Das Bundesamt für Sicherheit in der Informationstechnik warnt vor dramatisch verkürzten Angriffszeiten nach der Entdeckung kritischer PHP-Schwachstellen. Künstliche Intelligenz verkürzt die Zeitspanne bis zur Ausnutzung von Sicherheitslücken auf null Tage, während Behörden und Unternehmen in dieser Woche mit Millionen von Attacken konfrontiert wurden.
Künstliche Intelligenz hat die Dynamik von Cyberangriffen grundlegend verändert. Während Sicherheitsforscher in den letzten Monaten bereits eine Beschleunigung beobachteten, treibt der Einsatz automatisierter Systeme die Bedrohung auf ein neues Niveau. Nach Angaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI) sinkt die Zeitspanne von der Entdeckung einer Schwachstelle bis zu ihrer aktiven Ausnutzung durch Hacker rapide.
Thomas Caspers und die Warnung vor KI-gesteuerten Null-Tage-Angriffen
Die Zeit von der Entdeckung einer Schwachstelle bis zu ihrer Ausnutzung ist in den letzten Monaten drastisch gesunken, wie BSI-Vizepräsident Thomas Caspers im Gespräch mit der Zeitung BILD erläuterte. Durch den Einsatz von künstlicher Intelligenz schrumpft dieses Zeitfenster auf sogenannte Null-Tage-Schwachstellen zusammen. Es dauert demnach nur noch wenige Stunden, bis Angreifer automatisierte Cyberangriffe auf neu bekannt gewordene Sicherheitslücken starten.
Die Zeit von der Entdeckung einer Schwachstelle bis zu ihrer Ausnutzung – wir nennen das Time to Exploit – ist in den letzten Monaten drastisch gesunken. Durch den Einsatz von KI wird diese Zeitspanne auf 0 Tage sinken. Es wird dann nur noch Stunden dauern, bis Angreifer Cyberangriffe auf neue Schwachstellen durchführen können.
Thomas Caspers, BSI-Vizepräsident, via BILD
Die Bedrohung ist kein theoretisches Szenario, wie die Ereignisse dieser Woche demonstrierten. Am Mittwoch wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP öffentlich bekannt. Da rund 70 Prozent aller Webseiten weltweit auf PHP basieren – darunter weitverbreitete Content-Management-Systeme wie WordPress –, löste die Entdeckung weltweite Alarmbereitschaft aus.
PHP-Schwachstellen und weltweite Reaktionen von Behörden und Unternehmen
Die entdeckten PHP-Schwachstellen ermöglichen es Angreifern, aus der Ferne und ohne vorherige Registrierung Schadcode auf betroffenen Webservern auszuführen. Die Reaktion von Behörden und Unternehmen folgte unmittelbar. Um potenziellen Abfluss von Daten oder Systemkompromittierungen zu verhindern, nahmen zahlreiche Institutionen ihre Websites vorsorglich offline. Software-Entwickler reagierten noch am selben Tag mit der Bereitstellung eines Updates.
Die Dimension der darauffolgenden Attacken übersteigt bisherige Maßstäbe. Seit Bekanntwerden der Sicherheitslücken registrierten das BSI und andere Stellen Angriffsversuche im zweistelligen Millionenbereich. Dennoch zieht das Bundesamt eine vorläufige Bilanz mit einem leichten Lichtblick: In Deutschland wurden bislang weder großflächige Ausnutzungen noch erfolgreiche Angriffe mit Datenabfluss festgestellt.
Millionen Angriffsversuche und die Forderung nach strengeren KI-Regeln
Trotz der abgewendeten Großschäden warnt das BSI vor verfrühter Entwarnung. Zahlreiche Webseitenbetreiber weltweit nutzen nach wie vor veraltete PHP-Versionen und bieten Angreifern damit dauerhafte Angriffsflächen. Großalarme dieser Art könnten in Zukunft in deutlich engerer Taktung auftreten, da KI es Kriminellen erlaubt, massenhaft Systeme gleichzeitig zu attackieren.
Wir müssen damit rechnen, dass wir in einer engeren Taktung mit solchen Vorfällen konfrontiert sind. Mit KI könnten Angreifer deutlich schneller und sehr viele Systeme gleichzeitig attackieren. Die Angriffe werden schneller und heftiger.
Thomas Caspers, BSI-Vizepräsident, via BILD
In der Pflicht sieht das BSI neben den Betreibern auch die Entwickler künstlicher Intelligenz. Die Unternehmen hinter den KI-Modellen müssten sicherstellen, dass ihre Technologie ausschließlich zur Absicherung von IT-Infrastrukturen dient und Angriffe nicht zusätzlich begünstigt.
Auf die Frage, ob Nutzer dem Internet nach solchen Krisen noch vertrauen können, setzt das Amt auf Realismus statt Garantien. Eine hundertprozentige Sicherheit existiere im Leben nicht, weshalb Internetnutzer dem Netz stets mit einem gesunden Misstrauen begegnen sollten – auch wenn Nutzer sich laut Caspers grundsätzlich weiter sicher im Netz bewegen können.
