Zero Trust gegen KI-Social-Engineering: Kontrollen ordnen

Zero Trust wird meist mit Blick auf Netzwerke erklärt. Gegen KI-gestütztes Social Engineering ist das Netzwerk jedoch weitgehend irrelevant, weil kein Einbruch stattfindet, sondern ein Mitarbeiter getäuscht wird. Die eigentliche Angriffsfläche bilden Identitäten und Prozesse. Das Grundprinzip bleibt dennoch gültig: Explizit verifizieren, von einer Kompromittierung ausgehen.

Entscheidend ist die Reihenfolge. Es gibt drei Schutzschichten, und ihre Abfolge ist die zentrale Architekturentscheidung.

Das Problem

Eine Buchhalterin erhält eine Nachricht von einem Lieferanten, mit dem das Unternehmen seit Jahren zusammenarbeitet. Der Schreibstil passt exakt, die Nummer der letzten Rechnung stimmt. Die E-Mail schildert eine Änderung der Bankverbindung mit plausibler Begründung und einer moderaten Zahlungsfrist. Es gibt keinen verdächtigen Link und keinen Dateianhang.

Jede manuelle Überprüfung, die ein Mensch realistisch durchführen kann, liefert ein unauffälliges Bild. Die einzige Anomalie ist die Aufforderung selbst, denn die E-Mail ist makellos formuliert. Auf die Frage "Wirkt diese Anfrage legitim?" wird ein Mitarbeiter unter Zeitdruck mit Ja antworten, weil sie genau diesen Eindruck erweckt.

Das Unternehmen setzte eine KI-gestützte E-Mail-Prüfung ein. Das System stufte die Nachricht als risikoarm ein, weil sie nach allen messbaren Parametern unbedenklich erschien.

Warum es bei KI anders ist

Die drei folgenden Schichten sind nicht neu, doch ihre relative Verlässlichkeit hat sich grundlegend verschoben.

Früher war eine inhaltsbasierte Erkennung eine solide erste Verteidigungslinie, weil Angreifer typische Spuren hinterließen: holprige Formulierungen, wiedererkennbare Vorlagenstrukturen oder wiederverwendete Infrastrukturen. Diese Artefakte waren das Nebenprodukt massenhafter Angriffe, und sie sind heute weitgehend verschwunden.

Dieser Qualitätsverlust der Erkennung geschieht unbemerkt. Ein Filter, der 95% der Bedrohungen abwehrt, meldet sich nicht, wenn die verbleibenden 5% genau jene Angriffe sind, auf die es ankommt. Deterministische Kontrollen haben diese Schwachstelle nicht: Ein FIDO-Token schließt die Anmeldung entweder erfolgreich ab oder verweigert sie, und ein Rückruf an eine gespeicherte Telefonnummer erreicht entweder den echten Lieferanten oder scheitert.

Die Reihenfolge spiegelt daher wider, welchen Mechanismen Sie noch vertrauen können, wenn Angreifer immer präziser vorgehen.

Die drei Schichten in der richtigen Reihenfolge

Schicht 1: Identität verifizieren (deterministisch)

Phishing-resistente Authentifizierung nimmt Anmeldedaten als Angriffsziel aus dem Spiel. Die Leitlinien der CISA definieren klar, was diesen Standard erfüllt: FIDO/WebAuthn ist das einzige weit verbreitete Phishing-resistente Verfahren, weil das Protokoll die Anmeldedaten kryptografisch an die legitime Domain bindet und Anmeldeversuche blockiert, wenn ein Anwender auf eine gefälschte Website gelockt wird [1].

Einmalkennwörter und Push-Benachrichtigungen stellen gegenüber reinen Passwörtern einen echten Fortschritt dar, sind jedoch nicht Phishing-resistent. Ein Code kann in Echtzeit über einen Reverse-Proxy weitergeleitet werden, und eine Push-Meldung wird von genervten Nutzern nach wiederholten Abfragen oft unüberlegt bestätigt. Die CISA betont, dass der Wechsel zu FIDO diese Angriffsvektoren wie Push-Bombing und das Abfangen von OTP-Tokens zuverlässig eliminiert [1], und empfiehlt, bei besonders sensiblen Abteilungen wie IT-Helpdesk und Systemadministration zu beginnen [1].

Schicht 2: Anfrage verifizieren (deterministisch)

Authentifizierung sichert Benutzerkonten ab. Sie hilft jedoch nicht, wenn ein echter Mitarbeiter im guten Glauben handelt oder eine Nachricht aus einem tatsächlich kompromittierten Postfach eines Partners stammt.

Die Schutzmaßnahme besteht in einem fest definierten Out-of-Band-Prozess für eine eng umgrenzte Liste von Vorgängen: Änderung von Kontoverbindungen, Freigabe von Zahlungen, Wechsel von Wiederherstellungskontakten oder das Ausstellen privilegierter Zugangsdaten. Die Verifikation erfolgt über einen Rückruf an eine Nummer aus dem internen Datenbestand, bestätigt von einer zweiten Person neben dem Antragsteller.

Zwei Eigenschaften sichern den Erfolg dieses Schrittes: Der Prozess wird durch die Art der Anfrage ausgelöst, unabhängig vom Inhalt der E-Mail, sodass auch eine täuschend echte Nachricht demselben Ablauf unterliegt. Zudem kennt die Regel keine Ausnahmen für Dringlichkeit oder Führungskräfte, denn genau diese Hebel nutzen Angreifer gezielt aus.

Dieser Schritt erfordert Disziplin. Die zusätzliche Schicht erzeugt Reibung im Tagesgeschäft und verlangt Zeit von Mitarbeitern, die ihre Aufgaben erledigen wollen. Dieser Kompromiss lohnt sich nur deshalb, weil die Alternative darin bestünde, Menschen die Erkennung von Täuschungen zuzutrauen, die rein sprachlich nicht mehr von echten Nachrichten zu unterscheiden sind. Halten Sie die Liste auslösender Anfragetypen bewusst kurz, damit der Aufwand ausschließlich dort anfällt, wo reales Geld fließt.

Damit wird auch ein Szenario abgefangen, bei dem Authentifizierung vollkommen wirkungslos bleibt: das kompromittierte Postfach eines realen Geschäftspartners. Die Nachricht ist echt, das Absenderkonto ist echt, die Authentifizierungsprotokolle stimmen, und dennoch ist die Anweisung betrügerisch. Zu prüfen, wer die E-Mail gesendet hat, nützt in diesem Fall nichts; nur die Verifikation der Anfrage selbst bietet Schutz.

Schicht 3: Scheitern der ersten zwei Schichten annehmen (probabilistisch)

An dieser Stelle entfaltet maschinelle Erkennung ihren wahren Nutzen. Ein Modell kann Kontexte bewerten, die feste Regeln überfordern: Passt die Anfrage zur bisherigen Geschäftsbeziehung? Weicht die Tonalität von früheren Nachrichten ab? Stimmen Übertragungsweg und Tageszeit? Kombinieren Sie diese Bewertungen mit deterministischen Signalen wie Authentifizierungsabgleich, Domainalter und bisherigem E-Mail-Verkehr.

Setzen Sie solche Systeme zuerst dort ein, wo Fehlalarme unkritisch sind. Das Vorsortieren von Nutzer-Meldungen richtet bei Fehlentscheidungen keinen Schaden an, und nachträgliche Quarantänemaßnahmen lassen sich rückgängig machen. Inline-Blockaden sollten erst nach einer gründlichen Messung von False Positives im realen Geschäftsverkehr erfolgen, da eine blockierte legitime Nachricht verlorene Aufträge und schwindendes Vertrauen der Mitarbeiter nach sich zieht.

Was in der Praxis funktioniert

Neben der festen Reihenfolge haben sich mehrere organisatorische Gewohnheiten bewährt.

Gestalten Sie die Richtlinie kürzer als jede Ausnahmeliste: Ein einziges Dokument, das die relevanten Vorgänge und den Verifikationsweg auf einer Seite zusammenfasst. Sobald ein Ablaufdiagramm erforderlich wird, wird der Prozess im Ernstfall übergangen.

Geben Sie Ihren Mitarbeitern eine neutrale Begründung an die Hand, die kein persönliches Misstrauen signalisiert. Die Aussage "Unser Prozess schreibt einen kurzen Rückruf vor" lässt sich leichter aussprechen als "Ich glaube Ihnen nicht", und sie funktioniert gegenüber echten Lieferanten genauso verlässlich wie gegenüber Angreifern.

Messen Sie den Prozess statt nur das E-Mail-Postfach. Erfassen Sie die Durchlaufzeit von der Anforderung bis zur Auszahlung, die Anzahl geänderter Bankverbindungen pro Quartal und die Quote der erfolgreich durchgeführten Rückrufe. Diese Kennzahlen spiegeln den tatsächlichen Geldfluss wider, während Klickraten bei Phishing-Simulationen oft nur zeigen, wie vertraut Mitarbeiter mit internen Tests sind.

Testen Sie den Rückrufprozess im Regelbetrieb. Viele Unternehmen stellen erst während eines Vorfalls fest, dass hinterlegte Telefonnummern veraltet sind oder niemand weiß, welches System die verbindlichen Kontaktdaten führt. Dies an einem gewöhnlichen Arbeitstag zu überprüfen, kostet eine Stunde.

Belohnen Sie Meldungen, selbst wenn sich ein Verdacht als unbegründet erweist. Da typische Textfehler entfallen, ist ein ungutes Bauchgefühl oft der erste und wichtigste Frühindikator.

Was nicht funktioniert

Ein KI-Erkennungswerkzeug zu beschaffen und die Absicherung als erledigt zu betrachten, reduziert Ihren Schutz auf Schicht 3, jene Schicht, die im Versagensfall geräuschlos scheitert.

Push-Benachrichtigungen als primäre MFA-Methode einzusetzen, ist zwar besser als reine Passwörter, aber nicht Phishing-resistent; der typische Ausfall entsteht, wenn ein übermüdeter Mitarbeiter die Freigabe bestätigt.

Ausnahmen für Führungskräfte schaffen ein dokumentiertes Einfallstor. Ein Vorstand, für den kein Rückrufprozess gilt, liefert genau jenen Namen, den Angreifer als Absender wählen werden.

Kontaktdaten direkt aus der aktuellen Nachricht zu übernehmen, sei es aus Signatur, Briefkopf oder einer angehängten PDF-Datei, ist der häufigste Fehler, der ansonsten durchdachte Prozesse aushebelt.

Das kompromittierte Postfach eines Zulieferers als Randthema abzutun, verfehlt den Kern von Schicht 2: Ein legitimes Konto versendet eine täuschend echte Anweisung. Wenn Ihr Prozess nur zwischen internen Mitarbeitern und externen Angreifern unterscheidet, klafft in der Mitte eine gefährliche Lücke.

Wo Sie anfangen sollten

• Führen Sie FIDO prioritär für administrative Konten gemäß den CISA-Empfehlungen ein [1]: Administratoren, IT-Support und alle Personen mit Zeichnungsberechtigung für Zahlungen.
• Formulieren Sie die Out-of-Band-Richtlinie für kritische Vorgänge auf maximal einer Seite.
• Prüfen Sie die Bankdatenänderungen des letzten Quartals und kontrollieren Sie, wie viele davon per Rückruf an eine gespeicherte Stammdatennummer verifiziert wurden. Diese Zahl zeigt Ihre reale Absicherung.
• Streichen Sie mündliche Ausnahmen für eilige Anweisungen schriftlich aus den Vorgaben, damit sich Mitarbeiter im Zweifel darauf berufen können.
• Implementieren Sie erst danach KI-gestützte Erkennungswerkzeuge, und nutzen Sie diese zunächst für gemeldete E-Mails, bevor automatisierte Blockaden geschaltet werden.

Die ernüchternde Erkenntnis lautet: Die wirksamsten Sicherheitskontrollen gegen KI-gestütztes Social Engineering haben mit KI selbst überhaupt nichts zu tun. Es sind ein kryptografisches Authentifizierungsprotokoll und ein telefonischer Rückruf. Genau deshalb behalten sie ihren Wert, selbst wenn die Gegenseite ihre Methoden weiter perfektioniert.

Quellen

1. Implementing Phishing-Resistant MFA, Cybersecurity and Infrastructure Security Agency: https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf
2. More than a Password, CISA: https://www.cisa.gov/MFA