Wenn Geschwindigkeit zum entscheidenden Faktor gegen Cyberangriffe wird

Wo neue Technologie Chancen schafft, entstehen auch neue Risiken. Im Bereich der KI zeigt sich das besonders deutlich. Christian Grob, Co-CEO und Head of Security Services bei Avantec, erklärt, weshalb Geschwindigkeit zum entscheidenden Faktor wird und wie Unternehmen ihre Cyberabwehr und Krisenfähigkeit darauf ausrichten können.

Christian Grob
Co-CEO und Head of Security Services bei Avantec
© Christian Treppe

KI beschleunigt vor allem bekannte Angriffsmethoden. Social Engineering wird professioneller, Schwachstellen lassen sich schneller identifizieren und ausnutzen, Angriffe besser skalieren. Für Geschäftsleitungen bedeutet das: Entscheidend ist nicht nur, wie zuverlässig ein Angriff erkannt wird, sondern wie rasch das Unternehmen darauf reagiert und diesen eindämmt, bevor grössere Schäden entstehen. Moderne «Security Operations Center» (SOC) überwachen Unternehmensumgebungen rund um die Uhr und leiten bei verdächtigen Aktivitäten innert Minuten erste Massnahmen ein. Denn entscheidend ist zunehmend nicht nur die Erkennung selbst, sondern die Zeitspanne bis zur wirksamen Reaktion.

Herr Grob, wenn KI nicht «autonom hackt»: Was ist dann die eigentliche Gefahr?

Stand heute sehen wir vor allem eine Professionalisierung, Automatisierung und Häufung bestehender Angriffsmethoden. KI optimiert bewährte Mittel, die von Angreifenden bereits erfolgreich eingesetzt werden. Informationen lassen sich schneller beschaffen, Zielpersonen präziser auswählen und Angriffskampagnen rascher entwickeln. Tätigkeiten, die früher Stunden oder Tage beanspruchten, können teilweise in wenigen Minuten vorbereitet werden. Ein Phishing-E-Mail lässt sich beispielsweise innert Sekunden perfekt formulieren. Die Schreibfehler von früher, auf die in Awareness-Kampagnen sensibilisiert wurde, sind damit Geschichte.

Das klingt weniger spektakulär als die Vorstellung einer Hacker-KI – für Unternehmen aber wohl konkreter.

Absolut. Die meisten erfolgreichen Angriffe beruhen weiterhin auf bekannten Mustern: Phishing, kompromittierte Zugangsdaten, die Ausnutzung von Fehlkonfigurationen oder ungepatchte Schwachstellen. KI industrialisiert diese Methoden. Sie senkt die Eintrittshürden und erhöht Reichweite und Qualität. Gewisse Teilschritte eines Angriffs laufen jedoch heute schon autonom ab und diese Entwicklung dürfte auch in naher Zukunft weiter zunehmen.

Wo zeigt sich diese Beschleunigung im Alltag besonders?

Sie zeigt sich vor allem beim Social Engineering. Sprachmodelle erzeugen professionelle Nachrichten in nahezu beliebigen Sprachen und können Informationen zu Projekten, Rollen oder Geschäftspartnern direkt einbauen. Für Schweizer Unternehmen ist das besonders relevant, weil die Mehrsprachigkeit internationale Angreifende bisher teilweise ausgebremst hat. Diese sprachliche Hürde fällt weg. Gleichzeitig ist davon auszugehen, dass bekannt gewordene Schwachstellen immer schneller ausgenutzt werden. Die Reaktionszeit muss deshalb massiv kürzer werden, als sie es bis heute in vielen Unternehmen noch ist.

Und es bleibt nicht bei E-Mails, korrekt?

Richtig. Stellen Sie sich vor, Sie sind CFO in einem mittelständischen Unternehmen und kennen den CEO gut. Viele der Tätigkeiten und Freigaben erfolgen pragmatisch mündlich auf Vertrauensbasis. Wenn der vermeintliche CEO dann anruft und die Priorisierung einer eingegangenen Rechnung wünscht, wirkt das zunächst wenig alarmierend. Voice-Cloning und andere synthetische Medien sind nämlich längst keine reine Zukunftsvision mehr. Bereits wenige Sekunden Referenzmaterial können genügen, um Stimmen in kurzen Gesprächen glaubwürdig nachzubilden. In Verbindung mit Informationen über interne Rollen oder Freigabeprozesse entstehen Szenarien, die auf Autorität, Dringlichkeit und Vertrautheit setzen. Das Ziel ist häufig nicht, ein technisches System zu überwinden, sondern eine Person zu einer Handlung, wie das Ausführen einer Zahlung, zu bewegen.

Was bedeutet das für klassische Awareness-Programme?

Sie müssen näher an reale Entscheidungssituationen rücken. Der Hinweis, auf Rechtschreibfehler oder auffällige Formulierungen zu achten, reicht nicht mehr aus. Mitarbeitende sollten verstehen, wie moderne Angriffe aufgebaut sind und welche internen Kontrollmechanismen auch unter Zeitdruck gelten. Regelmässige Kampagnen und Übungen helfen, dieses Verhalten zu verankern. Awareness ist keine einmalige Schulung, sondern ein laufender Prozess.

Viele Unternehmen investieren seit Jahren in Prävention. Reicht das nicht?

Prävention bleibt definitiv unverzichtbar, kann aber nicht jeden Angriff verhindern. Unter KI-beschleunigten Bedingungen ist es zentral, auffälliges Verhalten auf Systemen und Benutzerkonten so früh wie möglich in der Angriffskette zu erkennen. Wird eine Bedrohung erkannt, muss umgehend reagiert werden, eine Reaktionszeit von unter 15 Minuten konnte in vielen unserer Fälle Schlimmeres verhindern. Unternehmen müssen deshalb laufende Angriffe schnell sichtbar machen, einordnen und eindämmen können. Detection- und Response-Fähigkeiten werden damit zu einer strategisch wichtigen Disziplin.

Entscheidend ist, ob ein System exponiert ist, wovon kritische Geschäftsprozesse abhängen und wie realistisch ein Angriffspfad ist.– Christian Grob, Co-CEO und Head of Security Services

Wo liegt in der Praxis der Engpass?

Oft liegt es nicht an der Menge der verfügbaren Informationen, sondern bei ihrer Bearbeitung. Security-Teams erhalten täglich zahlreiche Meldungen aus Endpoints, Netzwerken und Cloud-Plattformen. Entscheidend ist: Was davon ist wirklich relevant? KI kann dabei unterstützen, Ereignisse vorzuqualifizieren, Muster zu erkennen und Zusammenhänge herzustellen. Sie entlastet Fachpersonen, ersetzt aber nicht deren Erfahrung. Verantwortung und Entscheidung bleiben – zumindest derzeit noch – beim Menschen.

Was sollte eine Geschäftsleitung denn konkret als Erstes tun?

Ein kompaktes Cybersecurity-Assessment ist oft der sinnvollste Einstieg. Es schafft Transparenz darüber, wo die grössten Expositionen und Schwachstellen liegen und welche Fähigkeiten in Erkennung und Reaktion fehlen. Bereits eine fokussierte Standortbestimmung kann in kurzer Zeit klare Handlungsfelder aufzeigen.

Und was folgt danach?

Die Prioritäten sollten konsequent am Geschäftsrisiko ausgerichtet werden. Nicht jede technische Schwachstelle ist gleich kritisch. Entscheidend ist, ob ein System exponiert ist, wovon kritische Geschäftsprozesse abhängen und wie realistisch ein Angriffspfad ist. Hier helfen branchenübergreifende Erfahrungswerte aus der Praxis. Auf dieser Basis lassen sich Ressourcen gezielter einsetzen. Gleichzeitig braucht es klare Zuständigkeiten und natürlich auch finanzielle und personelle Mittel, um die Massnahmen konsequent umzusetzen.

Woher weiss man, ob die Abläufe im Ernstfall funktionieren?

Durch regelmässige, realitätsnahe Simulationen. Viele Organisationen verfügen auf dem Papier über Cyberkrisen- und Incident-Response-Prozesse. Unter realem Zeitdruck zeigen sich jedoch häufig Unklarheiten: Wer entscheidet im Ernstfall über einschränkende Massnahmen? Wer informiert die Geschäftsleitung oder gar den Verwaltungsrat? Wie und mit wem wird extern sowie intern kommuniziert? Tabletop-Übungen und Simulationen machen solche Lücken sichtbar, bevor ein echter Vorfall eintritt. Es ist erstaunlich, wie echt sich der Druck in simulierten Übungen anfühlt.

Wird Cybersecurity damit zu einer Führungsaufgabe?

Cybersecurity ist eine Führungsaufgabe. Spätestens wenn mehrere Systeme, Identitäten oder Kommunikationskanäle betroffen sind, geht es nicht mehr nur um Technik. Dann stehen Geschäftstätigkeit, Reputation, regulatorische Pflichten, Vertrauen und schlussendlich auch die Unternehmensexistenz auf dem Spiel. Cyberresilienz bedeutet deshalb, auch unter Druck entscheidungs- und handlungsfähig zu bleiben.

Welche Leitfrage sollte ein CEO oder Verwaltungsrat aus diesem Gespräch mitnehmen?

Es ist nicht die Frage, ob, sondern wann ein Unternehmen mit einem Angriff konfrontiert wird. Entsprechend sollten CEOs hinterfragen, ob die bestehenden Strukturen, Prozesse und eingesetzten Technologien der beschleunigten Bedrohungslage standhalten. Diese Verantwortung ist auf der obersten Führungsebene wahrzunehmen, denn letztlich trägt sie das verbleibende Risiko.

Weitere Informationen unter:
avantec.ch