenmanagement: Cybersicherheit ist zum größten Teil ein Problem des fehlenden Kontexts. Das fängt bei Asset- und Vulnerability-Management an und zieht sich bis zum Security-Monitoring und Digitaler Forensik durch. Ist eine Sicherheitslücke tatsächlich ausnutzbar, weil die betroffene Funktion benutzt wird? Hängen kritische Prozesse daran? Gibt es mitigierende Maßnahmen? KI, und vor allem generative KI, kann bei der Erhebung, Strukturierung und Gruppierung der einzelnen technischen Logdaten mit Assets, Artefakten und Alarmen helfen und damit zu einem besseren Verständnis des Kontexts beitragen. Der Mensch (Human-in-the-Loop) muss immer seltener eingreifen, weil die weiterführenden Entscheidungen auf Basis des Kontexts getroffen werden können.

• Automatisierte Bedrohungserkennung: Auf Basis von kompletten, kontinuierlichen und konsistenten Daten kann KI einen erheblichen Einfluss in der Bedrohungserkennung und -analyse haben. Damit lassen sich nicht nur Anomalien besser identifizieren, sondern auch das Gesamtverhalten einzelner Geräte, Workloads oder Identitäten im Unternehmenskontext besser verstehen. Ist es jetzt beispielsweise normal, dass ein VendorX-Server einen Portscan macht? Wenn der Server jedoch noch nie Portscans durchgeführt hat und seine Peergruppe der anderen VendorX-Server auch noch nie Portscans gemacht hat und Portscans eine bekannte Reconnaissance-Taktik sind, ist dies ein starkes Signal, dass etwas nicht stimmt.

• Automatisierte Incident Response und Forensik: Im Incident Response kann oft erst dann eine Entscheidung über Maßnahmen getroffen werden, wenn man versteht, was einen Alarm auslöst. Ist es ein gezielter Angriff gegen uns? Was ist der Patient Zero? Welche Seitwärtsbewegung gab es? Welche Accounts sind kompromittiert? All diese Fragen werden meistens durch aufwändige Forensik beantwortet. Und oft dauert dieser Prozess viel zu lange. Die gute Nachricht ist aber, dass alle diese Daten auch in Echtzeit von Maschinen verarbeitet werden können. Und mit generativer KI hat man zum ersten Mal die Möglichkeit, in diesem Rahmen auch unstrukturierte Daten zu analysieren. Eine hochgradige Automatisierung kann somit die durchschnittliche Erkennungszeit (Mean Time To Detect, MTTD) und die durchschnittliche Reaktionszeit (Mean Time To Respond, MTTR) verkürzen und die Auswirkungen von Cyberangriffen verringern.

• Automatisierte Copilots: Oft setzt die effektive Benutzung der Sicherheitstools und der IT-Tools viel Erfahrung voraus, die sich die Spezialisten erarbeiten müssen. Die Möglichkeiten der Copilots eröffnen komplett neue Perspektiven, um das Interface für die Benutzung nicht zu vereinheitlichen, sondern auch die technische Hürde für viele Benutzer zu senken. Damit werden Einrichtung und Betrieb der Sicherheitssoftware viel effektiver und auch für Nicht-Spezialisten zugänglich. Je nach Entwicklung der generativen KI eröffnen sich gegebenenfalls auch Möglichkeiten, die Copilots selbstständig Entscheidungen treffen zu lassen und damit die Cyberresilienz noch weiter zu steigern.

• Bedrohungsanalyse und -prognose: Proaktive Bedrohungserkennung und vorausschauende Analysen sind wesentliche Bestandteile einer Cybersicherheitsstrategie. Durch die gleichzeitige Analyse verschiedener Sicherheitsdatenquellen in Echtzeit kann KI aufkommende Bedrohungen (Threat Modelling) identifizieren und potenzielle Angriffspunkte besser vorhersagen. Dies kann als Fokus für Pentesting oder Red Teaming eingesetzt werden, um Angriffe zu simulieren, Erfahrungswerte zu sammeln und so Sicherheitsmechanismen gezielter zu verbessern.

Um diese Anwendungsfälle effektiv zu realisieren, braucht es aber neben den kompletten Daten auch die richtige KI-Architektur. Palo Alto Networks kombiniert beispielsweise die unterschiedlichen Stärken der diversen KI-Ansätze wie Maschinelles Lernen, Deep Learning und generative KI zu Precision AI. Wichtig ist dabei, pro Anwendungsfall genau zu verstehen, was die Anforderungen des Anwendungsfalls sind, um die passende Architektur der verschiedenen Modelle zusammenzubringen. Zum Beispiel: Bei einer Echtzeit-Erkennung von Schadsoftware durch eine Firewall bedarf es einer hohen Genauigkeit und schneller Entscheidung, um den Datenverkehr nicht zu stören. Hier sollte ausschließlich auf Deep Learning zurückgegriffen werden. Bei Behaviour Analytics spielen dagegen alle Methoden von Supervised Learning, Unsupervised Learning, Reinforcement Learning und generative KI eine Rolle, weil viele Daten in Kontext gesetzt werden können und bei dem Stitching-Prozess verschiedene Anforderungen bestehen.

Video-Tipp #70: Microsoft Copilot for Security

So funktioniert Microsoft Copilot für Security

Perspektiven und Handlungsempfehlungen

Wie bei einem selbstfahrenden Auto besteht auch in der Cybersicherheit eine Symbiose zwischen Sensorik/Kontrolltechnik und den erhobenen Daten. Einen alten Volkswagen Golf 3 zu einem selbstfahrenden Fahrzeug umzubauen, ist keine leichte Aufgabe. Vielleicht könnten Sensoren wie LIDAR und Kameras angebracht werden, eine Steuerung des Autos ist so aber nicht möglich. Ähnlich verhält es sich mit der Cybersicherheit.

Um KI nicht nur in kleinen Anwendungsfällen zu nutzen, sondern die gesamte Cybersicherheit zu verbessern, muss die Architektur für Sicherheitskontrollen, Datenarchitektur und Prozesse sorgfältig durchdacht sein. Wie viele Aufgaben müssen von Sicherheitsspezialisten manuell durchgeführt werden, und in welchen Bereichen können sie sich zu Architekten, Entwicklern und Überwachern weiterentwickeln?

Zur Stärkung der allgemeinen Sicherheitslage eines Unternehmens ist es zudem entscheidend, die Mitarbeiter über Risiken und bewährte Praktiken im Zusammenhang mit KI-gestützten Cyberangriffen aufzuklären (Stichwort: synthetische Stimmen oder Deepfakes oder Threat Modeling). Schließlich sollten sich Organisationen ständig über neue KI-Technologien und deren potenzielle Anwendungen auf dem Laufenden halten – sowohl in offensiver als auch in defensiver Hinsicht.

Fazit

Wer die zunehmende Geschwindigkeit und die Rolle der künstlichen Intelligenz bei Cyberangriffen ignoriert, der handelt doch recht fahrlässig. Noch sind nur Ausschnitte davon erkennbar, was heute technisch schon möglich wäre, aber wenn Unternehmen nicht heute anfangen, sich darauf vorzubereiten, wird es eventuell zu spät sein.

Um sich auf die KI-gestützten Angriffe vorzubereiten, sollten Unternehmen also heute schon anfangen zu überlegen, ob ihre Sicherheitsarchitekturen mit der Geschwindigkeit der Angreifer zurechtkommen und wie weit sie die Organisation, Prozesse und Mitarbeiter auf dieses Thema vorbereiten können. Auch im Post-GenAI Zeitalter gilt für Cybersicherheit immer noch der alte Slogan: Wer rüstet schneller auf? Die Verteidiger oder die Angreifer?

Über den Autor: Sergej Epp ist Chief Security Officer bei Palo Alto Networks in EMEA Central. In dieser Rolle entwickelt er die Cybersecurity-Strategie, überwacht die Cybersecurity-Operations, den Austausch der Gefahreninformation und ist ein vertrauenswürdiger Berater für strategische Kunden in der Region. Vor Palo Alto Networks verbrachte er mehr als eine Dekade in verschiedenen Cybersecurity-Rollen bei der Deutschen Bank, wo er Teams für Cyber-Defense und Investigations aufbaute, die sich auf Cyberkriminalität, Malware, Lieferketten-Angriffe, Insiderbedrohungen und Betrug konzentrierten. Epp studierte an der Frankfurt School of Finance and Management und der University of New Zealand. Er ist regelmäßig als Redner auf Konferenzen tätig, agiert als Executive Lecturer für Cybersecurity an der Frankfurt School und ist Berater für Venture Capital-Fonds und High-Tech-Startups.

Security-Risiko KI

Die fünf größten Security-Risiken bei Microsoft Copilot

(ID:50156417)