Schlagwortarchiv für: Cyber Security

Künstliche Intelligenz ist angreifbar

Künstliche Intelligenz ist ein wesentliches Hilfsmittel, um Cyberangriffe zu entdecken. Sie kann aber auch Gegenstand von Cyberangriffen werden. Wobei solche Angriffe umso bedrohlicher sind, je wichtiger die Rolle ist, die die Künstliche Intelligenz übernimmt. Deshalb ist es wichtig, dass jene, die Künstliche Intelligenz nutzen, auch verstehen, wie sie funktioniert. Nur so kann man sich wappnen gegen Angriffe, die sich die «intelligentesten» Teile des IT-Systems konzentrieren.

Künstliche Intelligenz (KI) kann viele Formen annehmen. Einst verstand man unter KI regelbasierte Systeme. Sie basierten auf für den Menschen nachvollziehbaren Wissensrepräsentationen. Heute verwendet die KI primär komplexe Wissensrepräsentationen, die nicht einfach und direkt für Menschen lesbar sind und auch mit Hilfe von Maschinen nicht in Bezug auf die Qualität ihrer Substanz bewertet werden können. Einziger Massstab ist die Qualität ihrer Entscheide.

Unter anderem wird KI auch genutzt, um Angriffe besser zu erkennen: das heisst um Angriffe frühzeitig zu erkennen ohne dabei allzu viele harmlose Abläufe als potentielle Angriffe zu taxieren. Der traditionelle Ansatz zur Angriffsdetektion sieht vor, dass im System über Architekturelemente eine relativ hohe Ordnung erzeugt wird, so dass «das Böse» aus dem Rahmen und somit schnell auffällt. Mit KI ist die bewusste Einschränkung der Vielfalt der stattfindenden Abläufe weniger wichtig. Denn damit können auch in ungeordneter Vielfalt Muster erkannt werden, die auf Cyber-Angriffe hinweisen.

Problematisch ist nur, dass sich auch Angriffe direkt gegen die KI richten können. Und zwar sowohl im Fall, dass es zur Identifizierung von Cyberangriffen genutzt wird als auch im Fall, dass es für andere geschäftswichtige Aufgaben eingesetzt wird. Je kritischer der Anwendungsbereich ist, desto gefährlicher sind dabei naturgemäss die Angriffe.

Angriffe können sich einerseits direkt die KI-Instrumente richten und sie schwächen. Anderseits können Angriffe identifizierte Schwächen sich bewusst zu nutzen machen und das KI System geschickt täuschen, so dass es falsche Entscheide trifft.

Wenn die KI auf Lernprozessen beruht, kann der Angreifer die Lerndaten zum Lernen so manipulieren, dass eine schwache KI-Lösung resultiert. Er kann aber auch versuchen, die Datenverarbeitung im KI-Instrument zu stören. Dazu kommt, dass auch ohne Angriffe, Teile des Systems physisch bedingt ausfallen können. Weiters können bei fortgesetztem Lernen einst sehr gut funktionierende KI-Werkzeuge wieder viel schlechter werden. All dies ist in der Praxis oft sehr schwer zu erkennen – insbesondere dann nicht, wenn kontextbedingt die Systeme auch im besten Fall Fehler machen.

Um einen erfolgreichen Angriff auf das KI-Instrument zu valorisieren, muss der Angreifer anschliessend das System täuschen. Erkennt er die Schwächen eines noch gar nicht angegriffenen Systems, so kann er auch direkt durch Täuschen des Systems angreifen. Vorstellbar sind auch stochastisch konstruierte Angriffsserien im Fall, dass zwar systemische Defizite, aber keine konkreten Defizite konstruiert wurden. In vielen Fällen entsteht durch das Täuschen grosser Schaden.

Wer also KI einsetzt, sollte sich bewusst sein, dass er damit ein besonders attraktives Ziel für mögliche Angreifer schafft. Darum ist es wichtig, das Funktionieren des KI-Systems zu verstehen und Angriffsmöglichkeiten im Vorhinein zu analysieren! Der positive Nebeneffekt einer solchen Analyse ist, dass auch klar wird, welche Gefahren durch nicht bewusst geschaffene Dysfunktionalitäten entstehen können. Um es plakativ zu formulieren: So wie es nützlich ist, zu überprüfen, ob Mitarbeitende fit für Aufgaben sind und gewillt, im Interesse der Organisation zu handeln, so sind analoge Prüfungen auch für den KI-Einsatz erfolgskritisch!

Creative Commons LicenceCreate PDF

Ähnliche Beiträge

Es wurden leider keine ähnlichen Beiträge gefunden.

Cybersecurity als WEF-Thema – ein Kommentar

Das WEF wird in Genf ein Zentrum für Cybersecurity eröffnen. Das ist grundsätzlich sehr zu begrüssen. Aber es wirft Fragen auf, die das neue Zentrum ebenso betreffen wie die bisherigen staatlichen und wissenschaftlichen Aktivitäten.

Nach vielen Staaten, der EU Kommission und dem EU Council demonstriert auch das WEF die Dringlichkeit des Themas «Cybersecurity». Es gründet ein gleichnamiges Zentrum in Genf. Nach bisherigen Informationen soll dort die Wirtschaft unter sich bleiben, wobei man über die Medien auch durchblicken liess, dass damit das Niveau der Cybersecurity-Diskussionen stark steige.

Als Beobachter freue ich mich, dass auch im WEF die Relevanz des Themas erkannt wurde. Die Cybergefahren sind nicht nur für Einzelne und Unternehmen gross, sondern auch für den Staat und die Gesellschaft als Ganzes. Was auch immer an Wissen zusammengeführt wird ist gut – dann und nur dann, wenn die demokratisch organisierte Gesellschaft insgesamt davon profitiert.

In der aktuellen Informationslage stellen sich deshalb einige Fragen:

  1. Warum ohne die Hochschulforschung? Nachdem eines der beiden Teams, welches Spectre entdeckte, viele Forschende aus dem Hochschulkontext enthielt, ist es sehr erstaunlich, dass die Hochschulzusammenarbeit nicht geplant ist. Während man in der EU auf die Triple-Helix setzt, das heisst die Zusammenarbeit zwischen Wirtschaft, Staat und Wissenschaft, setzt das WEF auf einen Wirtschaftsblock. Dieser soll sich auch mit den Staaten austauschen.
  2. Wie viel Souveränität werden die Staaten effektiv haben, wenn der Wirtschaftsblock des WEF ihnen erklärt, was sie tun sollen? Und gleich angefügt: Werden sich die Staaten beim Austausch von den von ihnen finanzierten Wissenschaftlern beraten lassen dürfen, oder wird man ihnen das verbieten? Ein stets präsentes Argument ist ja, dass Wissenschaftler ein Sicherheitsrisiko darstellen. Um die Wirkung solcher und ähnlicher Argumente zu entkräften hat die EU vor einigen Jahren für eine offene Zusammenarbeit plädiert, nach dem Motto: geschlossene Produktionszyklen innerhalb der EU, halboffene Zusammenarbeit.
  3. Wie wird die Governance des neuen Zentrums aussehen? Wer hat was zu sagen? Wer bekommt welchen Zugang zu den Resultaten? Wie wird die Schweiz das Zentrum beaufsichtigen? Wir sollten zwei Dinge nicht vergessen. Im Cybersecurity-Bereich sind das Hineindenken in Kriminelle und die Fähigkeit, Regeln ad absurdum zu führen, wesentliche Erfolgsfaktoren für die Verteidiger. Eine Vernetzung der «Kriminellenversteher» ist nicht harmlos. Und: Das Einbrechen in den Zirkel der Verteidiger macht einen Angreifer riesenstark.
  4. Wie sehr taugt das WEF für das Lösen konkreter Probleme? Das WEF hat zwar zu Recht eine hohe Reputation als Ort des internationalen Austausches und des sich Kennenlernens, Wissenschaftler inklusive. Aber seine Konsens-Thesen geniessen nur bedingte Glaubwürdigkeit – teils, weil sie dem sehr ehrenwerten, aber unrealistischen Wunsch nach einer besseren Welt entsprechen, teils weil sie von einem Übermass an Begeisterung für das Neue getragen werden. Angesichts der tollen Winteratmosphäre in Davos ist diese Begeisterung nur zu gut verständlich. Aber dieser Wille zum Guten und dieses Übermass an Einzigartigkeitsgefühlen haben in der Vergangenheit auch zu irreführenden Prognosen geführt: Einst hörte man vom WEF beispielsweise, dass nicht der Gewinn, sondern das Umsatzwachstum zähle. Kurz danach platzte die Internetblase.

Ich bin gespannt, ob es auf diese Fragen Antworten geben wird. Fragen 1 bis 3 könnten vom WEF sofort beantwortet werden, die Antwort auf die Frage 4 wird die Zeit geben.

Ausgehend von den Kernkompetenzen des WEF wäre allerdings eine näherliegende Rolle des WEF der Austausch darüber, worum es bei Cybersecurity eigentlich geht. Denn in der Welt der alltäglichen Cyber-Konflikte, oft auch als Cyberwar bezeichnet, sind die Verbündeten gleichzeitig auch die Feinde. Wie es Henry Kissinger in seinem Buch «World Order» eindrücklich beschrieben hat, gibt es keinerlei Konsens, wie eine Weltordnung für das Internet aussehen könnte, die den Cyberwar beschränkt. Über eine solche Weltordnung zu diskutieren würde gut zum WEF passen. Die Diskussion müsste aber natürlich die Staaten mit einbeziehen.

Der Kontext kurz erklärt

Cybersecurity ist in den USA und in Europa, aber auch in Ländern wie Australien, ein Topthema auf Regierungsebene. In den USA gibt es unter anderem den nicht völlig geglückten Cybersecurity Framework des NIST. In Australien gibt es neben einem eigens zuständigen Minister gut zehn Senior-Berater für den Premierminister zu Cybersecurity. Und beim Digital Summit in Tallinn hat das EU-Council diese Top-Themen lanciert:

  • den Digitalen Binnenmarkt = Grenzabbau + ein sicherer Transaktionsraum in Internet
  • die Cybersecurity
  • und mindestens nebenbei auch das permanente Lernen anstelle des bislang gepriesenen lebenslangen Lernens.

Cybersecurity dient aus Sicht des Diskurses in der EU nicht nur dem Schutz, sondern wird als wesentlicher Baustein für das Schaffen von Vertrauen im Internet angesehen. In der Community hört man dazu meist die Einschätzung, dass in der EU Austausch und Zusammenarbeit auf strategischer und auf technischer Ebene gut funktionieren, es aber Verbesserungspotential in der operativen Zusammenarbeit und in der Vereinheitlichung der Gesetzeslage gibt.

Aus Schweizer Sicht wird die Cybersecurity-Zusammenarbeit zwischen Verwaltung und Wirtschaft durch MELANI sichergestellt, durchaus mit Einbezug von Forschenden. Zudem gibt es einerseits an den ETHs und Universitäten hervorragende Grundlagenforschung und anderseits an den Fachhochschulen exzellente angewandte Forschung zum Thema. In der Praxis lautet die politische Maxime «Jeder muss sich selber schützen». Das kann man durchaus hinterfragen: Das Einfordern von Eigenverantwortung ist zwar sehr vernünftig, die Reduktion auf Eigenverantwortung ist dagegen fragwürdig. Denn jeder, der sich nicht selber schützt, schafft auch ohne böse Absicht zusätzliche Gefahren für andere. Und nicht jeder ist fähig, sich selber zuverlässig zu schützen. Beispielsweise stellt sich im Kontext von E-Government die Frage, ob man nicht insbesondere kleine bis mittelgrosse Gemeinden bei ihrer Cyber-Verteidigung unterstützen sollte.

Eine oft nur sehr unbefriedigend beantwortete Frage ist zudem, was denn gesichert werden soll. Die Wirklichkeit ist, dass heute der Feind in unserer Küche sitzt, in der Gartenkamera und sonst wo. Wir können uns deshalb nicht abgrenzen und müssen die Bedrohung unserer Souveränität akzeptieren. Letztlich können wir nur Rechte von natürlichen und juristischen Personen verteidigen.

 

Creative Commons LicenceCreate PDF

Ähnliche Beiträge

Es wurden leider keine ähnlichen Beiträge gefunden.

«2018 sollte die Cybersecurity unbedingt angegangen werden»

Was hat die digitale Schweiz im vergangenen Jahr am meisten beschäftigt und welche Herausforderungen kommen in diesem noch jungen Jahr auf uns zu? Dazu liefert das Schweizer ICT-Jahrbuch in seiner 15. Ausgabe Fakten, Einschätzungen und Meinungen von Branchenkennern – auch vom wissenschaftlichen Leiter des BFH-Zentrums «Digital Society» Professor Dr. Reinhard Riedl. Seine Einschätzungen sind in hier vorab zu lesen, das ICT-Jahrbuch erscheint am 28. Januar bei Netzmedien AG.

Wie hat sich E-Government im Jahr 2017 entwickelt?
Reinhard Riedl: Bedächtig, aber stetig! Das Unternehmensportal «Easygov» wurde aufgeschaltet, «eUmzug» steht in immer mehr Gemeinden zur Verfügung, es gibt mehr Daten auf den Open-Data-Portalen, und die Nutzung der Sedex-Plattform ist weiter angestiegen. Sedex ermöglicht die verwaltungsinterne sichere Kommunikation.

Prof. Dr. R. Riedl

Wie schätzen Sie die Fortschritte ein?
Das Schlüsselereignis 2017 war, dass Bundesrat Ueli Maurer die Digitalisierung der Verwaltung zur Chefsache gemacht hat und neu E-Government nicht nur fördert, sondern auch einfordert. Er unterschrieb symbolträchtig in Tallinn selbst die E-Government Declaration und bekannte sich damit zu den Prinzipien «only once» und «interoperability by default». Das geht sehr weit! Konkret wurde in der Bundesverwaltung ein E-Government-Roundtable eingeführt und im EFD eine Plattform Digitalisierung für die Wissensteilung geschaffen. Die Mitarbeitenden haben gemerkt, dass Bundesrat Ueli Maurer nachfragt und es Führung von oben gibt. Damit haben sich die Voraussetzungen wesentlich verbessert.

Was konnte beim E-Government erreicht werden?
Es gibt gute Dienste für die Einwohner, vermehrt auch für Unternehmen. Was fehlt ist eine strategische Roadmap, die mehr als nur Aufgaben definiert. Eine solche Roadmap sollte die Wertgenerierung in den Vordergrund stellen und den Aufbaucharakter der Vorhaben verständlich machen. Sie sollte die Ziele aus Ergebnisperspektive festlegen und jeweils zeitlich terminieren, damit ein Reporting möglich wird. Eine zentrale Rolle bei dieser Roadmap müsste die derzeit grösste Baustelle spielen, das ist die Datenlandschaft. Daten werden redundant gehalten, sind oft falsch oder fehlen im strategischen Bereich ganz. Leadership heisst hier, verständliche visionäre Architekturperspektiven zu formulieren, die belastbar sind, weil sie die grossen Probleme lösen.

Was erwarten Sie im Jahr 2018?
Die vorgezogene Formulierung einer neuen E-Government-Strategie wird die Tallinn Declaration für die Schweiz konkretisieren. Zudem erwarte ich aus den Städten positive Signale, möglichst auch in Richtung Zusammenarbeit mit den Regionen. Ein Thema, das unbedingt angegangen werden sollte, ist die Cybersecurity! Man kann KMUs und Gemeinden mit den Bedrohungen nicht allein lassen. Die grosse Herausforderung wird der Wissensaufbau für die absehbaren Regulierungen im digitalen Binnenmarkt sein.

Was erhoffen Sie sich von der E-ID?
Bei der E-ID ist E-Government nicht das Ziel, sondern das Mittel zum Zweck, sie populär zu machen. Denn im Kern geht es darum, die Infrastruktur für die digitale Wirtschaft aufzubauen und Schweizer Unternehmen und Einwohnern die Teilnahme am entstehenden digitalen Binnenmarkt in Europa zu ermöglichen. Ausserdem geht es um Rechtsvorstellungen: Aus europäischer Sicht bestimmt der Bürger über seinen Auftritt in der digitalen Welt und bekommt dafür vom Staat einen global gültigen Ausweis analog zum Pass. Aus amerikanischer und chinesischer Sicht braucht es das nicht, weil die Identität auch aus Datenspuren abgeleitet werden kann, und für Onlinegeschäfte Identitäten auch von Unternehmen ausgegeben werden können.

Creative Commons LicenceCreate PDF

Ähnliche Beiträge

Es wurden leider keine ähnlichen Beiträge gefunden.

Januarausgabe: Wird Cybersecurity unterschätzt?

Eine besondere Stärke der Schweiz ist das stark ausgeprägte Prinzip der Selbstverantwortung, Dementsprechend gilt auch im Bereich Cyber-Gefahren: Jede und jeder muss sich selber schützen, jede Organisation ist für den eigenen Schutz verantwortlich. Das ist gut so!

Das Problem ist nur: so einfach ist das nicht und auch nicht immer leicht zu finanzieren. Vor allem aber: Jede Selbstverantwortung geht einher mit der Mitverantwortung für andere. Wer sich nicht selber schützt, bringt andere in Gefahr – egal ob er mit diesen direkt kommuniziert oder sie allenfalls gar nicht kennt.

Die Mitverantwortung für andere ist nur eines der Grundprobleme. Ein anderes ist, dass Cybersecurity nicht nur technische und mathematische Kompetenz verlangt, sondern zusätzlich ein ganzes Bündel anderer Kompetenzen: organisatorische, regulatorische, kommunikative und natürlich auch soziale Kompetenzen. Deshalb ist eine der bemerkenswertesten Innovationen, dass Hochschulen versuchen Nerds soziale Kompetenzen beizubringen und sie management- und karrieretauglich zu machen, beispielsweise in Australien. Ziel ist, Cybersecurity-Manager zu haben, die hohe Sachkompetenz besitzen!

Ein drittes Grundproblem stellt die Koexistenz verschiedener Paradigmen dar. Es werden geschlossene Produktionszyklen und zugleich offene Informationszirkel angestrebt. Freunde sind auch Feinde. Ende-zu-Ende Verschlüsselung ist wichtig und löst trotzdem die Probleme nicht. Es sind gleichzeitig proaktives und reaktives Sicherheitsmanagement gefragt. Und in der praktischen Umsetzung braucht es beides: geschickte Schlamperei in den Formulierungen und präzises logisches Denken, nur bei verschiedenen Gelegenheiten. Wir haben es mit komplexen Problemen zu tun, die machbare einfache Lösungen verlangen – und in denen ein mathematischer Denkfehler fatale Folgen für viele haben kann.

Deshalb ist es notwendig den öffentlichen Diskurs über einige Grundsatzfragen zu führen, lieber heute als übermorgen. Erstens, was ist die Verantwortung der öffentlichen Hand, der Unternehmen und von uns als Individuen in Bezug auf die IT-Nutzung? Wer hat welche Rolle? Wer hilft wem? Wie kann man die Quadrupel Helix etablieren? Zweitens und als spezielles Thema, wie schützen wir unsere nationale Dateninfrastruktur, die die Basis dafür ist, dass die Verwaltung als Plattform zum Lösen der gesellschaftlichen Probleme funktionieren kann? Drittens, wie schaffen wir die Voraussetzungen, dass alle Akteure proaktiv und reaktiv so handeln können, dass sie selber und wir als Gesellschaft möglichst gut geschützt sind? Welche Massnahmen zur Regulierung und zur besseren internationalen Zusammenarbeit sind sinnvoll? Wie erreichen wir, dass das Wissen über Gefahren und Schutzmöglichkeiten sich in unserer Gesellschaft möglichst gut verbreitet?

Zusätzlich zum öffentlichen Diskurs ist es wichtig, Forschung zu betreiben und insbesondere in der angewandten Forschung mit den Angreifern Schritt zu halten. Auch wenn bei den heutigen Cyber-Weltmächten gar keine bösen Absichten bestehen, müssen wir uns trotzdem selber verteidigen können. Das gelingt umso besser, wenn man im ganzen Innovationsökosystem mit zur Weltspitze gehört – von der Grundlagenforschung bis zum Design der Reaktionen auf Vorfälle.

Niemand kann sagen, ob wir die Cybergefahren richtig einschätzen. Und wir alle haben ein wenig Angst, ganz öffentlich darüber zu sprechen, weil die Gefahr gross ist, dass das Vertrauen in die Institutionen untergraben wird. Aber so lange wir nur in uns Hineinmurmeln, wenn gefragt wird, ob wir Backdoors nutzen oder schliessen sollten, sind wichtige Fragen ungeklärt. Das gleiche gilt für die inhaltliche Frage, welche fachlichen Kompetenzen denn der Staat haben muss, um Akteure so ausspähen zu können, dass Verbrechen verhindert werden, ohne dass das Leben von Unschuldigen schwer beschädigt wird, die dummerweise die falschen Daten haben.

Ich meine, wir müssen über all das reden – über fachliche, ethische und politische Grundfragen rund um Cybersecurity. Ich wünsche Ihnen eine nützliche Lektüre der Januarausgabe, verteilt über den ganzen Monat!

Herzlichst,

Ihr Reinhard Riedl

Creative Commons LicenceCreate PDF

Ähnliche Beiträge

Es wurden leider keine ähnlichen Beiträge gefunden.