KI im Einsatz gegen Kriminalität

Cyberkriminalität ist aktuell in aller Munde: Gängige Sicherheitsmaßnahmen greifen oft nicht mehr, Hacker werden professioneller und IT-Teams sind überlastet – keine guten Voraussetzungen für Unternehmen, um effizient gegen Cyberkriminalität vorgehen zu können. Auch der jährliche Barracuda-Bericht über die Entwicklung von Ransomware-Angriffen spricht eine eindeutige Sprache: Die Attacken sind weltweit um 64 Prozent gestiegen – innerhalb nur eines Jahres.

Die Covid-19-Krise mit der einhergehenden Umstellung auf Homeoffice und der andauernden hybriden Arbeitssituation scheint außerdem zu teureren Datenvorfällen geführt zu haben – das belegt die „Cost of a Data Breach“-Studie 2021 des Ponemon-Instituts. Und die aktuelle OTRS-Studie zeigt: Nur etwa die Hälfte der IT-Sicherheitsteams sind optimal auf einen Sicherheitsvorfall vorbereitet.

Diese und weitere Studien belegen, was in den Medien bereits tagtäglich berichtet wird: Unternehmen mit unausgereifter oder veralteter IT-Sicherheit haben ein Problem. „Durch den harten Übergang ins Homeoffice und die intensivierte Online-Kommunikation entstanden an vielen Stellen Sicherheitslücken. Das haben Cyberkriminelle schnell erkannt und gezielte Cyberattacken sind die Folge“, sagt Michael Watzl, Director Channel Sales DACH bei Mimecast.

Ransomware as a Service

„Wir gehen davon aus, dass die Zahl der Attacken höher ist als die Zahl der Meldungen – die Dunkelziffer ist immens“, betont Andreas Riepen, Head of Central & Eastern Europe (CEE) bei Vectra AI. Gegenwärtig sehe er vor allem Brute-Force-Attacken und Ransomware-Angriffe. „Diese werden für Kriminelle immer einfacher auszuführen und werden sowohl als Service als auch als Baukasten angeboten, was nur minimale IT-Kenntnisse aufseiten der Kriminellen erfordert.“ Kevin Börner, Senior Sales Engineer DACH bei Deep Instinct, sieht neben dem Trend zum mobilen Arbeiten auch die Digitale Transformation und die Einführung und Ausweitung in die Cloud als Gründe für die Zunahme von Sicherheitsvorfällen. „Das bedeutet, dass die Angriffsfläche für Unternehmen rapide zunimmt“, erläutert der Experte.

Alle drei Experten sehen Ransomware-Angriffe als eine der häufigsten aktuellen Angriffsmethoden von Cyberkriminellen. „Um an ihr Ziel zu kommen, versuchen sie zumeist, digitale Identitäten zu übernehmen, um damit möglichst lange unauffällig IT-Systeme auszuspionieren und Berechtigungen im Netzwerk zu erlangen“, berichtet Riepen. „Die Folgen der Attacken reichen von Reputationsschäden, dem Stehlen und Verschlüsseln von Daten bis hin zum Stilllegen ganzer Unternehmen.“ Eines der Probleme dabei: „Ein einziger unvorsichtiger Klick eines Mitarbeiters kann im Ernstfall reichen, um Schaden anzurichten“, erklärt Michael Watzl. Denn: „Die Cyberkriminellen werden immer geschickter und personifiziere Attacken so ausgeklügelt, dass eine gefälschte E-Mail selbst für das geschulte Auge praktisch nicht mehr von einer normalen zu unterscheiden ist.“ Weitere mögliche Folgen von Malware-Angriffen sind laut Kevin Börner die Belästigung durch übermäßige Werbeeinblendungen oder die Umleitung auf bösartige Websites, möglicher Datendiebstahl, die Beschädigung oder Zerstörung wichtiger Systemdateien oder Daten bis hin zur Erpressung von Lösegeld für Daten eines Unternehmens.
 
Was die Problematik gerade für Mittelständler verschärft, ist, dass sie in der Regel über kleine IT-Teams verfügen. „Das macht sie zu einem leichten Ziel“, betont der Deep-Instinct-Experte. „Cyberkriminelle sind stets wachsam und entwickeln ihre Angriffe weiter, indem sie ausgefeilte Bedrohungsvektoren entwickeln. Sicherheitsexperten sind oft das Ziel von Banden, um zu zeigen, dass jeder ein Opfer sein kann.“ Jeder erfolgreiche Hack sei für sie ein Art Trophäe.

Ein Umdenken im Mittelstand?

Dazu kommt nach Ansicht des Head of CEE bei Vectra AI, dass in den meisten Fällen eines erfolgreichen Angriffs versucht wird, das Thema unter den Teppich zu kehren und intern zu lösen. „Als Reaktion auf die wachsende Bedrohungslage versuchen viele Mittelständler, sich vor allem im Bereich der Prävention zu verstärken, aber dies führt nicht zum Ziel“, ist sich Riepen sicher. Firewalls und Endpunktlösungen würden nicht den Schutz bieten, auf den die Unternehmen hoffen. „Die meisten halten auch Backup- und Recovery-Lösungen an, aber diese bieten ebenfalls nur selten das, was sie versprechen.“

Mimecast-Experte Michael Watzl sieht aktuell ein Umdenken im Mittelstand: „Eine Zeit lang hatte man das Gefühl, dass KMU die Situation unterschätzen und denken, dass sie für Cyberkriminelle kein profitables Ziel seien.“ Dies habe sich geändert: „In unserer Studie zur Cloud-Nutzung stellten wir fest, dass 68,7 Prozent größtenteils auf die Cloud setzen – und damit vor größeren Unternehmen mit 1.000 bis 4.999 Mitarbeitern liegen.“ Dies zeige, dass KMU die Gefahren erkannt hätten und nachrüsten würden. Mittlerweile lasse sich praktisch jede IT-Security-Lösung aus der Cloud beziehen. „Lösungen von Cloud-Anbietern, die mit der restlichen IT-Infrastruktur via API zusammenarbeiten, bieten einen besonders guten Schutz, sind leicht implementierbar und generieren praktisch keinen operativen Aufwand: für KMU eine optimale Kombination.“

Um ein Unternehmen besser zu schützen, empfiehlt Börner eine generelle Sicherheitshygiene. Dazu gehört seiner Meinung nach eine jährliche Sicherheitsschulung für alle Mitarbeiter. Außerdem solle die Mehrfaktorauthentifizierung auf allen Systemen verpflichtend eingerichtet werden. Sicherheitslücken müssten geschlossen und alle Geräte auf dem neuesten Stand gehalten werden. „Eine Mentalität, bei der Prävention an erster Stelle steht, sowie die Einführung bewährter Praktiken und einer mehrschichtigen Präventionslösung für die Cybersicherheit sind wichtig“, hebt der Experte hervor. Auch Michael Watzl von Mimecast empfiehlt eine mehrschichtige Sicherheitsstrategie, bestehend aus Technologie, Prozessen und dem Mitarbeiter selbst. Er betont, wie wichtig gerade die Sensibilisierung der Mitarbeiter sei. „Der Mensch selbst ist einer der anfälligsten Faktoren in der Cyberabwehr. Das ist nicht verwunderlich, da die Kriminellen immer geschickter werden, um ihre Opfer auszutricksen.“

Laut Andreas Riepen muss es Ziel sein, die Angriffe rasch zu erkennen und zu stoppen. Dies gelte sowohl für klassische Unternehmensnetzwerke als auch für die Cloud. „Die Antwort lautet NDR – Network Detection and Response.“ Das sei die Grundlage für das Verhindern schwerwiegender Angriffe. „Zudem raten wir Mittelständlern, wesentliche Teile ihrer IT-Sicherheit an Experten auszulagern, an sogenannte Managed Security Service Provider (MSSP).“ Dabei würden Ressourcen in einer Qualität und Umfang vorgehalten, wie es für die meisten Mittelständler in Eigenregie nahezu unmöglich sei.

KI als Erweiterung der Ressource „Mensch“

Um die IT-Sicherheit zu verbessern, investieren viele Unternehmen in den Einsatz von Künstlicher Intelligenz – doch was genau kann KI? Sie kann u.a. die technische Komponente in der Abwehr stärken. Das ist häufig auch notwendig, denn: „Für die teilweise hochentwickelten Angriffstechniken sind klassische, regelbasierte IT-Security-Systeme zu starr und zu leicht auszutricksen“, betont Watzl. Mit KI hingegen könnten große Datenmengen in kurzer Zeit analysiert, potenzielle Gefahren erkannt und Gegenmaßnahmen eingeleitet werden. Dafür gebe es zwei mögliche Techniken: „Die erste Technik lernt durch potenziell gefährliche Verhaltensweisen, sodass diese zukünftig vom Sicherheitssystem erkannt werden können. Die zweite Methode arbeitet genau umgekehrt: Sie zeigt den Normalfall auf.“ So lassen sich Anomalien, die auf etwas potenziell Gefährliches hindeuten, schneller erkennen. Das wiederum bedeute, dass das Sicherheitspersonal deutlich weniger Zeit damit verbringen muss, große Mengen an Daten und Warnungen zu sichten, stimmt Börner zu.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2021. Bestellen Sie ein kostenfreies Probe-Abo.

„Eine gut trainierte KI, die auf hochentwickelte Algorithmen setzt, kann zwischen ungewöhnlichen Vorgängen und potentiell gefährlichen Verhaltensweisen im Netzwerk unterscheiden – rund um die Uhr, 365 Tage im Jahr“, hebt auch Riepen hervor. „Die von ihr aufbereiteten Daten und Meldungen können von den IT-Teams dann wesentlich einfacher bewertet und bearbeitet werden.“ KI könne als immense Erweiterung der menschlichen Ressourcen im IT-Team verstanden werden.

Die meisten Lösungen würden zwar durch Automatisierung angetrieben, sind aber laut Börner noch immer auf ein gewisses Maß an menschlicher Interaktion angewiesen. „Deep Learning“ allerdings würde den Druck auf die SOC-Teams mindern und ihnen Zeit verschaffen, da es unabhängig von menschlichen Mitarbeitern funktioniere. Es sei so konzipiert, dass es selbstständig aus großen Mengen von Rohdaten lerne – „und dabei neurologische Netzwerke wie das menschliche Gehirn nachahmt“. Dass die ersten Schritte eines Unternehmens in Richtung KI durchdacht erfolgen müssen – darin sind sich alle drei Experten einig. „Eines der Haupthindernisse ist das mangelnde Verständnis dafür, welche KI-Lösungen auf dem Markt verfügbar sind“, erläutert Börner von Deep Instinct. Das liege daran, dass die Cybersicherheitsbranche unübersichtlich und vollgepackt mit Anbietern sei, die ihre Produkte als das „nächstbeste Ding“ in Sachen „KI“ und maschinelles Lernen anpreisen. „Verständlicherweise ist es für Unternehmen fast unmöglich zu wissen, welche Lösung die richtige für sie ist, wenn sie Hunderte von Optionen haben.“

Dem schließt sich auch Michael Watzl an. Ihm ist wichtig, dass Unternehmen KI nicht per se als Erfolgsgarant wahrnehmen, sondern Lösungen vor deren Nutzung genau prüfen sollten. „Nach der Integration in die bereits bestehende IT-Intrastruktur sind die kontinuierliche Weiterentwicklung und das kontinuierliche Lernen für die KI wichtig, um nicht an Effizienz einzubüßen.“

Was aber tun, wenn die Mitarbeiter die neue Technologie nicht annehmen wollen oder sich gar um die eigene Position im Unternehmen sorgen? Für Kevin Börner eine klare Sache: Sicherheitsverantwortliche in Unternehmen sollten u.a. ihr Sicherheitspersonal, ihre Führungskräfte und Manager in den Entscheidungsprozess einbeziehen, um die volle Zustimmung zu einer neuen Lösung zu erhalten. Manchmal glaube ein Entscheidungsträger, die Bedürfnisse des Unternehmens zu kennen, aber schon eine einzige Abweichung von einem Merkmal oder einer Funktion könne drastische Auswirkungen auf den Erfolg des Projekts haben. „Die frühzeitige Einbindung der Fachexperten stellt nicht nur sicher, dass die gewählte Lösung für das Unternehmen geeignet ist, sondern auch, dass die Fachexperten das Gefühl haben, an der Entscheidung beteiligt gewesen zu sein, und daher die neue Lösung akzeptieren und vorantreiben werden.“ Zudem muss nach Riepens Ansicht deutlich kommuniziert werden, dass speziell in der IT-Abteilung durch den Einsatz einer KI mehr Raum für andere, nicht minder notwendige Arbeiten entsteht. „Außerdem gilt es zu betonen, dass die IT-Mitarbeiter ihren eigenen Wert dadurch erhöhen können, wenn sie, entlastet durch die KI, selbst neue Kompetenzen aufbauen“, unterstreicht er.

Die Zukunft der IT-Sicherheit

Dass die Zukunft der IT-Sicherheit nicht ohne den teilweisen Einsatz von KI auskommt, ist eindeutig. Andreas Riepen geht einen Schritt weiter: „In zehn Jahren wird keine IT-Security-Lösung ohne KI auskommen.“ Cybersicherheit werde noch weiter an Bedeutung gewinnen und die Qualität der jeweiligen KI werde grundlegend dafür sein, wie hoch das Sicherheitslevel ist. Kevin Börner spricht sich indes für mehr Proaktivität aus. Viele Firmen würden noch reaktiv handeln, das koste Zeit: „Sicherheitsteams sollten nicht Tausenden von Alarmen hinterherjagen – ihre Prioritäten und ihre Zeit sollten auf die Stärkung der kritischen Infrastruktur des Unternehmens verwendet werden.“ Er wertet, ebenso wie Riepen und Watzl, den Einsatz von KI als maßgebende Hilfe für IT-Teams der Zukunft.

Allerdings warnt Michael Watzl davor, dass auch Cyberkriminelle um die Vorzüge von KI wissen – und darum, wie sie diese unschädlich machen können. „Auch deshalb ist es wichtig, die KI nicht als alleinige Maßnahme zur Cyberabwehr einzusetzen.“