KI hat gerade „Security through Obscurity" in OT-Systemen zunichtegemacht

KI hat die letzte Ausrede für schwache OT-Sicherheit beseitigt

Jahrzehntelang verließ sich die Betriebstechnologie (OT), die Kraftwerke, Wasseraufbereitungsanlagen, Krankenhäuser und Telekommunikationsnetze betreibt, auf eine unausgesprochene Verteidigung: Niemand außerhalb eines kleinen Kreises von Ingenieuren verstand, wie diese Systeme funktionierten. Obskure Protokolle, proprietäre Hardware und anbieterspezifische Software schufen eine Wissensbarriere, die die meisten Angreifer fernhielt – nicht weil die Systeme sicher waren, sondern weil sie verwirrend waren.

Diese Barriere ist verschwunden. Laut aktuellen Berichten über den Stand der OT-Sicherheit haben KI-Tools es Kriminellen ermöglicht, diese einst undurchdringlichen Black Boxes zu verstehen und auszunutzen, ohne jahrelange spezialisierte Ausbildung zu benötigen. Das Konzept der Sicherheit durch Obskurität – die Vorstellung, dass ein System allein deshalb sicher bleibt, weil sein Innenleben schwer zu durchschauen ist – hält nicht mehr stand, wenn ein KI-Modell das Durchschauen für einen übernehmen kann.

Warum Obskurität nie eine echte Sicherheitsstrategie war

Sicherheit durch Obskurität funktionierte als Nebenprodukt von Komplexität, nicht als bewusste Designentscheidung. OT-Umgebungen wurden nie mit derselben Sicherheitsstrenge gebaut wie moderne IT-Netzwerke. Sie wurden gebaut, um jahrelang, manchmal jahrzehntelang zuverlässig zu laufen, oft ohne groß darüber nachzudenken, was passieren würde, wenn jemand mit böswilligen Absichten Zugang erlangte.

Was diese Systeme sicher hielt, waren nicht starke Authentifizierung oder Verschlüsselung. Es war die einfache Tatsache, dass nur sehr wenige Menschen, darunter viele IT-Spezialisten, wussten, wie man die proprietären Protokolle und die beteiligte Legacy-Hardware interpretiert. Hacker, die OT-Systeme angreifen wollten, brauchten tiefes, spezialisiertes Wissen, dessen Erwerb Jahre dauerte. Diese Anforderung wirkte als natürlicher Filter und hielt den Kreis fähiger Angreifer klein.

KI hat diesen Filter effektiv beseitigt. Angreifer müssen keine OT-Experten mehr sein. Sie können KI-Tools nutzen, um Systeme zu analysieren, zu interpretieren und zurückzuentwickeln, für deren Verständnis ein menschlicher Spezialist Monate gebraucht hätte. Das bedeutet, dass die Zahl der Personen, die einen zerstörerischen Angriff auf kritische Infrastruktur durchführen können, dramatisch gestiegen ist – obwohl sich die zugrunde liegenden Schwachstellen in diesen Systemen überhaupt nicht verändert haben.

Warum das über den Serverraum hinaus von Bedeutung ist

Es ist leicht, OT-Sicherheit als Problem für Versorgungsunternehmen und Hersteller zu betrachten, nicht als etwas, das das Alltagsleben berührt. Doch Angriffe auf kritische Infrastruktur erreichen Verbraucher oft direkt. Stromnetze, Wassersysteme, Krankenhäuser und Telekommunikationsanbieter basieren alle auf OT-Grundlagen, und Störungen bei einem von ihnen wirken sich auf das tägliche Leben aus: abgesagte medizinische Eingriffe, längere Ausfälle, verzögerte Notdienste und unterbrochene Kommunikation.

Dasselbe Muster, das KI für OT-Systeme gefährlich macht, gilt auch für die alltägliche Software, auf die viele Organisationen angewiesen sind. Wenn ein weit verbreitetes Tool eine Sicherheitslücke hat, handeln Angreifer schnell, und zunehmend benötigen sie dafür keine tiefe Expertise. Die schnelle Ausnutzung nach der Offenlegung von Schwachstellen – wie die Notfallreaktion, die erforderlich war, als eine PaperCut-Zero-Day-Schwachstelle ausgenutzt wurde – zeigt, wie schnell Angreifer Schwächen ausnutzen, sobald sie identifiziert sind, sei es durch menschliche Forschung oder KI-gestützte Entdeckung.

Während KI die technische Hürde für Angriffe auf obskure Systeme senkt, werden die Organisationen, die kritische Infrastruktur betreiben, zu derselben Lektion gedrängt, die die Unternehmens-IT vor Jahren gelernt hat: Sicherheit muss in die Architektur selbst eingebaut werden, nicht vorausgesetzt werden, weil ein System schwer zu verstehen ist.

Was das für Sie bedeutet

Die meisten Leser sind nicht dafür verantwortlich, ein Stromnetz oder das OT-Netzwerk eines Krankenhauses zu sichern, aber der Wandel weg von der Sicherheit durch Obskurität betrifft Sie dennoch. Wenn Anbieter kritischer Infrastruktur getroffen werden, zeigen sich die Auswirkungen als Serviceausfälle, Abrechnungsstörungen, verzögerte Versorgung oder offengelegte personenbezogene Daten, die von diesen Organisationen gesammelt wurden. Sie sind ein nachgelagerter Stakeholder in jedem dieser Systeme, auch wenn Sie nie direkt mit der OT-Ebene interagieren.

Auf persönlicher Ebene ist der breitere Trend ebenfalls wichtig. KI senkt die Fähigkeitsbarriere für Angreifer in allen Bereichen, nicht nur in industriellen Umgebungen. Phishing-Versuche sind überzeugender, Malware ist leichter anzupassen, und die Aufklärung über einzelne Ziele ist schneller denn je. Die Obskurität, die früher normale Nutzer schützte – ein kleiner digitaler Fußabdruck, die Nutzung weniger verbreiteter Software oder einfach kein offensichtliches Ziel zu sein –, erodiert auf dieselbe Weise wie bei OT-Systemen.

Praktische Schritte in einer KI-getriebenen Bedrohungslandschaft

Ein Kraftwerk kann man nicht patchen, aber man kann die eigene Exposition reduzieren und Rechenschaft von den Diensten einfordern, auf die man angewiesen ist.

• Verwenden Sie ein VPN und verschlüsselte Verbindungen beim Zugriff auf sensible Konten, insbesondere in gemeinsam genutzten oder öffentlichen Netzwerken, um einzuschränken, was Angreifer beobachten oder abfangen können.
• Halten Sie Software und Firmware zeitnah aktualisiert, da KI-gestützte Angreifer schnell handeln, sobald eine Schwachstelle öffentlich bekannt wird.
• Aktivieren Sie Multi-Faktor-Authentifizierung überall, wo sie angeboten wird, da sie eine der wenigen Verteidigungen bleibt, die KI-gesteuertes Erraten nicht leicht umgehen kann.
• Achten Sie auf Datenschutzverletzungs- und Ausfallbenachrichtigungen von Versorgungsunternehmen, Gesundheitsdienstleistern und Telekommunikationsunternehmen, die Sie nutzen, und befolgen Sie deren empfohlene Schritte, wenn Sie betroffen sind.
• Unterstützen Sie Netzwerksegmentierung und Zugriffskontrollen und fragen Sie danach, wenn Sie ein Smart-Home- oder verbundenes Gerät bewerten, da isolierte Systeme begrenzen, wie weit ein Angreifer sich bewegen kann, selbst wenn er eindringt.

Sicherheit durch Obskurität ist kein tragfähiger Rückfall mehr für niemanden – von Versorgungsbetreibern bis zu einzelnen Nutzern. KI hat es zu einfach gemacht, Systeme zu kartieren, zu interpretieren und auszunutzen, die einst darauf angewiesen waren, missverstanden zu werden. Die Organisationen, die sich anpassen, indem sie echte Sicherheitskontrollen aufbauen, statt zu hoffen, dass ihre Systeme verborgen bleiben, werden weit besser aufgestellt sein, um dem zu widerstehen, was als Nächstes kommt.