… in einer Welt, in der es klar ist, dass klassische Zugangssperren keinen Schutz mehr bieten können und in der so etwas wie ein „fenced garden“ nicht existiert, müssen wir Sicherheit endlich so denken, wie Security-Spezialisten das schon lange erklären.

Die Nachricht der Existenz von Claude Mythos Preview rührt die IT-Security Szene heftig an. Viele Mitstreiter versuchen sich an Kommentaren und können trotz aller Expertise nur rätseln, wie schlimm der Schaden durch die neuen Exploits auf allen Ebenen wohl sein wird. Denn nutzen können die neue KI nur die wenigsten von uns. Claude bleibt bei seiner Haltung, die KI sei „zu gefährlich“ um sie zu veröffentlichen – und räumt nur wenigen amerikanischen Firmen und Institutionen den Zugang ein.

Auch wir haben in einem Blogbeitrag versucht die Lage einzuschätzen. Nach einer Woche wird immer klarer: künftig wird das Finden von Sicherheitslücken und das Erstellen von Exploits mit Hilfe von KI automatisiert stattfinden. Leider ist das Schließen dieser Lücken immer noch Handarbeit. Die Geschwindigkeit der Angreifer wird also absehbar viel höher sein, als die der Verteidiger. Wie lange dieser Zustand anhält ist nicht wirklich klar.

Bei heise.de beschreibt Jürgen Kuri in einer Analyse den aktuellen Stand der Entwicklung wie folgt:

Und das alles wird rasant noch sehr viel schlimmer werden. Die existierenden Bug-Fixing-Kapazitäten werden bereits jetzt in die Sättigung getrieben, während die Fähigkeit, neue Bugs zu finden, auf absehbare Zeit weiter steigen wird. Denn die befindet sich aktuell noch in einer sehr frühen Phase. Daraus folgt unmittelbar, dass uns eine Zeit bevorsteht, in der KIs sehr viel mehr Bugs finden, als gefixt werden können. Jedes System, das für Angreifer erreichbar ist, wird angreifbar sein, es wird angegriffen werden und es wird zu einer lange nicht dagewesenen Zahl von Sicherheitsvorfällen kommen. Wie lange diese Phase andauern wird und was danach kommt, werde ich später noch diskutieren. Wichtig ist jetzt erst mal, was sich bereits daraus ableiten lässt. Das Allerwichtigste:

Die Situation ist akut und jede:r, der/die für die Sicherheit von IT verantwortlich ist, sollte unmittelbar handeln und sich darauf vorbereiten.

Auch das amerikanische CSA (vergleichbar mit unserem BSI) hat sich in dem Artikel „The “AI Vulnerability Storm”: Building a “Mythos-ready” Security Program“ dazu klar positioniert und spricht von mehreren Wellen von Angriffen, die zukünftig auf die IT-Welt zurollen werden:

The storm of vulnerability disclosures from Project Glasswing is the first of many large waves of AI-discovered vulnerabilities that may occur in rapid sequence. The capabilities seen in Mythos will quickly become more widely available, dramatically increasing the number and frequency of complex, novel attacks organizations will face.

Und jetzt?

„Und jetzt?“ – das ist auch der Kern der meisten seither aufgelaufenen Anfragen. Und die Antwort ist einfach, wenn auch wirklich unbequem:

Jetzt müssen wir uns auf Ausfälle vorbereiten, das Verhalten im Ernstfall üben und endlich beginnen, IT-Sicherheit in unsere Projekte einzubauen, statt zu versuchen, den Zaun größer zu machen.

Vorsorge treffen

Die jetzt dringend erforderlichen Maßnahmen dienen dazu die Fallhöhe zu begrenzen und für den Ernstfall vorbereitet zu sein:

• Backups erstellen
• Beschleunigen der Update- und Patch-Zyklen
• Durchführung von Risikoanalysen und Threat Modelings
• Reduzieren der Angriffsfläche
• Konzeption sicherer Architekturen
• Verbessern der Resilienz und Defense in Depth
• Vorbereiten auf den Ernstfall – genauer, die Ernstfälle, denn es wird nicht bei einem bleiben
  • Erstellen von Incident Response Plänen
  • Auf die Wieder-Inbetriebnahme nach einem Vorfall vorbereiten
• Etablieren von Entwicklungsstandards durch Coachings und Code-Analysen

Basics!

KI wird auch in der Defense Einzug halten und ihren Platz finden. Allerdings sind Konzepte oder gar Produkte noch nicht da oder befinden sich noch in der Entwicklung.

Konzentrieren wir uns auf die Basics der IT-Security. Backups erstellen und wieder einspielen können, Trennung von Netzen (Segmentation), Filterung des eingehenden Netzwerkverkehrs durch Firewalls, Multi-Faktor-Authentifizierung, Least-Privilige und Defense-in-Depth und Breadth erhöhen die Schwierigkeiten für Hacker maßgeblich, gerne ergänzt durch ein kluges Monitoring. Für all das gibt es Konzepte und bewährte Leitfäden.

Das ist das Kerngeschäft von Beratern in der IT-Security: für Risiken ein Bewusstsein schaffen, bei der Vorbereitung auf den Ernstfall helfen, Möglichkeiten zur Verteidigung aufzeigen und gemeinsam die passenden Lösungen in den Projekten erarbeiten.

Und danach

Es gibt sie, sichere Archtitekturen, in denen Daten auch nach einem Angriff sicher sind. In denen sich Angreifer nur langsam von Ziel zu Ziel arbeiten können, in denen der Verlust einer Datenbank oder eines Tables nicht gleich den Abfluss aller weiteren nach sich zieht.

Das Wissen, wie wir so eine Software bauen (und damit so ganz nebenbei Anforderungen der Regulatorik in Richtung NIS2, DORA, Datenschutz und Secure by Design erledigen) ist vorhanden. Es erfordert aber Wissen und die Bereitschaft zur Veränderung. Nicht viel – sondern gerade so viel, dass gestärkt aus dieser Situation heraus gehen.

Wie man so eine Software baut und seine alte Software transformiert zeigen wir ihnen gerne.