Vordenker
Die Boardroom-Lücke: Warum CISOs Schwierigkeiten haben, über Deepfakes zu sprechen — und wie man es thematisiert
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
Die Cybersicherheit steht an einem Wendepunkt, getrieben durch die weitverbreitete Adoption von KI durch Unternehmen, Regierungen und Einzelpersonen. Mit 82% der Unternehmen in den USA, die entweder KI in ihrem Geschäft verwenden oder deren Verwendung erkunden, schließen Organisationen neue Effizienzen, aber auch Angreifer. Die gleichen Werkzeuge, die die Innovation vorantreiben, ermöglichen es auch Bedrohungsakteuren, synthetische Inhalte mit alarmierender Leichtigkeit und Realismus zu generieren. Diese neue Realität hat erhebliche Herausforderungen mit sich gebracht, darunter die Fähigkeit, synthetische Inhalte (Bilder, Audio und Video) und bösartige Deepfakes (manipulierte Audio-, Video- oder Bildinhalte, die verwendet werden, um eine reale Person nachzuahmen) mit unvergleichlicher Geschwindigkeit und Raffinesse zu erstellen. Mit nur wenigen Klicks kann jeder, der Zugang zu einem Computer und dem Internet hat, Bilder, Audio und Videos manipulieren und so Misstrauen und Zweifel in die Informationsästhetik einführen.
In einer Ära, in der Unternehmen, Regierungen und Medienorganisationen auf digitale Kommunikation für ihren Lebensunterhalt angewiesen sind, gibt es keinen Raum für Fehler bei der Unterschätzung der Risiken, die Deepfakes, synthetische Identitätsbetrug und Impersonierungsangriffe mit sich bringen. Diese Bedrohungen sind nicht länger hypothetisch – finanzielle Verluste durch Deepfake-gestützten Unternehmensbetrug überstiegen 200 Millionen Dollar im ersten Quartal 2025 allein, was die Größe und Dringlichkeit des Problems unterstreicht. Ein neues Bedrohungslandschaft erfordert einen neuen Ansatz für die Cybersicherheit, und CISOs müssen schnell handeln, um sicherzustellen, dass ihr Unternehmen sicher bleibt. Allerdings kann es schwierig sein, neue Mittel zu beantragen und dem Vorstand die Bedrohungslage des Unternehmens klar zu vermitteln, insbesondere wenn der Vorstand über unterschiedliche Kenntnisse der Schwere der Bedrohung durch Deepfakes verfügt. Da Deepfake-Angriffe weiterentwickelt und geformt werden, muss jeder CISO an der Spitze stehen, um dieses Gespräch in den Vorstand zu bringen.
Nachfolgend finden Sie einen Rahmen für CISOs und Führungskräfte, um Gespräche mit Stakeholdern auf Vorstands-, Organisations- und Gemeinschaftsebene zu erleichtern.
Verwenden Sie vertraute Rahmenbedingungen: Deepfakes als fortschrittliche soziale Ingenieurskunst
Vorstände sind darauf konditioniert, über Cybersicherheit in vertrauten Begriffen nachzudenken: Phishing-E-Mails, Ransomware-Angriffe und die Frage, ob ihr Unternehmen gehackt wird. Diese Denkweise prägt, wie sie Bedrohungen priorisieren und wo sie Sicherheitsbudgets zuweisen. Wenn es jedoch um KI-generierte Inhalte, insbesondere Deepfakes, geht, gibt es keinen eingebauten Bezugspunkt. Die Darstellung von Deepfakes als eigenständige, neuartige Bedrohung führt oft zu Verwirrung, Skepsis oder Untätigkeit.
Um dies zu bekämpfen, sollten CISOs das Gespräch in etwas verankern, das Vorstände bereits verstehen: soziale Ingenieurskunst. Im Kern ist die Deepfake-Bedrohung nicht ganz neu; es handelt sich um eine weiterentwickelte, gefährlichere Form des Phishings, die in der Branche seit Jahren existiert und weiterhin der wichtigste Angriffsweg der sozialen Ingenieurskunst. Vorstände erkennen Phishing als ein glaubwürdiges Risiko an und sind bereit, Ressourcen zu genehmigen, um dagegen zu verteidigen. In vielen Aspekten stellen Deepfakes eine überzeugendere, skalierbarere und leistungsfähigere Form der sozialen Ingenieurskunst dar, die Organisationen und Einzelpersonen mit verheerender Präzision angreift.
Die Darstellung von Deepfakes auf diese Weise ermöglicht es CISOs, auf bestehende Bildung, Budgetlinien und institutionelles Muskelgedächtnis zuzugreifen. Anstatt neue Ressourcen zu beantragen, können sie die Anfrage als Weiterentwicklung bereits genehmigter Sicherheitsinvestitionen umformulieren. Je mehr CISOs diese Erzählung nutzen, desto wahrscheinlicher ist es, dass sie die Ressourcen erhalten, um diese größere, dringendere Frage anzugehen.
Verankern Sie das Risiko in Realismus, nicht in Sensationslust
Das Hinweisen auf reale Beispiele ist eine gute Möglichkeit, das Verständnis des Vorstands für die Auswirkungen von Deepfake-Bedrohungen auf Organisationen zu fördern. Es ist jedoch wichtig, welche Beispiele CISOs dem Vorstand vorlegen, da sie den gegenteiligen Effekt haben können. Berühmte Geschichten wie der 25-Millionen-Dollar-Betrugsfall in Hongkong machen gute Schlagzeilen, können aber im Vorstand zurückfeuern. Diese extremen Beispiele fühlen sich oft fern oder unrealistisch an und schaffen das Gefühl, dass “etwas so Katastrophales uns nie passieren kann.” Der Bias tritt sofort ein und entfernt das Gefühl der Dringlichkeit, in Schutzmaßnahmen zu investieren.
Stattdessen sollten CISOs mehr nachvollziehbare Szenarien verwenden, um zu zeigen, wie sich dieses Risiko innerhalb des Unternehmens abspielen könnte, wie z. B. die Nachahmung von Führungskräften oder Bewerbungsbetrug.
In einem Fall erstellten nordkoreanische Bedrohungsakteure einen gefälschten Zoom-Anruf mit KI-generierten Führungskräften, um einen Kryptomitarbeiter dazu zu bringen, Schadsoftware herunterzuladen, um an sensible Unternehmensinformationen zu gelangen, mit dem Ziel, Kryptowährungen zu stehlen. Am Ende konnten die Hacker keinen Zugriff erlangen, aber die Bedrohung, die diese Angriffe für die Integrität einer Marke darstellen, sollte ein Weckruf für Vorstände in Unternehmen sein.
Ein weiterer wachsender Taktik umfasst falsche Bewerber, die KI-generierte Identitäten und Deepfake-Bewertungen verwenden, um in Unternehmen einzudringen. Diese Personen handeln oft im Auftrag von US-Gegnern wie Russland, Nordkorea oder China und suchen nach Zugriff auf sensible Systeme und Daten. Diese Tendenz entzieht interne Ressourcen und setzt Unternehmen nationalen Sicherheitsrisiken und finanzieller Ausbeutung aus.
Oftmals fliegen diese Bedrohungen unter dem Radar. Für jedes Beispiel in den Nachrichten gibt es Dutzende, die ungemeldet bleiben, was es schwierig macht, das Ausmaß dieser Bedrohung umfassend zu verstehen. Die mehr banale Bedrohung ist umso beunruhigender und nachvollziehbarer. Indem CISOs Beispiele wie diese teilen – realistisch, nachvollziehbar und näher an der Heimat – können sie das Deepfake-Gespräch in den alltäglichen Geschäftsabläufen verankern und verdeutlichen, warum diese sich entwickelnde Bedrohung ernsthafte Aufmerksamkeit auf Vorstandsebene erfordert.
Binden Sie die Deepfake-Verteidigung an bestehende Resilienzmetriken
CISOs werden ständig von ihren Vorständen gefragt: Wie hoch ist die Wahrscheinlichkeit, dass wir gehackt werden? Wo sind wir am verwundbarsten? Wie können wir das Risiko reduzieren? Während Phishing, Ransomware und Datenlecks weiterhin existieren, ist es wichtig, die grundlegende Veränderung zu zeigen, die innerhalb dieser Verwundbarkeiten stattgefunden hat und wie sie nun weit über traditionelle Angriffsflächen hinausgehen.
HR-, Finanz- und Beschaffungsteams – Rollen, die nicht traditionell als Frontline-Verteidiger angesehen werden – sind nun häufige Ziele synthetischer Nachahmung, und die durchschnittliche Fähigkeit des Menschen, diese Bedrohungen zu erkennen, ist extrem niedrig. Tatsächlich nur 1 von 1.000 Menschen kann KI-generierte Inhalte genau erkennen. CISOs sind nun damit betraut, den Bedarf an fortgeschrittener sozialer Ingenieurskunst-Bildung und größerer Cyber-Resilienz im gesamten Unternehmen anzugehen, da jeder im Unternehmen ausgebildet, getestet und informiert werden muss, um zur Minderung beizutragen.
Die Deepfake-Verteidigung muss zu einer Erweiterung der unternehmensweiten Resilienz werden und erfordert kontinuierliche Bildung, genauso wie Teams durch Phishing-Simulationen, Bewusstseinsbildung und Red-Team-Übungen ausgebildet werden. CISOs sollten Metriken aus Schulungen und Simulationen nutzen, um das Problem in Metriken zu formulieren, die ihr Vorstand versteht. Wenn ein Vorstand bereits in Resilienz als strategische Priorität für das Unternehmen investiert hat, werden Deepfakes zu einer natürlichen nächsten Front.
KI-generierte Bedrohungen kommen nicht. Sie sind bereits da. Es ist Zeit, dass wir sicherstellen, dass der Vorstand bereit ist, zuzuhören und zu führen. Dank der Adoption von KI haben sich das Ausmaß und die Häufigkeit von Deepfake- und Identitäts-basierten Angriffen in eine Bedrohungslandschaft verwandelt, die unvorhersehbar und ständig im Wandel ist.
Aber Vorstände benötigen keine Einführung in Deepfakes oder Stimmenklonierung. Sie benötigen einen klaren Geschäftskontext und ein besseres Verständnis der Bedrohungen, die sie für ihre Organisationen darstellen. CISOs sollten ihr Gespräch in Risiko, Kosten und betrieblicher Kontinuität verankern. Diejenigen, die ihre Deepfake-Erzählung an vertraute Paradigmen – Phishing, soziale Ingenieurskunst, Resilienz – ausrichten, geben ihrem Vorstand einen Rahmen und einen Kontext, in dem sie handeln und nicht nur reagieren können.
