Cybersecurity: Wie auf neue Bedrohungen reagieren?

19.4.2024 – Ziel müsse es sein, das Geschäftsmodell der Kriminellen zu zerstören. Bis dahin müssten Unternehmen aber nicht nur auf Prävention achten, sondern auch auf ihre Verteidigungsfähigkeit. Und eine Cyberversicherung schützt nicht vor Schaden, sondern nur die Bilanz, betonten Experten bei einer Diskussion beim Insurance Forum Austria.

Diskutierten beim Insurance Forum Austria über neue Cyber-Bedrohungen: v.l.n.r. Moderator Sebastian Böhme-Schwarzfeld, Vera Steiner (A1), Stefan Schubert (VBV) und Ulrich Fleck (Certainity) (Bild: Thomas Magyar).

Beim Insurance Forum Austria in der vergangenen Woche durfte – fast möchte man sagen, selbstverständlich – das Thema Cyber-Security nicht fehlen. Immerhin sei es derzeit das höchstbewertete Risiko, wie Moderator Sebastian Böhme-Schwarzfeld, Senior Manager bei EY, betonte.

Unter dem Titel „Cyber: aktuelle Bedrohungsszenarien“ diskutierten mit ihm Ulrich Fleck, CEO des Cyber-Security-Beraters Certainity, Stefan Schubert, Chief Information Security Officer der VBV-Gruppe, sowie Vera Steiner, Head of Product Management Security bei A1 Digital.

Geldströme unterbinden

Steiner verwies eingangs darauf, dass im letzten Jahr jedes Unternehmen in Österreich einen Cyberangriff erlebt habe. Und bis 2025 werde ein weiterer Anstieg der Cyberkriminalität um 30 Prozent erwartet, wobei es mehr und mehr auch um Cloudsicherheit gehe.

Cyberkriminalität habe sich inzwischen zu einem Business entwickelt, so Schubert. So könnten Angreifer sowohl Zugangsdaten als auch Ransomware von spezialisierten Anbietern erwerben und müssten nichts mehr selbst erfinden.

Steiner erwartet in diesem Zusammenhang, dass künstliche Intelligenz (AI) den Angreifern mehr bringen werde als den Verteidigern. Und Fleck rechnet damit, dass AI die Technologie schneller machen werde.

Es sei deshalb wichtig, das Geschäftsmodell der Kriminellen zu zerstören. Dafür müsse man die Geldströme unterbinden, was aber nur supernational funktioniere. Denn, so Schubert: „Wo viel Geld ist, wird immer eine technische Lösung gefunden werden.“

Es geht auch um die Verteidigungsfähigkeit

Es gehe mittlerweile aber nicht mehr nur um Prävention, erklärt Fleck. Wichtig sei es, auf die Verteidigungsfähigkeit zu schauen. Man müsse sich die Frage stellen: „Welche Werkzeuge habe ich, um mich zu wehren?“ Zu diesen Werkzeugen würden auch Backups gehören.

Problem sei, dass Verteidigungsfähigkeit und Backups in vielen Unternehmen zwar existieren, aber nie getestet werden, ergänzt Schubert.

Häufig seien Unternehmen auch mit anderen Anforderungen überfordert, so Fleck. Es sei daher notwendig, Incentives für Cyber-Security zu schaffen, sonst „passiert nichts“. Und man müsse auch die Softwarehersteller in die Pflicht nehmen.

Auch wenn Firmen mittlerweile gut vorbereitet sind, werde immer etwas durchkommen, fürchtet Schubert. Man solle sich deshalb auf „Detection und Response“ (Erkennen einer Bedrohung und Reaktion darauf) konzentrieren.

Cyberversicherung schützt nicht vor Schaden

Cyber-Versicherungsprodukte seien noch nicht so weit verbreitet wie Haftpflicht- oder D&O-Versicherungen, sagt Fleck. Die Komplexität der Produkte steige und mit ihr die Prämienhöhen. Und er warnt: Eine Cyberversicherung schützt nicht vor Schaden, sondern nur die Bilanz.

So würden in zwei Dritteln aller Fälle Unternehmen nach einem Ransomware-Angriff IT-Mitarbeiter verlieren. Auch dauere es meist lang, bis Versicherer zahlen. Und das, obwohl Unternehmen in dieser Situation schnell Geld brauchen.

Schließlich verweist Fleck auch noch auf den Cyber Resilience Act der EU, der Käufer und Verwender von Produkten mit einer digitalen Komponente schützt. Für Produkthersteller und In-Verkehr-Bringer besteht demnach eine Produkthaftung, beispielsweise auch für Updates.

Life-Hack: Chatbot gibt Passwörter preis

In einem weiteren Workshop zeigten Peter Stolzlederer und Martin Liebl, Experten von A1 Telekom Austria, anhand aktueller Hacking-Beispiele, wie Phishing, Smishing und CEO Fraud per künstlicher Intelligenz (KI) funktionieren.

30 Prozent der personalisierten Mails würden von den Opfern angeklickt, so Stolzederer. Unternehmen könnten sich gegen Cyber-Angriffe nur schützen, wenn sie einen Mix aus Präventivschutz, Awareness und Schadenversicherung anwenden.

Liebl führte im Anschluss eine AI-Life-Hacking-Demo vor. Am Beispiel des AI-Chatbots „Gandalf“ des Schweizer Start-ups Lakera können auf spielerische Weise Sicherheitslücken in Large Language Models (LLMs) wie beispielsweise ChatGPT aufgezeigt werden.

Ziel ist es dabei, den LLM-Chatbot davon zu überzeugen, ein geheimes Passwort zu verraten. Mit verschiedenen rhetorischen Tricks wurde Gandalf von den Anwesenden dazu gebracht, Passwörter preiszugeben. Innerhalb kurzer Zeit war der siebente und höchste Schwierigkeitslevel erreicht.