KI in der IT-Sicherheit: Chance oder Risiko?!

So funktioniert’s: Text-KIs können nicht nur sprachlich einwandfreie E-Mails verfassen, sondern mithilfe von abgegriffenen Daten auch so personalisieren, dass sie kaum noch von echten Nachrichten zu unterscheiden sind. In sogenannten Deepfakes können sogar die Stimme und das Aussehen eines Menschen so kopiert werden, dass Ton- und Videoaufnahmen wie vom Original wirken.

Beispiel: In der Buchhaltung geht eine E-Mail vom Geschäftsführer ein, in der er um eine eilige Überweisung an ein untenstehendes Konto bittet. Die KI konnte den Schreibstil des Chefs aufgrund früherer Nachrichten einwandfrei kopieren und hat – damit die Bitte echt und dringend wirkt – darauf Bezug genommen, dass sich der CEO zurzeit auf einer Urlaubsreise im Ausland befindet. Sein W-Lan sei sehr unzuverlässig und es täte ihm auch leid, die Kollegen so kurzfristig belasten zu müssen. Die Buchhaltung überweist, das Geld ist weg.

Schutzmaßnahmen: Mitarbeitende sollten gut im Erkennen von Phishing-Nachrichten geschult sein. Zusätzlich sollte bei Überweisungen ins Ausland oder auf ein neues Konto nach Möglichkeit ein 4-Augen-Prinzip eingehalten werden. Eine telefonische Rückfrage hätte den Geldverlust vielleicht verhindert.

So funktioniert’s: Im Gegensatz zu einem Menschen kann eine KI alle gängigen Antivirenprogramme problemlos parallel im Blick behalten und Malware entsprechend anpassen. Sie weiß, welcher Code gerade als schadhaft erkannt wird und welcher nicht. Gleichzeitig kann sie die Malware blitzschnell verändern, sodass sie neu wirkt, aber eigentlich nur getarnt ist.

Beispiel: Cyberkriminelle versuchen die Firewall eines Unternehmens zu passieren. Die KI verändert die Malware immer wieder ein kleines bisschen, bis sie vom System nicht mehr als Schadsoftware erkannt wird, ohne ihre Funktion zu verlieren.

Schutzmaßnahmen: Ein modernes, KI-gestütztes Antiviren- und Antimalwareprogramm, das nicht nur bekannte Schadsoftware erkennt, sondern auch unbekannte Angriffsmuster und einzelne Anomalien meldet. Im Beispiel oben könnten das vermehrte Zugriffe von einer unbekannten Quelle sein.

Künstliche Intelligenz ist eine großartige neue Technologie, die uns das Leben in vielerlei Hinsicht erleichtern kann, wenn sie sicher eingesetzt wird. Die meisten freizugänglichen KI-Tools nutzen die eingegebenen Daten jedoch, um damit zu trainieren. Das ist grundsätzlich gut, da sie so aus dem Feedback lernen und sich stetig verbessern können, aber es bedeutet auch, dass Sie vorsichtig sein müssen, welche Daten Sie der KI überlassen.

So funktioniert’s: Die KI nutzt die eingegebenen Daten zum Training. Von außen lässt sich nicht kontrollieren, wann, wo und wie diese Daten wieder als Antwort ausgegeben werden. Geheime Firmendaten und solche, die laut DSGVO besonders schützenswert sind, dürfen daher nicht an freizugängliche KI-Tools übergeben werden.

Beispiel: Ihr Marketing-Team lädt die ausführliche interne Produkt- und Leistungsbeschreibung einer neuen Maschine in ChatGPT hoch, um sich das 400-seitige Dokument zusammenfassen zu lassen und erste Marketingideen zu entwickeln. Die KI lernt aus diesen Daten. Später bittet eine andere Person außerhalb des Unternehmens ChatGPT um Ideen für neue Produkte und erhält als Antwort einen Vorschlag, der auf Ihrer Maschine basiert und Ihr geistiges Eigentum verletzt.

Schutzmaßnahmen: Schulen Sie Ihre Mitarbeitenden im Umgang mit KI-Tools. Welche Daten dürfen wo eingegeben werden? Außerdem bieten einige KI-Tools explizite Business-Zugänge an, bei denen die Nutzung der Daten zum Training ausgeschlossen ist. Am sichersten sind Sie mit einer firmeneigenen KI, die von Ihren Daten lernt, aber auf die von außen niemand Zugriff hat.

KI-gestützte Systeme können mittels Machine Learning und Deep Learning nicht nur Muster und Anomalien frühzeitig erkennen, sondern idealerweise Angriffe auch vorhersagen (Predictive Security). Die KI hat dafür gelernt, welches Verhalten normal ist und welches verdächtig. Sie kann also erkennen, welche Verhaltensmuster wie beispielsweise Port-Scanning oder ungewöhnliche Login-Versuche typischerweise einem Angriff vorausgehen. Mithilfe dieser Indikatoren kann sie künftige Angriffe identifizieren, bevor diese stattfinden. Dazu wertet das System permanent die globale Sicherheitslage aus und lernt aus riesigen Mengen historischer und aktueller Daten – nicht nur von Ihrem Unternehmen, sondern von allen Unternehmen, die dieselbe Software verwenden. So profitieren Sie von einer Schwarmintelligenz: Wird bei einem Kunden ein neues Angriffsmuster oder eine Zero-Day-Schwachstelle erkannt, kann dieses Wissen nahtlos an alle anderen weitergegeben werden.

Praxisbeispiel: Ein SIEM-System (Security Information and Event Management) kann durch KI optimiert werden, indem es aus historischen Vorfällen lernt, welche Alarme wirklich kritisch waren. Viele SIEMs produzieren nämlich nicht nur häufig Fehlalarme (False Positives), sondern korrelieren Ereignisse auch nur auf Basis vordefinierter Regeln. Neue Angriffsmuster werden daher oft nicht erkannt. Ein KI-gestütztes System kann Attacken dagegen auch ohne Regeln erkennen und hat so eine höhere Erkennungsrate bei komplexen, mehrstufigen Angriffen.

Die Fähigkeit, große Datenmengen schnell auszuwerten und zu analysieren, ist auch bei der Erkennung und Bewertung von Schwachstellen in IT-Systemen hilfreich. KI-gestützte Systeme können zunächst einmal Schwachstellenscans automatisch durchführen, so dass Angriffspunkte schneller und öfter gefunden werden können als bei klassischen Vulnerability-Scans. Die potenziellen Schwachstellen werden dann mit kontextuellen Informationen angereichert, da nicht jede Schwachstelle gleich gefährlich ist. Die KI bewertet beispielsweise, wie ausnutzbar eine Schwachstelle ist, wie kritisch das betroffene System ist, mit welcher Wahrscheinlichkeit es kompromittiert werden kann und welche realen Auswirkungen ein Ausfall auf das tägliche Geschäft hätte. So kann die künstliche Intelligenz automatisch ein Prioritätenranking erstellen und das Sicherheitsteam weiß, wo zuerst gehandelt werden muss.

Praxisbeispiel: Das KI-gestützte System hat beim automatischen Schwachstellenscan 30 potenzielle Einfallstore entdeckt. Daraufhin hat es eine To-Do-Liste mit Handlungsempfehlungen erstellt. So soll sich Mitarbeiter A sofort um fünf kleine, aber kritische Schwachstellen in der Konfiguration kümmern, während Mitarbeiter B sich nur um eine Schwachstelle kümmern muss, deren Behebung aber mehrere Stunden dauern wird. Mitarbeiter C hat dagegen eine Liste erhalten, welche Software er in welcher Reihenfolge dringend updaten muss. Gleichzeitig hat das System Workarounds für den Übergang entwickelt und Vorschläge zur Segmentierung des Netzwerkes gemacht. Es hat außerdem an das restliche System gemeldet, welche Schwachstellen derzeit noch offen sind, damit dort entsprechende Angriffsmuster noch schneller erkannt werden können.