KI verschärft die Bedrohung von außen

Nur wenige Unternehmen in Deutschland haben Schutzmaßnahmen und Prozesse mit Blick auf Cyberangriffe im Zusammenhang mit KI etabliert. Dabei hat bereits jedes sechste Unternehmen in Deutschland in den vergangenen zwölf Monaten einen Cyberangriff oder Betrugsversuch registriert, bei dem Künstliche Intelligenz eine Rolle gespielt hat oder gespielt haben könnte: Insgesamt 17 Prozent der Unternehmen berichten von bestätigten Vorfällen (4 Prozent), Verdachtsfällen (11 Prozent) oder beidem (2 Prozent). Das zeigt die aktuelle Studie zum Thema "Künstliche Intelligenz und Cybersicherheit in Unternehmen", eine gemeinsame Untersuchung des TÜV-Verbands und des Bundesamtes für Sicherheit in der Informationstechnik (BSI), für die mehr als 500 Unternehmen ab 20 Mitarbeitenden befragt wurden.
Die häufigste Angriffsform sind täuschend echte Phishing-Mails: 90 Prozent der betroffenen Unternehmen berichten davon. Mit Hilfe von KI können solche Nachrichten sehr überzeugend formuliert und gezielt auf einzelne Personen oder Unternehmen zugeschnitten werden. 40 Prozent nennen automatisierte Angriffsskripte, die eigenständig nach Schwachstellen in der IT-Sicherheit suchen und sich dabei dynamisch anpassen. 11 Prozent berichten von Deepfakes, also gefälschten Audio- oder Videoaufnahmen. Diese werden beispielsweise genutzt, um Stimmen von Führungskräften zu imitieren und Mitarbeitende zu Überweisungen zu bewegen ("CEO-Fraud").
Auf KI-gestützte Cyberangriffe sind die meisten Unternehmen unzureichend vorbereitet: Nur 31 Prozent der KI-nutzenden Unternehmen verwenden KI zur Verbesserung ihrer IT-Sicherheit. Spezielle Abläufe für den Umgang mit KI-bezogenen Sicherheitsvorfällen sind auch unter Unternehmen mit bestehender oder geplanter KI-Nutzung selten: Nur 11 Prozent verfügen über entsprechende Prozesse. 43 Prozent greifen auf ihre allgemeinen IT-Sicherheitsprozesse zurück, haben diese aber bislang nicht um KI-spezifische Regeln ergänzt. Weitere 20 Prozent erarbeiten derzeit entsprechende Abläufe, ein Viertel (25 Prozent) hat bislang keine Regelungen dafür.
Laut der Befragung setzen 49 Prozent der Betriebe KI ein, weitere 9 Prozent planen dies innerhalb der nächsten zwölf Monate. 42 Prozent der Unternehmen setzen derzeit keine KI ein und planen dies auch nicht. Mehr als die Hälfte von ihnen (53 Prozent) nennt Datenschutz- oder Sicherheitsbedenken als Grund. Häufiger genannt wird nur ein fehlender Nutzen (58 Prozent). Weitere Hürden sind ein hoher Integrationsaufwand (44 Prozent), rechtliche Unsicherheiten (43 Prozent), fehlende Kompetenzen (39 Prozent) und erwartete hohe Kosten (36 Prozent).
Neben dem Schutz vor Angriffen von außen müssen Unternehmen eine zweite Sicherheitsaufgabe bewältigen: den eigenen KI-Einsatz absichern. 56 Prozent bieten ihren Mitarbeitenden allgemeine oder rollenspezifische Schulungen an. Jeweils 45 Prozent nehmen eine Risikobewertung und Klassifizierung von KI-Anwendungen vor beziehungsweise haben formale Freigabeprozesse etabliert. 42 Prozent prüfen KI-Lieferanten oder -Anbieter. Knapp ein Drittel (29 Prozent) hat bislang keine dieser Maßnahmen umgesetzt.
Zusätzlich zu klaren Regeln für den KI-Einsatz haben viele KI-nutzende Unternehmen Schutzmaßnahmen direkt an den Anwendungen getroffen: 67 Prozent setzen auf Qualitätssicherung und menschliche Prüfung kritischer KI-Ergebnisse – also Ausgaben, Entscheidungen oder Auswirkungen eines KI-Systems, die ein hohes Schadenspotenzial aufweisen. 64 Prozent haben Zugriffsrechte beschränkt, 62 Prozent schützen sensible Daten, etwa durch Anonymisierung. 52 Prozent testen KI-Anwendungen vor dem Einsatz auf Sicherheit und andere Kriterien. Eine Protokollierung oder ein Monitoring der KI-Nutzung gibt es dagegen nur bei 40 Prozent. 8 Prozent haben keine der genannten technischen Schutzmaßnahmen getroffen.

Für kleine und mittlere Unternehmen hat die im BSI beheimatete Allianz für Cyber-Sicherheit (ACS) begleitend zur Studie das Handout "Schutz vor KI-verstärkten Cyberangriffen" mit konkreten Empfehlungen und Sofortmaßnahmen veröffentlicht.