18.09.2023 KI-gestütztes Phishing

Faktor Mensch im Fadenkreuz

Von: Al Lakhani

Künstliche Intelligenz trifft kriminelle Energie: Wie können sich Unternehmen gegen die neue Bedrohung des KI-Phishing schützen?

Phishing-E-Mails werden immer besser und dank KI sind sie für die Empfänger oft kaum noch als Fälschung zu erkennen.

Die Veröffentlichung von ChatGPT Ende 2022 hat Künstliche Intelligenz (KI) erstmals einer breiten Masse zugänglich gemacht – und damit auch ihr kriminelles Potenzial. Neben der Möglichkeit, ChatGPT durch geschickte Prompts für illegale Zwecke zu nutzen, tauchen auf einschlägigen Marktplätzen im Darknet vermehrt unregulierte KIs auf, die für kriminelle Aktivitäten verwendet werden. Auch das Bundeskriminalamt beobachtet in seinem im August 2023 veröffentlichten Bundeslagebild Cybercrime 2022 die wachsende Rolle von KI-gestütztem Cyberverbrechen. Für CIOs bedeutet das: Die Gefahr, dass sensible Daten ihrer Organisation in unbefugte Hände fallen, ist größer denn je.

Ein existenzielles Risiko für KMU

In einer Studie der Europäischen Agentur für Cybersicherheit (ENISA) gaben 90 Prozent der befragten KMU an, dass Cybersicherheitsprobleme innerhalb einer Woche nach Auftreten ernsthafte negative Auswirkungen auf ihr Geschäft haben würden. Besonders alarmierend: 57 Prozent der Befragten gaben an, wahrscheinlich in den Bankrott zu gehen oder das Geschäft aufzugeben, falls sie Opfer eines schwerwiegenden Cybervorfalls werden. Laut Deloitte beginnen 91 Prozent aller Cyberangriffe mit einer Phishing-E-Mail.

Phishing-E-Mails waren früher häufig auf den ersten Blick zu erkennen: Eine unpersönliche Ansprache, abenteuerliche Grammatik und hanebüchene Vorwände (Stichwort: nigerianischer Prinz in Geldnot) lieferten eindeutige Warnsignale, hier nicht auf Links oder Dateianhänge zu klicken. Dank KI werden offensichtliche Sprachschnitzer inzwischen immer seltener. Phishing-Mails sind zunehmend personalisiert und kontextbezogen, was sie für die Empfänger authentischer und überzeugender macht.

Besonders bei wertvollen internen Unternehmensdaten werden die Opfer gezielt ausgewählt und angesprochen, um die Glaubwürdigkeit der Phishing-Mail zu erhöhen (auch als „Spear Phishing“ bekannt). KI hat diese bösartige Praxis nun für die Massen zugänglich gemacht und den Prozess vollständig automatisiert. Gerät eine fingierte IT-Support-Mail, gepaart mit einem Link zu einer sehr gut nachgemachten Eingabemaske und einer täuschend echten URL an unachtsame Angestellte, ist das Datendebakel perfekt – und das Unternehmen steht schlimmstenfalls vor dem Aus.

Das Passwort hat längst ausgedient

Dass Passwörter nur einen sehr rudimentären Schutz bieten, hat sich mittlerweile herumgesprochen. Auch die oft empfohlene Zwei-Faktor-Authentifizierung hat Schwachstellen – und selbst wenn mehrere Faktoren abgefragt werden, wie es bei einer Multi-Faktor-Authentifizierung (MFA) der Fall ist, kann nicht automatisch von Phishing-Sicherheit ausgegangen werden. So haben Angreifer verschiedene Methoden entwickelt, um eine MFA zu umgehen. Verbreitet sind Adversary-in-the-Middle-Angriffe, bei denen sie einen Phishing-Angriff mit einem Proxy-Server kombinieren, um Session-Cookies zu stehlen. Weitere Verfahren sind das Abfangen von SMS-Codes, das Verwenden von Malware zum Stehlen von Codes und die Übernahme von Geräten, um Authenticator-Apps zu nutzen.

Wie eine Phishing-sichere MFA aussieht

Der Schlüssel zu einer wirksamen und Phishing-resistenten MFA liegt in der Anwendung des FIDO2/WebAuthN-Standards, wie ihn z.B. Idee GmbH bietet. Um Phishing-sicher zu sein, muss man jedoch noch weiter gehen und sich auf ein System des transitiven Vertrauens stützen: Hier kann einem neuen System nur dann vertraut werden, wenn es von einem bestehenden vertrauenswürdigen System genehmigt wird. Dadurch wird sichergestellt, dass der gesamte Lebenszyklus der Benutzeridentität gegen das Phishing von Anmeldeinformationen immun ist. Darüber hinaus sollte sich die ideale MFA direkt auf dem Gerät des Nutzers authentifizieren, keinem System ungeprüft vertrauen („Zero Trust“), keine Nutzerdaten offenlegen („Zero Knowledge“) und keine personenbezogenen Daten speichern („Zero PII“). Eine MFA, die diese Techniken kombiniert, schützt nicht nur gegen herkömmliches Phishing, sondern bietet auch eine entscheidende Verteidigungslinie gegen die immer raffinierteren KI-gesteuerten Phishing-Angriffe.