KI-Potenziale bei der Gefahrenabwehr: Mehr Schein als Sein?

Die Potenziale der KI werden in der Cyber-Security noch nicht voll ausgeschöpft. Neue Einsatzformen sind aber schon in der Planung.

Hersteller von Security-Produkten setzen verstärkt auf künstliche Intelligenz. Verschiedene Einsatzszenarien werden beworben, doch nicht überall ist KI sinnvoll.

Der vor ein paar Tagen vorgestellte Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI) kommt zu dem Schluss:

Künstliche Intelligenz stellt Unternehmen und Behörden bei der IT-Sicherheit vor noch nie da gewesene Herausforderungen. KI könne dabei selbst zur Schwachstelle werden, etwa wenn sie gehackt oder missbräuchlich eingesetzt würde. Auch bestünde die Gefahr, dass Trainingsdaten manipuliert werden.

Risiken und Chancen gehen bei KI also Hand in Hand. Für die Cyber-Abwehr verzichtete auf der diesjährigen it-sa kaum ein Anbieter darauf, mit KI in seinen Produkten zu werben. Nicht selten reduziert sich das jedoch auf oberflächliche Einsatzformen. „Zwar behaupten alle Hersteller, sie haben KI in ihren Lösungen integriert, es ist aber manchmal nur ein Sprachassistent“, erklärt Stefan Strobel, Geschäftsführer des IT-Sicherheitsspezialisten cirosec, der Mitte der 1990er Jahre KI studiert hat.

KI braucht meist regelmäßige Pflege

In der Forschung ist man deutlich weiter. Norbert Pohlmann, Professor für Cyber-Sicherheit an der Westfälischen Hochschule und Leiter des Instituts für Internet-Sicherheit forscht bereits seit 20 Jahren zu KI im Security-Bereich. Er erzählt: „Wir haben mal ein Forschungsprojekt umgesetzt, um Anomalien im Netzwerkverkehr zu erkennen, das hat prima funktioniert. Das haben wir über zehn Jahre gemeinsam mit dem BSI durchgeführt“. Für diese Aufgabe, die unter dem Begriff Network Detection and Response (NDR) geführt wird, hat KI inzwischen auch Einzug in kommerzielle Produkte gefunden. Bei steigendem Datenverkehr in den Unternehmensnetzen wird das immer wichtiger, denn ungewöhnliche Datentransfers sind typischerweise ein frühzeitiges Indiz für eine Kompromittierung des Unternehmensnetzes. Sind diese Lösungen KI-basiert, brauchen sie aber regelmäßige Aufmerksamkeit: „Wichtig ist, dass die Modelle kontinuierlich angepasst werden, weil sich die Datenkommunikation ständig verändert, zum Beispiel durch neue Protokolle und verändertes Nutzerverhalten“, lautet eine wichtige Erkenntnis, die Pohlmann in seinem Projekt gemacht hat.

Pohlmann hält diese Technik auch in anderen Anwendungsbereichen für geeignet: „Die Erkennung von Anomalien ginge auch auf Endgeräten, etwa bei der Analyse der Nutzerinteraktion“. Er fügt hinzu: „Anwender haben häufig bestimmte Arbeitsabläufe oder Regelmäßigkeiten, die erkannt werden können. Beispielsweise, dass nach dem Einschalten zuerst das Email-Programm gestartet wird und anschließend im Internet gesurft wird“. Im Hintergrund hilft auf den Endgeräten dabei meist schon KI mit: „Bei der Endpoint-Security arbeiten inzwischen so ziemlich alle Anbieter mit KI-Techniken“, so Pohlmann.

KI gegen Fachkräftemangel

KI könnte auch den Fachkräftemangel entschärfen. Dazu Mirko Ross, Gründer und Geschäftsführer des Sicherheitsspezialisten asvin:

„Im Security-Feld stößt der Fachkräftemangel auf steigende Risiken und zunehmende Angriffe, das kann gefährlich werden“. Indem jedoch Security-Spezialisten durch KI bei Routinetätigkeiten unterstützt und somit entlastet würden, „könnte sogar der in dieser Branche besonders eklatante Fachkräftemangel reduziert werden“, hofft auch Pohlmann. Die KI könnte beispielsweise die unzähligen Alarme und Warnmeldungen der Sicherheits-Software selektieren. Pohlmann beschreibt diesen Ansatz folgendermaßen: „Derzeit müssen alle Alarme und Probleme noch von Menschen untersucht werden, was sehr zeitintensiv ist. Das könnte KI vorfiltern, prüfen und je nach potenziellem Schadensausmaß priorisieren. Das würde den Mangel an Fachexperten etwas lindern“.

Die Experten teilen aber auch die Einschätzung des BSI und sehen neue Risiken. Mirko Ross warnt beispielsweise: „Nur auf KI-Modelle setzen könnte gefährlich werden“. Trainingsdaten werden als eine wichtige Gefahrenquelle gesehen: „KI-Modelle könnten mit falschen oder ungeeigneten Daten trainiert sein und somit Malware oder Anomalien falsch einschätzen. Auch könnten Angreifer versuchen, Trainingsdaten zu manipulieren“. Je stärker der Einsatz von KI, desto mehr rechnet Ross auch mit gezielten Angriffen gegen die KI selbst, zum Beispiel, „wenn die Schwachstellen der KI-Modelle bekannt sind“. Seine Empfehlung lautet: „Man sollte seine Werkzeuge und Methoden diversifizieren“.

Besonders skeptisch sieht Stefan Strobel den zunehmenden KI-Einsatz. In den letzten fünf Jahren habe sich KI im Security-Sektor technologisch nicht so stark entwickelt. „LLMs sind zwar neu, aber kein Schutz für Security, es sind eher die Angreifer, die davon profitieren“. KI habe für die Cyberabwehr im Unternehmen eher kein großes Potenzial, glaubt er. Seine Schlussfolgerung lautet daher: „KI wird es nicht richten; vieles kann man durch EDR- und XDR-Lösungen meist besser absichern“.

Autor: Uwe Sievers