Machen Sie sich bereit für „ 2025“.
Die sich rasch wandelnde Landschaft der Cybersicherheit ist ohnehin schon schwer zu durchschauen, und nun beobachten wir einige Bedrohungen, die wirklich eine neue Dimension erreichen und auf uns zukommen.
Betrachten Sie einige der einschneidendsten Sicherheitsvorfälle dieses Jahres – dies wird Ihnen einige Anhaltspunkte für die kommenden Prognosen zur Cybersicherheit liefern.
Im Jahr 2024 wurden bei mehr als 1 Milliarde Datensätze gestohlen, was sowohl Privatpersonen als auch den Ruf von Unternehmen beeinträchtigte. Shadow-KI – jene schwer fassbare Form generativer KI, mit der Early Adopters in Ihrem Unternehmen bereits experimentieren – hielt weiterhin Einzug in Unternehmen überall, und stellte die IT-Abteilungen vor Dilemmata , wie sie sie seit dem Aufkommen von nur unzureichend gesicherten Mobilgeräten und deren Nutzung durch Mitarbeiter am Arbeitsplatz nicht mehr erlebt hatten. Und natürlich war die Ransomware „ “ ( ) weiterhin eine äußerst brutale Bedrohung, von der insbesondere Anbieter im Gesundheitswesen () ( ) besonders stark betroffen waren.
Sie können davon ausgehen, dass sich diese Trends auch im neuen Jahr fortsetzen werden – doch das ist noch nicht alles: Focal Point hat einige der von uns kürzlich befragten Gesprächspartner gefragt, ob sie gewagte Prognosen für die kommenden Entwicklungen hätten. Hier finden Sie einige ihrer zum Nachdenken anregendsten Meinungen sowie einige Tipps und Ressourcen, die wir zusammengestellt haben, um Sie auf den Kurs „ 2025“ vorzubereiten … und darüber hinaus:
1. Die Biometrie wird kläglich scheitern
Die Biometrie wird oft als der „heilige Gral“ der Authentifizierung gepriesen, doch Roger Grimes, ein renommierter Authentifizierungsexperte bei KnowBe4, einem Anbieter von Schulungen zur Sensibilisierung für Sicherheitsfragen, hält dies für Unsinn.
„: Verabschieden Sie sich vom Mythos, dass Fingerabdrücke ‚eindeutige‘ Identifikatoren sind – sie lassen sich fast genauso leicht knacken wie Passwörter.“Roger Grimes, langjähriger Experte für Echtheitsprüfung, KnowBe4
„Biometrische Verfahren werden sich als ungeeignete Authentifizierungsmethode erweisen“, sagt er, da moderne Technologien wie generative KI es viel zu einfach machen, ein Gesicht, eine Netzhaut oder einen Fingerabdruck zu fälschen. Jene Filme, in denen Diebe einem Bösewicht den Daumen abschneiden und ihn nutzen, um sich Zugang zu einem undurchdringlichen Banktresor zu verschaffen, erhalten durch die digitale Technologie eine ganz neue Bedeutung, sagt er.
„Heute kann ich 30 Sekunden Ihres Videos nehmen und einen Deepfake erstellen, der Ihre Bank ausraubt“, sagt Grimes.
Ein neuer Bericht des Institute for Security + Technology mit dem Titel „ “ bestätigt dies und stellt fest: „Der Aufstieg überzeugender Deepfake-Technologien stellt eine ernsthafte Bedrohung für herkömmliche Authentifizierungssysteme dar, die sich bei der Überprüfung auf visuelle oder akustische Merkmale stützen.“ „Biometrische Authentifizierungssysteme, die Gesichtserkennung oder Stimmerkennung nutzen, wurden bereits in mehreren Fällen durch Deepfake-Technologie ausmanövriert.“
Und wie geht es nun weiter? Unternehmen und Behörden werden sich voraussichtlich in Richtung einer „ “-Multifaktor-Authentifizierung (MFA) und anderer Formen eines erweiterten Identitäts- und Zugriffsmanagements (IAM) bewegen, möglicherweise unter Kombination biometrischer Verfahren mit Hardware-Schlüsseln wie den YubiKeys von , so der Experte. Fazit: Biometrische Verfahren allein sind einfach nicht sicher genug. Gartner- , prognostiziert unter , dass bis zum Jahr 2026 Angriffe unter Verwendung von KI-generierten Deepfakes auf die Gesichtsbiometrie dazu führen werden, dass 30 % der Unternehmen solche Lösungen zur Identitätsprüfung und -authentifizierung für sich allein genommen nicht mehr als zuverlässig ansehen werden.
„Verabschieden Sie sich vom Mythos, dass Fingerabdrücke ‚eindeutige‘ Identifikatoren seien – sie lassen sich fast genauso leicht knacken wie Passwörter, sobald Hacker beginnen, sich auf sie zu konzentrieren“, sagt Grimes.
2. KI-gestützte Tools werden zu zweischneidigen Schwertern
Erik Avakian, ehemaliger CISO des Bundesstaates Pennsylvania und mittlerweile Berater für Cybersicherheit, prognostiziert, dass der Einsatz von KI-gestützter Automatisierung und Tools zur Steigerung der persönlichen Produktivität in Unternehmensumgebungen zunehmen wird. Der Einsatz dieser Tools, die menschliche Aufgaben nachahmen, werde zwar die Produktivität steigern, aber auch Sicherheits- und Datenschutzrisiken mit sich bringen, sagt er.
„Da diese Tools und Funktionen in unternehmensweite Geschäftsumgebungen integriert werden, könnten sie unbeabsichtigte und dauerhafte Folgen haben“, warnt Avakian. „Die Ausnutzung der Funktionen und Möglichkeiten dieser Tools könnte zu einem unbefugten Zugriff auf sensible Daten oder geistiges Eigentum führen oder durch böswillige Eingriffe und Missbrauch ausgenutzt werden, beispielsweise durch die Eingabe falscher (absichtlicher oder unbeabsichtigter) Befehle ohne das Wissen des Benutzers.“
Bevor KI-gestützte Tools in der Produktion eingesetzt werden, rät Avakian Unternehmen dazu, eine solide Grundlage in den Bereichen „ “ (KI) und Daten-Governance, Sicherheitsstrategie (Bekämpfen Sie Feuer mit Feuer durch die Stärkung Ihrer Sicherheit durch Automatisierung und KI), Datenschutzrichtlinien, Mitarbeiterschulungen sowie gründliche Testverfahren zu schaffen – alles im Einklang mit den Unternehmenszielen. Ohne diese Grundlagen könnten diese Tools das Risikoprofil des Unternehmens vergrößern, da ihre Wirksamkeit in hohem Maße von der Qualität und Sicherheit der von ihnen verarbeiteten Daten abhängt, sagt er.
3. Zahlungen für Ransomware stehen vor einer weltweiten Regulierung
Ransomware ist nicht mehr nur ein IT-Problem, sondern stellt mittlerweile eine Bedrohung für die nationale Sicherheit dar, so Kirsten Bay, Geschäftsführerin von Cysurance, einem Anbieter von Cyberversicherungen. Angesichts des jüngsten Anstiegs von Ransomware-as-a-Service-Angriffen (der dank KI noch weiter zunehmen wird) rechnet Bay mit einem harten Vorgehen gegen Lösegeldzahlungen durch einen weltweit koordinierten regulatorischen Rahmen.
„Erpressungsvorfälle stellen eine globale Bedrohung für die nationale Sicherheit dar“, sagt Bay. Dies bedeutet eine strengere Überwachung und mögliche Sanktionen für nicht gemeldete Lösegeldzahlungen, insbesondere in Kryptowährung.
Auch wenn Vorschriften Ransomware vielleicht nicht vollständig ausmerzen können, könnten sie deren Ausbreitung doch verlangsamen, indem sie den Kriminellen die Einnahmequellen abschneiden. Es ist zu erwarten, dass Regierungen Unternehmen verstärkt dazu drängen werden, Vorfälle von Lösegeldforderungen zu melden, wobei denjenigen, die dies nicht tun, Sanktionen drohen. Dies könnte für Unternehmen bei der Abwicklung von Lösegeldverhandlungen neue rechtliche und Compliance-Hürden mit sich bringen.
4. Datensouveränität und „Datenbotschaften“ setzen sich zunehmend durch
Länder, insbesondere in der Europäischen Union, legen zunehmend Wert auf den Schutz der personenbezogenen Daten ihrer Bürger , was zur Entstehung von Datenbotschaften geführt hat – sichere Datenknotenpunkte außerhalb der physischen Grenzen eines Landes.
„. Kleinere souveräne Staaten erkennen, dass sie Daten vor Ort nicht immer schützen können.“Frank Dickson, Analyst für Cybersicherheit bei IDC
Die Idee hinter Datenbotschaften besteht darin, dass man digitale Vermögenswerte aus dem eigenen Staatsgebiet – wo eine Regierung möglicherweise nicht über die Mittel verfügt, Eingriffe vollständig abzuwehren – in sicherere Einrichtungen in anderen Ländern verlagert, wodurch diese laut der Datasphere Initiative „unantastbar und somit von Durchsuchung, Beschlagnahme, Pfändung oder Vollstreckung ausgenommen“ sind. Estland beispielsweise verlegte im Jahr 2016 seine digitalen Vermögenswerte in das benachbarte Luxemburg, um sie vor Angriffen zu schützen, die angeblich aus Russland stammten.
IDC sieht darin einen anhaltenden Trend und prognostiziert, dass bis zum Jahr 2026 (zugegeben, es handelt sich nicht um eine Prognose für das Jahr 2025 , doch könnte es im nächsten Jahr diesbezüglich Entwicklungen geben) fünf souveräne Staaten Datenbotschaften in der EU einrichten werden.
„Kleinere souveräne Staaten erkennen, dass sie Daten vor Ort nicht immer schützen können“, sagt Frank Dickson, Cybersicherheitsanalyst bei IDC. Das leuchtet ein. Wie sollen Sie schließlich die Souveränität und Konsistenz Ihrer staatlichen Daten gewährleisten, wenn Sie bereits Schwierigkeiten haben, Ihre eigenen Grenzen zu schützen?
Für weltweit tätige US-Unternehmen bedeutet dieser Trend strengere Vorschriften hinsichtlich der Orte, an denen Daten gespeichert und verarbeitet werden dürfen, so Dickson. Die Einhaltung der EU-Vorschriften und der G7 -Rahmenwerke zur Datenhoheit wird voraussichtlich zu einer unverzichtbaren Voraussetzung werden, was Unternehmen dazu zwingen wird, ihre Infrastrukturstrategien zu überdenken. Eine Nichteinhaltung könne zu massiven Geldstrafen und geschäftlichen Einschränkungen auf beiden Seiten des Atlantiks führen, so sein Fazit.
5. Cyber-Versicherer gehen streng gegen Schadensfälle vor
Die „Flitterwochen“-Phase der Cyberversicherung wird zu Ende gehen.
„: Rechnen Sie mit aggressiveren Anpassungen und strengeren Bedingungen bei Schadensfällen.“”Scott Godes, Partner und Co-Vorsitzender bei Barnes & Thornburg
Scott Godes, Partner und Co-Vorsitzender bei Barnes & Thornburg, geht davon aus, dass Versicherer die Auszahlungen bei Cyber-Schadensfällen einschränken werden, insbesondere im Zusammenhang mit Ransomware und Datenschutzverletzungen. „Rechnen Sie mit drastischeren Anpassungen und strengeren Bedingungen für Schadensfälle“, sagt er.
Was bedeutet dies für Unternehmen? Die Versicherer verschärfen die Vorschriften. Sollte Ihr Unternehmen keine lückenlose Sicherheitslage nachweisen können, sollten Sie im Falle eines Hackerangriffs nicht mit einer hohen oder gar einer Auszahlung rechnen.
Seien Sie stattdessen darauf gefasst, dass Ihr Versicherer möglicherweise Klage einreicht, um eine Zahlung an Sie zu vermeiden, und dabei geltend macht, Sie hätten Ihre Sorgfaltspflicht nicht erfüllt und nicht ausreichend offengelegt, welche Maßnahmen Sie zum Schutz Ihrer Daten ergriffen haben. CISOs müssen der „ “ – der Dokumentation all ihrer Maßnahmen – sowie all ihren Sicherheitsmaßnahmen mehr Aufmerksamkeit widmen, da sie sonst Gefahr laufen, dass ein Versicherer ihnen im Falle eines kostspieligen Cybervorfalls den Boden unter den Füßen wegzieht.
6. KI-gestützte Angriffe gefährden kritische Infrastrukturen
Wir haben bereits zahlreiche Ransomware-Angriffe erlebt, doch warten Sie ab: Nächstes Jahr, wenn nicht sogar schon früher, könnten diese Angriffe neue Ausmaße annehmen und kritische Infrastrukturen schwächen.
„Es geht nicht mehr nur um Disruption, sondern um Zerstörung.“Erik Avakian, ehemaliger CISO des Bundesstaates Pennsylvania
Avakian ist der Ansicht, dass Angreifer zunehmend physische Systeme ins Visier nehmen werden, von Stromnetzen bis hin zu Wasserversorgungssystemen. (Besonders gefährdet sind: kleine Energieversorger und Energieunternehmen.) Es gibt bereits deutliche Anzeichen dafür, dass Hacker, die angeblich mit feindlich gesinnten Regierungen in Verbindung stehen, ihre Angriffe auf kritische Infrastrukturen in den USA verstärken. Im März warnte das FBI den Kongress, dass chinesische Hacker tief in die US-amerikanische Cyberinfrastruktur eingedrungen seien, um Schaden anzurichten. Anfang Oktober wurde „ “ American Water, der größte Wasserversorger der Vereinigten Staaten, von einem Cyberangriff getroffen, der das Unternehmen dazu zwang, seine Systeme abzuschalten. Der Täter wurde nicht identifiziert, es wurde jedoch vermutet, dass er von einem Nationalstaat unterstützt wurde.
„Es handelt sich nicht mehr nur um eine Störung, sondern um Zerstörung“, warnt Avakian.
Diese KI-gesteuerten Angriffe könnten ganze Lieferketten gefährden und verheerende Folgen haben, die weit über den bloßen Datenverlust hinausgehen. Stellen Sie sich die Panik vor, wenn ein KI-gestützter Wurm Hardware physisch zerstören könnte, sodass Unternehmen verzweifelt versuchen müssten, den Schaden zu beheben. Regierungen und die Privatwirtschaft müssen die cyber-physische Sicherheit verstärken, andernfalls müssen sie mit den Konsequenzen rechnen.
7. US-Unternehmen bereiten sich auf strengere EU-Datenschutzanforderungen im Bereich der KI vor
IDC prognostiziert, dass die EU und G7 bis zum nächsten Jahr einen Rechtsrahmen verabschieden werden, der es Einzelpersonen ermöglicht, die Verwendung personenbezogener Daten (PII) in der KI zu untersagen, festzulegen, wo diese Daten geografisch gespeichert werden dürfen, und fehlerhafte Angaben zu korrigieren. Eine solche Vorhersage würde vermutlich über den Geltungsbereich des kürzlich verabschiedeten EU-KI-Gesetzes („ “) hinausgehen:. Dieser umfassende, risikobasierte Rahmen wird die Entwicklung, den Einsatz und die Nutzung von KI-Systemen der Kategorie „ “ in Europa regeln.
Laut Dickson von IDC wird diese Prognose US-Unternehmen, die in Europa geschäftlich tätig sind, hart treffen, sollten sie nicht darauf vorbereitet sein. Seiner Ansicht nach bedeutet Vorbereitung, über Technologien zu verfügen, die verhindern, dass personenbezogene Daten in große Sprachmodelle (LLMs) hochgeladen und von diesen verarbeitet werden, die KI-Chatbot-Tools wie ChatGPT, Gemini oder Microsoft Copilot antreiben.
„Wenn ein in der EU ansässiger Bürger das Recht hat, die Verwendung seiner Daten zu sperren, müssen Sie sicherstellen, dass Ihre Kundendatenplattformen (CDPs) die Sperrung dieser Daten automatisieren können“, sagt er. „Sollten Sie einen Fehler begehen, haben solche Vorschriften erhebliche Konsequenzen, und ein Verstoß gegen sie könnte Sie sehr teuer zu stehen kommen.“
8. Der Rückzug aus dem Bereich der Cyber-Rückversicherung führt zu einer Deckungslücke
Steigende Lösegeldzahlungen und Vorfälle im Zusammenhang mit „Business Email Compromise“ (BEC) veranlassen die Rückversicherer dazu, sich zurückzuziehen. Bay von Cysurance rechnet mit einem „Rückgang im Bereich der Cyber-Rückversicherung“, der die den Versicherungsgesellschaften zur Verfügung stehenden Mittel einschränken und den Umfang der für Unternehmen verfügbaren Cyber-Versicherungsschutzleistungen verringern wird.
Für Unternehmen bedeutet dies potenziell höhere Prämien, niedrigere Deckungssummen und strengere Sicherheitsanforderungen, um überhaupt versicherungsfähig zu sein – selbst wenn die Prämien für die „ “ insgesamt weiter sinken. Rückversicherer werden den Nachweis einer soliden Sicherheitslage verlangen, weshalb Unternehmen ihre Abwehrmaßnahmen gründlich überprüfen müssen, so Bay.
Diese Entwicklung könnte dazu führen, dass es schwieriger wird, eine Cyberversicherung abzuschließen – gerade jetzt, wo diese unverzichtbar wird, fügt sie hinzu.
9. Dezentrale Cyberabwehr setzt sich durch
Da zentralisierte Cybersicherheitssysteme Mühe haben, mit den sich ständig weiterentwickelnden Bedrohungen Schritt zu halten, wird das Jahr 2025 den Aufstieg dezentraler, gemeinschaftsgetriebener Cyberabwehrnetzwerke markieren, so Sean O’Brien, Gründer des Yale Privacy Lab, der davon überzeugt ist, dass dieser Wandel eine entscheidende Wende darstellen wird.
„. Wir werden ein rasantes Wachstum dezentraler Cyberabwehrnetzwerke erleben, die auf Blockchain, Open-Source-Software und P2P -Technologie basieren.“Sean O'Brien, Gründer des Yale Privacy Lab
„Wir werden ein rasantes Wachstum dezentraler Cyberabwehrnetzwerke erleben, die auf der Blockchain- von , Open-Source-Software und P2P -Technologie basieren“, prognostiziert er. Diese Netzwerke – oder „Beobachtungsstellen“ – werden es Unternehmen ermöglichen, Ressourcen zu bündeln, ähnlich wie es Organisationen beim Aufbau landesweiter Cybersicherheits -Programme tun, und Abwehrmechanismen auf eine vertrauensunabhängige, dezentrale Weise gemeinsam zu nutzen, erklärt er.
Welche Auswirkungen hat dies? Dieser Ansatz könnte die Risiken von Single Points of Failure mindern, die mit zentralisierten Systemen einhergehen, und so einen widerstandsfähigeren Schutz vor raffinierten Angriffen schaffen. Für Unternehmen bedeutet dies, auf gemeinschaftsbasierte Ressourcen und Echtzeit-Bedrohungsinformationen zurückzugreifen, die sich schneller anpassen lassen als herkömmliche Modelle. Bis zum Jahr 2025 könnten dezentrale Abwehrmaßnahmen die Lösung sein, um sich von veralteten, leicht zu kompromittierenden Cybersicherheitskonzepten zu lösen.
10. Angreifer nutzen unsachgemäß umgesetzte KI-Systeme aus
Johannes Ullrich, Forschungsdekan am SANS Institute, weist darauf hin, dass nicht alle KI-Implementierungen gleich sind. Tatsächlich könnten viele Unternehmen in ihrer Eile, generative KI für geschäftliche und betriebliche Zwecke einzuführen, die Technologie einsetzen, ohne dabei Sicherheitsaspekte in den Vordergrund zu stellen.
„Angreifer könnten herausfinden, dass KI-/ML-basierte Abwehrmechanismen bestimmte Schwachstellen aufweisen, da zur Erstellung dieser Modelle unvollständige und verzerrte Trainingsdaten verwendet wurden“, sagt Ullrich. „In einigen Fällen, in denen KI-Modelle für automatische Antworten eingesetzt werden, könnten Angreifer die Modelle möglicherweise dazu bringen, im Auftrag der Malware zu handeln.“
Avakian erklärt, dass das Potenzial für solche Angriffe die Notwendigkeit einer soliden KI-Governance deutlich macht. CISOs müssen sicherstellen, dass KI-Integrationen sicher sind und den Vorschriften entsprechen, sagt er. Das bedeutet, neue Richtlinien in den Bereichen Datenverarbeitung, Sicherheit und Compliance zu entwickeln – ohne dabei die Innovation zu behindern.
Da KI-gesteuerte Prozesse nahezu jeden Bereich des Unternehmens betreffen – von der Personalabteilung bis zum Kundenservice –, benötigen Unternehmen solide Rahmenbedingungen, um Sicherheit und Effizienz zu gewährleisten, fügt Avakian hinzu. Wer die KI-Governance außer Acht lässt, könnte dies durch Datenschutzverletzungen und hohe Bußgelder zu spüren bekommen.
