Wer wissen will, womit sich IT-Sicherheit im kommenden Jahr beschäftigen wird, schaut auf das Vortragsprogramm der Black Hat. Die Konferenz ist so etwas wie die Leitmesse der Branche, und ihr Programm ist ein ziemlich zuverlässiger Frühindikator. In diesem Jahr behandelte fast ein Drittel aller Vorträge KI-Risiken, den Missbrauch von KI-Agenten und LLM-gestützte Angriffe.
Ein Drittel. Bei einer Konferenz, die es seit fast drei Jahrzehnten gibt und deren klassische Themen Netzwerke, Betriebssysteme und Reverse Engineering heißen. Das ist die eigentliche Nachricht.
Der zentrale Befund
Nicht die effektiv geschriebenen bösartigen Prompts der Angreifer, sondern die nach wie vor häufig zu unsicher konstruierten architektonischen Sicherheitsframeworks der Opfer entscheiden letztlich über Erfolg oder Misserfolg eines Angriffs.
Dieser Satz ist sperrig formuliert und trotzdem der wichtigste des ganzen Programms. Er verschiebt die Verantwortung von einer Stelle, an der man nichts tun kann, zu einer, an der man alles tun kann. Man kann Angreifern nicht verbieten, kreativ zu sein. Man kann aber sehr wohl entscheiden, welche Rechte ein KI-Agent im eigenen Haus bekommt und welche Aktionen er ohne Rückfrage ausführen darf.
In der Praxis läuft die Frage auf zwei Punkte hinaus. Welche Zugangsberechtigungen erhalten KI-Agenten, und welche Werkzeuge und Aktivitäten dürfen sie autonom ausführen. Beides sind Entscheidungen, die beim Bau des Systems fallen, nicht im Betrieb.
Identität bleibt das Haupteinfallstor
Bei aller Aufmerksamkeit für KI blieb ein Befund unverändert: Identitätsbasierte Kompromittierungen sind weiterhin das primäre Angriffsziel. Besonders im Fokus stehen Microsoft-Infrastrukturen, also Entra ID und Active Directory. Die eingesetzten Techniken sind gefälschte Authentifizierungstoken und bösartige OAuth-Zustimmungen.
Der zweite Punkt verdient eine Erklärung, weil er in vielen Unternehmen unbeachtet läuft. Wenn ein Mitarbeiter eine App mit dem Firmenkonto verbindet und dabei auf Zustimmen klickt, kann diese App dauerhaft Rechte erhalten, ohne dass jemals wieder ein Passwort abgefragt wird. Multi-Faktor-Authentifizierung hilft dagegen nicht, denn der Mitarbeiter hat ja legitim zugestimmt. Wer noch nie in seiner Umgebung nachgesehen hat, welche Anwendungen dort mit welchen Rechten hängen, wird bei der ersten Prüfung überrascht sein.
Data Governance ist kein Bürokratiethema
Ein weiterer Schwerpunkt lag auf Data Governance, und zwar ausdrücklich als Sicherheitsthema. Der Zusammenhang leuchtet auf den zweiten Blick ein. Ein KI-System ist nur so gut wie die Daten, auf die es zugreift, und nur so sicher wie die Regeln, die festlegen, wer welche Daten sehen darf.
In vielen Unternehmen fehlt beides. Daten liegen in Ablagen, die über Jahre gewachsen sind, mit Berechtigungen, die niemand mehr überblickt. Solange nur Menschen darauf zugreifen, bleibt der Schaden begrenzt, denn ein Mensch klickt sich nicht durch zweihunderttausend Dateien. Ein Assistent mit Suchzugriff tut genau das, in Sekunden, und bringt dabei zutage, was seit Jahren am falschen Ort liegt.
Man kann es sich vorstellen wie einen Keller, in dem sich dreißig Jahre lang Kisten angesammelt haben. Solange niemand hinuntergeht, ist das kein Problem. Sobald jemand anfängt, systematisch alles auszupacken und zu katalogisieren, findet er auch die Kiste mit den Gehaltslisten von 2014.
Drittanbieterrisiken werden falsch gemessen
Deutliche Kritik gab es an einer Praxis, die in fast jedem Unternehmen existiert: der jährliche Compliance-Fragebogen an Lieferanten. Er erzeugt ein Gefühl von Kontrolle und misst wenig. Ein Dienstleister, der im Januar einen Fragebogen ausfüllt, kann im März kompromittiert werden, und niemand erfährt davon.
Empfohlen wird stattdessen laufende Beobachtung über Third Party Risk Management, also eine kontinuierliche statt einer stichtagsbezogenen Bewertung. Für mittelständische Unternehmen ist die Vollversion davon selten realistisch. Der pragmatische Zwischenschritt lautet: Sortieren Sie Ihre Dienstleister danach, wie tief sie in Ihren Systemen stecken, und schauen Sie die obersten fünf öfter an als einmal im Jahr.
- Architektur
- Rechte und autonome Aktionen von KI-Agenten als eigentliche Schwachstelle
- Identität
- Entra ID und Active Directory, gefälschte Token, bösartige OAuth-Zustimmungen
- Data Governance
- Datenqualität, Berechtigungen und fehlerhafte KI-Ergebnisse
- Drittanbieter
- Laufendes Monitoring statt jährlicher Fragebögen
Was LLM-gestützte Angriffe konkret ändern
Der Begriff KI-gestützter Angriff weckt Bilder von automatisch geschriebener Schadsoftware. In der Praxis ist die Wirkung unspektakulärer und dafür breiter. Sprachmodelle senken den Aufwand für die Vorbereitung. Eine überzeugende Nachricht in der Sprache des Ziels, im Fachjargon der Branche, mit Bezug auf ein reales Projekt, kostet keine Stunden mehr, sondern Minuten.
Damit verschiebt sich etwas Grundsätzliches. Gezielte Angriffe waren bisher teuer und deshalb großen Unternehmen vorbehalten. Massenangriffe waren billig und deshalb schlecht gemacht. Diese Trennung löst sich auf. Der Mittelstand bekommt zunehmend die Qualität, die früher nur Konzerne zu sehen bekamen, und zwar in der Menge, die früher nur schlechte Angriffe hatten.
Was davon in einen normalen Betrieb passt
Konferenzberichte haben die Eigenschaft, in Unternehmen ohne eigenes Sicherheitsteam Ratlosigkeit zu erzeugen. Die Themen sind richtig, die vorgeschlagenen Programme sind für hundert Mitarbeiter nicht gebaut. Drei Dinge lassen sich trotzdem übersetzen.
- In der Microsoft-Umgebung einmal die verbundenen Anwendungen durchsehen und alles entfernen, was niemand mehr benennen kann.
- Für jedes KI-Werkzeug im Haus die Rechte aufschreiben. Nicht bewerten, erst einmal nur aufschreiben. Die Liste bewertet sich meistens von selbst.
- Die fünf Dienstleister mit dem tiefsten Systemzugriff benennen und für jeden festhalten, was passiert, wenn dort etwas passiert.
Keine dieser drei Aufgaben braucht ein Budget. Alle drei brauchen jemanden, der sie sich vornimmt. Das ist meistens die eigentliche Hürde.
