Cybersicherheit: So schützen Sie sich in Zeiten von KI vor Cyberangriffen
Der Einsatz von KI-Technologien wird immer alltäglicher. Was dabei meist übersehen wird: Auch Cyberkriminelle greifen auf die Fähigkeiten der KI zurück. Sie nutzen neue Werkzeuge und ihre Möglichkeiten zu ihrem eigenen Vorteil. Ganz besonders hilfreich zeigt sich der Einsatz von KI für sie bei der Professionalisierung von Phishing-Angriffen; also Täuschungsversuche mit dem Ziel, sensible persönliche Daten zu erlangen.
Entsprechende Angriffe werden mithilfe von KI leichter durchgeführt, was in der Folge zu einer Zunahme von Phishing führt. Augenscheinliche Indizien für Phishing-Nachrichten waren bisher vor allem Fehler in Orthografie und Grammatik. Sie lassen sich dank KI schon heute leicht vermeiden. Es ist naheliegend, dass die Zahl der Opfer damit größer werden wird.
Social-Engineering-Attacken
KI-basierte Chatbots führen zwischenmenschliche Konversationen auf der Basis von Informationen, welche die Opfer im Netz selbst veröffentlicht haben, insbesondere in den Sozialen Medien. Im Verlauf eines Chats versuchen KI-gestützte Chatbots das Vertrauen zu gewinnen und an kritische Informationen zu gelangen. Gelingt dies, ermöglicht es das leichtere Kapern einer Identität.
Viele Unternehmen zeigen sich bei der Bedrohung gegen KI-gestützte Cyberangriffe eher abwartend und investieren im Vorfeld nur zögerlich. Häufig fehlen qualifizierte Mitarbeitende für das Management von Sicherheitslösungen. Doch technologische Lösungen allein können nicht vor derartigen KI-Bedrohungen schützen. Bei der Bewertung von KI-Angriffen spielt der Mensch weiterhin eine wesentliche Rolle.
Tückische Betrugsvarianten
Angreifer versuchen stets, ihre Nachrichten so echt wie möglich aussehen und klingen zu lassen. Oft aber gibt es Ungereimtheiten, die aufmerken lassen: Unstimmigkeiten in der Ausdrucksweise und ganz besonders Aufforderungen, die zu einer sofortigen Handlung drängen. Letzteres ist ein Merkmal, das häufig anzutreffen ist, da Menschen unter Druck eher Fehler machen.
Neben Phishing-Versuchen gibt es noch immer Angriffe durch Ransomware; gefürchtet sind sie wegen der großen Schäden, die erfolgreiche Attacken anrichten können. Weitere wesentliche Angriffsmethoden zielen auf die Unternehmens-IT und können nur durch Sicherheitslösungen der IT selbst entsprechend unterbunden werden.
Eine relativ neue Variante ist, Mitarbeitende über Stellenausschreibungen zielgerichtet in ein Unternehmen einzuschleusen, um über sie Zugriff auf die Unternehmens-IT zu erhalten. Hacker versuchen mit täuschend echten Lebensläufen und gestohlenen Identitäten als IT-Fachkräfte in Unternehmen unterzukommen. Video-Bewerbungsgespräche erleichtern den Einstieg, da dabei sogar Deepfakes zum Einsatz kommen können.
Eine recht neue Variante, um an persönliche Daten zu gelangen, ist die Autofill-Funktion des Browsers für Formulare auf Internetseiten. Manipulierte Webseiten enthalten unsichtbare Formularfelder. Der Browser wird ebenso getäuscht und füllt ein entsprechendes Feld automatisch mit einem Passwort, das dann von den Betrügern für ihre kriminellen Aktivitäten genutzt werden kann. Die einzige Möglichkeit, sich vor derartigen Attacken zu schützen, ist die Deaktivierung der Autofill-Funktion.
Schulung, Schulung, SchulungFdaten
Es ist die naheliegendste und wahrscheinlich einfachste Möglichkeit und dennoch bleibt sie immer wieder ungenutzt: Mitarbeitende müssen für mögliche Sicherheitsrisiken allesamt entsprechend sensibilisiert und dauerhaft fortgebildet werden. Regelmäßige Schulungen in Sachen IT-Sicherheit gehören zum Pflichtprogramm. Einige Unternehmen lassen sogar fingierte Angriffe ausführen, um den Mitarbeitenden außerhalb einer Schulungsumgebung anhand realer Beispiele die Gefahren im Arbeitsalltag bewusst zu machen.
Mehr Sicherheit für Passwörter
Aus Sicht der IT-Verantwortlichen sollten nicht nur die Grundregeln eingehalten werden – Sicherheitsupdates immer sofort installieren und sichere Passwörter genutzt werden. Der Mensch wählt trotz aller Warnungen und Hürden immer noch zu viele einfache Passwörter. Er ist damit die größte Schwachstelle bei der Absicherung von Systemen. Nutzende sind in der Wahl ihrer Passwörter oft denkbar schlecht. Das macht Angreifern das Leben besonders einfach: Lässt sich das Passwort nicht direkt erraten, so gibt es eine Reihe automatisierter Anwendungen für sogenannte Brute-Force-Angriffe.
Diese Tools arbeiten lange Listen bekannter Passwörter systematisch ab. Viele Nutzende sind aber nachvollziehbar überfordert, auch weil sie für unterschiedliche (Online-)Dienste Passwörter benötigen und die Regeln bei vielen Anbietern andere sind. Heutzutage kommt man schnell auf einige Hundert Online-Konten.
Eine Zwei-Faktor-Authentisierung (2FA) gilt inzwischen als sinnvoll. Angriffe auf leichtgläubige oder unachtsame Mitarbeitende werden so ausgebremst. Statt den Zugang lediglich über ein (sicheres) Passwort abzusichern, muss die Anmeldung über einen weiteren Weg bestätigt werden, etwa eine Authentifizierungs-App auf dem Smartphone, SMS oder sogenannte „Time-based One Time Passwords“ über spezielle Hardware-Token. Künftig sollen auch Passkeys vermehrt zum Einsatz kommen, eine passwortlose Login-Methode, die auf biometrischen Daten oder auf Geräteeigenschaften basieren kann.
