Wenn Angriffe denken lernen
Wie KI-gestützte Attacken die Cybersicherheit verändern
Diego Falzone
8/25/20263 min read
Wenn Angriffe denken lernen: Wie KI-gestützte Attacken die Cybersicherheit verändern
Die Bedrohungslage in der IT-Sicherheit verändert sich gerade schneller, als viele Organisationen es wahrnehmen. Der Grund dafür sind nicht neue Angriffstechniken im klassischen Sinne, sondern eine neue Klasse von Werkzeugen: leistungsfähige KI-Modelle, die komplette Angriffsketten eigenständig und mit einer Geschwindigkeit ausführen können, die menschliche Angreifer nie erreichen würden.
Was macht KI-gestützte Angriffe so anders?
Klassische Cyberangriffe sind an menschliche Grenzen gebunden: Ermüdung, Fehler, begrenzte Ressourcen, und vor allem – Zeit. Genau diese Zeit war bislang die Grundlage vieler Verteidigungsstrategien. Erkennung, Alarmierung, manuelle Reaktion – all das funktioniert, solange zwischen einer verdächtigen Aktion und der Reaktion darauf ein gewisses Zeitfenster besteht.
Moderne KI-Systeme verändern genau diese Gleichung. Sie können selbstständig Schwachstellen aufspüren, Fehlkonfigurationen miteinander verketten, Identitäten in einem Netzwerk systematisch erfassen, sich lateral durch eine Umgebung bewegen und Rechte eskalieren – und das kontinuierlich, adaptiv und ohne die Verzögerungen, die menschliche Angreifer typischerweise mit sich bringen. Das eigentlich Neue ist also nicht die einzelne Technik, sondern die Fähigkeit, eine vollständige Angriffskette am Stück und in einem Tempo durchzuführen, das klassische Erkennungsmechanismen strukturell überfordert. Wenn ein Sicherheitsteam eine Erkennung auslöst, kann der Angriff zu diesem Zeitpunkt bereits abgeschlossen sein.
Identität als zentrales Schlachtfeld
Ein Muster zieht sich durch nahezu alle beobachteten KI-gestützten Angriffe: Sie laufen über Identitäten. Angreifer – ob menschlich gesteuert oder KI-gestützt – nutzen bestehende Vertrauensbeziehungen zwischen Systemen aus, bewegen sich lateral durch eine Umgebung und eskalieren Berechtigungen, bis sie die vollständige Kontrolle über eine Infrastruktur erlangt haben.
Das macht Identität gleichzeitig zur größten Angriffsfläche und zum letzten verlässlichen Kontrollpunkt, an dem ein Angriff überhaupt noch gestoppt werden kann. Sobald ein Zugriff einmal gewährt wurde, operiert ein Angreifer bereits innerhalb der Umgebung – jede nachgelagerte Kontrolle kommt dann zu spät.
Warum klassische Ansätze an ihre Grenzen stoßen
Viele etablierte Sicherheitswerkzeuge wurden für ein anderes Bedrohungsmodell entwickelt und stoßen bei KI-Geschwindigkeit an strukturelle Grenzen:
Identity Threat Detection & Response (ITDR) setzt in der Regel erst an, nachdem bereits verdächtiges Verhalten aufgetreten ist – reaktiv statt präventiv.
Identity Governance & Administration (IGA) ist auf Governance- und Compliance-Prozesse ausgelegt, nicht auf die Abwehr von Angriffsketten in Echtzeit.
Klassisches Privileged Access Management (PAM) sichert meist nur einen begrenzten Kreis privilegierter Konten ab und deckt damit nicht die volle Bandbreite an menschlichen, maschinellen und KI-gesteuerten Identitäten ab, über die sich Angreifer heute bewegen.
Keiner dieser Ansätze ist grundsätzlich falsch – sie sind nur nicht für das Tempo und die Autonomie gebaut, mit der KI-gestützte Angriffe heute ablaufen.
Der Lösungsansatz: Kontrolle direkt im Moment der Authentifizierung
Was Organisationen, denen es gelungen ist, solche Angriffe erfolgreich zu stoppen, gemeinsam haben, lässt sich auf ein Prinzip zurückführen: Runtime Identity Security – also Sicherheitskontrollen, die nicht im Nachhinein greifen, sondern inline, direkt im Moment einer Authentifizierungsanfrage, bevor überhaupt ein Zugriff gewährt wird.
Der Gedanke dahinter ist einfach, aber wirkungsvoll: Wenn eine Anfrage risikobehaftet erscheint, kann sie in Echtzeit blockiert, herausgefordert (z. B. per zusätzlicher Authentifizierung) oder eingeschränkt werden – bevor ein Angreifer überhaupt die Chance hat, sich lateral zu bewegen, Rechte zu eskalieren oder den "Blast Radius" eines Vorfalls zu vergrößern. Entscheidend ist dabei, dass diese Entscheidung vor der Zugriffsgewährung fällt und nicht erst, nachdem bereits ein Alarm ausgelöst wurde.
Solche Ansätze wirken idealerweise über alle Identitätstypen hinweg – menschliche Nutzer, Service-Accounts, Maschinenidentitäten und zunehmend auch autonome KI-Agenten – und decken auch Bereiche ab, die klassische Identitätswerkzeuge oft nicht erreichen: Active Directory, Kerberos- und NTLM-Umgebungen, Legacy-Anwendungen sowie OT- und Air-Gapped-Systeme, die häufig besonders schwer abzusichern sind.
Fazit
KI-gestützte Angriffe verändern nicht, was Angreifer tun wollen – sie verändern, wie schnell und autonom sie es tun können. Für Sicherheitsverantwortliche bedeutet das einen Paradigmenwechsel: weg von reaktiver Erkennung, hin zu präventiver Kontrolle direkt am Ort des Geschehens – der Authentifizierung. Wer Identität als das zentrale, durchgängige Kontrollprinzip seiner Sicherheitsarchitektur begreift, ist auf die nächste Angriffsgeneration deutlich besser vorbereitet als Organisationen, die weiterhin auf nachgelagerte Erkennung setzen.