Cyber-Resilienz: Widerstandsfähigkeit gegen digitale Angriffe

Allein in Deutschland belief sich der Gesamtschaden durch cyberkriminelle Aktivitäten im Jahr 2023 auf insgesamt 205,9 Milliarden Euro. Das größte Sicherheitsrisiko dabei ist häufig der Mensch. Durch den Einsatz von KI haben sich die Risiken für Cyberangriffe noch einmal vergrößert – andererseits bietet künstliche Intelligenz aber auch neue Möglichkeiten, Systeme besser zu schützen.

Die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) für das gleiche Jahr veröffentlichten Zahlen visualisieren den rapiden Anstieg an Bedrohungen aus dem Cyberraum. Betroffen waren 2023 namhafte Unternehmen und Institutionen. Auffallend ist dabei laut BSI: Insbesondere bei so genannter Ransomware – also Schadsoftware, die Systeme von außen lahmgelegen, um etwa ein Lösegeld zu erpressen – hackt sich immer häufiger nicht nur in die Systeme von zahlungskräftigen Unternehmen und großen Organisationen ein. Auch KMU (kleine und mittlere Unternehmen), Behörden/Institutionen, Privatpersonen und inzwischen auch Parteien werden zu Angriffsopfern. Das zeigt, wie wichtig es ist, IT-Systeme und -Umgebungen resilienter zu machen.

Allgemeine Herausforderungen im Cyber Risk Management

Die Implementierung solcher Sicherheitstechnologien ist in der Regel mit erheblichen technischen Herausforderungen verbunden. Zu den größten zählt die Integration neuer Sicherheitssysteme in bestehende IT-Infrastrukturen. Gerade KMU arbeiten häufig noch mit alten Systemen, die nicht nahtlos mit modernen, KI-basierten Sicherheitstools kompatibel sind. Werden umfassende Systemaktualisierungen nicht gleichzeitig vorgenommen, kann dies zu temporären Sicherheitslücken führen. Hinzu kommt, dass nicht nur die Implementierung selbst, sondern auch die dauerhafte Wartung der neuen Systeme spezielles Wissen voraussetzt. Insbesondere kleinere Unternehmen können dies oft nicht abbilden. Gemäß „Cybersecurity jobs report“ werden bis 2025 weltweit rund 3,5 Millionen Stellen im Bereich der Cybersicherheit unbesetzt bleiben. Zudem sind die Kosten zur Herstellung von Cyber-Resilienz alles andere als marginal.

Typische Angriffsszenarien und der Faktor Mensch

Eines der häufigsten Einfallstore für Hacker sind unzureichende Updates und Patches. Cyberkriminelle nutzen diese Sicherheitslücken, um Malware oder Ransomware einzuschleusen. Ein weiteres typisches Angriffsszenario stellen DDoS-Attacken (Distributed Denial of Service) dar, bei denen zahlreiche kompromittierte Systeme verwendet werden, um die Online-Dienste eines Unternehmens zu überlasten und auf diese Weise lahmzulegen. Aber auch Phishing-Versuche, bei denen Angreifer über scheinbar legitime E-Mails oder Nachrichten versuchen, an sensible Informationen zu gelangen, werden zunehmend ausgefeilter und sind für die Empfänger schwerer zu erkennen. Das größte Sicherheitsrisiko dabei ist häufig der Faktor Mensch. Deshalb sollten Schulungen für mehr Cyber Security Awareness zum integralen Bestandteil jeder Unternehmenskultur werden. Die beste Kombination für mehr Cybersicherheit ist immer eine Mischung aus sensibilisierten Mitarbeitenden und passgenauer Technik.

Vermehrte Sicherheitsrisiken durch KI-Technologie

Auch das sogenannte Social Engineering – also die gezielte Manipulation von Personen, um an geschützte Daten und Information zu gelangen – wird durch KI-Technologie nochmal verstärkt. So tragen Deep Fakes oder Voice Cloning dazu bei, dass Mitarbeitende keinen Verdacht auf eine Cyberattacke schöpfen, wenn die manipulierten Videos oder Sprachnachrichten vom Chef täuschend echt wirken. Mit KI erstellte Phishing-Mails enthalten zudem noch kaum Rechtschreib- oder Grammatikfehler und sind dadurch weniger auffällig. Eine Studie aus dem Jahr 2021 zeigt, dass bereits zu diesem Zeitpunkt durchschnittlich 700 Unternehmen von Angriffen durch Social Engineering jährlich betroffen waren. Seit der zunehmenden Verbreitung von Technologien mit künstliche Intelligenz dürfte die Zahl nochmal gestiegen sein, weil die Angriffe hierdurch noch komplexer und überzeugender gestaltet werden können. Wie einfach der Betrug mithilfe solcher AI-Tools sein kann, zeigte der Selbstversuch der amerikanischen Journalistin Joanna Stern im vergangenen Jahr. Darin schuf sie situative KI-generierte Clone von sich und untersuchte deren Wirksamkeit. Die Ergebnisse hat sie in einem sehenswerten Video festgehalten.

KI proaktiv gegen Cyberkriminalität einsetzen

Umgekehrt können Unternehmen künstliche Intelligenz aber auch dazu nutzen, ihre Systeme besser zu schützen. Etwa durch den Einsatz von Algorithmen, die große Datenmengen analysieren, verdächtige Aktivitäten identifizieren und so auf potenzielle Sicherheitsverletzungen hinweisen. Phishing-Angriffe können dank KI abgewehrt werden, weil Natural Language Processing (NLP) dabei hilft, verdächtige Muster zu erkennen. Und auch bei den durch KI generierten Deep Fakes lassen sich mithilfe der gleichen Technologie Verhaltensabweichungen leichter erkennen, um die Fälschungen offenzulegen.

Präventive Maßnahmen vonseiten der Politik

Als Antwort auf die zunehmende Bedrohung hat die EU die nächste Richtlinie zur Sicherheit von Netz- und Informationssystemen (NIS2) mit umfangreichen Anforderungen erarbeitet. Diese soll bis Oktober 2024 in den EU-Mitgliedstaaten in nationales Recht überführt werden. Es geht darum, ein hohes gemeinsames Cybersicherheitsniveau in der europäischen Union zu erwirken.  

Um das zu erreichen, erweitert NIS2 den Anwendungsbereich im Vergleich zur ursprünglichen NIS-Richtlinie deutlich. Zum Kreis der als wesentlich für die Gesellschaft und Wirtschaft angesehen Bereiche gehören nun neben öffentlichen Verwaltungen auch Organisationen aus den Bereichen Abfallwirtschaft, Lebensmittel- und pharmazeutische Industrie, der Raumfahrtsektor oder auch Datenverarbeitungszentren und Kommunikationsnetzwerke.

Darüber hinaus verlangt die Richtlinie von den betroffenen Unternehmen und Organisationen, strengere Sicherheitsmaßnahmen zu ergreifen, ernsthafte Cybersecurity-Vorfälle zu melden und umfassende Risikomanagementpraktiken einzuführen und darüber in regelmäßigen Abständen zu berichten.

Die NIS2-Richtlinie stärkt also auch die Rolle der nationalen Aufsichtsbehörden, die die Einhaltung der Richtlinien überwachen und Sanktionen verhängen müssen, sollte die Vorgaben nicht eingehalten werden. Ferner fördert das Vorgehen die grenzüberschreitende Zusammenarbeit zwischen den EU-Mitgliedstaaten im Kampf gegen Cyberbedrohungen. Auch national ist der Blick auf mehr Cyber-Resilienz geschärft, wie der BSI-Bericht zur Lage der IT-Sicherheit in Deutschland verdeutlicht.

Cyber-Resilienz braucht Gestaltungswillen

Die fortschreitende Entwicklung von KI-basierten Angriffstechnologien stellt Unternehmen vor immer größere Herausforderungen. Doch genauso wie KI von Angreifern genutzt wird, kann sie auch zum Schutz und zur Stärkung der Cybersicherheit eingesetzt werden.

Für Unternehmen ist es deshalb unerlässlich, in moderne Sicherheitslösungen zu investieren und ihre Systeme kontinuierlich zu aktualisieren, um gegen die wachsenden Bedrohungen gewappnet zu sein. Genauso wichtig ist es auch, im Vorfeld Incident Response-Pläne zu erarbeiten, um schnell und effektiv auf Sicherheitsvorfälle zu reagieren, Bedrohungen zu isolieren und Schäden zu minimieren. Die Kombination aus technologischen Innovationen und gut geschultem Personal bildet das Fundament von wirksamem Cyber Risk Management und unterstützt das digitale Immunsystem für Organisationen und Unternehmen.

Text: Alexa Brandt