Glauben Sie, dass Ihre Kunden und Mitarbeiter Online-Betrugsversuche, Deepfakes sowie absichtliche Fehlinformationen und Desinformation erkennen können? Jüngste Studien zeigen, dass Menschen ihre Fähigkeit, Wahrheit von Fiktion zu unterscheiden, überschätzen – und diese Situation dürfte sich noch verschärfen, je ausgefeilter die KI wird.
Dies sollte Unternehmensleiter beunruhigen – und dazu veranlassen, sich an ihre Leiter für Informationssicherheit zu wenden. Wie sich herausstellt, verfügen diese CISOs über einige altbewährte Strategien, mit denen sich diesen neuen, durch KI begünstigten Bedrohungen entgegenwirken lässt.
Zunächst zur Studie: Im Rahmen einer im November veröffentlichten Umfrage von Citi „ “ wurden 2 432 Online-Teilnehmer gefragt, wie gut sie Finanzbetrug erkennen können, und 90 % gaben an, dass sie darin gut seien – obwohl mehr als ein Viertel (27 %) bereits Opfer solcher Betrugsmaschen geworden war.
Eine weitere Studie der „ “, die im Juni veröffentlicht wurde, ergab, dass Menschen eher dazu neigen, von KI erzeugten Falschinformationen Glauben zu schenken als von Menschen verfassten falschen Aussagen. Der Unterschied ist gering – die 697 befragten Personen erkannten KI-generierte gefälschte Tweets mit einer um 3 % geringeren Wahrscheinlichkeit als von Menschen verfasste Lügen –, doch angesichts der prognostizierten Flut solcher überzeugender Inhalte ist er von Bedeutung.
„Die Tatsache, dass durch KI erzeugte Desinformation nicht nur kostengünstiger und schneller, sondern auch wirksamer ist, bereitet mir Alpträume“, erklärte der Forscher Dr. Giovanni Spitale von der Universität Zürich, der die Studie leitete, bereits im Juni gegenüber MIT Technology Review .
Sechs Monate später ist er immer noch besorgt.
„Ich mache mir keine Sorgen um die Technologie an sich, sondern um die Gefahr ihres Missbrauchs“, erklärt er dem Focal Point von „ “, , per E-Mail. Spitale, der sich selbst als Technikbegeisterten und „großen Nerd“ bezeichnet (er begann im Jahr 1993 im Alter von sechs Jahren auf einem Olivetti 386 mit der Programmierung – ), befürchtet, dass Regierungen und Gesetze einfach zu langsam sind, um mit disruptiven Technologien wie den großen Sprachmodellen (LLMs), auf denen ChatGPT basiert, Schritt zu halten.
Das in diesem Sommer verabschiedete „ e KI-Gesetz“ der EU sei „bereits veraltet“, stellt er fest. Und dadurch sind Privatpersonen und Unternehmen ungeschützt.
Fehlinformationen, Desinformation – wie auch immer man es nennen mag, es gibt sie
Experten warnen bereits seit Jahren davor, dass künstliche Intelligenz dazu in der Lage ist, die Häufigkeit und Qualität von Fehlinformationen (falsche Aussagen), Desinformation (offensichtliche Lügen) und Malinformation (Wahrheiten, die aus böswilligen Gründen absichtlich verdreht oder aus dem Zusammenhang gerissen werden) zu verstärken, und nun erleben wir, wie sich dies tatsächlich entwickelt.
“„Ich mache mir keine Sorgen um die Technologie an sich, sondern um die Gefahr, dass sie missbraucht werden könnte.“Dr. Giovanni Spitale, Forscher im Bereich Desinformation, Universität Zürich
Betrüger nutzen zunehmend künstliche Intelligenz, um Betrugsdelikte zu „beschleunigen“, warnte die „ “ im Juni die Vorsitzende der Federal Trade Commission, Lina Khan ( ). Pindrop, ein Unternehmen, das Milliarden von Anrufen bei vielen großen US-Banken überwacht, stellte fest , dass es in diesem Jahr einen Anstieg von Deepfake-Betrugsfällen gab, bei denen KI eingesetzt wurde, um die Stimmen von Kunden zu imitieren und so Geldüberweisungen zu erwirken.
Kleine und mittlere Unternehmen (KMU) sind ebenso gefährdet wie große multinationale Konzerne. Negative Online-Anzeigen – die von verärgerten Kunden oder Mitarbeitern erfunden werden, um den Ruf einer Marke zu schädigen, oder von Cyberbanden inszeniert werden, um Geld zu erpressen – stellen für kleine und mittlere Unternehmen bereits ein Problem dar. , Inhaber von „Ottawa Perogies“, entdeckte dies im Jahr 2021, als ein Cyberkrimineller Facebook und Google mit Ein-Stern-Bewertungen überschwemmte, nachdem das familiengeführte Restaurant mit Speisen zum Mitnehmen Forderungen nach Geld ignoriert hatte. Die Bestellungen gingen innerhalb weniger Tage drastisch zurück, und es dauerte Wochen, bis das Restaurant seinen Online-Ruf wiederherstellen konnte. Im selben Jahr entstanden Unternehmen weltweit durch gefälschte Bewertungen Verluste in Höhe von schätzungsweise 152 Milliarden US-Dollar, wie aus einer Studie des „ “ der Universität Baltimore hervorgeht (). Experten warnen davor, dass KI solche Angriffe nur noch verstärken wird.
Die gute Nachricht ist, dass Führungskräfte in Unternehmen sich auf traditionelle Methoden der Cybersicherheit verlassen können – bewährte Strategien, für die sich CISOs und andere Sicherheitsexperten seit Jahren einsetzen –, um solche Bedrohungen abzuwehren. „Derzeit ist die beste Abwehrmaßnahme, die wir ermittelt haben, ein Leitfaden, der nicht nur zur Reaktion auf Vorfälle dient, sondern auch zur Einschätzung ihrer Wahrscheinlichkeit – doch es wird immer wieder zu Vorfällen kommen“, räumt Spitale ein.
Das ist verständlich. Die folgenden Sicherheitsmaßnahmen können ein Unternehmen zwar nicht vollständig vor Angriffen schützen, doch sie können eine ganze Menge negativer Auswirkungen abmildern:
1. Überarbeiten Sie die Leitfäden zur Reaktion auf Vorfälle – und führen Sie diese erneut durch
Obwohl sie ursprünglich zur Bewältigung technischer Krisen wie Datenpannen konzipiert wurden, können und sollten die Pläne zur Reaktion auf Vorfälle im Rahmen des „ “ ( ) überarbeitet werden, um Krisen im Zusammenhang mit Fehlinformationen und Desinformation zu bewältigen. Das bedeutet, dass Sie Ihr Handlungsleitfaden um Maßnahmen ergänzen müssen, um unrichtige Informationen – wie beispielsweise Deepfake-Videos und -Audioclips, unerwünschte Hashtags, die Ihren Markennamen enthalten, sowie andere schädliche Online-Inhalte – schnell zu erkennen, deren Quelle zu ermitteln und eine entschlossene Kommunikationsstrategie einzuleiten, um deren Auswirkungen entgegenzuwirken. (Mehr dazu später.)
“„Wenn jemand aus Ihrem Online-Umfeld Falschmeldungen verbreitet, verspüren Sie den Druck, diese ebenfalls zu teilen, selbst wenn Sie nicht wissen, ob sie falsch oder wahr sind.“Dr. Matthew Asher Lawson, Assistenzprofessor für Entscheidungswissenschaften, NSEAD
Ein aktualisiertes Leitfaden zur Krisenbewältigung bei „ “ ( ) hilft Ihnen dabei, schnell und effizient zu reagieren, wenn böswillige Akteure – bewusst oder unbewusst – die Darstellung Ihrer Marke aus der Bahn werfen.
Dieses letztere Szenario – Lügen, die von ahnungslosen Komplizen verbreitet werden – sollte besonders hervorgehoben werden. Eine in diesem Jahr von der American Psychological Association veröffentlichte Studie unter rund 60 000 Social-Media-Nutzern ergab, dass die meisten Menschen, die Falschmeldungen verbreiten, keine konkreten persönlichen Motive gegen eine bestimmte Person oder Gruppe verfolgen; sie möchten sich lediglich anpassen.
„Wenn jemand aus Ihrem Online-Umfeld Falschmeldungen verbreitet, verspüren Sie den Druck, diese ebenfalls zu teilen, selbst wenn Sie nicht wissen, ob sie wahr oder falsch sind“, erklärte der leitende Forscher Dr. Matthew Asher Lawson, Assistenzprofessor für Entscheidungswissenschaften an der INSEAD, einer Wirtschaftshochschule in Frankreich.
2. Fügen Sie Deepfakes zu den Phishing-Anleitungen hinzu
Cyberkriminelle nutzen künstliche Intelligenz, um echte Bilder und Aufnahmen zu manipulieren oder vollständig gefälschte Inhalte zu erstellen. In diesem Sommer beispielsweise zeigten etwa 50 gefälschte Videos, die auf TikTok, Facebook und YouTube veröffentlicht wurden, Elon Musk in „-Interviews“ mit verschiedenen Fernsehpersönlichkeiten – Gayle King, Tucker Carlson, Bill Maher –, in denen er für ein gefälschtes Investitionsprogramm warb. Sie erzielten Zehntausende Aufrufe.
Auch bei Phishing-Angriffen ist mit einer Weiterentwicklung zu rechnen, wobei „Deepfakes eine nahezu perfekte Nachahmung vertrauenswürdiger Personen ermöglichen und damit einen erheblichen Fortschritt gegenüber der üblichen Methode darstellen, den Schreibstil zu kopieren oder das E-Mail-Design nachzuahmen“, schreibt Neil Lappage, CISO und Sicherheitsberater bei Unternehmen wie C5 und ITC Secure, in einem kürzlich erschienenen Artikel in der Fachzeitschrift „ “ der Organisation für digitales Vertrauen ISACA. Deepfake-Videos und -Audiodateien können dazu genutzt werden, sich als IT-Mitarbeiter oder Führungskräfte auszugeben, wobei ahnungslose Mitarbeiter oder sogar biometrische Systeme, die auf Sprach- und Gesichtserkennungssoftware basieren, ins Visier genommen werden.
„Mitarbeiter sollten mit den Standardverfahren für den Umgang mit mutmaßlich manipulierten Medien vertraut sein und die Mechanismen zur Meldung solcher Aktivitäten innerhalb ihrer Organisation kennen“, heißt es in einem gemeinsamen Bericht mit dem Titel „ “ ( ), der von der NSA, dem FBI und der CISA veröffentlicht wurde.
Die Aktualisierung Ihrer Schulungsprogramme für Mitarbeiter zeugt zudem vom Engagement Ihres Unternehmens im Hinblick auf sich wandelnde Cybersicherheitsrisiken – ein Aspekt, den Sie Ihren Cyberversicherungsmaklern von „ “ unter mitteilen können und sollten, da diese nach nachweisbaren Anzeichen für die Cyber-Wachsamkeit eines Unternehmens suchen.
Weitere Informationen dazu, wie Sie Deepfakes erkennen können und was Ihre Schulung beinhalten sollte, finden Sie in diesen Tipps von SANS hier, vom Center for an Informed Public der University of Washington hier sowie vom MIT hier und hier.
3. DEX verbessern – auch bekannt als „auf lange Sicht denken“
Die Stärkung Ihrer „ “ im Bereich „Digital Employee Experience“ (DEX) ist vielleicht ein weniger offensichtlicher, aber wirkungsvoller Weg, um Fehlinformationen und Desinformation zu bekämpfen. Wenn Sie sich heute die Zeit nehmen, DEX durch benutzerfreundliche Oberflächen, Arbeitswerkzeuge und nahtlose digitale Kommunikationskanäle zu verbessern, kann sich dies in mehrfacher Hinsicht auszahlen:
Im Allgemeinen ist die Mitarbeiterzufriedenheit ein wichtiger Indikator für den allgemeinen Markenruf eines Unternehmens. Wenn eine Falschmeldung die Runde macht und einen Schatten auf ein Unternehmen wirft, reagieren Verbraucher skeptischer, wenn das Unternehmen für seinen Umgang mit seinen Mitarbeitern bekannt ist.
Am Arbeitsplatz sind zufriedene Mitarbeiter produktiver, weniger gestresst und es ist weniger wahrscheinlich, dass sie zu internen Sicherheitsrisiken werden. Wer sich wertgeschätzt fühlt, neigt weniger dazu, Falschinformationen zu verbreiten, beteiligt sich stärker an den oben genannten Schulungsprogrammen und meldet Falsch- und Desinformationen mit größerer Wahrscheinlichkeit, wenn er diese bemerkt (oder vermutet).
4. Befähigen Sie Ihre Teams zur Bedrohungssuche, nach „unbekannten Unbekannten“ Ausschau zu halten – auch über den eigenen Horizont hinaus
„Threat Hunts“, die darauf ausgelegt sind, nach innen zu blicken und nach ungeschützten Zugangspunkten innerhalb eines Computernetzwerks zu suchen, können auch den Blick nach außen richten, um Muster zu erkennen und Anomalien im Zusammenhang mit einer sich anbahnenden Krise durch Fehlinformationen oder Desinformation aufzudecken.
Bedrohungsjäger sind darin geschult, „unbekannte Unbekannte“ aufzuspüren – jene unerkannten Schwachstellen oder unvorhergesehenen Risiken, die für einen Angriff geradezu prädestiniert sind. Im Bereich der Fehlinformationen oder Desinformation könnten dies beispielsweise fortschrittliche, noch nicht entwickelte Deepfake-Techniken, neuartige Verbreitungskanäle oder ein plötzlicher Anstieg negativer Erwähnungen in den sozialen Medien sein, die Ihre Marke oder Führungskräfte mit einem politischen oder gesellschaftlichen Thema in Verbindung bringen, mit dem sich Ihr Unternehmen bisher noch nie befasst hat. Zumindest können sie eine sich anbahnende Welle ungerechtfertigter negativer Kommentare bereits erkennen, wenn diese noch in den Anfängen steckt.
Mithilfe von Tools zur Überwachung sozialer Medien können Bedrohungsjäger typische Muster und Taktiken bekannter Angreifer erkennen und die Kommunikations-, PR- und Marketingteams benachrichtigen, sobald ein Anstieg negativer Beiträge über Ihr Unternehmen festgestellt wird. Eine solche Überwachung kann einen Angriff zwar nicht verhindern, verschafft Ihren Pressesprechern jedoch einige Tage oder Stunden Vorwarnzeit, um eine „Prebunking“-Kampagne zu entwickeln – also Gegenbotschaften, die die Öffentlichkeit erreichen, bevor eine Flut von Lügen das Internet überschwemmt.
Im Umgang mit Falschinformationen und Desinformation ist Schnelligkeit von entscheidender Bedeutung. Forscher haben herausgefunden, dass proaktives „Prebunking“ überzeugender ist und Verbraucher dazu anregt, Lügen skeptischer gegenüberzustehen, als das nachträgliche Entlarven von Fake News.
5. Wenden Sie die Grundsätze einer effektiven Krisenkommunikation an
Sobald sich Falschinformationen viral verbreiten, sollten die grundlegenden Prinzipien der Krisenkommunikation – nämlich Schnelligkeit, Transparenz und Einfühlungsvermögen – die Reaktion einer Organisation leiten.
“„Wenn das Unternehmen in der Vergangenheit ohne Einfühlungsvermögen und Transparenz gehandelt hat, fällt es den Menschen viel leichter, unbegründete Behauptungen über Ihre Marke zu glauben.“Jeff Pollard, Vizepräsident und leitender Analyst bei Forrester
Schnelles Handeln und Transparenz sind von entscheidender Bedeutung. Im vergangenen Jahr verurteilte das US-Justizministerium den CISO von Uber, Joe Sullivan, wegen Falschaussagen und des Versuchs, einen Hackerangriff im Jahr 2016 zu vertuschen, bei dem Diebe Daten von rund 57 Millionen Kunden gestohlen hatten. Anderen Unternehmen erging es in der öffentlichen Meinung nicht besser, als Verzögerungen beim Börsengang, nun ja, an die Öffentlichkeit gelangten.
„Die Welt neigt dazu, ziemlich nachsichtig zu sein, wenn man offen und ehrlich mit den Dingen umgeht“, erklärte Jenai Marinkovic, CISO bei Tiro Security, im vergangenen Frühjahr gegenüber dem „ “ Focal Point in einem Artikel über erfolgreiche Kommunikationsstrategien.
Die Übersetzung von „ “ ( ) aus der Fachsprache der Ingenieure in klare, leicht verständliche Botschaften, die Kunden (und Vorstandsmitglieder) nachvollziehen können, ist ebenfalls von entscheidender Bedeutung, wenn Sie auf einen Informationsangriff reagieren, da dies Empathie gegenüber den Interessengruppen zum Ausdruck bringt. Empathie verleiht einer Marke eine menschliche Note und ist einer der sieben Hebel des Vertrauens in „ “ – Forrester’s Trust Imperative, einer Reihe von Leitlinien, die Unternehmen dabei unterstützen sollen, dauerhafte Bindungen zu Kunden und Stakeholdern aufzubauen. Das ist zudem etwas, das jedes Unternehmen ab heute fördern und unterstützen kann.
Machen Sie sich nichts vor: Genau wie bei anderen Cyberangriffen geht es bei KI-gestützten Angriffen mit Fehlinformationen und Desinformation nicht um die Frage „ “, ob „ “, sondern um die Frage „“, wann „“. Daher ist es von entscheidender Bedeutung, Empathie in den Geschäftsabläufen und in der Kommunikation zu verankern, schreibt Jeff Pollard, Vizepräsident und leitender Analyst bei Forrester, in einem Blogbeitrag mit dem Titel „ “ ( ), der Anfang dieses Jahres veröffentlicht wurde. „Die Vorgeschichte spielt eine wichtige Rolle, wenn es darum geht, sich vor Reputationsschäden durch Deepfakes zu schützen“, erklärt er.
„Wenn das Unternehmen in der Vergangenheit ohne Einfühlungsvermögen und Transparenz gehandelt hat“, bemerkt er, „fällt es den Menschen viel leichter, unbegründete Behauptungen über Ihre Marke zu glauben.“
WEITERE INFORMATIONEN
Lesen Sie den ersten Teil dieser zweiteiligen Serie, der weitere Tipps zur Bekämpfung von Falschinformationen und Desinformation bietet und erläutert, warum sich Unternehmen nicht darauf verlassen können, dass Dritte oder Justizbehörden Abhilfe schaffen:
