KI verändert die Bedrohungslandschaft – Modell für Modell. Das Tempo, mit dem sich die Technologie weiterentwickelt, führt dazu, dass Aktivitäten, für die ein erfahrener Cyberkrimineller früher mehrere Stunden oder sogar Tage benötigte, nun von jemandem mit wenig oder gar keinem Vorwissen in einem Bruchteil dieser Zeit durchgeführt werden können. Das ist von Bedeutung, da es die Einstiegshürde für Cyberkriminelle senkt. Wir beobachten dies bei der Ausnutzung von Sicherheitslücken. Wir beobachten dies bei der Erstellung einfacher Malware. Und wir beobachten dies bei der Erkundung potenzieller Opfer.

Dies sollte selbst normale Internetnutzer in höchste Alarmbereitschaft versetzen. Wenn Angriffe für Betrüger immer kostengünstiger und einfacher durchzuführen sind, könnte jeder zum Ziel werden.

Wie KI die Spielregeln verändert

Es gab eine Zeit, in der das Sammeln von Open Source-Informationen (OSINT) nur bei hochkarätigen und potenziell wertvollen Zielen zum Einsatz kam. Das lag daran, dass die Durchführung Fachwissen und Zeit erforderte. Der Begriff selbst stammt aus einem Bereich außerhalb der Cyberwelt und bezieht sich auf militärische und nachrichtendienstliche Bemühungen, öffentlich zugängliche Informationen zu sammeln, die zur Erreichung strategischer Ziele genutzt werden können.

Mit dem Aufkommen des Internets und in jüngerer Zeit der sozialen Medien sind diese Maßnahmen zu einem vertrauten Bestandteil der digitalen Welt geworden, die sowohl von Forschern als auch von Angreifern genutzt wird. Doch bis zum Aufkommen der KI gab es oft noch einen großen Engpass. Ein Angreifer musste Zeit aufwenden, um die öffentlich zugänglichen Konten seiner Ziele, deren Interessen, Freunde, Familie und Kollegen ausfindig zu machen. Möglicherweise musste er spezielle Tools einsetzen oder unzählige Websites, Konten und Beiträge durchforsten, Informationen miteinander in Zusammenhang bringen und abgleichen, Beziehungen zwischen Personen herausarbeiten und entscheiden, was er für einen Angriff nutzen konnte.

KI-Tools haben diesen Engpass weitgehend beseitigt, indem sie Informationen mit maschineller Geschwindigkeit verarbeiten. Sie können öffentlich zugängliches Material im gesamten Web finden, es mit ihren potenziellen Opfern verknüpfen und Beziehungen zwischen diesen und anderen Personen abbilden. Sie sind besonders gut darin, unstrukturierte Informationen aufzuspüren, vor allem Bilder und Videos. Man muss kein OSINT-Spezialist mehr sein, um diese Art von Arbeit zu erledigen.

Das Zusammensetzen der Puzzleteile in großem Maßstab

Das sind aus verschiedenen Gründen beunruhigende Nachrichten. Betrüger können nun problemlos öffentlich zugängliche Informationen über Sie sammeln, um Social Engineering überzeugender und Betrugsmaschen skalierbarer zu gestalten. Stellen Sie sich Folgendes vor:

  • Eine Phishing-E-Mail, die darauf abzielt, Sie dazu zu verleiten, Ihre Zugangsdaten preiszugeben oder auf einen Link zu klicken und so unwissentlich Malware zu installieren. Sie wäre wesentlich überzeugender, wenn sie persönliche Angaben wie Ihren Arbeitsplatz oder die Schule Ihres Kindes, eine Veranstaltung, an der Sie kürzlich teilgenommen haben, oder kontextbezogene Neuigkeiten enthielte, die Sie gepostet haben – etwa einen Geburtstag oder einen kürzlich verbrachten Urlaub. All diese Informationen sind möglicherweise öffentlich zugänglich und lassen sich in großem Umfang leicht sammeln.
  • Ein Video oder ein Telefonanruf, bei dem deine Stimme oder dein Gesicht nachahmt, könnte genutzt werden, um einen geliebten Menschen glauben zu machen, du befindest dich in Gefahr. Betrüger können diese Deepfakes nutzen, um mit deiner „Stimme“ um Geld zu bitten oder vorzutäuschen, du seist entführt worden und sie müssten ein Lösegeld zahlen, um deine Sicherheit zu gewährleisten. Sie könnten sogar einen Deepfake von dir nutzen, um ein obszönes Video zu erstellen, mit dessen Versand an deine Kontakte sie drohen, sofern du nicht zahlst. Diese Art von Sextortion wird immer häufiger. In Großbritannien haben in diesem Jahr Hunderte von Minderjährigen gemeldet, Opfer solcher Vorfälle geworden zu sein.

Leider sind große Sprachmodelle (LLMs) Meister darin, genau jene Informationen zusammenzustellen, die Betrüger benötigen, um ihre Betrugsmaschen zum Erfolg zu führen. Sie können in kurzer Zeit Profile einer großen Anzahl potenzieller Opfer erstellen und dabei relevante Bilder, Videos sowie Informationen über persönliche Interessen, den Beruf sowie Familie und Freunde sammeln, die ausgenutzt werden könnten.

KI kann auch bei der Erstellung der von Betrügern verwendeten Social Engineering-Skripte helfen, sodass diese per E-Mail, in sozialen Medien oder über andere Kanäle überzeugend wirken können. Selbst dann, wenn sie keine Muttersprachler sind. Damit steht eine durchgängige Betrugs-Pipeline zur Verfügung.

Probleme am Arbeitsplatz

Es ist nicht nur Ihr Privatleben, das böswillige Akteure auf diese Weise durchforsten können. Die Grenze zwischen Arbeit und Privatleben ist in den letzten Jahren zunehmend verschwommen, insbesondere da viele von uns in einem hybriden Arbeitsmodell tätig sind. Wir nutzen möglicherweise private Geräte und Privatadressen für berufliche Aktivitäten. Und natürlich ist es für KI ein Leichtes, unsere beruflichen und privaten Social-Media-Konten miteinander zu verknüpfen.

All dies bedeutet, dass Aufklärungsversuche Auswirkungen auf Ihr Berufsleben haben können. Beispielsweise könnten Betrüger persönliche Informationen nutzen, um einen Social Engineering-Angriff zu inszenieren, der darauf abzielt, Ihre beruflichen Zugangsdaten oder Informationen zu erlangen. Oder sie könnten Ihre Kollegen ins Visier nehmen, wenn Sie im Urlaub sind, da sie wissen, dass Sie möglicherweise nicht erreichbar sind, um betrügerische Angaben zu überprüfen. Dies ist ein günstiger Zeitpunkt, um einen Business E-Mail Compromise-Angriff (BEC) zu starten.

Der Verlust Ihrer persönlichen Daten ist eine Sache. OSINT-Aktivitäten mit unternehmensbezogener Dimension könnten jedoch potenziell schwerwiegende Auswirkungen auf Ihren beruflichen Ruf und Ihre Karriere haben.

Was Sie gegen KI-gestützte OSINT tun können

Wenn es um KI-gestützte Aufklärung geht, gibt es Dinge, die Sie kontrollieren können, und Dinge, die Sie nicht kontrollieren können. Sobald Informationen über Sie öffentlich zugänglich sind, kann es äußerst schwierig sein, deren Löschung zu verlangen, zumal sie möglicherweise an anderen Stellen erneut veröffentlicht wurden. Alte Fotos in sozialen Medien lassen sich leichter entfernen, aber nur wenige von uns haben die Zeit, ihr gesamtes digitales Leben zu durchforsten, um alles zu löschen, was für Kriminelle potenziell nützlich sein könnte.

Es ist daher besser, sich auf die Dinge zu konzentrieren, die Sie selbst ändern können. Beachten Sie Folgendes:

  • Stellen Sie sicher, dass Ihre Social Media-Profile nicht öffentlich zugänglich sind, um die Möglichkeiten von KI einzuschränken, darin enthaltene Informationen oder Bilder/Videos zu finden
  • Seien Sie umsichtig bei dem, was Sie in sozialen Medien teilen. Dinge wie Geburtsdaten, die Schulen Ihrer Kinder, Urlaube und ähnliche Ereignisse sollten tabu sein
  • Seien Sie sich bewusst, dass Fotos Informationen enthalten können, anhand derer Adressen, Fahrzeugdaten usw. ermittelt werden könnten.
  • Vermeiden Sie es, Inhalte zu veröffentlichen, die dazu genutzt werden könnten, Ihr Privatleben mit Ihrem Berufsleben in Verbindung zu bringen
  • Verwenden Sie die Multi-Faktor-Authentifizierung und sichere, einzigartige Passwörter, um Ihre Konten zusätzlich zu schützen
  • Nimm keine Freundschafts- oder Follower-Anfragen von Personen an, die du nicht kennst. Wenn du neugierig bist, nimm lieber über einen anderen Kanal Kontakt auf

KI verändert viele Aspekte unseres Lebens zum Besseren. Doch sie birgt Risiken, deren wir uns erst allmählich bewusst werden. Vorsicht ist immer die beste Strategie. Es lohnt sich, davon auszugehen, dass alles, was Sie veröffentlichen, von KI gelesen werden könnte. Handeln Sie entsprechend und ermutigen Sie Ihre Freunde und Familie dazu, es Ihnen gleichzutun.