Wir müssen aufhören, die Schuld abzuschieben. Auch wenn es unpopulär ist: der Schutz des Unternehmens bleibt Aufgabe der IT-Sicherheitsabteilung. Andere Mitarbeitende können lediglich eine unterstützende Funktion einnehmen, indem sie gefährliche Mails rechtzeitig erkennen. Das ist nicht selbstverständlich und wird in Zukunft immer seltener passieren – trotz Schulung, wie eine aktuelle Studie zeigt: „Phishing-Schulungen wurden seit zwanzig Jahren als Allheilmittel verkauft – man zeigt den Leuten einfach ein paar gefälschte E-Mails, bringt ihnen bei, worauf sie achten sollen, und schon hören sie wie von Zauberhand auf zu klicken, richtig? Falsch. Unsere achtmonatige, praxisnahe Studie mit über 20 000 Mitarbeitenden räumt mit diesem Mythos gründlich auf.“
IT-Sicherheit muss auch funktionieren, wenn der Mensch einen Unfall baut, genau wie bei einem Auto. Denn wenn es knallt und der Mensch nicht mehr in der Lage ist, einzugreifen, übernehmen Automatismen wie Sicherheitsgurte oder Airbags die wichtige Aufgabe, die Auswirkung des Schadenfalles zu mindern, genau wie bei einem Auto.
Was bedeutet das im Angesicht von KI?
KIs, vor allem LLMs (Large Language Models), sind auf Maschine-Mensch-Kommunikation optimiert. Sie können dabei nicht nur Worte sinnvoll aneinanderreihen, sondern auch Schreib- bzw. Sprechstile imitieren. Mittels sogenanntem „Prompt Engineering“, der Programmierung durch die Eingabe von Befehlen, kann praktisch jeder Nutzer der Maschine mitteilen, wie sie agieren soll. Für Opfer wird es dadurch immer schwieriger, den Unterschied zwischen einer normalen und betrügerischen Kommunikation zu erkennen, zudem verringert die KI die Aufwände und erhöht die Produktivität.
Im Bereich von Betrug gibt es die höchsten Aufwände im Bereich gezielter Angriffe. Ein Täter beschäftigt sich dabei mit seinem Opfer und versucht, aus verfügbaren Informationen einen unwiderstehlichen Angriff zu erschaffen. Bei sogenanntem „Spear Phishing“ reden wir nicht über Unfälle, denn sie entstehen nicht zufällig. Es sind im weiteren Sinne Attentate, und ihre Erfolgsquote, so eine weitere Studie, liegt auch bei rein menschlichen Experten bei über 50 %. Diese Art Angriff kommt in der Realität bisher eher selten vor. Denn der dafür nötige Arbeitsaufwand ist erheblich. Was aber, wenn KI das Ruder übernimmt? Die Auswertung der Daten sowie das Erzeugen eines Angriffsprofils läuft dann automatisiert ab. In 88 % der Fälle hätte dies laut Studie zu vernünftigen Ergebnissen geführt. Die erzeugten Inhalte sind von einer normalen Kommunikation nicht mehr zu unterscheiden.
