Die nächste Cyberbedrohung hackt keine Systeme. Sie hackt Vertrauen

Im Jahr 2024 nahm ein Mitarbeiter der Finanzabteilung in Hongkong an einer scheinbar gewöhnlichen Videokonferenz mit Kollegen und Führungskräften teil.

Alles wirkte normal:

• Vertraute Gesichter
• Wiedererkennbare Stimmen
• Klare Anweisungen

Er genehmigte Überweisungen im Gesamtwert von 25 Millionen US-Dollar.

Jeder Teilnehmer dieser Videokonferenz außer ihm selbst war KI-generiert.

Das ist kein Deepfake-Problem

Deepfakes sind lediglich das Werkzeug. Das eigentliche Problem ist struktureller Natur:

Digitale Kommunikation wurde nie dafür entwickelt, vertrauenswürdig zu sein.

Organisationen verlassen sich auf:

• E-Mails
• Messaging-Apps
• Telefonanrufe
• Videokonferenzen

um Entscheidungen zu treffen und Handlungen zu autorisieren.

Diese Kanäle:

• verifizieren die Identität nicht an der Quelle
• garantieren keine Authentizität
• kontrollieren nicht, wer tatsächlich anwesend ist

Vertrauen war nie fest eingebaut. Es wurde einfach vorausgesetzt.

Was sich verändert hat

Künstliche Intelligenz hat die Reibungsverluste beseitigt.

Angreifer können heute:

• Stimmen nachbilden
• realistische Videos erzeugen
• natürliche Gespräche simulieren

Was früher erheblichen Aufwand erforderte, kann heute:

• schnell
• kostengünstig
• in großem Maßstab

durchgeführt werden.

Dabei handelt es sich nicht um eine bessere Täuschung.

Es handelt sich um eine skalierbare Form der Identitätsvortäuschung.

Die tatsächliche Angriffsfläche

Traditionelle Angriffe richten sich gegen Systeme.

Dieser Angriff richtet sich gegen die Kommunikationsebene.

Wenn Entscheidungen ausgelöst werden durch:

• einen Anruf
• eine Nachricht
• ein Meeting

wird jede Interaktion zu einem potenziellen Einstiegspunkt.

Angreifer müssen keine Infrastruktur kompromittieren.

Sie müssen lediglich glaubwürdig erscheinen.

Warum Sensibilisierung allein versagt

Cybersicherheit hat sich lange Zeit auf Folgendes verlassen:

• Schulungen
• Aufmerksamkeit
• das Erkennen von Auffälligkeiten

Doch wenn:

• Stimmen authentisch klingen
• Bilder und Videos realistisch wirken
• Interaktionen völlig normal erscheinen

gibt es nichts Offensichtliches mehr zu erkennen.

Die Verantwortung kann nicht allein beim Nutzer liegen.

Vertrauen wird zu einer Sicherheitskontrolle

Hier liegt der eigentliche Wandel:

Vertrauen ist keine menschliche Annahme mehr.

Es muss zu einer kontrollierten und überprüfbaren Ebene werden.

Das bedeutet:

• Identitäten innerhalb von Kommunikationskanälen zu verifizieren
• Validierungsmechanismen vor kritischen Aktionen durchzusetzen
• zu begrenzen, wo sensible Entscheidungen getroffen werden dürfen

Die eigentliche Erkenntnis

Deepfakes haben dieses Problem nicht geschaffen.

Sie haben es sichtbar gemacht.

Jahrelang gingen Organisationen davon aus:

• Eine vertraute Stimme ist echt.
• Ein bekanntes Gesicht ist authentisch.
• Ein Meeting ist legitim.

Diese Annahmen gelten nicht mehr.

Die nächste Phase der Cybersicherheit wird nicht durch stärkere Abwehrmaßnahmen definiert werden, sondern dadurch, wie gut Organisationen Vertrauen innerhalb ihrer Kommunikationsprozesse kontrollieren.

Sobald Vertrauen simuliert werden kann, darf es nicht länger vorausgesetzt werden.

Es muss von Anfang an überprüfbar gestaltet werden.