{"id":3829,"date":"2022-11-08T06:00:00","date_gmt":"2022-11-08T06:00:00","guid":{"rendered":"https:\/\/cybercompare.com\/?p=3829"},"modified":"2023-09-06T07:19:07","modified_gmt":"2023-09-06T07:19:07","slug":"wie-cyberkriminelle-kuenstliche-intelligenz-ki-nutzen-um-spear-phishing-zu-automatisieren-und-wie-wir-uns-davor-schuetzen-koennen","status":"publish","type":"post","link":"https:\/\/cybercompare.com\/de\/wie-cyberkriminelle-kuenstliche-intelligenz-ki-nutzen-um-spear-phishing-zu-automatisieren-und-wie-wir-uns-davor-schuetzen-koennen\/","title":{"rendered":"Wie Cyberkriminelle k\u00fcnstliche Intelligenz (KI) nutzen, um Spear Phishing zu automatisieren und wie wir uns davor sch\u00fctzen k\u00f6nnen."},"content":{"rendered":"\n

Hannes Hartung<\/h2>\n\n\n\n

Hannes Hartung<\/a> ist Mitgr\u00fcnder und Gesch\u00e4ftsf\u00fchrer der Increase Your Skills GmbH. Das 2017 gegr\u00fcndete Unternehmen hat sich schnell zu einem relevanten Player im Security-Awareness-Markt entwickelt und wird 2020 als eines der 100 am schnellsten wachsenden Start-ups in Deutschland gelistet. Mit ihrer interaktiven Plattform haben sie es sich zur Aufgabe gemacht, informative und ansprechende Online-Trainings sowie Phishing-Simulationen anzubieten, um Unternehmen und Angestellte in der Pr\u00e4vention, Erkennung und Reaktion auf Cyberangriffe zu schulen. Im folgenden Interview skizziert Herr Hartung, wie Cyberkriminelle mithilfe k\u00fcnstlicher Intelligenz Spear Phishing automatisieren und wie wir uns vor Angriffen sch\u00fctzen k\u00f6nnen.<\/p>\n\n\n\n

<\/p>\n\n\n\n

\"\"
Hannes Hartung, Mitgr\u00fcnder und Gesch\u00e4ftsf\u00fchrer der Increase Your Skills GmbH<\/figcaption><\/figure>\n\n\n\n

Herr Hartung, mittlerweile gibt es eine Vielzahl von Angriffsvektoren in der Informationssicherheit. Wie haben sich diese \u00fcber die Zeit entwickelt und was ist aus Ihrer Sicht das h\u00e4ufigste Einfallstor f\u00fcr Cyberkriminelle?<\/strong><\/strong><\/strong><\/p>\n\n\n\n

Die gr\u00f6\u00dfte Schwierigkeit f\u00fcr Unternehmen ergibt sich aus der Vielzahl an zu sch\u00fctzenden Assets. Angreifende Personen oder Organisationen k\u00f6nnen sich ein Ziel aussuchen und bereiten diese Angriffe teilweise Jahre im Voraus vor. Wir, die verteidigenden Personen oder Organisationen m\u00fcssen alle Vektoren gleichzeitig im Auge behalten und sch\u00fctzen. Dies stellt viele Unternehmen vor eine gro\u00dfe Herausforderung. Dabei bemerken wir, dass der Angriffsvektor Mensch nach wie vor am gr\u00f6\u00dften ist.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Als den gr\u00f6\u00dften Angriffsvektoren beschreiben Sie den Menschen. Wir alle kennen massenhaft versandte Spam E-Mails und Phishingattacken. Wie genau haben sich diese Angriffe in der letzten Zeit gewandelt?<\/strong><\/strong><\/strong><\/p>\n\n\n\n

Auch in diesem Bereich haben die Angriffsvektoren erheblich zugenommen. Digitale Angriffe im Social Engineering Segment reichen mittlerweile von einfachen Phishing E-Mails, Angriffen via SMS (Smishing), \u00fcber Angriffe per Telefon (Vishing). Das gr\u00f6\u00dfte Ziel der Cyberkriminellen dabei: Automatisierung der Angriffe in Form von Phishing as a Service (PhaaS). W\u00e4hrend im Recruiting- und Sales-Bereich AI as a Service (AIaaS) im kommerziellen Umfeld l\u00e4ngst angekommen ist, nutzen Angreifende mittlerweile k\u00fcnstliche Intelligenz, um sehr realistische Attacken automatisiert zu erstellen.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Wie genau funktioniert die k\u00fcnstliche Erzeugung dieser Angriffe? Wobei unterst\u00fctzt die KI mittlerweile?<\/strong><\/strong><\/strong><\/p>\n\n\n\n

\u201aGute\u2018 Angriffe bestehen aus drei Zutaten: einer gelungenen Analyse des Angriffsziels, einer perfekten Kontextanalyse und der daraus resultierenden Angriffserstellung. Die Analyse des Angriffsziels erfolgt zumeist durch sogenannte Open Source Intelligence Analysen (OSINT). Dabei werden frei zur Verf\u00fcgung stehende Informationen aus diversen Quellen genutzt, um ein Angriffsprofil zu erstellen. Mittlerweile k\u00f6nnen diese durch intelligente Dienste wie z. B. \u201eHumantic AI\u201c automatisiert werden. Der zweite Schritt ist die Generierung von sinnvollen Angriffsszenarien aus den gesammelten Daten.<\/p>\n\n\n\n

Im letzten Schritt werden beide Analysen verbunden und ein Angriff mit einem spezifischen Kontext erstellt. Durch die Verbindung mit psychologischen Faktoren, wie beispielsweise emotionaler Druck, Zeitdruck oder Autorit\u00e4t, erh\u00e4lt man den perfekten Angriff. Der Text wird dabei automatisch durch autoregressive Sprachmodelle wie z. B. GPT-3 geschrieben. Diese Modelle nutzen Deep Learning, um Texte zu erzeugen, welche denen echter Menschen in nichts nachstehen.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Das klingt ja in der Theorie erstmal spannend, kann denn die KI mit manuellen Angriffen mithalten?<\/strong><\/strong><\/strong><\/p>\n\n\n\n

Eine Forschungsgruppe aus Singapur hat bereits im Sommer 2021 auf der Konferenz \u201eblackhat\u201d<\/a> in den USA eine mehrj\u00e4hrige Forschungsarbeit  zu diesem Thema vorgestellt. Wie sich herausstellte, verbesserten sich die Modelle mit der Zeit enorm und aktuelle KI-generierte E-Mails sind nahezu nicht mehr vom menschlichen Text zu unterscheiden.<\/p>\n\n\n\n

Wir haben innerhalb der Firma weitere Tests gefahren \u2013 das Ergebnis war erschreckend. Die k\u00fcnstlich erstellten Texte erschienen so realistisch, dass diese nicht von manuell erstellten Texten zu unterscheiden waren. Durch die vorangegangene OSINT-Analyse zeichneten sich die Texte besonders durch einen pers\u00f6nlichen Bezug der Testpersonen aus.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Wenn Angriffe nicht mehr von echten E-Mails zu unterscheiden sind, k\u00f6nnen wir uns dann \u00fcberhaupt davor sch\u00fctzen? Wenn ja, wie?<\/strong><\/strong><\/strong><\/p>\n\n\n\n

Das Ziel sollte immer die Reduzierung der Eintrittswahrscheinlichkeit eines erfolgreichen Angriffes sein. Komplett ausschlie\u00dfen wird man den Erfolg dieser Angriffe nicht. In der Informationssicherheit sprechen wir von einem Gleichgewicht zwischen Benutzer:innenfreundlichkeit und Sicherheit. Ich k\u00f6nnte beispielsweise auf das Medium E-Mail verzichten, dann h\u00e4tte ich diesen Angriffsvektor ausgeschlossen. Allerdings w\u00e4re dies im Gesch\u00e4ftskontext wohl kaum umsetzbar. Daher empfiehlt es sich, eine nachhaltige Security-Awareness-Strategie zu implementieren. Bestenfalls wird in das bestehende Informationssicherheitsmanagementsystem (ISMS) direkt ein Security-Awareness-Management-System (SAMS) integriert.<\/p>\n\n\n\n

Neben technischen Schutzmechanismen ist es notwendig, das Verhalten der Mitarbeitenden durch Schulungen sicherer zu gestalten. Dazu dienen regelm\u00e4\u00dfige Angriffssimulationen, Trainings durch z.B. E-Learning, aber auch Live-Workshops oder Posterkampagnen. Besonders wichtig ist es, immer wieder f\u00fcr m\u00f6gliche Social Engineering-Angriffsszenarien zu trainieren, um ein nachhaltiges Sicherheitsniveau im Unternehmen zu integrieren. Die Schnelligkeit, mit der sich Angreifende und ihre Attacken entwickeln, ist erschreckend \u2013 aus diesem Grund m\u00fcssen Unternehmen agil agieren, um sich zu jeder Zeit an die aktuellen Begebenheiten anzupassen.<\/p>\n\n\n\n

\u00dcbrigens: Der Artikel spiegelt unseren aktuellen Wissensstand wider \u2013 aber auch wir lernen jeden Tag dazu. Fehlen aus Ihrer Sicht wesentliche Aspekte, oder haben Sie eine andere Perspektive auf das Thema? Gerne diskutieren wir mit Ihnen und weiteren Experten in Ihrem Hause die gegenw\u00e4rtigen Entwicklungen vertiefend und freuen uns \u00fcber Ihr Feedback sowie Anfragen zu einem Austausch.

Und zuletzt noch: Nennungen (oder die fehlende Nennung) von Anbietern stellt keine Empfehlung seitens CyberCompare dar. Empfehlungen sind immer abh\u00e4ngig von der kundenindividuellen Situation.<\/p>\n","protected":false},"excerpt":{"rendered":"

Hannes Hartung Hannes Hartung ist Mitgr\u00fcnder und Gesch\u00e4ftsf\u00fchrer der Increase Your Skills GmbH. Das 2017 […]<\/p>\n","protected":false},"author":24,"featured_media":3825,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[19],"tags":[],"class_list":["post-3829","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-interviews-de"],"_links":{"self":[{"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/posts\/3829","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/users\/24"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/comments?post=3829"}],"version-history":[{"count":1,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/posts\/3829\/revisions"}],"predecessor-version":[{"id":3830,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/posts\/3829\/revisions\/3830"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/media\/3825"}],"wp:attachment":[{"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/media?parent=3829"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/categories?post=3829"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/tags?post=3829"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}