Cybersicherheit für Unternehmen im KI-Zeitalter - Interview mit Prof. Dr. Klaas Ole Kürtz

Prof. Dr. Klaas Ole Kürtz ist Professor für Wirtschaftsinformatik, insbesondere Cybersicherheit, an der HAW Kiel. 

#diwokiel: Cyberangriffe auf Unternehmen nehmen immer mehr zu – welche Angriffsarten kommen aktuell am häufigsten vor, und wo sind die größten Schwachstellen, durch die Angreifer reinkommen?

Prof. Dr. Klaas Ole Kürtz: Grundsätzlich hat sich das gar nicht so stark verändert. Das größte Thema ist immer noch Ransomware, also ein Erpressungstrojaner, der ein Unternehmen angreift und gleichzeitig häufig die Daten des Unternehmens verschlüsselt, sodass es ein Lösegeld zahlen muss, um wieder operieren zu können. Gleichzeitig drohen die Angreifer, die Daten zu veröffentlichen, falls das Lösegeld nicht fließt. Darüber hinaus gab es in den letzten Jahren immer schwerere DDoS-Angriffe, wo Angreifer durch Überlastung versuchen, die Webseiten von Unternehmen aus dem Netz zu kegeln. Das ist aber keine dramatische Verschiebung, zumal man sich dagegen schwer und z.T. nur kostspielig systematisch verteidigen kann. Da kann man oft nicht viel tun, außer abzuwarten, weil die stärksten Angriffe normalerweise auch nicht lange dauern. 

Als Einfallstore gibt es zwei große Dinge. Das eine ist immer noch Social Engineering, also das Angriffsziel Mensch. Hier versucht man, Mitarbeitende durch ganz geschickte Taktiken – die sich immer weiterentwickeln und besser werden – dazu zu bringen, auf Links zu klicken und Zugangsdaten einzugeben oder etwas auf dem Rechner zu installieren. Man versucht also, die technischen Schutzmaßnahmen zu umgehen, indem man Menschen überzeugt etwas zu tun, was sie eigentlich nicht tun sollten. Das Zweite ist die Zunahme an Sicherheitslücken. Das wird durch den Einsatz von KI in der nächsten Zeit deutlich wichtiger werden. KI kann sehr schnell, sehr viele Sicherheitslücken finden und diese Lücken können von den Softwareherstellern teilweise nicht schnell genug behoben werden. Insofern ist die Zeit zwischen <eine Sicherheitslücke wurde entdeckt> und <die Firma ist dagegen geschützt> sozusagen gefährlicher geworden. 

#diwokiel: Du sprichst das Thema KI ja schon direkt an: Wie groß ist der Einfluss von KI auf die Cybersicherheit von Unternehmen geworden – sowohl was die Angriffe angeht als auch den Schutz?

Prof. Dr. Klaas Ole Kürtz: Der Einfluss ist massiv. Die Kombination aus Cybersicherheit und KI ist etwas, was sich wirklich sehr dynamisch entwickelt. 

Im Moment ist es so, dass die Angreifer ein bisschen Vorsprung haben, weil die Modelle eben relativ gut Sicherheitslücken finden und bei den Angriffen unterstützen. Dazu sind die Sicherungsmaßnahmen der KI-Modelle relativ mau, auch weil es als Anbieter schwer ist dafür zu sorgen, dass die Modelle nicht missbraucht werden. Insofern haben die Angreifer hier ein bisschen Vorteile, weil sie etwa schnell eine Phishing-Mail schreiben können, automatisiert irgendwelche Kampagnen fahren können und all sowas. 

Ich hoffe aber, dass wir langfristig einen Vorteil bei den Verteidigern haben. Mit KI lassen sich nämlich auch Muster analysieren, wodurch wir unsere Systeme und Interna besser kennen. Eine schlaue KI, die unser System, Netzwerk, Unternehmens-IT-Landschaft, versteht, merkt, wenn etwas nicht stimmt. Damit ist man eigentlich besser gerüstet als der Angreifer von außerhalb, der die Interna nicht weiß. Bis solche Systeme wirklich gut entwickelt und auf dem gleichen Stand sind, dauert es aber noch. 

Dazu kommen noch zwei weitere wichtige Sachen. Zum einen muss man auch KI-Systeme vor Angriffen schützen. KI basiert auf natürlicher Sprache und lässt sich überreden und überzeugen – sie davor zu schützen, ist wahnsinnig schwer. Und das wird zunehmen, je mehr ein Unternehmen KI einsetzt, je mehr es sie mit Zugriffsrechten ausstattet oder Tätigkeiten mithilfe agentischer KI übernehmen lässt. Das wird eine neue zusätzliche Herausforderung. 

Ein weiterer wichtiger Punkt ist, dass sich die Gesamtlandschaft der IT verändern wird. Plötzlich können nämlich auch Nicht-Informatiker Code produzieren und Anwendungen schreiben lassen, die irgendetwas tun, bei der die Menschen aber eben nicht ganz überblicken, wie die Sicherheitsimplikationen sind. KI verändert also, wie wir mit IT umgehen, wie IT-Systeme gestaltet werden, wie sie zusammenspielen. Dadurch werden wir viel mehr Sicherheitslücken und unsicheren Code haben, den wir schützen müssen. 

#diwokiel: Das klingt so, als würde KI in der Cybersicherheit für Unternehmen in der nächsten Zeit das bestimmende Thema sein? 

Prof. Dr. Klaas Ole Kürtz: Es wird das bestimmende Thema sein. Die Prioritäten werden sich hier verschieben. Bisher konnten Unternehmen sich bei Cybersicherheit manchmal ein Stück weit durchschlängeln. Wenn ich als Unternehmen einen Basisschutz an Maßnahmen hatte, aber nicht optimal dastand, konnte ich damit umgehen – und ich glaube das wird sich durch KI verschieben. Wir werden mehr Situationen haben, wo Unternehmen wirklich angegriffen werden und es vielleicht sogar gar nicht merken. Das ist ein großes Problem: dass viele Unternehmen schlicht nicht merken, dass sie angegriffen worden sind, sondern erst Wochen oder Monate später. Die Zahlen sind hier alarmierend. Solche Vorfälle werden wir mit KI viel mehr haben. Es kommt also nicht mehr darauf an, ein bisschen geschützt zu sein, sondern darauf, gut geschützt zu sein und zu verstehen, ob ich angegriffen werde und gleichzeitig darauf vorbereitet zu sein. 

„Diese Angriffe sollen Staaten lahmlegen, das Vertrauen in ihre Strukturen schädigen, mal austesten, was man aus der Ferne so erreichen kann".

Prof. Dr. Klaas Ole Kürtz

#diwokiel: Du sprichst von „vorbereitet sein“ – vor wem denn eigentlich?  Was ist die Motivation hinter Cyberangreifen auf Unternehmen? 

Prof. Dr. Klaas Ole Kürtz: Die erste Motivation ist Geld. Cyberangriffe sind inzwischen einfach eine wirklich kriminelle Industrie geworden, die auch sehr arbeitsteilig und spezialisiert agiert. Da fließt sehr viel Geld und es ist einfacher geworden, dort Geld zu verdienen, Geld zu waschen und so weiter.

Das Zweite sind staatliche Motive, also Cyberangriffe, die Staaten schwächen. Diese Angriffe sollen Staaten lahmlegen, das Vertrauen in ihre Strukturen schädigen, mal austesten, was man aus der Ferne so erreichen kann. Ein Beispiel aus dem letzten Jahr ist der Angriff auf das polnische Stromnetz. Wenn dieser erfolgreich gewesen wäre, wären relevante Teile des Stromnetzes zum Erliegen gekommen. Sowas untergräbt natürlich das Vertrauen in den Staat und seine Strukturen, ebenso hat es Auswirkungen auf die gesellschaftliche Umwelt. Genauso gibt es aber auch Industriespionage in einem staatlichen Sinne, um die eigene Wirtschaft zu fördern.  

Drittens gibt es noch politischen Aktivismus als Motivation. Dort geht es um das Setzen eines Symbols. Davon haben Angreifer keinen Gewinn – sie ziehen keine geheimen Daten raus oder erpressen das Unternehmen nicht, sondern löschen und zerstören einfach nur, um ein politisch aktivistisches Signal zu setzen. Das gibt es – vorsichtig gesagt – zunehmend, je mehr internationale Konflikte es auch gibt.

#diwokiel: Du hast den Schutz vor Cyberangriffen eben ja erwähnt. Welche Voraussetzungen müssen Unternehmen schaffen, um sich vor Angriffen zu schützen? 

Prof. Dr. Klaas Ole Kürtz: Die Schutzmaßnahmen bleiben trotz KI ähnliche. Wir müssen immer noch über Zugänge und Zugriffsrechte reden. Wir müssen immer noch Software aktueller halten. Wir müssen immer noch Firewalls einrichten, Netze in kleinere Einheiten trennen und Geräte voneinander abschotten. Wir müssen immer noch Backup-Strukturen einrichten. Die Themen bleiben also die gleichen. Sie haben wie bereits erwähnt nur eine andere Priorisierung und Dringlichkeit an manchen Stellen.

Beim konkreten Schutz kommt es natürlich speziell auf das Unternehmen an, aber es gibt schon eine Art Basis-Set: Technische, Organisatorische und Menschliche Maßnahmen, kurz T.O.M. – die brauche ich immer. Erstens technischen Maßnahmen. Ich muss also mein Netzwerk, meine Software, meine Systeme schützen. Zweitens organisatorische Maßnahmen. Ich muss zum Beispiel sicherstellen, dass nur die richtigen Personen Zugriff haben und entsprechende Rechte richtig verteilt sind, auf Krisensituationen vorbereitet sein oder wissen, wie ich reagiere, wenn die Systeme nicht mehr gehen. Drittens kommen noch die menschenzentrierten Maßnahmen dazu. Ich muss meine Mitarbeitenden also schulen, sodass sie auch eine Verteidigungslinie sind und sozusagen die Human Firewall stärken. Das Ganze kostet Geld und Know-how. 

Vor allen braucht es aber den Willen, sich mit dem Thema zu beschäftigen. Hier sehe ich eine Zweiteilung. Es gibt viele Unternehmen, die sich damit beschäftigen und auf einem relativ gutem Schutzniveau sind. Nicht immer perfekt, aber das kann man meist gar nicht, weil es nicht wirtschaftlich ist. Trotzdem haben diese Unternehmen ein gutes Schutzniveau, weil sie Verantwortlichkeiten festgelegt und zusammen mit IT-Dienstleistern überlegt haben, was zu tun ist. Es gibt aber auch andere Unternehmen, für die das Thema noch sehr nebulös und komplex ist; die einfach gar nicht wissen, wo sie starten sollen. Genau das ist aber der schwierige Punkt. Besser überhaupt anfangen – etwa einen Leitfaden nutzen, mit einem IT-Dienstleister sprechen, einen Berater ins Haus holen, der die Basissicherung durchspielt – als überhaupt nichts zu tun, weil man glaubt, man wird nicht angegriffen oder wäre nicht relevant. Das ist gerade bei kleinen Unternehmen häufig ein Problem. 

#diwokiel: Was wären denn konkrete und einfache Lösungen, die jedes Unternehmen – egal welcher Größe – gleich morgen umsetzen könnte und die Cybersicherheit dadurch massiv erhöhen würde?

Prof. Dr. Klaas Ole Kürtz: Der erste Punkt ist einen systematischen Check zu machen. Es gibt viele gute Online-Tools, IT- oder Sicherheitsberatungen oder Angebote vom Bundesamt für Sicherheit in der Informationstechnik, wo Unternehmen einfach mal einen systematischen Check machen können, um zu prüfen, ob sie grundsätzlich gut vorbereitet sind. Das beinhaltet oft auch die technischen Themen wie Zero Trust, Supply-Chain-Angriffe etc., um die sich primär die IT kümmert.

Der zweite Punkt wäre für mich immer eine Notfall-Strategie inklusive Backups. Sich überlegen, was passiert, wenn ich tatsächlich angegriffen werde. Denn alle anderen Schutzmaßnahmen können auch versagen und da ist immer die Frage: Habe ich irgendwie die Möglichkeit, mein System wieder zum Laufen zu bringen und meine Backups wiederherzustellen? 

Zugriffschutz ist ein weiterer wichtiger Punkt, denn Zugänge sind tatsächlich einer der häufigsten Einfallstore. Das ist gerade in kleinen Unternehmen schwierig umzusetzen, weil jeder das Passwort des anderen kennt, überall eingeloggt ist, alle Zugänge kennt und so weiter. Das heißt aber auch, sobald ein Angreifer im System ist, kann er alles übernehmen. Für den Schutz bedeutet das, Passwörter zu verbessern, Zwei-Faktor-Authentifizierung zu nutzen sowie Passkeys. 

Auch Mitarbeiterschulungen sind wichtig. Das Thema betrifft eben nicht nur die IT, sondern alle. Und ich muss alle Mitarbeiter dafür sensibilisieren und ihnen regelmäßig erzählen, was sie tun sollten und was nicht. Auch eine positive Fehlerkultur spielt da mit rein. Mich mit dem Thema also so beschäftigen, dass meine Mitarbeitenden auch merken, dass es wichtig ist für das Unternehmen ist. 

„Das Thema betrifft eben nicht nur die IT, sondern alle. Und ich muss alle Mitarbeiter dafür sensibilisieren und ihnen regelmäßig erzählen, was sie tun sollten und was nicht".

Prof. Dr. Klaas Ole Kürtz

#diwokiel: Angenommen, es hat ein Unternehmen trotz aller Schutzmaßnahmen erwischt – vieles hängt sicher von der Art des Angriffs ab, aber: Gibt es feste Anlaufstellen, die man kontaktieren sollte, oder einen bewährten Ablaufplan für die Zeit nach einem Angriff?

Prof. Dr. Klaas Ole Kürtz: In Teilen ja. Es hängt aber natürlich in der Tat von der Art des Angriffs und vom Unternehmen selbst ab. Wie gesagt sollte ein Teil der Strategie sein, eine Notfall-Strategie zu haben. Habe ich einen IT-Dienstleister, der mir in der Situation helfen kann? Habe ich vorher schon mal mit dem gesprochen? Wie informiere ich meine Mitarbeitenden? All diese Fragen vorher zu klären – das ist ganz essentiell. 

Wenn ich als Unternehmen betroffen bin, würde ich als erstes immer meinen IT-Dienstleister anrufen, weil die sowas einfach öfter gesehen haben und wissen, was technisch zu tun ist. Gleichzeitig würde ich die Zentrale Anlaufstelle Cybercrime (ZAC) der Polizei anrufen. Die können das ganze Rechtliche und die Strafverfolgungsebene starten. Das sind die beiden Anrufe, die ich als erstes machen muss. Und dann muss ich mir eben überlegen, wer betroffen ist: Muss ich meine Mitarbeitenden informieren? Muss ich meine Kunden informieren? Das wäre der nächste Schritt. 

Hinweis von Prof. Dr. Klaas Ole Kürtz: 

Die HAW Kiel steht kleinen und mittleren Unternehmen bei der ersten Orientierung rund um das Thema Cybersicherheit als Gesprächspartner zur Verfügung. Sie helfen Ihnen, die Bedrohungslage zu verstehen, geben praxisnahe Tipps zur Prävention und vermitteln passende Kontakte. Auch im Rahmen von Projekten oder Abschlussarbeiten entwickeln Studierende gemeinsam mit Unternehmen Lösungsansätze für Ihr Unternehmen.

Bei einem konkreten Cyberangriff wenden Sie sich bitte sobald wie möglich an die Zentrale Ansprechstelle Cybercrime (ZAC)!

Mehr erfahren

In diesem Artikel spricht Henning Dibbern von der Zentralen Ansprechstelle Cybercrime im LKA Schleswig-Holstein über Cybersicherheit für die Bevölkerung.