Webseiten programmieren, Hausarbeiten schreiben, Plakatkampagnen entwickeln – nahezu täglich verblüffen uns derzeit Nutzer:innen mit neuen Anwendungsfällen für generative KI-Tools wie ChatGPT oder Midjourney. Auch Unternehmen versuchen, von den Möglichkeiten der Algorithmen zu profitieren und passende Workflows für ihre Prozesslandschaften zu entwickeln. Während die gesellschaftliche Debatte über Chancen und Risiken der Technologie längst im Gange ist, bleibt der Diskurs um die ganz konkrete Gefährdungslage für Unternehmen im Hier und Jetzt verdächtig still – zumindest außerhalb von Cybersicherheitskreisen. Das ist fatal, denn mit den neuen Möglichkeiten verändern sich auch die Angriffsvektoren grundlegend.
In wenigen Schritten zum funktionsfähigen Malware-Code
Large Language Models (LLM) haben das Potenzial, die Einstiegshürden für Cyberkriminelle drastisch zu senken. Mussten Bedrohungsakteure für potente Schadsoftware bisher zumindest die richtigen Kontakte im Netz knüpfen und gegebenenfalls auch Barrieren wie den Zutritt zu speziellen Messageboards oder dem Darknet überwinden, machen neue Werkzeuge es heute bedeutend einfacher. Hinzu kommt, dass Angreifende die Technologie, genau wie Unternehmen, vermehrt einsetzen, um effizienter zu werden. Die Folge: Bedrohungsakteure automatisieren in Zukunft immer mehr Schritte in der Planung und Durchführung ihrer Angriffe. Unternehmen müssen sich dementsprechend darauf einstellen, dass das Angriffsaufkommen mittelfristig erheblich steigt.
Der Innovationssprung im Feld der generativen KI könnte zukünftig vor allem bei der Vorbereitung von Cyberattacken eine wichtige Rolle spielen. Durch die Fähigkeit, bestimmte Rollen und Perspektiven einzunehmen, sind die Sprachmodelle nämlich wie geschaffen dafür, Cyberkriminelle beim Social Engineering zu unterstützen. Sie recherchieren so nicht nur schnell den richtigen Kontext für gezielte Manipulationen, sondern erstellen auch gleich authentisch anmutende Kommunikationsbausteine.
Dadurch wird es für die Mitarbeitenden in den Unternehmen immer schwerer zu erkennen, ob gerade Vorgesetzte mit ihnen kommunizieren – oder eben doch Kriminelle, die auf schnelles Geld oder sensible Daten aus sind. Eine Gefahr, die sich mit den Fortschritten bei der Bilderstellung durch KI und entsprechend Deepfakes erheblich verschärft. Bringen kriminelle Hacker gefälschte Videos von Pressekonferenzen oder anderen öffentlichen Auftritten von Vorstandsmitgliedern in den Umlauf, können sie gezielt Einfluss auf Aktienkurse nehmen und der Reputation der Unternehmen erheblich schaden.
Perimeter auf technologischer und menschlicher Ebene stärken
Unternehmen können schon jetzt die Weichen stellen, um zukünftige Sicherheitsrisiken in Zusammenhang mit generativer KI zu reduzieren. Dabei werden die meisten nicht umhinkommen, ihre Investments in die IT-Sicherheit zu erhöhen – und zwar sowohl auf technologischer Ebene als auch in puncto Weiterbildung. Zunächst sollte die eigene digitale Infrastruktur hinsichtlich der neuen Angriffsvektoren und dem erhöhten Aufkommen geprüft und verstärkt werden. Eine Aufgabe, bei der beispielsweise Lösungen für Threat Intelligence helfen können.
Diese eröffnen Unternehmen eine umfassende, präzise und aktuelle Sicht auf die Bedrohungslandschaft, um frühzeitig Gegenmaßnahmen ergreifen zu können. Expert:innen können anhand der Analysen frühzeitig aus einer Vielzahl potenzieller Angriffsvektoren die Bedrohungen identifizieren, die eine akute Gefahr darstellen. So lassen sich Ressourcen im Ernstfall gezielt mobilisieren, um die Abwehr zu stärken. Systeme für Security Information and Event Management (SIEM) helfen ebenfalls dabei, aus dem konstanten Rauschen relevante Informationen über potenzielle Sicherheitsrisiken herauszufiltern.
Der wichtigste Faktor – neben diesen technischen Grundlagen – ist, zukünftig die Sensibilisierung der Mitarbeitenden sicherzustellen. Unternehmen müssen diese gezielt darauf schulen, Täuschungen, Betrugsversuche und Manipulationen zu identifizieren. Das ist in Anbetracht der rasant wachsenden Qualität generativer KI-Systeme eine enorme Herausforderung. Schon jetzt sind künstlich erstellte Fotos im Umlauf, die nur schwer als Fälschung zu enttarnen sind. Der aktuell wohl bekannteste Fall: ein täuschend echtes Bild von Papst Franziskus in trendiger Daunenjacke – erstellt mit dem KI-Bildgenerator Midjourney. So unterhaltsam diese Causa für einen kurzen Moment gewesen sein mag, so dringlich zeigt sie auch die Notwendigkeit einer drastisch erhöhten Aufmerksamkeit.
Eigenverantwortung im Mittelpunkt
Dass der Ruf nach einer starken Regulierung in Anbetracht dieser neuen Gefahren lauter wird, ist durchaus nachvollziehbar. Einzig: Gesetze adressieren nicht die Unsicherheiten der Bevölkerung, wenn es um technologische Fortschritte geht. So besteht beispielsweise die Skepsis gegenüber Desinformation in den sozialen Netzwerken auch nach der Verabschiedung des neuen Digital Services Acts im vergangenen Jahr.
Neben verbindlichen Standards für Hochrisikosysteme sowie belastbaren Gütesiegeln braucht es vielmehr einen chancenorientierten Downstream-Ansatz für die Regulierung, der die Eigenverantwortung der Unternehmen in den Mittelpunkt stellt und die Innovationskraft fördert. Denn Fakt ist, dass wir uns an einem Wendepunkt befinden, der über unsere zukünftige Position im internationalen Wettbewerb entscheiden wird. In den nächsten Monaten und Jahren wird sich zeigen, ob wir mit Deutschland und Europa zu den Pionieren gehören oder ins Mittelfeld zurückfallen. Die Implikationen sind groß – nicht nur für den Wettbewerb, sondern auch für die digitale Souveränität.
Hendrik A. Reese ist Partner und Ansprechpartner für Künstliche Intelligenz bei PwC Deutschland.
