Digitale Belegschaft: Warum klassische Sicherheitsschulungen nicht mehr genügen

Traditionelle Schulungen und Trainings zum Cybersicherheitsbewusstsein basieren auf standardisierten Lehrinhalten und -formaten, die sporadisch – meist nur einmal im Jahr – unterrichtet werden. Ihr Ziel ist die Anhebung des Cybersicherheitsbewusstseins der menschlichen Mitarbeitenden eines Unternehmens. Das Problem: Ihr erhoffter Effekt bleibt immer häufiger aus.

Angreifer setzen zur Unterstützung ihrer Social-Engineering-, Phishing- und Spear-Phishing-Angriffe verstärkt auf KI. Tempo und Varianz der Angriffe nehmen dadurch stetig zu und lassen sich über statische Lernprogramme kaum noch effektiv kontern. Hinzu kommt: Unternehmen stellen ihren menschlichen Mitarbeitenden immer häufiger KI-Agenten zur Seite, denen es an Reflexionsvermögen und Risikoverständnis mangelt – was sie zu einem attraktiven Angriffsziel für Cyberkriminelle macht.

Das Beispiel EchoLeak zeigt die neue Dimension der Bedrohung

Ein anschauliches Beispiel für die neue Bedrohungslage ist der sogenannte Zero-Click Indirect Prompt Injection-Angriff «EchoLeak». Angreifer nutzen dabei den Umstand aus, dass Copilot Hintergrunddaten aus E-Mails, Chats und Dokumenten verarbeitet – ohne dass der Besitzer aktiv eingreifen muss. Sie lassen ihrem Opfer eine E-Mail oder ein Dokument mit versteckten Befehlen zukommen, etwa unsichtbare Texte, HTML-Kommentare oder Metadaten. Sobald Copilot seine Routineaufgaben durchführt – beispielsweise eine E-Mail zusammenfasst, auf der sich ein versteckter Befehl befindet –, liest die KI diese Befehle mit ein und eskaliert sie, ohne dass das Opfer davon etwas bemerkt.

Dieses Beispiel verdeutlicht: Wollen Unternehmen ihre digitale Belegschaft effektiv schützen, reicht es nicht mehr aus, allein Wissen zu vermitteln. Schulungen und Trainings müssen aktiv dazu beitragen, das tatsächliche Risikoverhalten der gesamten digitalen Belegschaft nachhaltig zu verbessern.

Integrierte Sicherheitsplattform statt isolierter Massnahmen

Um die digitale Belegschaft gegen solche und ähnliche Angriffe effektiv zu schützen, bedarf es mehr als vereinzelte, sporadische und statische Schulungsprogramme. Gefragt ist eine einheitliche Sicherheitsplattform für die gesamte digitale Belegschaft, die – ebenso wie die Verteidiger – auf KI-Agenten setzt. Diese Plattform muss in der Lage sein, sämtliche im Unternehmensnetzwerk eingesetzten KI-Agenten aufzuspüren, ihre Rechte zu beschränken sowie ihre Ausgaben und Aktivitäten in Echtzeit zu überwachen, zu analysieren und im Bedarfsfall zu stoppen.

Gleichzeitig muss sie das Risikoverhalten jeder und jedes einzelnen Mitarbeitenden am Arbeitsplatz in Echtzeit erfassen, analysieren und einordnen – und dieses dann individuell auf die Schwächen der jeweiligen Person zugeschnitten trainieren. Dabei darf die Plattform menschliches Risikoverhalten und die Risikoanfälligkeit von KI-Agenten nicht als zwei getrennte Probleme betrachten. Sie muss beides zusammenführen und gemeinsam analysieren. Nur ein integrierter Risikowert und ein integrierter Risikointerventionsplan können aufzeigen, wo Unternehmen am dringendsten hinschauen und intervenieren müssen.

Laufzeit-Governance als strategische Notwendigkeit

Da KI-Agenten Geschäftsprozesse mittlerweile zu einem erheblichen Teil mitgestalten und Arbeitsprozesse gemeinsam mit ihren menschlichen Counterparts erledigen, müssen Unternehmen eine Laufzeit-Governance sowie entsprechende Tools und Prozesse etablieren. Diese helfen dabei, Menschen und KI-Agenten im Zusammenspiel vor Manipulationsversuchen abzusichern. Die Schulung des Cybersicherheitsbewusstseins allein genügt nicht mehr.

Nur durch einen solchen integrierten Ansatz lässt sich eine nachhaltige Transformation realisieren: weg von der blossen Anhebung des Sicherheitsbewusstseins menschlicher Mitarbeitender, hin zur aktiven Senkung der Risiken der gesamten digitalen Belegschaft – Menschen wie KI-Agenten gleichermassen.

Quelle: www.knowbe4.com

Dieser Beitrag erschien ursprünglich auf m-q.ch - https://www.m-q.ch/de/digitale-belegschaft-warum-klassische-sicherheitsschulungen-nicht-mehr-genuegen/