Das hilft gegen KI, die Manager durchleuchtet

Kriminelle Hacker mit einem Hang zu künstlicher Intelligenz wissen eventuell mehr über Ihre Führungskräfte, als sie sollten.Gorodenkoff | shutterstock.com



Vor ein paar Jahren wurde ich damit beauftragt, ein persönliches digitales Risiko-Review für den Geschäftsführer eines mittelständischen Finanzdienstleisters durchzuführen. Dazu sollte ich herausfinden, welche Informationen über den Manager öffentlich zugänglich sind, identifizieren, inwiefern er exponiert ist und entsprechende Gegenmaßnahmen empfehlen.   



Umgesetzt habe ich das mit Hilfe eines öffentlich verfügbaren, universell einsetzbaren KI-Tools – das die Aufgabe in weniger als zehn Minuten abarbeiten konnte. Das Ergebnis war ein synthetisiertes Persönlichkeitsprofil, das unter anderem Aufschluss gab über:




Vorstandsmandate und deren Dauer,  



öffentliche Äußerungen, die deutlich machten, welche politischen Positionen die Führungskraft entschieden vertritt – und bei welchen er unter Druck Kompromisse machen würde, sowie



ein philanthropisches Interesse, das offenlegte, auf welche Anliegen der Manager sehr wahrscheinlich empfänglich reagiert.




Isoliert betrachtet, war keine dieser Informationen sensibler Natur. Das abfragbare Narrativ, das entsteht, wenn man diese zusammenfügt, kann für Cyberangreifer allerdings sehr nützlich sein. Der Manager, den ich per KI durchleuchtet habe, war sich nicht darüber bewusst, welche Informationen man auf diesem Weg über ihn einholen kann oder welche Möglichkeiten das Cyberkriminellen eröffnet.



Und damit ist er nicht allein. Inzwischen haben sich per KI aggregierte Daten über Führungskräfte zu einer neuen Angriffsfläche entwickelt – die in (zu) vielen Schutzprogrammen für Executives keine Rolle spielt. Höchste Zeit, das zu ändern.



Die kollabierte Recherchephase



Traditionell erforderte es vor allem Fachwissen und Geduld, um mit OSINT-Tools Informationen über Führungskräfte zu sammeln. Ein fähiger Analyst konnte das in einigen Tagen bewerkstelligen und durchforstete dazu Suchmaschinen, öffentlich verfügbare Unternehmensinformationen, Social-Media-Plattformen oder archivierte Medien.  



Die Zeit und vor allem die Fähigkeiten, die nötig waren, um den Wert der eingeholten Informationen richtig einzuschätzen, stellten eine bedeutende Zugangsbarriere dar. Zudem bestand die Möglichkeit, dass unvorsichtige Angreifer dabei Spuren hinterlassen. Durch den Einsatz von künstlicher Intelligenz fallen diese Einschränkungen nun komplett weg.



Der Geschwindigkeitsvorteil ist dabei offensichtlich. Der bedeutendere Wandel besteht allerdings in der Möglichkeit, die Informationen zu synthetisieren. Während Suchmaschinen einfach Dokumente liefern, erzeugen KI-Tools zusammenhängende Narrative inklusive abgeleiteter Beziehungen und Interpretationen.



Auf einer großen KI-Plattform nach einem leitenden Manager zu suchen, führt so zu einem strukturierten Überblick über dessen Karriereverlauf, berufliche Beziehungen, Einflussbereiche und häufig auch über persönliche Interessen und Beziehungen.



Was daraus folgen kann, veranschaulichte der Angriff krimineller Hacker auf die Hotel- und Casino-Kette MGM Resorts im Jahr 2023: Die Angreifer identifizierten dabei Berichten zufolge eine Führungskraft auf der Karriereplattform LinkedIn und nutzten die dort öffentlich zugänglichen Informationen dazu, gegenüber dem IT-Helpdesk des Unternehmens dessen Identität anzunehmen. Innerhalb weniger Minuten gelangten sie so an Zugangsdaten.



Der erforderliche OSINT-Aufwand war dabei relativ überschaubar und die Manipulation selbst relativ unkompliziert. Allerdings fand dieser Angriff statt, bevor KI-Tools die Aufklärungsarbeit für Jedermann drastisch beschleunigt haben. Dass die Tools inzwischen besonders leicht zugänglich sind, erweitert den Kreis der potenziellen Angreifer.



Was früher Raffinesse, Erfahrung und Zeit erforderte, ist heute allein mit entsprechender Motivation und einem Internetzugang möglich. Das verändert sowohl das Ausmaß dieser Art von Angriffen als auch die Zielauswahl. Führungskräfte, die zuvor zu unbekannt waren, um einen ausgeklügelten manuellen Angriff zu rechtfertigen, sind nun realistische Ziele für jeden, der Groll hegt und über ein Suchfeld verfügt.



5 Tipps, um Führungskräfte besser zu schützen



In vielen Unternehmen ist es üblich, alles, was mit dem öffentlichen Profil einer Führungskraft zu tun hat, an die Kommunikations- oder PR-Abteilung weiterzuleiten. Dieser Ansatz war sinnvoll, als es lediglich um Reputationsrisiken ging. In der KI-Ära greift das zu kurz.



Deshalb gebe ich meinen Kunden die folgenden fünf Empfehlungen an die Hand, um sich – beziehungsweise ihre Executive-Ebene – besser zu schützen.



1. Regelmäßiges Monitoring



Zunächst gilt es, sich einen Überblick darüber zu verschaffen, welche Informationen KI-Tools tatsächlich über Ihre Führungskräfte zu Tage fördern. Das ist allerdings nichts, was man einmal macht und dann abhaken kann. Schließlich werden ständig neue Inhalte indexiert, alte neu gewichtet und KI-Modelle aktualisiert.



Es macht deshalb Sinn, einen Verantwortlichen dafür zu definieren, regelmäßig die wichtigsten Plattformen (ChatGPT, Gemini, Perplexity, Copilot) mit strukturierten Abfragen zu füttern. Die Ergebnisse und insbesondere Veränderungen sollten dabei dokumentiert und wie Schwachstellen-Scans behandelt werden: Als etwas, das priorisiert und umgesetzt werden muss.



2. Angriffsfläche reduzieren



Es ist zudem ratsam, direkt mit den einzelnen Führungskräften zusammenzuarbeiten, um Inhalte zu identifizieren, die einem KI-basierten Profiling weiteres „Futter“ liefern könnten. Darunter fallen beispielsweise:




ältere Biografien (etwa auf Konferenzseiten), die persönliche Details enthalten,



Social-Media-Beiträge, die Terminmuster oder familiäre Hintergründe offenlegen, sowie



Mitteilungen des Vorstands, die sich zu einem Abbild des beruflichen Netzwerks einer Führungskraft aggregieren lassen.




Einige dieser Inhalte können durch gezielte Maßnahmen entfernt werden – und sollten das auch. Das wichtigere Gesprächsthema ist allerdings das zukünftige Verhalten der Führungskräfte. Manager, die auf LinkedIn oder in Podiumsdiskussionen gewohnheitsmäßig zu viele Informationen preisgeben, müssen konkret verstehen, welche Folgen das haben kann.



So ist etwa die Sichtbarkeit von Familienmitgliedern ein ständiger blinder Fleck: Ein Cyberkrimineller, der eine Führungskraft nicht direkt unter Druck setzen kann, macht sich diese Hebelwirkung möglicherweise zunutze – über Ehepartner, Geschwister oder Kinder. Diesen öffentlich verfügbaren, digitalen Fußabdruck unterschätzen viele Führungskräfte noch immer erheblich.



3. Narrative gestalten



Sich einfach aus der Öffentlichkeit zurückzuziehen, ist nicht in jedem Fall möglich. Zum Beispiel, wenn es um Executives in börsennotierten Unternehmen, Vorstandsmitglieder mit Offenlegungspflichten oder Personen geht, deren öffentliche Profile für die Glaubwürdigkeit ihrer Organisationen von zentraler Bedeutung sind.



In diesen Fällen verlagert sich das Ziel von der Risikoreduktion auf die Gestaltung des Narrativs. Anders formuliert: Es gilt sicherzustellen, dass das, was KI-Tools aus den indizierten Inhalten zusammenstellen, zwar auf beruflicher Ebene relevant bleibt, aber nicht versehentlich persönliche Informationen ans Licht bringt. Das ist eine gemeinsame Aufgabe der Security- und Kommunikationsabteilung – wobei erstere die die Risikogrenzen definiert, während letztere die Strategie umsetzt.



4. Führungskräfte konfrontieren



Die effektivste Einzelmaßnahme, um die Awareness von Führungskräften in diesem Bereich zu stärken, ist zugleich die simpelste: Öffnen Sie einen Browser und weisen Sie eine KI-Plattform an, die jeweilige Führungskraft zu recherchieren. Den Output zeigen sie dann dem Manager.



Die Reaktion darauf fällt im Regelfall stets gleich aus: Die Breite der gesammelten Informationen führt erst zu einem Gefühl der Überraschung, dann folgt Unwohlsein beim Blick auf bestimmte Details. In der Folge wird die betroffene Führungskraft sich deutlich intensiver mit dem Thema auseinandersetzen. Die resultierende Awareness ist die erste Voraussetzung für eine Verhaltensänderung im Sinne der Security. Abstrakte Threat-Briefings über Social-Engineering-Risiken bewirken das bei Führungskräften eher selten.



5. Executive-Schutzprogramm umgestalten



Unternehmen brauchen nicht nur Endpunkt-Sicherheit, Credential Management und physische Sicherheitsvorkehrungen, sondern auch ein einheitliches Schutzprogramm für Executives. Solange das eine reine Kommunikationsaufgabe bleibt, fehlen ihr die Reporting-Struktur, die Budgethoheit und die operative Disziplin, die Security erfordert.



Die Organisationen, die die vorgenannten Maßnahmen gut umgesetzt haben, haben dafür in der Regel kein separates Programm geschaffen. Sondern ein Bestehendes erweitert. (fm)



Dieser Beitrag wurde im Rahmen des englischsprachigen Expert Contributor Network von Foundry veröffentlicht. Alle Infos zum deutschsprachigen Experten-Netzwerk finden Sie hier.