KI-unterstützte Cyberangriffe: Vorteil Angreifer
- Andy Mühlheim
- 8. Juli
- 3 Min. Lesezeit
Das Bundesamt für Cybersicherheit (BACS) hat mit Gemeinden und Organisationen im Kanton Aargau ein Cyberresilienz-Assessment erprobt:
Die Erkenntnis ist interessant: Grundlegende IT-Schutzmassnahmen sind in vielen Organisationen vorhanden. Gleichzeitig fehlt häufig ein ganzheitliches, prozessorientiertes Resilienzkonzept.
Denn Cyberresilienz entsteht nicht durch einzelne Schutzmassnahmen allein. Sie entsteht, wenn das Verständnis von Risiken, Geschäftsprozessen und IT-/OT-Abhängigkeiten mit vorbereiteten Erstmassnahmen und Führungsfähigkeit im Ereignisfall zusammenwirkt.
Der Bericht hat mich zu diesem Artikel motiviert. Denn mit KI-unterstützten Cyberangriffen wird die Frage noch dringlicher, was Cyberresilienz im Ereignisfall konkret bedeutet.
Ein Angreifer kann KI im Cyberumfeld sehr breit einsetzen: zur Aufklärung, zur Automatisierung, zur Personalisierung von Angriffen, zur Täuschung, zur Variantenbildung, zur Schwachstellensuche und zur dynamischen Anpassung des Angriffs.
Für Unternehmen ist die Situation asymmetrisch.
Auch die Verteidigung kann KI nutzen. Aber nicht mit derselben Freiheit. KI kann helfen, Schwachstellen früher zu erkennen, ungewöhnliche Muster sichtbar zu machen, grosse Datenmengen zu analysieren, Hinweise zu priorisieren und Entscheidungsgrundlagen für die technische Ereignisbewältigung aufzubereiten.
Sobald es aber um Massnahmen geht, braucht es Führung. Ein Account kann nicht einfach gesperrt, ein Netzwerksegment nicht einfach getrennt, ein System nicht einfach isoliert oder ein Produktionsbereich nicht einfach gestoppt werden, ohne die Auswirkungen auf das Unternehmen zu verstehen. Massnahmen bei der aktiven Abwehr eines Cybervorfalls müssen deshalb kontrolliert geführt werden.
Würde man die Abwehr einer KI überlassen, müsste diese weitreichende Befugnisse erhalten. Sie müsste Systeme trennen, Zugriffe sperren, Datenflüsse blockieren, Prioritäten setzen und technische sowie operative Eingriffe auslösen können. Damit würde sie nicht mehr nur unterstützen, sondern die Bewältigung des Ereignisses faktisch selbst führen. Für Menschen wären ihre Entscheidungen und deren Auswirkungen kaum nachvollziehbar.
Eine KI, die mit weitreichenden Rechten autonom auf einen KI-unterstützten Angriff reagiert, kann ein Unternehmen rasch in einen Zustand führen, in dem die Verantwortlichen den Überblick vollständig verlieren.
Damit wäre nicht nur der Angriff ein Problem, sondern auch die Abwehr selbst. Die Führung der Ereignisbewältigung und die Verantwortung für Entscheidungen und Massnahmen müssen deshalb bei den Verantwortlichen bleiben.
KI-unterstützte Cyberangriffe verändern die Ausgangslage für Unternehmen.
KI macht Cyberangriffe nicht nur schneller. Sie macht sie auch variantenreicher, adaptiver und für weniger spezialisierte Angreifer zugänglich. Was früher tiefes Expertenwissen erforderte, kann heute weitgehend mit Unterstützung von KI vorbereitet, kombiniert und ausgeführt werden. Dadurch steigen Zahl und Wirksamkeit möglicher Angriffe gleichzeitig.
Für Unternehmen entsteht daraus akuter Handlungsbedarf.
Die Asymmetrie zwischen Angreifer und Verteidiger lässt sich nicht aufheben. Der Angreifer kann KI offensiv und weitgehend frei nutzen. Das Unternehmen muss bei jeder Abwehrmassnahme deren Auswirkungen auf den eigenen Betrieb, Kunden, Mitarbeitende, Lieferfähigkeit, Kommunikation, Recht und Reputation abwägen.
Die Antwort ist somit nicht autonome KI-Abwehr, sondern Resilienz.
Die Voraussetzungen für Resilienz entstehen vor einem Angriff. Unternehmen müssen so vorbereitet sein, dass sie im Ereignisfall unmittelbar reagieren und auch unter Druck handlungs- und entscheidungsfähig bleiben. Zum einen durch vorgegebene, vorbereitete, getestete, freigegebene und auf das Unternehmen zugeschnittene Erstmassnahmen für einen Cybervorfall. Zum anderen durch Methodenkompetenz in der Krisenorganisation, um auf Führungsebene auch unter Druck und in unklaren Situationen entscheidungs- und handlungsfähig zu bleiben.
Mit dem Erkennen eines Vorfalls müssen vorbereitete Erstmassnahmen unmittelbar ausgelöst, geführt und kontrolliert abgearbeitet werden können. Damit kann ein Cybervorfall frühzeitig eingegrenzt und die technische Ereignisbewältigung anschliessend strukturiert und in Absprache mit dem Krisenstab fortgeführt werden. Gleichzeitig muss das Unternehmen die übergreifenden Folgen für Geschäftsprozesse, Kunden, Lieferfähigkeit, Kommunikation, Eigentümerinteressen und Mitarbeitende bewältigen, rechtliche Anforderungen erfüllen und Prioritäten für die Wiederherstellung setzen.
Das ist nicht mehr nur IT. Das ist strategische Unternehmensführung unter Druck.
Strategische Entscheide gehören auf die Ebene der Unternehmensführung und, wo notwendig, des Verwaltungsrates. Der Krisenstab bereitet diese Entscheide jedoch vor.
Resilienz darf kein Buzzword sein.
Die Voraussetzungen für Resilienz beginnen beim Erkennen und Bewerten von Risiken. Sie umfassen vorbereitete Massnahmen im Business Continuity Management, im IT Service Continuity Management, in der Cyberabwehr und in der Ereignisbewältigung. Sie umfassen Rollen, Prozesse, Schnittstellen, Kommunikationswege, Eskalationslogik, technische Schutzmassnahmen und vorbereitete Erstmassnahmen.
Ein Unternehmen ist nicht resilient, weil es Pläne, Tools, Rollen und Checklisten besitzt.
Es zeigt Resilienz, wenn es im Ereignisfall trotz Unsicherheit, Zeitdruck und unvollständiger Information handlungs- und entscheidungsfähig bleibt, um das Unternehmen wieder in einen stabilen Zustand zu führen. In diesem Sinn ist Krisenmanagement ein zentraler Fähigkeitsbaustein organisationaler Resilienz.
KI verändert die Bedrohungslage für Unternehmen. Resilienz beruht auf Vorbereitung und zeigt sich darin, Technik, Massnahmen und Führung im Ereignisfall wirksam zu verbinden.
Die Antwort auf die steigende Zahl und zunehmende Wirksamkeit KI-unterstützter Cyberangriffe ist nicht autonome KI-Abwehr, sondern die Fähigkeit, auf allen Ebenen vorbereitet, abgestimmt und geführt zu reagieren.
Krisenmanagement heisst: Klarheit schaffen. Entscheiden können. Handlungsfähig bleiben.
Desisera befähigt Unternehmen, in Krisen und unter Druck besser zu entscheiden.
Dieser Beitrag wurde zuerst als LinkedIn-Artikel veröffentlicht. Der begleitende LinkedIn-Post mit der Diskussion ist hier abrufbar.