Der Monat der Cybersicherheitsaufklärung mag nicht den gleichen Reiz haben wie andere typische Oktober-Aktivitäten – etwa der Anblick des leuchtenden Herbstlaubs oder das Schlemmen von Halloween-Süßigkeiten –, aber er kann Unternehmensleiter und Verbraucher gleichermaßen dazu anregen, sich einem wichtigen Ritual zu widmen: der Überprüfung ihres Umgangs mit Cybersicherheit.

Und es gibt viel, worüber man im vergangenen Jahr nachdenken kann. Insbesondere Unternehmen sollten sich diesen Monat (und jeden Monat) die Frage stellen: Wie hat sich die Bedrohungslandschaft im Internet verändert? Sind die Sicherheitsmaßnahmen Ihres Unternehmens ausreichend, um mit diesen Veränderungen Schritt zu halten?

Künstliche Intelligenz war zweifellos der größte Umbruch dieses Jahres. KI-Tools, darunter große Sprachmodelle (LLMs) wie ChatGPT, haben die Fähigkeiten von Angreifern enorm gesteigert. Gleichzeitig integrieren immer mehr Unternehmen KI in ihr Tagesgeschäft und zwingen damit Cybersicherheitsexperten, neue Bereiche zu schützen, ohne dass es dafür viele Präzedenzfälle gibt. Die Verbraucher hingegen geraten zwischen die Fronten dieses sich rasant verändernden KI-Umfelds.

Genau diese Dynamik beschäftigte viele der 20.000 Teilnehmer der diesjährigen Black Hat Conference in Las Vegas. Von den aufwendig inszenierten Ständen in der Business Hall über die in Vorträgen präsentierten Spitzenforschungsergebnisse bis hin zu den ruhigen Gesprächen zwischendurch – die KI dominierte die Unterhaltung.

In seiner Eröffnungsrede bezeichnete der langjährige Cybersicherheitsforscher Mikko Hyppönen KI als die „größte technische Revolution“, die er je erlebt habe, und merkte an, dass Forscher, die LLMs verwenden, bereits ein paar Dutzend Zero-Day-Schwachstellen entdeckt hätten – ein Branchenbegriff für unentdeckte Schwachstellen in Software oder Code.

„Wenn Forscher Sicherheitslücken in KI-Systemen entdecken, ist das großartig, denn wir können sie beheben“, sagte Hyppönen. „Wenn Angreifer dasselbe tun, ist das entsetzlich.“ Das wird auch passieren.“

Online-Betrüger nutzen bereits LLMs, um überzeugendere und zielgerichtetere Phishing-E-Mails zu schreiben und dies in einem viel größeren Umfang, als es ihnen ohne KI-Tools jemals möglich gewesen wäre.

Vorbei sind die Zeiten schlecht geschriebener Standard-E-Mails, die selbst der technisch unerfahrenste Mensch als Betrugsversuche erkennen konnte. Betrüger, deren Muttersprache nicht Englisch ist, sind mittlerweile Profis darin, ihre Nachrichten mithilfe von LLMs (Licensed Language Management) zu verfeinern.

Und selbst jene Betrüger, die sich als einsame, im Ausland stationierte Soldaten ausgeben und eine Geschäftsmöglichkeit anpreisen, die zu gut klingt, um wahr zu sein (weil sie es tatsächlich ist), streuen mithilfe von KI gesammelte persönliche Details ein, um diese Nachrichten viel glaubwürdiger zu machen.

Sie haben sich auch über E-Mails hinaus weiterentwickelt und übermitteln ihre mittlerweile sorgfältig ausgearbeiteten Mitteilungen über soziale Medien, SMS und sogar Telefonanrufe.

Gleichzeitig hat die Zahl betrügerischer Nachrichten, die Audio- oder Video-Deepfakes enthalten, zugenommen. Im vergangenen Jahr wurde ein Arbeiter in Hongkong von Betrügern um 25 Millionen Dollar betrogen, nachdem er sich in ein Videogespräch mit Verantwortlichen seines multinationalen Unternehmens, darunter dem Finanzchef, eingeschaltet hatte. Es stellte sich jedoch heraus, dass die anderen Teilnehmer des Anrufs Live-Video-Deepfake-Nachbildungen dieser Personen waren.

Auch Verbraucher wurden Opfer von Audio-Deepfake-Betrug. Hier setzen Cyberkriminelle KI ein, um die Stimmen von Menschen, typischerweise jüngeren, per Deepfake zu imitieren. Anschließend nutzen sie die nachgeahmte Stimme, um Familienmitglieder anzurufen und ihnen vorzutäuschen, sie seien entführt worden oder im Gefängnis, um von ihnen Geld zu erpressen.

All das verunsichert Unternehmen und Verbraucher verständlicherweise. Eine kürzlich im Auftrag von Mastercard durchgeführte Studie befragte rund 13.000 Verbraucher weltweit, darunter etwa 1.000 in den USA, und kam zu dem Ergebnis, dass KI-generierte gefälschte Inhalte die größte zukünftige Betrugsgefahr für Verbraucher darstellen. Aber nur 13 % der Befragten gaben an, großes Vertrauen in ihre Fähigkeit zu haben, KI-generierte Bedrohungen oder Betrugsversuche zu erkennen, falls sie selbst Ziel solcher Angriffe werden.

Die überwiegende Mehrheit der Befragten nannte als konkrete Bedenken die Gefahr von ausgeklügelteren Angriffen durch gehackte und bösartige KI-Systeme, automatisierten groß angelegten Cyberangriffen und überzeugenderen Phishing-E-Mails, die von KI erstellt werden.

Und besorgte Verbraucher können für die Unternehmen, die sie bedienen, große Probleme bedeuten. Wenn Verbraucher nicht darauf vertrauen können, dass sie es mit einem seriösen Unternehmen zu tun haben oder dass ihre persönlichen Daten sicher sind, könnten sie sich entscheiden, ihre Geschäfte woanders hinzuziehen.  

Im Moment scheinen zumindest die Verteidiger im Vorteil zu sein. Neben der Sicherung der neuen KI-Elemente in den Systemen ihrer Geschäftskunden integrieren Cybersicherheitsunternehmen KI auch in ihre eigenen Produkte, mit dem Ziel, Online-Bedrohungen schneller und effizienter zu stoppen.

Betrüger und andere Cyberkriminelle haben unterdessen noch nicht genügend Anreiz, auf die gleiche Weise Innovationen zu entwickeln. Während sie KI-Tools nutzen, um schneller zu arbeiten und größere Geschäfte zu tätigen, halten sie sich laut Experten größtenteils an verbesserte Versionen der altbekannten Betrugsmaschen.

Nicole Perlroth, eine ehemalige Journalistin im Bereich Cybersicherheit, die heute als Venture-Partnerin bei Ballistic Ventures tätig ist und ihren eigenen Cyber-Missionsfonds Silver Buckshot leitet, sagte in ihrer Keynote-Ansprache auf der Black Hat-Konferenz, dass sie von den neuen und aufkommenden Technologien im Bereich der Cybersicherheit ermutigt sei.

Sie wies auf neue KI-gestützte Deepfake-Erkennungstechnologien hin, die auf den Markt kommen, und merkte an, dass KI dazu beigetragen habe, Cybersicherheitsprodukte und -dienstleistungen zu "demokratisieren", wodurch sie auch für kleinere Unternehmen zugänglicher geworden seien, die sich diese in der Vergangenheit nicht leisten konnten.

Hyppönen merkte an, dass Deepfake-Betrug derzeit noch sehr selten sei, fügte aber hinzu, dass er erwarte, dass alle Arten von Online-Betrug, einschließlich Ransomware, zunehmen würden, da KI-Technologien immer besser und günstiger würden.

Die gute Nachricht ist, dass die Verteidiger in Sachen KI einen Vorsprung haben.

„Auch Angreifer nutzen KI, aber sie stehen erst am Anfang“, sagte er. „Bisher haben wir nur relativ einfache Angriffe mit KI gesehen.“ Das wird sich ändern, aber im Moment würde ich sagen, wir sind vorbereitet.“