Durch die Entwicklungen im Bereich Künstliche Intelligenz (KI) hat sich die Cybersicherheitslage grundlegend verändert. Zur Stärkung von Resilienz und Prävention sind neue Anforderungen an die Reaktionsgeschwindigkeiten von Städten, Gemeinden und Verbandsgemeinden zu stellen. Vor dem Hintergrund der sich verändernden Bedrohungslage hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) das Papier „Auswirkungen auf die Cybersicherheit von Organisationen durch die Entwicklung im Bereich Künstlicher Intelligenz“ veröffentlicht, das sensibilisieren möchte und erste Maßnahmen benennt, um die jeweilige Organisation besser zu schützen.

Das BSI unterstreicht mit dem Papier sehr deutlich, dass KI in der Lage ist, Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten maßgeblich zu senken. Damit einher geht eine strukturelle Veränderung der Cyberbedrohung, von der insbesondere die Angreiferseite durch Geschwindigkeit, Skalierung und Automatisierung maßgeblich profitiert. Die Bedrohten wiederrum bleiben an die, wie das BSI formuliert, „realen Betriebsgrenzen“ gebunden (Testaufwand, Freigabeprozesse, Wartungsfenster für Patches, Herstellerabhängigkeiten, rechtliche und organisatorische Abstimmungen sowie begrenzte personelle Kapazitäten) und geraten damit unvermeidlich gegenüber den Angreifern ins Hintertreffen. Um trotz dieser Hürden Schritt zu halten, empfiehlt das BSI, die Angriffsfläche grundsätzlich zu minimieren. In diesem Prozess sollte die Entwicklung im Bereich KI nicht nur als technologischer Trend, sondern als operative und strategische Veränderung der Cybersicherheitslage verstanden werden.

Veränderung bei der Reaktionsgeschwindigkeit notwendig

Das BSI empfiehlt den IT-Sicherheitsverantwortlichen, sich schnellstmöglich einen Überblick über die Angriffsfläche ihrer Organisation und die daraus resultierenden Bedrohungen für die eigene Infrastruktur zu verschaffen. Dabei betont das BSI, dass angemessene Reaktionsgeschwindigkeiten beim Patchmanagement bei maximal wenigen Stunden liegen dürften, um Schwachstellen zu sichten, zu bewerten und gegebenenfalls benötigte Patches auszurollen. Auch unterstreicht das BSI seine Ansicht, dass es keine Frage mehr sei, ob ein System angegriffen werde, sondern wann. Entsprechend steigt die Bedeutung von aktuellen Schwachstellen-Informationen, erprobten Reaktionsprozessen, lückenlos dokumentierten Inventarlisten und Automatisierung im Patchmanagement. Vor diesem Hintergrund müssen die Systeme kontinuierlich auf mögliche hinterlassene, persistente Malware (schädliche Computersoftware aller Art) überprüft und bereinigt werden.

KI auch im Bereich von Social-Engineering eine Bedrohung

Nicht zuletzt warnt das BSI davor, dass öffentlich verfügbare Informationen von Webseiten und Social Media als Grundlage für personalisierte Angriffe verwendet werden können. KI kann ein Hilfsmittel für Angreifer darstellen, um effizient, zielgerichtete und schwer erkennbare Phishing-Kampagnen durchzuführen. Eine konkrete Sensibilisierung in der eigenen Organisation auf SocialEngineering sowie eine Verbesserung in der technischen Erkennung solcher Angriffe, ist notwendig.

KI-Systeme selbst als Einfallstor

Neben der missbräuchlichen Nutzung von KI durch Angreifer erweitern KI-Systeme selbst die Angriffsfläche von IT-Umgebungen. Auch KI-Komponenten müssen daher durch geeignete Schutzmaßnahmen, Isolation, Validierungsschichten und Berechtigungskonzepte abgesichert werden.

Anmerkung:

Aus Sicht des Deutschen Städte- und Gemeindebundes (DStGB) sind die Empfehlungen des BSI wichtig und nachvollziehbar, gehen zumindest aber an den kommunalen Umsetzungsrealitäten vorbei. Das erforderliche Schutzniveau kann keine kommunale Einheit allein auf sich gestellt erreichen. Die Entwicklungen im Bereich der KI, die ein noch schnelleres Vorgehen zur Abwehr und Prävention von Cyberangriffen als bisher erfordern, unterstreicht noch einmal, dass die Städte, Gemeinden und Verbandsgemeinden unter dieser Bedrohungslage ihre Bürgerinnen und Bürger, ihre Verwaltungen und die kritischen Infrastrukturen allein nicht ausreichend resilient aufstellen können.

Aus unserer Sicht wird das Thema Cybersicherheit im Verwaltungsalltag aufgrund der Vielzahl konkurrierender Aufgaben und begrenzter personeller sowie finanzieller Ressourcen häufig nicht mit der erforderlichen Priorität behandelt. Um diesem Umstand entgegenzuwirken, bedarf es einer stärkeren Sensibilisierung aller Verwaltungsebenen. Hierzu sollte der Bund gemeinsam mit den Ländern gezielt Maßnahmen initiieren, die bis in die Städte, Gemeinden und Verbandsgemeinden hineinwirken.

Darüber hinaus sollte der Informationsfluss zwischen alle Beteiligten verbessert sowie einheitliche und leicht zugängliche Unterstützungsangebote geschaffen werden. Hierzu zählen insbesondere zentrale Informationsplattformen, praxisorientierte Schulungsangebote sowie standardisierte Handlungshilfen. Ziel sollte es sein, flächendeckend ein grundlegendes Sicherheitsniveau und ein gemeinsames Verständnis für Cybersicherheit zu etablieren, auf dem die Städte, Gemeinden und Verbandsgemeinden ihre Maßnahmen schrittweise und bedarfsgerecht weiterentwickeln können.

Weitere Informationen:

Das vollständige Papier des BSI „Auswirkungen auf die Cybersicherheit von Organisationen durch die Entwicklung im Bereich Künstlicher Intelligenz“ ist zu finden unter: www.bsi.bund.de