Wenn ChatGPT & Co. von Cyberkriminellen genutzt werden ...
KI ante portas: Nie gab es höhere Herausforderungen für die Sicherheit. Der aktuelle BSI-Lagebericht zur IT-Sicherheit in Deutschland 2023 zeigt eine höhere Bedrohung als je zuvor. Cyberresilienz geht alle an!
Claudia Plattner, Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI) präsentierte Anfang November den aktuellen Jahresreport in Berlin. Sie sagt, mit der fortschreitenden Digitalisierung und Vernetzung vergrößerten sich auch die Angriffsflächen – und diese würden in der Tat genutzt! Mit Blick auf das Betrugsgeschehen fasst kartensicherheit.de den Stand der Entwicklungen für Sie zusammen.
Ein Booster für die dunkle Seite des Cyberraums
Einfach bedienbare Systeme mit künstlicher Intelligenz wie ChatGPT, Bard oder LlaMa bieten der breiten Bevölkerung heute faszinierende Möglichkeiten. Auch weniger technikaffine Menschen erreichen damit hohe Ergebnisqualitäten. Die vielzähligen KI-Tools sorgen aber auch für völlig neue Risiken. Besser und schneller als menschliche Cyberkriminelle, können KI-Systeme immer gerissener digitale Lösungen ausarbeiten. Und derartig generierte Erzeugnisse sind dann auch schwerer zu entlarven. Inzwischen zeigen sich KI-gestützte Methoden zum Beispiel bei ...
- authentisch wirkenden Deepfakes, also manipulierten Bildern, Videos und Stimmen – so auch beim „Enkeltrick“ per Voice Scam.
- Desinformationskampagnen in sozialen Medien – zum Beispiel im Zusammenhang mit den Kriegen in der Ukraine und Israel-Gaza-Region;
- der Generierung von Schadsoftware;
- immer glaubwürdiger erscheinenden Phishing-Mails.
BSI diagnostiziert Schwachstellen hoch drei
Der Bericht des Bundesamtes bezeichnet die Bedrohungsveränderung als systemisch. Gleich "drei Achillesversen" zeichnet das Lagebild.
Als ob Social Engineering, die Manipulation der „Schwachstelle Mensch“, noch nicht genug wäre: Die KI kann selbst zur Schwachstelle werden! Denn auch sie kann gehackt und missbräuchlich eingesetzt werden. Einen Angriffsvektor stellen die Daten dar, mit denen das KI-System trainiert wird; es lernt unterschiedslos lancierte Fehlinformationen oder bösartigen Code und reproduziert alles. Einen Namen hat die Manipulation der „Schwachstelle KI“ auch schon: „Prompt Engineering“, abgeleitet von „prompten“, womit das Formulieren der Aufgaben fürs KI-System bezeichnet wird.
Stellen Sie sich so etwas wie ein „gehacktes ChatGPT auf Abwegen“ vor und umso klarer wird die Warnung des BSI: Kriminell modifizierte KI-Sprachmodelle werden Skalierungseffekte auf bekannte Betrugsmethoden wie Phishing ausüben. Nur ein konkretes Beispiel, das Cyberkriminelle bereits auf dem Radar haben dürften: In einem Firmennetzwerk einen Chatbot zu kapern, um dessen gesammeltes Unternehmenswissen und dessen Zugriffsrechte zu manipulieren, eröffnet Hackern neue Angriffsfelder.
Drittens ist da die „Schwachstelle Software“. In Softwareprodukten registriert das BSI immer häufiger wunde Punkte. Mehr als 2.000 wurden im Monatsdurchschnitt des Berichtszeitraums erkannt, ein Zuwachs von 24 %. Und 15 % der Code-Schwachstellen waren kritisch. Die potenzielle Schadenswirkung solcher Einfallstore für cyberkriminelle Machenschaften wächst zeitgleich.
Wie steigern Cyberkriminelle ihre Professionalität?
Mit Unterstützung künstlicher Intelligenz bringen es natürlich Einzelne weiter, doch damit nicht genug. Im Darknet kursieren immer neue KI-Tools. Das Prinzip der Arbeitsteilung ist offenkundig zuträglich fürs dunkle Geschäft im Cyberraum, bescheinigt der BSI-Bericht. Durch Spezialisierung auf bestimmte Dienstleistungen sowie durch die Vernetzung über Branchen- und Ländergrenzen hinweg hat das Konzept „Cybercrime-as-a-Service“ Konjunktur. Vor dem Hintergrund dieses Geschäftsmodells ist die Bedrohungslandschaft mit KI-Verstärkung einzuordnen.
Warum Cyberkriminalität die gesamte Gesellschaft betrifft
Wir alle werden direkt oder indirekt geschädigt. Die herausragenden Bedrohungen hat das BSI nach Zielgruppen aufgeteilt. Für Bürgerinnen und Bürger sind es Identitätsdiebstahl, Sextortion (Erpressungsversuche mit kompromittierendem Bild- oder Textmaterial) und Phishing. Für Wirtschaft und Staat & Verwaltung bleibt Ransomware die größte Bedrohung. Gleichwohl gelangen dabei persönliche Daten der Bürger:innen in falsche Hände. Auch sind kleine und mittlere Organisationen sowie staatliche Institutionen, Kommunalverwaltungen und kommunale Betriebe vermehrt von Ransomware-Angriffen betroffen. Zum Datendiebstahl gesellen sich dann Erpressung, Spionage, Sabotage bis hin zum Lahmlegen kritischer Infrastrukturen. „Ransomware stört ganze Wertschöpfungsketten nachhaltig“, betont Plattner.
Spätestens 2024 wird Cybersicherheit für die breite Masse zum Topthema
„Weltgrößte Bank von Hackerangriff betroffen“, „Cyberangriff bei großer Bank: Tausende Konten blockiert“ ... Schlagzeilen dieser Art haben sich im November weiter gemehrt. Nach Angaben von Bitkom entstehen durch Cybercrime 206 Milliarden Euro Schaden im Jahr, was 43 % des Bundeshaushalts entspräche. Das BSI berichtet von bis zu 45.000 befallenen Geräten am Tag. Und rund 40.000 Unternehmen hierzulande – mehr als zehnmal so viele wie bisher – müssen im kommenden Jahr bei der IT-Sicherheit massiv nachlegen; die neue EU-Richtlinie NIS2 droht sonst mit ähnlich hohen Strafen wie bei der Umsetzung der DSGVO.
Cyberresilienz stellt Wirtschaft, Staat und Verwaltung vor nie dagewesene Herausforderungen, auch personell. Vom Profi-Wissen der IT-Abteilungen sind aber die meisten Bürgerinnen und Bürger weit entfernt; ihr technisch machbarer Schutz und ihre menschlichen, psychologisch manipulierbaren Schwachstellen stellen einen Schwierigkeitsgrad dar, bei dem eines sicher scheint: Allein damit lassen darf man die Bevölkerung nicht.
Und was gibt Anlass zur Hoffnung?
Künstliche Intelligenz kann auch für die Verteidigung gegen Hackerangriffe eingesetzt werden. KI kann Computersysteme sicherer machen. Unternehmen können ihr Personal auf mögliche Angriffsszenarien schulen lassen. Die Implementierung strengerer E-Mail-Prüfsysteme kann dabei helfen, böswillig manipulierte Nachrichten zu filtern. Ein gigantischer Arbeitsmarkt der Zukunft sucht Nachwuchs.
Quellen:
https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html
https://www.heise.de/news/ChatGPT-Co-BSI-sieht-nie-dagewesene-Herausforderungen-fuer-die-Sicherheit-9351813.html
https://www.golem.de/news/chatbot-fuer-cyberkriminelle-wormgpt-generiert-aeusserst-ueberzeugende-phishing-mails-2307-175894.html
https://www.pcgameshardware.de/Kuenstliche-Intelligenz-Hardware-279517/News/KI-aus-dem-Darknet-WormGPT-FraudGPT-Darkbert-Darkbart-1425855/
https://www.handelsblatt.com/technik/ki/wormgpt-und-fraudgpt-ki-macht-auch-weniger-talentierte-zu-trickbetruegern/29333912.html
https://www.manager-magazin.de/harvard/cybersicherheit-neue-regeln-fuer-besseren-schutz-kritischer-infrastruktur-a-9becc267-b01d-432c-b2a3-fa4cb0e254cb
