Traditionelle Schulungen und Trainings zum Bewusstsein für Cybersicherheit basieren auf standardisierten Lehrinhalten und -formaten, die sporadisch – meist nur einmal im Jahr – unterrichtet werden. Ihr Ziel: die Anhebung des Cybersicherheits-Bewusstseins der menschlichen Mitarbeiter eines Unternehmens. Das Problem: ihr erhoffter Effekt bleibt immer häufiger aus. Angreifer setzen zur Unterstützung ihrer Social-Engineering-, Phishing- und Spear-Phishing-Angriffe immer häufiger auf KI. Tempo und Varianz der Angriffe nehmen dadurch immer weiter zu, lassen sich über statische Lernprogramme kaum noch effektiv kontern. Und: Unternehmen stellen ihren menschlichen Mitarbeitern immer häufiger KI-Agenten zur Seite, denen es an Reflexionsvermögen und Risikoverständnis mangelt, was sie zu einem interessanten Angriffsziel für Cyberkriminelle macht. Wollen Unternehmen ihre digitale Belegschaft effektiv schützen, reicht es deshalb nicht mehr aus, allein Wissen zu vermitteln. Schulungen und Trainings müssen aktiv dazu beitragen, das tatsächliche Risikoverhalten der neuen digitalen Belegschaft nachhaltig zu verbessern.
Denken wir nur einmal an den Zero-Click-Indirect-Prompt-Injection-Angriff ‚EchoLeak‘. Angreifer nutzen hier den Umstand aus, dass Copilot Hintergrunddaten aus E-Mails, Chats und Dokumenten verarbeitet – ohne, dass ihr Besitzer hierzu aktiv eingreifen muss. Sie lassen ihrem Opfer eine E-Mail oder ein Dokument mit versteckten Befehlen – etwa unsichtbare Texte, HTML-Kommentare oder Metadaten – zukommen. Sobald Copilot seine Routineaufgaben durchführt (zum Beispiel die E-Mail, auf der sich der versteckte Befehl befindet, zusammenfasst), liest die KI die versteckten Befehle mit ein und eskaliert diese dann – ohne, dass das Opfer hiervon etwas mitbekommt.
Um die digitale Belegschaft gegen solche und ähnliche Angriffe effektiv zu schützen, bedarf es mehr als nur vereinzelter sporadischer und statischer – eben traditioneller – Schulungs- und Trainingsprogramme. Es bedarf: einer einheitlichen Sicherheitsplattform für die gesamte digitale Belegschaft, die – ebenso wie die Verteidiger – auf KI-Agenten setzt. Sie muss in der Lage sein, zum einen die neu hinzugekommenen Mitarbeiter, die KI-Agenten, ins Visier zu nehmen. Sämtliche im Unternehmensnetzwerk im Einsatz befindlichen KI-Agenten müssen von ihr aufgespürt, ihre Rechte beschränkt, ihre Ausgaben und Aktivitäten in Echtzeit überwacht und analysiert und im Bedarfsfall auch gestoppt werden. Zum anderen muss sie in der Lage sein das Risikoverhalten jedes Mitarbeiters an seinem Arbeitsplatz in Echtzeit zu erfassen, zu analysieren und einzuordnen – und dieses dann, individuell auf die Schwächen des jeweiligen Mitarbeiters zugeschnitten, zu trainieren. Das Ziel: die Schaffung eines Umfelds, in dem sich die gesamte digitale Belegschaft – Menschen wie KI-Agenten – mit der größtmöglichen Sicherheit bewegen können.
Damit dies gelingen kann, darf die Plattform menschliches Risikoverhalten und die Risikoanfälligkeit von KI-Agenten nicht als zwei getrennte Probleme betrachten und behandeln. Sie muss beides zusammenführen, gemeinsam analysieren. Ihre Interventionen müssen koordiniert erfolgen. Nur ein integrierter Risikowert und ein integrierter Risikointerventionsplan können Unternehmen aufzeigen, wo sie im Hinblick auf ihre digitale Belegschaft am dringendsten hinschauen, wo sie am dringendsten intervenieren sollten. Nur eine Plattform, die die gesamte digitale Belegschaft im Blick hat – die menschlichen Mitarbeiter wie ihre KI-Agenten – kann hier erfolgreich umfassend und nachhaltig für Sicherheit sorgen.
Die Schulung des erforderliche Bewusstsein für Cybersicherheit allein genügt nicht mehr. Da KI-Agenten Geschäftsprozesse mittlerweile zu einem erheblichen Teil mitgestalten, Arbeitsprozesse gemeinsam mit ihren menschlichen Counterparts erledigen – und sie ebenso anfällig für Manipulationen sind – müssen Unternehmen eine Laufzeit-Governance sowie Tools und Prozesse etablieren, die helfen, beide im Zusammenspiel vor Manipulationsversuchen abzusichern. Nur durch einen solch integrierten Ansatz lässt sich eine nachhaltige Transformation von der Anhebung des Sicherheitsbewusstseins der menschlichen Mitarbeiter hin zur Senkung der Risiken der gesamten digitalen Belegschaft erfolgreich realisieren.
