Das Coronavirus bringt einen Digitalisierungsschub. Damit einhergehend ist der Einsatz künstlicher Intelligenz (KI). Für Hacker bringt die stetig wachsende Anzahl von IoT-Geräten, eine unerschöpfliche Zunahme neuer Einfallstore. Wenig verwunderlich, wenn sich diese in Zukunft die KI zur Automatisierung ihrer Angriffe zu Nutze machen.
Viele IoT Geräte haben keinen IoT-Security-Standard und lassen sich auch nicht updaten. Wer das sagt ist Derek Manky – Chief Security bei www.fortinet.com. Bereits 2015 wurde darauf hingewiesen, dass sich im IoT die Hacker-Angriffe auf physische Ziele ausweiten. Dazu gehören u.a. Infrastruktur- und Industrieanlagen, Haustechnik, Mensch-Maschine-Schnittstellen.
Dank Automatisierung können Hacker die Sicherheitslücken schneller finden und ausnutzen. Der Einsatz von AI bei Swarm-Bots bringt auch der Hackergemeinschaft ganz neue Möglichkeiten. Manky bringt das Beispiel, wonach z.B. ein Angreifer einen Netzspeicher (NAS) und einen Drucker in ein Bot verwandelt. Beide infizierten Geräte sehen nur einen bestimmten Teil des Unternehmensnetzes. In der Folge tauschen sie sich gegenseitig über ihre Beobachtungen aus, lernen voneinander und arbeiten danach zusammen.
Wenn KI-Systeme auch zur Abwehr von Attacken eingesetzt werden, entsteht ein solcher „Krieg“ zwischen KI-Systemen in Sekundenbruchteilen. Ein Chance darauf zu reagieren gibt es nicht und es kann sein, dass dieser Kampf bereits vorüber ist, bevor er bemerkt wird.
Früher waren die Zeitfenster für Angriffe viel länger. Heute reduziert sich das dank Automatisierung auf Minuten und mit KI sowie Machine Learning auf Millisekunden, wenn nicht noch schneller.
Aus Datenschutzrecht und auch Vertragsrecht folgen Schutzpflichten, die erfüllt werden müssen. Wichtig dabei ist die Beweislast. So hat die betroffene Firma aufzuzeigen, dass die Daten adäquat gesichert sind, wozu der Einsatz der notwendigen Software zählt. Ist der Hacker im System, so ist das ein Zeichen, dass die Schutzmechanismen versagt haben.
In der Supply Chain, wenn die Daten international durch viele Hände gehen, wird es schon schwieriger. Dort stellt sich die Frage nach dem geltenden Datenschutzniveau, da z.B. in China diese anders sind als in der Schweiz. Auch dort muss das betroffene Unternehmen/Behörde nachweisen, dass das erforderliche Schutzniveau erfüllt ist.
Die Frage nach dem geltenden Datenschutzniveau stellt sich dort. Ist ja z.B. in China anders als in der Schweiz. Zwar muss auch dort der Betroffene nachweisen, das er das erforderliche Schutzniveau erfüllt hat – aber welches ist das? Deswegen sollte man unbedingt die Datenschutz-Anforderungen vertraglich klären. Bei Bedarf stehen wir gerne zur Verfügung.
Comments