Fit mit KI Cybersicherheit im Zeitalter von Ressourcenengpässen

Anbieter zum Thema

Sopra Steria SE

Materna Information & Communications SE

Mein Videotermin Suite | Voigtmann GmbH

xSuite Group GmbH

Cyberangriffe können den Betrieb für mehrere Wochen lahmlegen. Mit der Nutzung von KI durch Cyberkriminelle, z. B. für personalisierte Phishing-Kampagnen und neuartige Malware, hat sich die Lage noch verschärft. Im behördlichen Umfeld wird KI für IT-Sicherheit hingegen noch selten genutzt.

73 Prozent der Fach- und Führungskräfte im öffentlichen Sektor sind der Meinung, dass die Bedrohungslage im digitalen Raum durch KI intensiver wird, ergibt eine Studie von Sopra Steria. Auf der anderen Seite nutzt die Verwaltung KI in der Cybersicherheit noch verblüffend selten. Die öffentliche Verwaltung steht damit nicht allein da, denn Deutschland wirkt mit Blick auf eine systematische und verantwortliche KI-Nutzung insgesamt unkoordiniert – und zwar branchen- und themenübergreifend. Zwar leidet die Verwaltung im Vergleich zu Finanzsektor und Automobilbranche stärker unter mangelnden Personalressourcen, fehlendem Cybersecurity-Know-how und unzureichendem Budget. Dennoch sieht es in der Privatwirtschaft weder erheblich besser aus noch wird ein nennenswert besseres Sicherheitsresultat erzielt. Die notwendigen Ressourcen, um Cybersicherheit für das KI-Zeitalter fit zu machen, sind dementsprechend in allen Sektoren begehrt.

Ohne Moos nichts los

Entsprechend ist auch für die Verwaltung Ressourcenmangel das Kernproblem. 50 Prozent der in der Studie Befragten nennen unzureichende Budgets, sieben von zehn Befragten machten Personalmangel für die teils missliche Lage verantwortlich. Die Verteidigung unseres Rechtsstaates gegen professionelle staatsfeindliche Akteure im Cyberraum ist eine technologisch herausfordernde und spannende Aufgabe, die hoch qualifizierte Fachkräfte anlocken und binden kann. Allerdings stehen solche Fachkräfte nicht annähernd in ausreichender Anzahl zur Verfügung. Technologie kann hier nicht ersetzen, aber signifikant entlasten.

CyberSecurity-Verbund Sachsen-Anhalt

Mit KI gegen Cyberattacken: Hochschulen arbeiten im Verbund

Technische Innovationen für mehr Cybersicherheit müssen finanziert und von sachkundigem Personal begleitet werden. Die Initialisierung der KI-Modelle und die Betreuung sind der Schlüssel dafür, dass beispielsweise Machine-Learning-Komponenten und GenAI-Modelle im Schwachstellenmanagement oder bei der Erkennung und Qualifizierung von Sicherheitsvorfällen ihre volle Wirkung entfalten können. Gelingt das, können sich die gut bezahlten Spezialisten Komplexerem und Wichtigerem als den Routineaufgaben zuwenden.

Fehleinschätzungen beim KI-Einsatz

Geld- und Expertenmangel führen auch oft zu Fehleinschätzungen: KI ist ein geeigneter Lösungsansatz für ganz bestimmte Probleme. Manche Aufgaben sind zu komplex und einzigartig, andere wiederum zu standardisiert, als dass der Einsatz von KI die qualitativ und wirtschaftlich beste Lösung wäre. So läuft bei vielen Fachaufgaben in der öffentlichen Verwaltung ein definierter Prozess in unterschiedlichen Varianten und mit unterschiedlichen Abzweigungen ab. Beispiele hierfür sind OZG-Antragsstrecken.

In der Cybersecurity hingegen fallen das Schwachstellenmanagement oder die Anreicherung von Daten bei Sicherheitsvorfällen mit zusätzlichen Informationen in die Kategorie, in der KI eine gute Lösung darstellt. Völlig standardisierte Abläufe wie Briefetikettierung oder Port Scans können auch ohne KI mithilfe von Robotic Process Automation (RPA) gelöst werden. Regelhafte Prozesse mit höherer Dynamik, wie z. B. das Erkennen von Anomalien in Firewall-Logs, sind eher etwas für Machine Learning und damit durchaus ein KI-Anwendungsfall.

Sicherer Umgang mit Künstlicher Intelligenz

Internationaler KI-Leitfaden veröffentlicht

Bei individuellen und komplexen Aufgaben wie der Anreicherung von Vorfallsdaten mit GenAI wird zudem das Thema Training oft falsch eingeschätzt. Der Markt bietet heute sowohl große Sprachmodelle als auch kleinere spezialisierte Modelle, die ausreichend trainiert sind. Natürlich spielen die Inputdaten, mit denen ein Modell gefüttert wird, eine große Rolle für die Performanz. Wenn vortrainierte Modelle verwendet werden, muss zwar die Datenqualität ausreichend sein, die Datenquantität ist aber nur noch für die Feinabstimmung des Modells auf sein Einsatzumfeld entscheidend. Das sind deutlich niedrigere Anforderungen als beim Training eines eigenen Modells.

Die Komplexität und der Aufwand für Investitionen in eine bessere Cybersicherheit werden sowohl über- als auch unterschätzt. Ein Industrialisierungsprojekt, in dem ein oder mehrere KI-Modelle in einer bestimmten Anwendungsumgebung in Betrieb genommen werden, befasst sich kaum mit den Modellen selbst. Der tatsächliche Aufwand entfällt auf …

• 1. das Erheben der Anforderungen in Verbindung mit der Auswahl passender Modelle, gegebenenfalls in Vergleichstests,

• 2. das Sicherstellen der Qualität der Inputdaten,

• 3. die Code-Integration der Modelle in einen Prozess, inklusive der Übersetzung der Aufgaben in User- und System-Prompts,

• 4. den Test der Funktionalität und

• 5. die Planung für eine zweckmäßige Überwachung und Revision im Wirkbetrieb.

Verantwortliche sollten sich dieser Abläufe und der entsprechenden Aufwände bewusst sein, wenn sie die Einführung von KI-Komponenten planen. Gerade der fünfte Punkt wird meist völlig unterschätzt. In einer dynamischen Umgebung wie der Cybersicherheit, in der Tools fortlaufend aktualisier werden und sich Bedrohungsmuster auf der gegnerischen Seite verändern, gilt es umso mehr, Modelle regelmäßig zu testen und zu justieren. Nur so lässt sich Performanz fortlaufend sicherstellen. Natürlich bedeutet das, dass Behörden das Testen im laufenden Betrieb mit Personal- und Sachmitteln hinterlegen müssen.

Verwaltungen sollten darüber hinaus ein Erwartungsmanagement hinsichtlich der Leistungsfähigkeit einzelner KI-Modelle betreiben. In den beschriebenen Arbeitsschritten sprechen wir bewusst von Modellen im Plural. Oftmals werden nämlich mehrere Modelle mit Spezialaufgaben betraut, beispielsweise um Daten vorzubereiten, unterschiedliche Analyseschritte zu übernehmen, generierte Ergebnisse zu testen oder abschließend in Reports zusammenzufassen. Komplexe Prozesse sind auch für KI komplex und eine eierlegende Wollmilchsau – die All-inclusive-KI – sollte jede Behörde misstrauisch werden lassen.

Lösungen nahen

Die gute Nachricht: Anforderungen an Informationssicherheit und Datenschutz sowie der Anspruch der (Daten-)Souveränität schränken die Nutzbarkeit kommerzieller Sprachmodelle in Public-Cloud-Infrastrukturen massiv ein. Allerdings gibt es mittlerweile unterschiedlich geschnittene, qualitativ hochwertige und datenschutzmäßig solide Lösungen von Betreibern wie Mistral, Aleph Alpha oder Azure OpenAI in der Cloud-Region Schweden. Diese reichen vom lokalen Betrieb von KI-Modellen über private Cloud-Lösungen bis zu EU-Datenschutz-konformen Optionen beim Betreiber selbst. Damit gibt es für Vertraulichkeitsanforderungen, einen häufig zitierten Knackpunkt beim KI-Einsatz im öffentlichen Sektor, heute weit bessere Lösungen als noch vor zwei Jahren.

Hemmschuh und Fehlerquelle sind auch fehlende betriebliche Regelungen zum KI-Einsatz. Nur rund 27 Prozent der Arbeitgeber haben die KI-Nutzung durch Leitlinien schriftlich geregelt oder schulen ihre Mitarbeitenden in dem Thema. Beides ist nicht teuer, aber wirksam, um individuelle Hürden bei der Nutzung abzubauen, Fehlern vorzubeugen sowie den Mut zu Innovationen und die Nutzung von Effizienzpotenzialen in der Fläche zu fördern.

Die KI-Verordnung ist Fluch und Segen zugleich. Mit ihr hat der europäische Gesetzgeber vor wenigen Wochen endlich die Rahmenbedingungen geschaffen, um Künstliche Intelligenz in bestimmte Risikoklassen einzustufen und insbesondere für Hochrisiko-KI konkrete Anforderungen zu definieren. Das bedeutet zwar eine Reihe weiterer Pflichten für Hersteller und Betreiber. Gleichzeitig geben ihnen neue Prüfkriterien, Verfahren und Zertifikate aber auch mehr Sicherheit. Sie dienen als Orientierungshilfe, welche Anwendungen völlig unbedenklich sind und wie sie einen zulässigen und sicheren Einsatz von KI gewährleisten können.

Ein weiterer Lösungsansatz besteht darin, die vorhandenen Ressourcen so effektiv und effizient wie möglich einzusetzen. KI-Investitionen können durch strategische Steuerung wirksamer werden. Hausinterne oder behördenübergreifende KI-Strategien helfen dabei, an den wichtigsten Hebeln Schwerpunkte zu setzen. So kann Expertise ressourcenschonend aufgebaut und in die Fläche getragen werden. Die Beteiligung der Fachaufgabenverantwortlichen ist zwingend erforderlich und die Versteifung auf einzelne Anbieter mit Blick auf mögliche Abhängigkeiten zu hinterfragen. Und trotzdem lohnen sich zentrale Ausschreibungen oder Rahmenverträge mit Anbietern aufgrund der Preise und der Herstellung von Rechtssicherheit.

Ein Blick in die Zukunft

Keine der beschriebenen Lösungen ist gratis, noch weniger sind sie jedoch umsonst. Es gilt, ein höheres Cybersicherheitsniveau bei langfristig niedrigerem Ressourceneinsatz herzustellen. Insbesondere die Vermeidung versehentlicher Fehler durch die flächendeckende Befähigung der Mitarbeitenden im Umgang mit KI und die Freisetzung von Personal für komplexere und wichtigere Aufgaben durch KI-Unterstützung sind schlagkräftige Argumente.

Ein positives Zeichen ist, dass derzeit rund 15 Prozent der Befragten aus der öffentlichen Verwaltung planen, binnen zwölf Monaten in den Einsatz von KI in der Cybersicherheit zu investieren. Wer anmahnt, dass es beispielsweise im Finanzsektor bereits 37 Prozent sind, muss dies auch in den regulatorischen Kontext setzen. Der Finanzsektor bereitet sich spätestens seit der Verabschiedung der europäischen DORA-Verordnung am 14. Dezember 2022 auf die Einhaltung höherer und sehr strenger Informationssicherheitsstandards vor. Damit einher geht ein Investitionsschub in Automatisierung und KI, der an vielen Stellen die Wirtschaftlichkeit der Cybersicherheitsinvestitionen fördert.

Einen solchen extern ausgelösten Investitionsschub hat die öffentliche Verwaltung noch vor sich. Zwar ist die Bundesverwaltung mit dem IT-Grundschutz des BSI bereits heute recht gut aufgestellt, weite Teile der öffentlichen Verwaltung werden jedoch erst mit der Verabschiedung des nationalen Umsetzungsgesetzes (NIS2UmsuCG) der europäischen NIS-2-Richtlinie vergleichbar reguliert. Dabei geht es nicht nur um umfangreiche Pflichten, die ähnlich wie im Finanzsektor aus Personal- und Effizienzgründen die Nutzung von Automatisierung und KI nahelegen. Der Regierungsentwurf vom 22. Juli 2024 nennt jährliche Haushaltsaufwände von rund 200 Mio. EUR zwischen 2026 und 2029. Mit einem Blick auf die konkreten Vorgaben darf man vorsichtig optimistisch sein, dass Ende 2025 dann deutlich mehr als die 15 Prozent der im April 2024 befragten Verwaltungen bereit sein werden, in KI für ihre Cybersicherheit zu investieren.

Was künstliche Intelligenz für die Zukunft bringt

KI und IT-Sicherheit – Partner oder Feinde?

(ID:50148498)