Künstliche Intelligenz ist seit der Markteinführung von ChatGPT zur Alltagsrealität geworden. Wie das in der Reise durch die Digitalisierung bisher oft der Fall war, neigt die Menschheit dazu, zuerst den Nutzen zu ernten und sich erst dann mit den möglichen Gefahren auseinanderzusetzen, wenn diese bereits Realität sind. Auch die Gesetzgebung reagiert tendenziell erst später, um nach Identifizierung der Problemzonen die Risiken in Grenzen zu halten (siehe DSGVO, EU­Sicherheitsrichtlinie NIS1, NIS2, AI Act).

KI im Risiko­management

Mittlerweile haben IT­Experten erkannt, dass die digitale Entwicklung nur Hand in Hand mit IT­ Sicherheit erfolgen kann. Die IT­Security Branche setzt zur Bekämpfung der Cyber­Risiken mittlerweile auch KI ein. Mithilfe von KI können Daten aus unterschiedlichen Quellen schneller und strukturierter gesammelt bzw. analysiert werden, um proaktiv eine bessere Verteidigungsstrategie aufzubauen. Auch im gesamten Risikomanagement, z.B. im Bereich Cyberversicherungen, kommt KI immer mehr zum Einsatz, obgleich das Geschäftsrisiko eines Unternehmens und dessen Verständnis viele Komponenten voraussetzen, bei denen die menschliche Psyche oder das Erfordernis kreativen Denkens unabdingbar sind. Beispielweise muss ein Geschäftsführer in einem Cyber­Krisenfall eine Reihe von Entscheidungen treffen (z.B. in Bezug auf Mitarbeiter:innen oder in der Krisenkommunikation), wo Empathie und emotionale Intelligenz gefragt sind.

Neue Sicherheits­gefahren

Während also KI die Prävention von bzw. die Reaktion auf Cyberrisiken erleichtert, trägt sie gleichzeitig wesentlich dazu bei, bestehende Sicherheitsgefahren zu erhöhen oder sogar neue zu erzeugen. Durch das immer mehr verbreitete und unkontrollierte Einsetzen von ChatGPT und anderer Machine Learning Tools werden Angriffsflächen geschaffen. KI erstellt Inhalte aufgrund der statistischen Wahrscheinlichkeit bereits bestehender Informationen, daher kann sie den menschlichen Verstand, der mit­ oder neudenken kann, nicht ersetzen. Deshalb und weil die eingegebenen Informationen weder auf Richtigkeit noch auf Aktualität oder Vertraulichkeit geprüft werden, besteht erhebliche Gefahr von Informationsmissbrauch, der Verbreitung von Desinformationen sowie für Datenspionage.

Miss­bräuchliche Ver­wendung von KI

Deepfakes sind verschiedene Formen der audiovisuellen Manipulation mittels einer auf KI basierten Technologie, die ein sicherheitspolitisches Risiko darstellen, weil sie zur Verbreitung von Populismus und Destabilisierung der Gesellschaft führen können. Ein großes Problem stellen auch KI­Halluzinationen dar: Wenn die Algorithmen aufgrund mangelnden Trainings bzw. unzureichender Informationen objektiv falsche, ungerechtfertigte teilweise sogar erfundene Resultate erzeugen. Nicht zu verharmlosen ist, dass die Anwendung von ChatGPT schnell zur groben Verletzung des Schutzes von personenbezogenen Daten, Geschäftsgeheimnissen sowie weiterer sensibler Informationen führen kann. Auch hier ist noch abzuwarten, wie die Gesetzgebung auf dieses neue Risikofeld reagieren wird.

Richtig von falsch unter­scheiden

KI­Technologien erleichtern gleichzeitig auch die Arbeitsprozesse von Cyberkriminellen. „Cyber Crime as a Service“ oder „Ransomware as a Service“ sind zu rentablen Geschäftsmodelle geworden. Dabei ermöglichen KI­basierte Methoden Angriffe gezielter und genauer auszuführen. Täter können zudem absichtlich zur Datenvergiftung der KI beitragen, indem sie die Domains beschaffen und Inhalte manipulieren. Betrugsmaschen, wie Scamming oder Phishing werden qualitativ hochwertig ausgeführt. Methoden wie Profiling durch KI oder Deep Learning werden dazu beitragen, dass richtig von falsch, real von unreal schwer bis unmöglich zu unterscheiden sein wird.

Dynamische Ent­wicklungen

Die möglichen – insbesondere finanziellen – Konsequenzen sind vielfältig und grenzenlos. Aufgabe des Risikomanagements auf Unternehmensebene ist es, sich auf die dynamische Entwicklung der Cyber­Bedrohungslage gut vorzubereiten und rechtzeitig zu reagieren. Als Teil der Cyberverteidigungs­Strategie kann zusätzlich eine maßgeschneiderte Cyberversicherung, die insbesondere aus Beratung in der Prävention, Support im Krisenmanagement sowie Übernahme der finanziellen Konsequenzen im Falle eines Cybervorfalls besteht, viel beitragen. Die Cyberbedingungswerke schließen derzeit die Gefahren im Zusammenhang mit Einsetzung der oder verursacht durch KI nicht aus. Hinsichtlich der Risikominimierung auf der Gesellschaftsebene gilt nach wie vor: Individuelles und kollektives Verantwortungsbewusstsein ist im Bereich Cybersicherheit gefragt. Im Kampf gegen Cyberrisiken steht jede:r Einzelne von uns in der Frontlinie und hat sowohl zur Prävention als auch zur Abwehr beizutragen.

Kompetente Unter­stützung

Die KOBAN SÜDVERS Group bietet Beratung im Bereich Cyberrisiken und Cyberversicherungen für Unternehmen in allen Branchen an. „Die Aspekte der Risikominimierung sind vielfältig. Wir möchten unsere Kunden bestmöglich unterstützen, weshalb wir unter anderem Vorschläge für die Risikoerhebung und ­bewertung, Sicherheitsanalyse, Erstellung von Maßnahmenkatalogen, Steuerung in der Implementierung, Prüfung der Ergebnisse, Zertifizierung, etc. erarbeitet und exzellente Kooperations­Partner in diesen Bereichen ausgesucht haben“, betont Dr. Judit Tumpek und führt weiter aus: „Das umfassende Risikomanagement abgerundet durch den vorsorglich und mit den besten Konditionen aufgesetzten Versicherungsschutz wird durch regionale Anwesenheit (damit wir besser zuhören), sowie internationale Verbindungen (damit wir besser verstehen), begleitet.“