Organisationen haben jahrelang ihre Mitarbeiter darin geschult, dem zu vertrauen, was sie sehen und hören.
Fortschritte im Bereich der künstlichen Intelligenz (KI) untergraben diese Annahmen jedoch zunehmend.
Eine kürzlich abgehaltene LinkedIn-Live-Demonstration von HYPR zeigte, wie schnell und einfach sich mit frei verfügbaren Tools und öffentlich zugänglichen Bildern ein überzeugender Deepfake erstellen lässt.
Während der Demonstration veranschaulichte der CEO und Mitgründer von HYPR Bojan Simic, wie ein Angreifer innerhalb weniger Minuten einen Live-Deepfake erstellen könnte, indem er ein Online-Foto mit Open-Source-Software und einer Anwendung für virtuelle Kameras kombinierte.
Wichtigste Erkenntnisse
- Die Erstellung von Deepfakes ist inzwischen fast jedem zugänglich. Kostenlose Tools, öffentlich zugängliche Bilder und Online-Tutorials können innerhalb weniger Minuten überzeugende Angriffe zur Imitation von Stimmen und Videos ermöglichen.
- Traditionelle Vertrauenssignale werden unzuverlässig. KI-generierte Stimmen und Gesichter können Führungskräfte, Mitarbeiter und vertrauenswürdige Partner imitieren, sodass eine alleinige visuelle und akustische Verifizierung nicht mehr ausreicht.
- Deepfakes erhöhen die Risiken durch Social Engineering und Betrug. Angreifer können KI-generierte Imitationen nutzen, um Finanztransaktionen zu beeinflussen, sich unbefugten Zugriff zu verschaffen oder vertrauliche Informationen zu stehlen.
- Organisationen sollten eine mehrschichtige Identitätsprüfung implementieren. Bestätigungsprozesse über separate Kanäle, Gerätevertrauen und mehrere Verifizierungsmethoden können dazu beitragen, das Risiko erfolgreicher Identitätsvortäuschungen zu senken.
- Phishing-resistente Authentifizierung ist entscheidend. Passkeys, FIDO-basierte Authentifizierung, Hardwaresicherheitsschlüssel und eine kontinuierliche Identitätssicherung bieten einen besseren Schutz, als sich allein auf das menschliche Urteilsvermögen zu verlassen.
Deepfake-Angriffe lassen sich immer leichter starten
Die Demonstration machte auf ein wachsendes Cybersicherheitsproblem aufmerksam: Ausgefeilte Angriffe zur Identitätsvortäuschung sind nicht mehr auf staatliche Akteure oder hoch qualifizierte Cyberkriminelle beschränkt.
Stattdessen sind die erforderlichen Tools zum Klonen von Gesichtern, Stimmen und Identitäten inzwischen weit verbreitet und einfach zu bedienen.
Laut Simic erforderten die Erstellung überzeugender Deepfakes früher spezielles KI-Fachwissen, teure Hardware und viel Zeit.
Heute lässt sich der Vorgang mit kostenloser Software, öffentlich verfügbaren Tutorials und einem einfachen Computer in weniger als fünf Minuten abschließen.
Dadurch sinkt die Einstiegshürde für Angreifer, die Betrugs-, Social-Engineering- oder Angriffe zur Übernahme von Konten durchführen wollen.
Die mit Deepfakes verbundenen Risiken nehmen weiter zu, da Organisationen zunehmend auf Fernkommunikation und digitale Interaktionen setzen.
Angreifer können KI-generierte Audio- und Videoaufnahmen nutzen, um sich in Videokonferenzen, Telefonaten oder Identitätsprüfungen als Führungskräfte, Mitarbeiter, Anbieter oder vertrauenswürdige Partner auszugeben.
In einigen Fällen wurde Deepfake-gestütztes Social Engineering mit erheblichen finanziellen Verlusten in Verbindung gebracht, nachdem Mitarbeiter davon überzeugt worden waren, dass sie mit legitimen Unternehmensleitern kommunizierten.
Warum die traditionelle Identitätsprüfung versagt
Eine zentrale Herausforderung besteht darin, dass traditionelle Methoden zur Herstellung von Vertrauen zunehmend unzuverlässig werden.
Jahrzehntelang haben sich Organisationen bei der Identitätsprüfung auf visuelle und akustische Hinweise verlassen.
Wenn jemand wie die erwartete Person aussah und klang, wurde dies oft als ausreichender Beleg angesehen.
Die Deepfake-Technologie stellt diese Annahme infrage. Wie Simic anmerkte: „Sehen bedeutet nicht mehr glauben, und Hören ist kein Beweis mehr.“
Viele Programme zur Sicherheitsaufklärung fordern Mitarbeiter nach wie vor auf, während Gesprächen auf ungewöhnliches Verhalten, visuelle Artefakte oder Unstimmigkeiten zu achten.
Die Wachsamkeit der Nutzer bleibt zwar wichtig, doch die Deepfake-Technologie verbessert sich rapide, sodass das menschliche Urteilsvermögen allein zunehmend eine fragile Verteidigung darstellt.
Angreifer nutzen gezielt die natürliche Neigung aus, vertrauten Stimmen und Gesichtern zu vertrauen.
Wie Organisationen das Deepfake-Risiko senken können
Um das Risiko zu senken, sollten Organisationen einen mehrschichtigen Ansatz für die Identitätsprüfung verfolgen.
Erstens sollten kritische Vorgänge wie Überweisungen, Anfragen für privilegierten Zugriff, Passwortzurücksetzungen und die Weitergabe sensibler Daten mehrere Verifizierungsformen erfordern.
Organisationen sollten Prozesse zur Verifizierung über separate Kanäle einrichten, bei denen vor der Genehmigung risikoreicher Anfragen unterschiedliche Kommunikationswege genutzt werden.
Zweitens sollten Organisationen phishing-resistente Authentifizierungstechnologien wie Passkeys, Hardwaresicherheitsschlüssel oder FIDO-basierte Authentifizierungsmethoden implementieren.
Diese Maßnahmen tragen dazu bei, dass die Identitätsprüfung auf einem kryptografischen Nachweis und nicht allein auf einer visuellen Bestätigung beruht.
Drittens sollten Sicherheitsteams Programme für Gerätevertrauen und Identitätssicherung stärken.
Die Überprüfung, ob Nutzer eine Verbindung über vertrauenswürdige Geräte und von erwarteten Standorten aus herstellen, kann bei Deepfake-gestützten Identitätsvortäuschungsversuchen eine zusätzliche Bestätigung liefern.
Schließlich sollte die Identitätsprüfung als fortlaufender Prozess und nicht als einmaliges Ereignis betrachtet werden.
Eine kontinuierliche Identitätssicherung, Verhaltensüberwachung und risikobasierte Authentifizierung können Organisationen dabei helfen, verdächtige Aktivitäten auch nach der Gewährung des ersten Zugriffs zu erkennen.
Die Identität ist der neue Sicherheitsperimeter
Da sich KI-gestützte Angriffe zur Identitätsvortäuschung weiterentwickeln, müssen Organisationen überdenken, wie Vertrauen in digitalen Umgebungen hergestellt wird.
Deepfakes können zwar Gesichter und Stimmen nachbilden, aber kryptografische Zugangsdaten, vertrauenswürdige Geräte und starke Authentifizierungskontrollen lassen sich von ihnen nicht ohne Weiteres replizieren.
In einer Zeit, in der die Identität zum neuen Sicherheitsperimeter geworden ist, sind Organisationen, die ihre Prozesse zur Identitätsprüfung stärken, besser auf die Abwehr der wachsenden Bedrohung durch Deepfake-gestützten Betrug vorbereitet.