Auch Hacker nutzen ChatGPT

Generative KI kann für die Cyber-Security ein Segen sein. Sie wird aber zum Fluch, wenn Unternehmen und Personal nachlässig agieren

Seit der Veröffentlichung von ChatGPT sind noch nicht einmal eineinhalb Jahre vergangen. Aber generative KI, die ein enormes disruptives Potenzial für viele Bereiche in Unternehmen bietet, hat sich wie ein digitales Lauffeuer verbreitet. Eine Bitcom-Studie¹ gerade mal neun Monate später veröffentlicht, konstatierte einen „spürbaren Schub“ für die deutsche Wirtschaft. 15 Prozent der befragten Unternehmen hatten bereits begonnen, generative KI tatsächlich anzuwenden. 68 Prozent halten KI für die wichtigste Zukunftstechnologie. Von zentraler Bedeutung ist dabei auch der Bereich Cyber-Security, wo der Einsatz generativer KI sowohl Chancen für neue Anwendungsfälle bietet als auch eine sorgfältige Prüfung der Risiken erfordert. Bei der Integration dieser Technologien müssen hohe Sicherheitsstandards beachtet werden, um Innovationen sicher umzusetzen und effizient vor potenziellen Bedrohungen zu schützen. Generative KI-Systeme verkörpern eine revolutionäre Entwicklung für Cyber-Security, weil sie das Potenzial haben, Schutzmechanismen neu zu definieren und anwenderorientiert anzupassen. Es gibt eine ganze Reihe von Bereichen, in denen generative KI signifikanten Cyber-Security-Mehrwert für Unternehmen bieten kann. Einige Beispiele im Überblick.

Phishing-Erkennung und -Abwehr

Phishing-Angriffe gelten als eine der am häufigsten auftretenden Cyber-Bedrohungen, da sie vor allem den Faktor Mensch als Angriffsziel wählen. Generative KI-Modelle sind durch ihr umfangreiches Sprachverständnis in der Lage, potenzielle Phishing-Mails kritisch zu hinterfragen und zu erkennen. Damit wird es möglich, immer besser werdende Phishing-Methoden zu erkennen, die bisherigen Filtermechanismen noch entgehen. Unternehmen stellen damit sicher, dass ihre Mitarbeiterinnen und Mitarbeiter vor solchen Angriffen besser geschützt sind, während gleichzeitig die Wahrscheinlichkeit von Datendiebstahl und anderen sicherheitsrelevanten Vorfällen minimiert wird.

Threat-Intelligence

Die Fähigkeit, aus einer Flut von Sicherheitsdaten relevante Informationen herauszufiltern und zu interpretieren, ist entscheidend, um einem Cyber-Angriff voraus zu sein. Generative KI kann hier als eine Art „intelligenter Assistent“ fungieren und Sicherheitsanalystinnen und -analysten unterstützen, aus verschiedenen Quellen stammende Threat-Intelligence zusammenzufassen. Auch hier hilft wiederum das umfassende Sprachverständnis der KI, um allen voran auch unstrukturierte Daten wie Social-Media-Posts und News auszuwerten und in die Threat-Intelligence zu integrieren.

Automatisierung der Incident Response

Kein Unternehmen ist immun gegen Angriffe, doch die schnelle und effektive Reaktion kann das Ausmaß eines Schadens erheblich reduzieren. KI kann hierbei als Assistent eingesetzt werden, um menschliche Analystinnen und Analysten zu unterstützen, indem sie beispielsweise viele gleichzeitig eintretende Sicherheitswarnungen verarbeitet und priorisiert. Dank ihrer Fähigkeit, Quellcodes zu verstehen und zu schreiben, kann KI Entwicklerinnen und Entwickler unterstützen, vorhandene Sicherheitslücken schneller und effizienter durch Software-Patches zu schließen.

Ein regelmäßiges Thema für Aufsichts- und Beiräte

Die Potenziale von generativer KI in der Cyber-Security bedeuten erhebliche Chancen für Unternehmen, ihre Sicherheitsarchitektur zu festigen. Aufsichtsräte müssen sich heute bereits regelmäßig ein Bild von der Angemessenheit und Funktionsfähigkeit des Risikomanagements und des internen Kontrollsystems machen. Durch entsprechende Investitionen und einen sachgerechten Einsatz von KI-Technologien können Risiken gemindert und Wettbewerbsvorteile erzielt werden. Daher gehört das Thema regelmäßig auf die Agenda von Gremiensitzungen.

Neue Risiken im Bereich Cyber-Security

Das für die Cyber-Security typische Katz-und-Maus-Spiel setzt sich auch mit KI-Technologie fort. Denn auch Angreiferinnen und Angreifer setzen die Möglichkeiten der generativen KI ein, um etwa immer bessere Phishing-Mails zu generieren, die sprachlich nahezu perfekt erscheinen und gleichzeitig nicht mehr nur den typischen Fall von „Ihr Paket kann nicht zugestellt werden – bitte klicken Sie hier!“ abdecken, sondern äußerst kreativ vorgehen. Ein Einsatz von KI aufseiten der Verteidigung wird damit unumgänglich. Denn auch die ausgeprägtesten Awareness-Schulungen werden künftig nicht mehr verhindern können, dass Beschäftigte auf eine nahezu perfekte Angriffsmail hereinfallen. Wohl aber ist KI in der Lage, die typischen Kommunikationsmuster eines Individuums zu erkennen, und damit auch Nachrichten, die nicht in das Muster passen.

Der Fall Samsung: geheime Daten öffentlich

Das Unternehmen Samsung musste bereits im April 2023 die Erfahrung machen, dass Ingenieurinnen und Ingenieure geheime Daten in ChatGPT übergeben hatten, um Fehlerbehebung im Quellcode vorzunehmen. Dabei gelangten diese Informationen unbeabsichtigt an die Öffentlichkeit. Vielen Mitarbeiterinnen und Mitarbeitern ist nicht bewusst, dass Daten, die in generische KI-Modelle eingegeben werden, in manchen Situationen zu Trainingszwecken verwendet und außerhalb der EU verarbeitet werden. Dies geschieht beispielsweise, wenn Mitarbeiterinnen und Mitarbeiter ihren privaten ChatGPT Account nutzen und darüber Mails oder Texte für ihre berufliche Tätigkeit generieren lassen. So haben laut einer Studie von CISCO bereits 62 Prozent der Befragten Informationen über interne Prozesse in generative KI Tools eingegeben.²

Sicherheitsrelevante Daten können auf diese Weise kompromittiert werden. Eine Angreiferin oder ein Angreifer kann ein KI-Modell mit spezifischen Inputs füttern und aus den Outputs Rückschlüsse auf die ursprünglich trainierenden Daten ziehen. Dennoch ist es unverzichtbar für Unternehmen, Mitarbeiterinnen und Mitarbeitern die Möglichkeit zu geben, mit KI zu arbeiten. Gebannt werden kann dieses Risiko durch einen „Inhouse-GPT-Ansatz“. Er stellt sicher, dass alle Daten innerhalb der sicheren Grenzen des Unternehmensnetzwerks bleiben und nicht für externe Trainingszwecke genutzt oder außerhalb der EU verarbeitet werden.

Dadurch ist es möglich, Mitarbeiterinnen und Mitarbeitern den Zugang zu generativer KI zu eröffnen und gleichzeitig Risiken zu vermeiden. E.ON beispielsweise bietet seinen 74.000 Beschäftigten das „E.ON GPT“ ³ an, womit unter anderem aufwendige Rechercheprozesse zu energiewirtschaftlichen Fragestellungen deutlich vereinfacht werden.

Ein Blick in die Zukunft

Im Rahmen der fortschreitenden Entwicklung der KI wird Cyber-Security noch wichtiger werden, als sie es ohnehin bereits ist. Je stärker wir generative KI in unsere Unternehmensprozesse integrieren, umso stärker müssen wir dabei auch auf die Integrität und Sicherheit von Unternehmensdaten achten.

Sowohl Aufsichtsräte als auch Vorstände werden sich verstärkt mit Trends und Innovationen im Bereich KI beschäftigen müssen und die damit verbundenen Chancen und Risiken bewerten. Ihre Verantwortung wird nicht nur in der Überwachung und Begleitung der Transformation durch KI liegen, sondern auch darin, sicherzustellen, dass die Cyber-Security-Strategie ihres Unternehmens mit den technologischen Weiterentwicklungen Schritt hält.

Das Management wird aktiv zur Gestaltung einer Firmenkultur beitragen müssen, die die Dualität von Innovation und Sicherheit harmonisiert und das Unternehmen sowohl wettbewerbsfähig als auch resilient gegenüber Cyber-Bedrohungen macht.    

^{1 bitkom (2023): Deutsche Wirtschaft drückt bei Künstlicher Intelligenz aufs Tempo.
URL: https://www.bitkom.org/Presse/Presseinformation/Deutsche-Wirtschaft-drueckt-bei-Kuenstlicher-Intelligenz-aufs-Tempo#_
[Stand 31.01.2024]
2 Cisco (2024): Cisco 2024 Data Privacy Benchmark Study.
URL: https://www.cisco.com/c/en/us/about/trust-center/data-privacy-benchmark-study.html [Stand 31.01.2024]
3 E.ON (2023): Helferin mit Energieexpertise: E.ON schaltet eigene Generative Künstliche Intelligenz live.
URL: https://www.eon.com/de/ueber-uns/presse/pressemitteilungen/2023/eon-schaltet-eigene-generative-kuenstliche-intelligenz-live.html [Stand 31.01.2024]}