Künstliche Intelligenz verändert die Bedrohungslage im Bereich Social Engineering grundlegend. Besonders kritisch: Voice-Phishing, bei dem Cyberkriminelle mit KI-generierten Stimmen Mitarbeiter täuschen. Ein Kommentar von Patrick Lehnis, Account based Marketing Manager bei Specops, einem Unternehmen von Outpost24.
Die zunehmende Verbreitung von KI-Tools hat Social-Engineering-Angriffe auf eine neue Stufe gehoben. Insbesondere das sogenannte KI-Vishing entwickelt sich zu einer ernstzunehmenden Gefahr für Unternehmen. Dabei kommen synthetisch erzeugte Stimmen zum Einsatz, die täuschend echt klingen und gezielt eingesetzt werden, um Mitarbeiter zur Herausgabe sensibler Informationen oder zur Durchführung von Handlungen wie Überweisungen zu bewegen.
Manipulation durch die Stimme von Vorgesetzten
Cyberkriminelle nutzen für KI-Vishing öffentlich zugängliche Sprachaufnahmen aus Podcasts, Webinaren oder Interviews, um daraus mithilfe von KI eine synthetische Stimme zu erzeugen. Diese können sie dann für Anrufe verwenden, die selbst für geschulte Mitarbeitende schwer als Fälschung zu erkennen sind. Die Angreifer setzen dabei auf psychologische Manipulation: Eine vertraute Stimme schafft Vertrauen, besonders wenn sie mit Dringlichkeit oder Hierarchieanspielungen kombiniert wird („Ich bin’s – dein Chef. Mach das bitte sofort.“).
Der Mensch als Einfallstor
So ausgereift die Technologie auch ist – das eigentliche Ziel der Attacken bleibt der Mensch. Angreifer nutzen Emotionen, Stresssituationen und den Impuls zur schnellen Hilfeleistung aus. Umso wichtiger ist es, Prozesse zu etablieren, die die Entscheidungslast bei potenziell kritischen Anfragen von den einzelnen Mitarbeitenden wegnehmen. Neben einer Sicherheitskultur, in der kritisches Hinterfragen ausdrücklich gewünscht ist, spielen auch technische Schutzmaßnahmen eine zentrale Rolle.
Hierzu zählen etwa Multifaktor-Authentifizierungen, klare Regeln für Passwort-Resets, die Sperrung oder Freischaltung von Zugängen und technische Prüfmechanismen im Helpdesk. Nur wenn mehrere Faktoren geprüft und freigegeben sind, sollten kritische Aktionen möglich sein.
Prozesse modernisieren, Risiken minimieren
Da sich KI-gestützte Angriffsmethoden stetig weiterentwickeln, müssen Sicherheitsprozesse kontinuierlich angepasst werden. Dazu gehören:
- Kommunikationsrichtlinien, die sensible Anweisungen über Telefon ausschließen
- Verbindliche Rückbestätigungen über alternative Kommunikationskanäle
- Schulungen zur Erkennung von manipulativen Sprachmustern
- Technische Tools zur Anruferverifizierung und Authentifizierung
Nur durch die Kombination aus technischer Absicherung, klaren Prozessen und Sensibilisierung der Mitarbeitenden lassen sich KI-basierte Social-Engineering-Angriffe wirksam eindämmen.
Weitere Informationen zu Outpost24 finden Sie hier.