Die französische Cybersicherheitsbehörde ANSSI hat in einer aktuellen Analyse die Auswirkungen generativer KI auf die Bedrohungslage im Cyberraum untersucht und kommt zu dem Ergebnis, dass Sprachmodelle (LLMs) sowohl als hocheffizientes Angriffswerkzeug als auch als verwundbares Ziel fungieren. Während das BSI bereits über das „trügerische Sicherheitsgefühl“ deutscher Unternehmen gewarnt hat, unterstreicht der ANSSI-Bericht nun die technische Tiefe dieser Bedrohung. Generative KI wird dabei als flexibler digitaler Dienst beschrieben, der schrittweise in das Arsenal von Angreifern integriert wird, um bestehende Strategien zu optimieren.
Effizienzsteigerung im Social Engineering und Malware-Design
Die ANSSI stellt fest, dass Angreifer LLMs gezielt einsetzen, um Inhalte für das Social Engineering zu entwerfen, Opferprofile zu erstellen und die Entwicklung von Schadsoftware zu beschleunigen. Für professionelle Akteure dient die Technologie primär der Leistungssteigerung und Skalierung ihrer Operationen, während sie weniger erfahrenen Angreifern als Lernwerkzeug hilft, Wissenslücken zu schließen. Diese Entwicklung korrespondiert mit unseren Berichten über Hacker-Wettbewerbe, bei denen KI-Agenten bereits menschliche Spitzenteams übertreffen konnten. Dennoch gibt die ANSSI vorerst Entwarnung bezüglich einer vollständigen Automatisierung, da bisher kein KI-System in der Lage war, alle Phasen eines Angriffs autonom durchzuführen.
Das KI-Modell als neues Angriffsziel
Ein kritischer Aspekt des Berichts ist die Analyse der KI-Modelle als eigenständige Angriffsziele, wobei insbesondere das sogenannte Model Poisoning zur Manipulation von Daten oder zur Verbreitung von Desinformation hervorgehoben wird. Diese Form der Modellvergiftung stellt zusammen mit der Gefährdung der Software-Lieferkette und der gezielten Datenexfiltration eine neue Klasse von Risiken dar, die eine hohe Anpassungsfähigkeit der Angreifer an professionelle Nutzungsmuster widerspiegelt. Es wurden bereits systemische Schwachstellen wie „Pakethalluzinationen“ von Angreifern ausgenutzt, um nicht existierenden Code zu generieren.
Handlungsbedarf für Unternehmen
Die rasanten Entwicklungen und die Entdeckung von Sicherheitslücken in Systemen wie Microsofts Copilot verdeutlichen, dass Unternehmen ihre digitale Resilienz kontinuierlich neu bewerten müssen. Die ANSSI mahnt zur Wachsamkeit, da die schnelle Evolution der Nutzungsmuster eine regelmäßige Überprüfung der Schutzmaßnahmen zwingend erforderlich macht. Hierbei sind nicht nur technische Aspekte relevant, sondern auch die regulatorischen Anforderungen der KI-Verordnung und der NIS-2-Richtlinie, die klare Vorgaben für das Risikomanagement und die Meldung schwerwiegender Vorfälle machen. Wie bereits im Rahmen der BaFin-Orientierungshilfe zu DORA dargelegt, müssen KI-Systeme als integraler Bestandteil der IKT-Infrastruktur behandelt und in das gesamte Compliance-System eingebettet werden.
Unternehmen müssen jetzt reagieren, um den Anschluss an die technologische Entwicklung nicht zu verlieren, Geschäftsgeheimnisse sowie den Betriebsablauf zu schützen und gleichzeitig ihre Haftungsrisiken zu minimieren. Der Aufbau von KI-Kompetenz auf allen Ebenen sowie die Implementierung einer rechtlich tragfähigen KI-Strategie sind keine fernen Zukunftsaufgaben, sondern unmittelbare Pflichten aus der KI-Verordnung. Werden technische und organisatorische Maßnahmen nicht nachweisbar an den Stand der Technik angepasst, drohen erhebliche datenschutzrechtliche und haftungsrechtliche Konsequenzen. Ein vorausschauendes Sicherheitsverständnis begreift KI daher sowohl als Chance für die Verteidigung als auch als kritisches Risiko, das eine enge Verzahnung von IT-Sicherheit und Rechtsabteilung verlangt.
Fazit
Die Analyse der ANSSI verdeutlicht, dass Unternehmen Cybersicherheit im KI-Zeitalter völlig neu denken müssen, um ihre Marktposition und ihre Innovationskraft zu schützen. Wir unterstützen Sie dabei, diese komplexen Anforderungen rechtssicher in Ihre Unternehmensprozesse zu integrieren. Ob durch eine individuelle KI-Beratung zur Identifizierung Ihrer spezifischen Pflichten, die Bestellung eines externen KI-Beauftragten zur laufenden Überwachung oder durch gezielte Schulungen zur Erfüllung der gesetzlichen KI-Kompetenz-Pflicht – wir machen Ihr Unternehmen bereit für die Anforderungen von heute.
KI-Compliance aus einer Hand
Künstliche Intelligenz rechtssicher nutzen & entwickeln
- KINAST KI-Beratung
- KINAST externer KI-Beauftragter
- KINAST KI-Kompetenz-Schulungen
