KI-gestützte Cyberbedrohungen : Der Plan der EZB zur Stärkung der KI-Abwehr

Am 7. Juli hat die Europäische Zentralbank (EZB) die bedeutenden Institute im Euroraum aufgefordert, bis zum 31. Oktober einen dokumentierten Aktionsplan gegen KI-gestützte Cyberangriffe vorzulegen. Ob sich dieser Aufwand auszahlt, entscheidet sich in einem Bereich, in dem echte Fortschritte womöglich am dringendsten nötig sind: bei der Absicherung digitaler Identitäten.

Ab dem 31. Oktober müssen Institute im Euroraum einen dokumentierten, ergebnisorientierten Aktionsplan präsentieren, der die Risiken KI-gestützter Cyberangriffe mindert. Die EZB will Ergebnisse sehen, nicht bloß Absichtserklärungen.

Die Gründe dafür, jetzt zu handeln, liegen auf der Hand: Künstliche Intelligenz (KI) verkürzt die Zeitspanne zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung auf wenige Minuten und die Identität wird per Phishing zur zentralen Angriffsfläche. Identitäten abzusichern, ist die eine Schutzschicht, die Banken kurzfristig verstärken können – innerhalb ihrer bestehenden IAM-Infrastruktur und ohne auf einen umfassenden Umbau ihrer IT warten zu müssen.

Bei den heute weit verbreiteten Legacy-Authentifizierungsverfahren gibt es derzeit zwei zentrale Schwachstellen: Erstens sind sie von Natur aus unsicher, weil sie auf menschliches Urteilsvermögen zurückgreifen. Zweitens eröffnen sie Angreifern ungeschützte Zugangswege über Helpdesks und Callcenter. Agentische KI-Modelle sind inzwischen in der Lage, täuschend echte Phishing-Nachrichten massenhaft zu produzieren und Stimmen zu reproduzieren, um Nutzer bei der Kontowiederherstellung zu täuschen. Die Erwartung, dass ein Mitarbeiter oder ein Kunde betrügerische Nachrichten erkennt, taugt nicht mehr als Sicherheitskontrolle.

Die Bedeutung eines hardwaregestützten Vertrauensankers

Die EZB benennt Multi-Faktor-Authentisierung (MFA) als Basiskontrolle, unterscheidet aber nicht zwischen den einzelnen Authentifizierungsverfahren und der Frage, welche davon ein höheres Sicherheitsniveau bieten als andere. Legacy-Verfahren wie SMS-Codes, App-basierte Einmalpasswörter und Push-Bestätigungen beruhen auf geteilten Geheimnissen und erfordern menschliche Interaktion: einen Code ablesen, eine Anfrage freigeben, einer Stimme vertrauen.

Angreifer dagegen sind dank KI und dem Einsatz von Adversary-in-the-Middle-Proxys raffinierter und schneller als je zuvor. Landet ein Nutzer auf einer KI-generierten Seite, fängt der Proxy die Zugangsdaten und das Einmalpasswort in Echtzeit ab und leitet beides an den echten Bankserver weiter. Bei Push-Verfahren muss der Nutzer den Login lediglich bestätigen und mit dem gestohlenen Passwort kann der Angreifer diese Aufforderung selbst auslösen und so lange wiederholen, bis der Nutzer sie freigibt.

Phishing-resistente Authentifizierungsverfahren auf Basis der FIDO2/WebAuthn-Protokolle mit asymmetrischer Kryptografie, etwa Passkeys, schaffen einen hardwaregestützten Vertrauensanker (Root of Trust), der die Identität des Nutzers physisch und kryptografisch garantiert. Hardwaregestützte Passkeys bieten dabei das höchste Sicherheitsniveau: Öffentlicher und privater Schlüssel bleiben getrennt, und der Nutzer muss seine Authentifizierungsabsicht durch Antippen des Schlüssels nachweisen. Der private Schlüssel verlässt das Secure Element im Inneren des Geräts nie, es existiert also kein Geheimnis, das eine KI abfangen oder jemandem entlocken könnte. Wird ein Nutzer auf eine gefälschte Domain gelockt, erzeugt der Schlüssel eine Signatur, die ausschließlich für diese Adresse gültig und auf dem echten Bankportal wertlos ist.

Strategische Sicherheit statt Häkchen setzen

Für die Selbsteinschätzung eines Instituts mag der Nachweis, dass MFA im Einsatz ist, zur Erfüllung der EZB-Vorgabe durchaus genügen. Das Joint Supervisory Team wird jedoch zusätzliche Anstrengungen in Richtung operativer Resilienz erwarten. Red-Team-Übungen zeigen, ob automatisierte Phishing-Kits oder geklonte Stimmen Authentifizierungs- und Helpdesk-Prozesse aushebeln können. Wo ihnen das gelingt, beruht der Schutz weiterhin auf Geheimnissen, die sich abgreifen lassen.

Die EZB geht davon aus, dass der klassische Verteidigungsperimeter KI-gestützten Cyberbedrohungen nicht standhalten wird. Damit rückt die Identitätsprüfung als letzte Barriere vor den Kernsystemen in den Fokus. Findet eines der KI-Werkzeuge eine Softwarelücke, liefern gestohlene Zugangsdaten den legitimen Zugang, um sie auszunutzen. Unterschätzt werden in diesem Zusammenhang die Zugriffsrechte von Servicekonten, APIs und Maschinen sowie die Zugänge externer Dienstleister, die vielerorts schlechter abgesichert sind als die der eigenen Belegschaft.

Das Schreiben der EZB richtete sich zunächst nur an die bedeutendsten Institute. Zahlreiche kleinere Banken haben es nicht erhalten, sind jedoch mit den gleichen Risiken konfrontiert. Sie sind gut beraten, nicht abzuwarten, sondern ihre Identitätskontrollen proaktiv an Phishing-resistenten Standards auszurichten, bevor die Aufsicht auch hier nachfasst.

Die EZB hat zudem ein weiteres Schreiben zu den Risiken durch Quantencomputer angekündigt, denn Angreifer sind schon heute in der Lage, verschlüsselte Daten zu sammeln, um sie künftig mit neuen Rechenkapazitäten zu knacken. Institute, die die Oktober-Frist jetzt nutzen, um herkömmliche Passwörter und Einmalcodes durch Passkeys zu ersetzen, handeln daher strategisch: Sie legen das kryptografische Fundament für die spätere Migration zur Post-Quanten-Kryptografie und erfüllen mit einer einzigen Investition in das Identitätsmanagement zugleich die strengen Risikomanagement-Anforderungen der europaweit geltenden Verordnung Digital Operational Resilience Act (DORA).

Poupak Enbom ist Chief Market and Business Development Officer bei Yubico. Dort leitet sie die globalen Marketing- und Business-Development-Bereiche des Unternehmens mit dem Ziel, die Verbreitung phishing-resistenter Authentifizierung voranzutreiben und das Vertrauen in moderne digitale Identitäten zu stärken.