Zwischen Angriff und Abwehr: Über die doppelte Rolle der KI in der Cybersicherheit

00:00:00: Dieser Inhalt wurde von der Presse in redaktioneller Unabhängigkeit gestaltet.

00:00:04: Er ist mit finanzieller Unterstützung unseres Kooperationspartners entstanden.

00:00:08: Künstliche Intelligenz ist in unseren Alltag eingezogen.

00:00:16: In Unternehmen, in Behörden, in die kritische Infrastruktur.

00:00:20: KI analysiert, optimiert und automatisiert.

00:00:23: Doch mit ihrem rasanten Fortschritt wächst gleichzeitig auch die Sorge.

00:00:28: Welche neuen Risiken bringt KI für unsere Cyber-Sicherheit?

00:00:31: Noch nie waren zielgerichtete Angriffe auf Personengruppen oder Unternehmen so einfach wie heute.

00:00:38: Daher veranstaltet die Presse die Cyber Security Schwerpunktwoche,

00:00:42: in der wichtige Entwicklungen und Fragen rund um das Thema Cyber-Sicherheit diskutiert werden.

00:00:47: Alle Beiträge dazu finden Sie unter diepresse.com/cybersecurity.

00:00:54: Im folgenden Expert-Innentalk moderiert von Eva Komarek diskutieren.

00:00:58: Robin Schmeisser, Geschäftsführer der Fabersoft Contracts GmbH.

00:01:03: Susanne Eben, CIO der Flughafen Wien AG und Andreas Tomek, Partner bei KPMG Österreich im Bereich IT Advisory.

00:01:13: Herr Tomek, ich würde ganz gerne auch gleich mal mit Ihnen beginnen.

00:01:17: Die KPMG hat ja kürzlich eine Studie zu Cyber Security in Österreich gemacht.

00:01:22: Wie hat sich denn das kräfte Verhältnis zwischen Angreifen und Abwehr in KI-Zeitalter verändert?

00:01:28: Und wo stehen wir denn da in Österreich und vielleicht auch ein bisschen in Europa?

00:01:32: Ja, also wie Sie gesagt haben, die Cyber Security ist natürlich durch Drungen von KI inzwischen auch.

00:01:39: Sie ist vielleicht noch nicht überall so angekommen, wie sich es alle erwarten würden.

00:01:42: Das ist auch ein bisschen Teil unserer Studie.

00:01:43: Also zum Beispiel haben wir in der Studie gesehen, dass nur für 17 Prozent gesagt haben,

00:01:49: Sie sehen jetzt tatsächlich schon eine Hilfe quasi in der Verteidigung durch die KI.

00:01:53: Man erwartet aber schon, dass in den nächsten Jahren durchaus da mehr Unterstützung kommen wird,

00:01:59: in durchaus verschiedene Bereiche, da will ich jetzt gar nicht so tief reingehen,

00:02:03: kann man vielleicht später ein bisschen mehr aufdröseln.

00:02:05: Aber wir sind quasi am Beginn, wo die Cyber Security quasi auch unterstützt.

00:02:11: Auf der anderen Seite sehen wir aber, dass wir gerade in der Angriffswelt,

00:02:15: nicht erst beim Beginn sind, schon im Mitten drinnen.

00:02:18: Also gerade bei den Angriffen wird KI natürlich schon sehr stark eingesetzt.

00:02:22: Ich nehme jetzt mal nur ein paar Beispiele her.

00:02:24: Das eine, die zum Beispiel das Individualisieren von Fishing-E-Mails fast ganz stark steigt

00:02:29: und wo man auch nicht nur bei uns sieht, sondern auch international,

00:02:32: dass die Click-Rates, wenn sie von KI geschrieben und angepasst sind,

00:02:36: wesentlich höher sind als bei klassischen Fishing-Mails.

00:02:40: Wir reden normalerweise bei klassischen Fishing-Angriffen von, keine Ahnung, 7, 8, 9 Prozent, vielleicht 11 Prozent,

00:02:46: die aufmachen bei KI-generierten Inhalten teilweise bis zu 30, 40, 50 Prozent laut internationalen Studien.

00:02:53: Also die eine Welt, die zweite Welt ist dann tatsächlich das ganze Thema TIPFAKE,

00:02:57: also alles was in Richtung Voice-Video und Co-Git für Angriffe,

00:03:01: das sind auch ganz, ganz starken Anstieg über 100 Prozent.

00:03:05: So letzte jährigen Studie, das ist tatsächlich voll eingeschlagen.

00:03:09: Und dann natürlich diverse neue Angriffsszenarien, die teilweise auch erst durch die KI kommen.

00:03:14: Also so Dinge wie prompt injection, andere Dinge, die zusätzlich dazukommen, wo ich mich damit beschäftigen muss.

00:03:21: In Summen muss man sagen, dass das Thema beschäftigt ganz, ganz viele.

00:03:25: Seit unserer Studie zeigen auch alle viele andere internationaler Studien.

00:03:29: Und so wie bei der Einführung von KI, stehen wir natürlich mit der Absicherung der KI auch noch am Anfang als Gesellschaft.

00:03:35: Dann werden wir auch dann Detailator darauf eingehen, wie ist denn jetzt Österreich grundsätzlich hier auch positioniert,

00:03:41: wenn man jetzt schaut im internationalen Vergleich, ist es stark sozusagen, was Angriffe betrifft?

00:03:47: Wie gut sind wir in der Abwehr, hinkt es da eher hinterher?

00:03:51: Wer positioniert sich da jetzt Österreich im internationalen Vergleich?

00:03:54: Ja, also in der Security ist es ja oft so, dass die Aufwände für kleine, große Unternehmen leider relativ ähnlich sind.

00:04:00: Insofern, wir sind ein Land der kleinen, mittelständischen Unternehmen.

00:04:03: Natürlich ist unsere kritische Infrastruktur größer, aber wir sind sicherlich nicht diejenigen,

00:04:08: die irgendwelche Lösungen als Erster einführen.

00:04:10: Das muss man ganz offen sagen, vor der Guten, vor der Bett.

00:04:13: Das heißt, wir haben sicherlich immer ein bisschen eine abwartende Haltung bei dem Einsatz von Prinzipelltechnologie.

00:04:19: Gar nicht nur KI, auch Cloud, anderen Geschichten, das braucht ein bisschen länger.

00:04:23: Wenn man zum Beispiel im Vergleich zu den norrlischen Staaten schaut oder zu England,

00:04:27: sondern norrlischen Staaten, die da vielleicht ein bisschen weiter vorne sind,

00:04:30: oder vielleicht auch ein bisschen risikoperator, aber auch im Vergleich zu Deutschland,

00:04:34: die natürlich größere Strukturen haben und Dinge einfach früher machen.

00:04:38: Auf der anderen Seite kann man dann auch durchaus vielleicht in einem anderen Sprung mal überspringen

00:04:42: und auf das aufsetzen, was dann schon bewährt ist.

00:04:44: Das sehen wir immer wieder mal und das ist gar nicht so schlecht.

00:04:48: Das ist Leapfrogging, das so schön im Englischen heißt.

00:04:51: In der Regulierung sage ich jetzt mal, im Bewusstsein sind wir, glaube ich, in Österreich relativ weit.

00:04:56: Das Thema ist bei uns schon schon relativ früh aufgegriffen worden, nicht nur in der EU,

00:04:59: sondern eben auch bei uns, auch teilweise da mit der Regulatorygrundum,

00:05:02: welche AI-Aktion interpretieren ist zum Beispiel,

00:05:06: an welchen Grenzen man Dinge Detailer sich anschauen muss und so weiter und so fort.

00:05:10: Da findet man ja einiges im aktuellen Regierungsprogramm wieder

00:05:13: und in Summe, muss man sagen, sieht man da durchaus erwerblich aus meiner Sicht eher im Spitzenfeld in Europa.

00:05:20: Herr Schmeisser, was beobachten Sie denn, wie verändert KI die Angriffsstrategien

00:05:24: im Cyberraum und sind wir da jetzt auch irgendwo einer neuen,

00:05:29: ich sage mal, Qualität von Bedrohungen ausgesetzt?

00:05:32: Naja, wenn die Anknüpf der Punkt ist, dass AI es angreifen ermöglicht,

00:05:37: einfach eine höhere wertige Qualität zu produzieren,

00:05:41: die dann, wie erwähnt, dazu führt, dass halt mehr geklickt wird.

00:05:45: Das heißt, wenn Sie selbst da zurückdenken, wenn Sie vor Jahren Fishing-Emails bekommen haben,

00:05:51: da waren oft Rechtschreibfeller drin, das war schlecht formuliert und so weiter,

00:05:54: das sind Dinge, die man mittlerweile nur noch sehr selten sieht.

00:06:00: Und da ist man sicher, hat man da einen sehr großen Sprung nach vorne gemacht auf Angriffsseite.

00:06:08: Das leitet im Endeffekt auch, meiner Meinung nach, nahtlos zu dem Punkt über,

00:06:13: wo seitens der Unternehmen auch gepusht durch verschiedene Regularien,

00:06:18: beispielsweise DORA, was die Finanzwelt betrifft,

00:06:22: einfach gefordert sind, vom Management weg durch die ganze Organisation bewusst zu haben,

00:06:27: bei den Mitarbeitern zu schaffen.

00:06:29: Weil wenn man dem ausgesetzt ist, dass man Fishing-Emails bekommt,

00:06:33: die auch für versierte Mitarbeiter schwer als Fishing zu identifizieren sind,

00:06:40: dann gibt es aber nur immer den zweiten Unabhängigen Kanal beispielsweise,

00:06:44: auf dem man prüfen kann, ob das jetzt was Echtes ist,

00:06:47: was man im Postengang sieht, oder ob das jetzt der potenzielle Angriff ist.

00:06:52: Und das ist nur ein Beispiel unter vielen,

00:06:56: wo man, meiner Meinung nach, einfach handeln und stetig dahinter sein muss.

00:07:01: Vorher eben, der Flughafen ist ja eine Hochvernetzte,

00:07:04: sich jetzt kritische Infrastruktur mit tausenden Schnittstellen.

00:07:08: Welche konkreten, sauber riesigen Entstehenden dort auch durch den Einsatz von KI?

00:07:12: Ich denke, KI, so wie es schon angesprochen wurde, hebt wirklich auch die Angriffsmöglichkeiten

00:07:18: auf ein anderes Level.

00:07:19: Es wurde schon angesprochen, die Qualität steigt, aber es ist auch viel leichter verfügbar.

00:07:23: Man kann sich mit KI auch als unbedarfter Mensch

00:07:27: durchaus auch Schadsoft programmieren lassen mit KI.

00:07:31: Also ich glaube, man muss da wirklich ganz stark auch an die Ewernes ansetzen.

00:07:35: Und wir als Flughafen sind natürlich in unserer DNA Flughafen-Sicherheit,

00:07:40: die es in unserer DNA verankert.

00:07:42: Gleichzeitig wollen wir und müssen wir auch international wettbewerksfähig sein,

00:07:46: wenn wir wollen ausgezeichnete Qualität liefern und das in einem sicheren Umfeld.

00:07:51: Das heißt, Effizienzsteigerungen, auch da hilft uns massiv auch künstliche Intelligenz

00:07:56: oder Automatisierung, Digitalisierung.

00:07:58: Das heißt, sich dem zu verschließen ist gar keine Option, gar keine Möglichkeit.

00:08:03: Wir setzen KI sowohl auch in der Abwehr von selber an Angriffen

00:08:08: oder in der Erkennung von selber an,

00:08:10: Angriffen ein, aber auch ganz stark im operativen Bereich, wo es darum geht, Mitarbeiterinnen und

00:08:15: Mitarbeiter zu unterstützen, effizientere Prozesse zu gestalten, Ressourcen besser zu

00:08:20: disponieren. Und ich glaube KI hilft uns auch, und ich glaube, das ist ein Aspekt, den ich noch

00:08:26: einbringen möchte in die Diskussion, KI hilft uns auch in der physischen Sicherheit. Also im

00:08:30: Flughafen gibt es da aber, glaube ich, ein sehr, sehr gutes Beispiel, physische Sicherheit. Man

00:08:34: denke, wenn sich Bewegungsmuster verändern, ein übliches Bewegungsmuster, um ein konkretes

00:08:40: Beispiel zu sagen ist, von links nach rechts und plötzlich bewegen sich Menschen, aus welchem

00:08:45: Grund auch immer, in eine andere Richtung oder beginnen zu laufen. Da ermöglicht uns KI wirklich,

00:08:51: das viel schneller und vollautomatisiert zu erkennen, in den Sicherheitszentralen eines

00:08:57: Flughafens beispielsweise aufzuschalten. Und da tut sich gerade ganz viel, und da wollen wir

00:09:03: natürlich auch vorne dabei sein. Man denke auch, Anwendungsfeile, Absätze vom Flughafen,

00:09:07: aber ein Bahnhof, wenn sich Menschen plötzlich auf den Gleisen bewegen. Oder ich denke an

00:09:12: Autobahnen, Geisterfahrer, automatisierte Erkennung. Man wird nicht das ganze Autobahnnetz

00:09:18: entsprechend abdecken können, da ist ja sehr viel Rechner-Ressourcen dahinter. Aber neuralgeschlelle

00:09:23: Stellen, wo man schon die Erfahrung hat, dass solche Unfälle passieren können, dass man da mit KI

00:09:29: und Automatisierung und Erkennung von Anomalien, ich glaube, da kann uns KI sehr gut unterstützen,

00:09:34: und da bringt es uns auch wirklich KI weiter auch im Bereich der Sicherheit. Ja, ich glaube,

00:09:39: das, was man da auch unterschreiben muss, wir haben ja im Informationssicherheitsbereich sowohl

00:09:43: der Kapazität, sondern auch Kompetenzproblem. Das heißt, wir hätten ja viel mehr Aufgaben und

00:09:49: viel mehr Themen, die wir eigentlich machen müssten, alle miteinander, gerade wenn man

00:09:52: jetzt in der Regulatorik denkt, die wir ganz offensichtlich mit der Menge an Leuten, die das

00:09:57: bis jetzt gelernt haben in Österreich, aber im Arbeitsmarkt so viel umstehen, nicht machen

00:10:00: können. Das heißt, es ist außer Frage, dass wir KI einsetzen müssen auch in diesen Teilbereichen,

00:10:07: wie zum Beispiel in einem Security Operations Center, wo man den ersten Teil wahrscheinlich

00:10:11: relativ bald einmal komplett automatisieren kann, also die ganze Firstland, die natürlich auf 24/7

00:10:16: durcharbeitet, was man sonst sehr schwer abbilden kann, weil so ein Security Operations Center unter

00:10:21: 12 Leuten zu betreiben, geht eigentlich nicht aus arbeitsrechtlicher Sicht, da kann ich dementsprechend

00:10:25: sage jetzt einmal, dann gleich einmal was machen, wird nicht müde. Genau, wird nicht müde und man

00:10:30: kann sich dann halt auch auf speziell andere Themen auch konzentrieren. Ich glaube, es wird da sehr

00:10:36: viel reininterpretiert und sehr viel Hoffnung vor allem auch reininterpretiert, deswegen gibt es

00:10:39: natürlich auch einen extremen Hype im Bezug auf AI und auch Security bei AI-Prinzipeln und wie immer

00:10:46: wird natürlich so eine Hoffnung sehr schnell auch einmal enttäuscht, aber das Produktivitätsniveau,

00:10:50: sage ich jetzt einmal, dass wir mal bei all diesen AI-Lösungen erst in ein paar Jahren sehen. Wir

00:10:55: sind jetzt, was das schon teilweise zum Leisten quasi vermarkt, aber so richtig in Inskalierung

00:11:01: kommen und damit wir auch wissen, wie wir damit umgehen, was wir dort abgeben wollen, was nicht,

00:11:07: wie wir das verwerten, das werden wir alles erst lernen und da gibt es natürlich durchaus eine

00:11:13: Vielzahl an Möglichkeit. Frau Eben, wie ist das dann eigentlich mit, Sie haben jetzt gesagt,

00:11:17: quasi Sie überwachen ja dann eigentlich Menschen damit mit dem KI-System. Wie funktioniert das

00:11:23: dann eigentlich vom Datenschutz her? Also Flughafen ist natürlich eine besondere

00:11:27: Gegebenheit. Also diese Möglichkeiten, die Sie vielleicht auf einem Flughafen ergeben,

00:11:31: gibt es nicht überall. Natürlich auf der anderen Seite, Datenschutz ist genauso ein sehr relevantes

00:11:37: Thema für uns. Da geht es um sehr wichtige Daten. Das muss absolut anonymisiert erfolgen beispielsweise.

00:11:42: Auch da ist wieder ein guter Anwendungsfall auch für KI. Anonymisierung von Daten, die direkt

00:11:48: in den Kameras beispielsweise erfolgen, darauf setzen auch wir. Sonst lässt sich das mit den

00:11:52: Regulatorien, in denen wir in Europa zu tun haben, gar nicht umsetzen. Aber auch da, ich sehe wirklich

00:11:57: hier auch die positiven Aspekte von KI. KI gibt uns Möglichkeiten, Dinge zu tun, die sonst vielleicht

00:12:03: bei uns nicht möglich werden. Aber ganz klar, Datenschutz ist eine Basisanforderung, auf die

00:12:10: man unbedingt achten muss. Das ist eines der ersten Dinge, die man glaube ich auch im Einsatz von KI

00:12:13: unbedingt berücksichtigen muss. Ob es jetzt bei den Trainings der Modelle ist etc. Aber Datenschutz

00:12:19: ist ein sehr sehr wichtiges Thema. Ich möchte nur unterstreichen, dass der Studium auch Top

00:12:23: Hemmnis bei der Einsatz von KI-Technologie ist Datenschutz. Wir haben bei uns auch 45% gesagt.

00:12:29: Und Top Risiko beim Einsatz von KI, das sind jetzt auch Datenschutz-Themen. Inwiefern Top Risiko?

00:12:36: Dass das Risiko ist, das von den Sicherheitsleuten quasi zu betrachten und so zu evolvieren ist,

00:12:41: im Sinne von brechig damit datenschutzrechtliche Bestimmungen. Und das war auch die Top Antwort

00:12:47: mit 55%. Also ich glaube, dass Datenschutz-Thema ist und Top of our mind, wenn man über das Thema

00:12:52: quasi reden, das ist sicherlich auch in einer europäischen DNA so drinnen. Und es ist auch so,

00:12:57: dass Europa mit Abstand die höchsten Strafe von allen quasi verhängt auch im Schnitt. Wenn wir

00:13:02: jetzt ja anschauen, Datenschutzregulatoren in anderen Märkten, dann ist der durchschnittliche

00:13:06: Schaden respektive durchschnittliche Strafe, in dem Fall nicht der Schaden in Europa am höchsten.

00:13:11: Und man sprengt auch natürlich die Priorisierung bei uns in der Industrie.

00:13:14: Ich glaube grundsätzlich bei KI, beim Einsatz von KI, ob das jetzt für die selber abwehr,

00:13:19: oder im sonstigen Fall dieses, glaube ich, dass man wirklich sehr genau schaut, sehr transparent

00:13:23: schaut und auch zusammenbringt Technik, Ethik, nicht zu vergessen Ethik, als auch rechtliche Aspekte.

00:13:31: Also es geht hier um Transparenz, wie funktionieren die Prozesse der KI, mit welchen Trainingsdaten

00:13:36: wurde die KI auch sozusagen auch die Penetration der KI, also mit manipulierenden Bildern beispielsweise,

00:13:44: auch die KI zu trainieren, damit auch die KI selbstresilienter ist gegen Angriffe.

00:13:49: Ich glaube, da tut sich auch gerade ganz, ganz viel. Und ich glaube, wir als Unternehmen sind

00:13:53: da ganz stark gefragt, oder wir als Tierexpertinnen und Experten sind ja ganz stark gefragt zu

00:13:58: wissen, welche KI hier im Einsatz ist. Das KI im Einsatz ist, so fängt es vielleicht an,

00:14:03: das KI im Einsatz ist, welche KI sie ist im Einsatz, wer steckt denn da dahinter, wie wurde die KI trainiert.

00:14:10: Und da gibt es wahrscheinlich auch keine Richtigung, keine Falsche, aber ich glaube, das Wissen und

00:14:13: die Transparenz darüber ist der erste Schritt in die richtige Richtung, die richtige KI für

00:14:18: den richtigen Anwendungsfall einzusetzen. Worauf, oder was sollten denn Unternehmen tun,

00:14:23: oder worauf sollten sie denn achten, um sicherzustellen, dass sie da auch eine vertrauenswürdige KI

00:14:28: implementieren und auch wissen, was sie da eben tun, weil ein bisschen ist das ja auch so die

00:14:32: Büchse der Pandora. Standards, Zertifizierungen, was muss man denn da schauen, was empfehlen

00:14:37: sie denn zum Beispiel den Kunden? Also ich glaube, sie haben ja nicht so jetzt direkt Mittelstand,

00:14:41: aber ein bisschen wird es auch in die Richtung gehen. Es gibt auf europäische Ebene oder in Europa

00:14:45: verschiedene Zertifizierungen und Testharte. Da gibt es auf der einen Seite einen EU Cloud Code

00:14:51: of Conduct in verschiedenen Levels beispielsweise und wenn jemand diesen Code of Conduct auf Level

00:14:58: 3 eben erfüllt und die Services, die man bietet auch im Scope enthalten sind, das heißt vom

00:15:04: Umfang dieser Prüfungen oder Zertifizierungen erfasst, dann habe ich als Unternehmen, kann

00:15:11: ich keinen bestmöglicheren Nachweis bekommen im Hinblick auf Data Protection, also das ist

00:15:16: einfach der Goldstandard auf der Seite und dann habe ich Datenschutz erledigt und auf der linken

00:15:23: Seite gibt es das Thema Informationssicherheit und ich habe vorhin schon ein C5 erwähnt,

00:15:28: internationaler ISAI, ISAI sagt zwei und wenn man das auch mitbringt, dann und auch hier die

00:15:36: Services, die man bietet im Scope der Überprüfung auch umfasst sind, da braucht es den genauen Blick,

00:15:43: weil das ist nicht immer der Fall, dann kann ich zwei grüne Hackel drunter machen.

00:15:49: Vor allem Herr Schmeisser, Herr Domeck, ich bedanke mich ganz herzlich für dieses

00:15:54: spannende Gespräch und wünsche noch einen schönen Tag. Dankeschön.

00:15:58: Ebenso danke. Danke.

00:15:59: Das war ein Podcast zur Schwerpunktwoche Cyber Security, veranstaltet von der Presse in

00:16:07: Kooperation mit FaberSoft. Wir bedanken uns fürs Zuhören.

00:16:14: [Musik]