KI-Bedrohungen sind eine Ablenkung. Ihr wirkliches Problem ist näher als Sie denken

Lasst uns ehrlich sein: KI-gesteuerte Cyberangriffe sind ein beängstigendes Szenario. Aber sie sind nicht die größte Bedrohung für Ihr Unternehmen.

Die größte Bedrohung ist die Ablenkung, die sie verursachen.

Über 15 Jahre habe ich das gleiche Szenario beobachtet. Die Führungsebene wird von der neuesten “KI-Superbedrohung” eingeschüchtert, während das Sicherheitsteam immer noch grundlegende Fragen wie “Wo befindet sich unsere sensibelste Kundendaten?” oder “Wer ist für das Patchen dieses kritischen Systems verantwortlich?” nicht beantworten kann. Wir jagen nach neuen Tools, während Ingenieure in letzte Minute Compliance-Übungen gezogen werden und kritische Schwachstellen vernachlässigt werden.

Dies ist das klassische “schöne Schloss an einer Schiebetür”-Problem. Unternehmen sind dabei, KI-gesteuerte Verteidigungen zu deployen, aber Angreifer nutzen KI mit weniger Regeln und mehr Agilität, um durch fundamentale Lücken in Prozessen, Eigentum und Kultur zu gelangen. Insbesondere für mittelständische Unternehmen ist das Ignorieren der Grundlagen eine Einladung, das nächste warnende Beispiel zu werden.

Warum statische Verteidigungen in einer dynamischen Welt versagen

Als ich meine Karriere begann, war Sicherheit eine Checkliste: Virenscanner, Patches und starke Firewalls. Diese Welt ist längst vorbei. Heute kann polymorphe Malware sich selbst umschreiben, um Signaturen zu vermeiden, und Botnetze starten Angriffe schneller, als ein Mensch reagieren kann.

Verschlüsselter Traffic ist zum Lieblingsversteckmuster des Angreifers geworden. Der Zscaler-ThreatLabz-Bericht 2024 fand heraus, dass fast 90% der Malware nun über verschlüsselte Kanäle geliefert wird. Das bedeutet, dass neun von zehn Bedrohungen für Legacy-Tools, die diesen Traffic nicht inspizieren können, unsichtbar sind.

Der eigentliche Flaschenhals ist jedoch nicht nur die Technologie, sondern organisatorische Reibung. Ich habe großartige Sicherheitsteams beobachtet, die Wochen damit verbringen, nur um die Zustimmung zu erhalten, eine bekannte Lücke zu schließen. In der Zeit, die es braucht, um die Meetings zu planen, kann ein automatisierter Angreifer bereits hereingelassen werden. Statisch zu sein ist keine Option mehr. Sicherheitsprogramme müssen kontextbewusst und auf die sich schnell bewegenden Teile des Unternehmens fokussiert sein.

Die Industrialisierung der Cyberkriminalität

Das sollte niemanden überraschen. Angreifer sind Unternehmer, die ein Geschäft betreiben. Sie adoptieren einfach neue Technologien, um ihre Rendite zu verbessern – genau wie wir. KI hilft ihnen, ihre Operationen zu industrialisieren.

• Phishing-as-a-Service, Turboaufgeladen: Phishing ist immer noch der beste Weg herein. Der FBI und IBM berichten es seit Jahren als den wichtigsten Anfangsvektor. Jetzt können Kriminelle mit generativen KI-Tools wie “FraudGPT” perfekt angepasste, grammatikfreie Phishing-Kampagnen im bisher nie gesehenen Umfang erstellen.
• Die Stimme ist eine Lüge: Voice-Phishing (“Vishing”) explodiert. CrowdStrike sah einen 442%-Anstieg, da Angreifer KI-geklonte Stimmen nutzen, um Führungskräfte zu imitieren und Mitarbeiter dazu zu bringen, Geld zu überweisen. Ein britisches Energieunternehmen verlor auf diese Weise über 243.000 $ durch einen einzigen Anruf.
• Aufstieg des automatisierten Gegners: CrowdStrikes Bedrohungsjäger sehen jetzt end-to-end-automatisierte Kampagnen – von KI-generierten Lebensläufen mit Deepfake-Video-Interviews bis hin zu malwarefreien Eindringen, die vollständig in der Cloud leben.

Verteidiger stehen Bedrohungen gegenüber, die sich anpassen und mit minimaler menschlicher Aufsicht persistieren. Angreifer automatisieren seit Jahren; KI hat ihre Arbeitsabläufe nur auf Hyperdrive gesetzt.

Um mitzuhalten, ist es höchste Zeit, wir unsere veralteten, checklistengesteuerten Ansätze für Compliance und Cybersicherheit aufgeben. Die Suche nach einer silbernen Kugel mit dem neuesten Tool auf dem Markt ist nicht die Antwort. Das ist jedoch eine einzigartige Gelegenheit, zu den Grundlagen zurückzukehren.

Hören Sie auf, “Sind wir compliant?” zu fragen. Fangen Sie an, “Sind wir resilient?” zu fragen

Selbst wenn KI das Landschaftsbild verändert, geschehen die meisten Verletzungen immer noch, weil die Grundlagen vernachlässigt werden. Sicher, die Stimme des CEO wurde geklont, aber das eigentliche Versagen war wahrscheinlich ein gebrochener Finanzgenehmigungsprozess. Die KI war nur der letzte Schritt in einer Kette von vernachlässigten Grundlagen.

KI muss keine Zero-Day-Exploit finden, wenn es eine fünf Jahre alte unpatchte Server oder einen Entwickler mit Admin-Rechten für alles finden kann. Das Kaufen eines weiteren KI-gesteuerten Sicherheitstools wird eine gebrochene Kultur nicht beheben. KI sollte starke Prozesse stärken, nicht ersetzen.

Dabei liegt die Führung oft falsch. Ich war in Vorstandssitzungen, in denen die Frage war: “Sind wir compliant?” Die bessere Frage ist, “Macht unser Sicherheitsprogramm unser Unternehmen stärker?”

Compliance wird zu einer Checkliste-Übung. Produktteams sprinten vorwärts, Ingenieure werden mit Sicherheitsaufgaben ohne Ressourcen betraut und Führungskräfte nehmen an, dass eine saubere Prüfung bedeutet, dass das Unternehmen sicher ist. Das ist nicht der Fall. Die Lösung ist nicht mehr Tools, sondern eine stärkere Grundlage von oben.

Ein pragmatisches Spielbuch für die KI-Ära

Die Fortune-500-Unternehmen können Geld in dieses Problem stecken. Mittelständische Unternehmen müssen cleverer sein. Was tun Sie also?

1. Beheben Sie zunächst Ihre Grundlagen. Bevor Sie ein weiteres Tool kaufen, stellen Sie sicher, dass Sie eine rockfeste Inventarisierung Ihrer Daten, unverwundbare Zugriffskontrollen und einen Patchprozess haben, der tatsächlich funktioniert.
2. Setzen Sie KI auf die Tagesordnung. Führen Sie Tischübungen auf der Grundlage KI-gesteuerter Angriffe durch. Machen Sie es zu einem regelmäßigen Teil der Vorstandsberichterstattung, damit es als Geschäftsrisiko und nicht als IT-Problem behandelt wird.
3. Konzentrieren Sie sich auf Verhalten, nicht nur statische Signale. Priorisieren Sie Tools, die merkwürdiges Verhalten erkennen – wie ein Benutzerkonto, das plötzlich auf eine Datenbank zugreift, die es nie zuvor berührt hat – gegenüber Tools, die nur nach bekannten Malware suchen.

KI ist nicht der Feind – Trägheit ist es

KI ist kein zweischneidiges Schwert; es ist eine Lupe. Es macht gute Prozesse effizienter und schlechte Prozesse katastrophal.

Angreifer werden immer neue Tools haben. Die eigentliche Frage ist, ob Ihre Sicherheitsstrategie auf einer soliden Grundlage der Widerstandsfähigkeit oder nur dem nächsten glänzenden Gegenstand nachjagt. Die Ära der set-it-and-forget-it-Sicherheit ist vorbei. Unternehmen, die eine Sicherheitskultur aufbauen und die Grundlagen meistern, werden gewinnen, sogar in der Ära autonomer Bedrohungen.