Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAODer Faktor Mensch
Cybersicherheit
Cyberangriffe nutzen nicht nur Schwachstellen in IT-Systemen, sondern auch menschliche Verhaltensweisen gezielt aus. Wie das funktioniert und warum sich die Angriffe mithilfe von KI schon heute intensivieren, kann man im »Lernlabor Cybersicherheit Faktor Mensch« auf dem Bildungscampus Heilbronn erfahren – in absolut sicherer Umgebung.
Es ist 9 Uhr, ein ganz normaler Dienstagmorgen in der Finanzabteilung eines mittelständischen Unternehmens. In 30 Minuten wartet das erste Meeting, vorher also schnell noch die Mails gecheckt. 37 neue Nachrichten winken im Posteingang, eine davon hat ein Projektleiter aus der Führungsebene verschickt. Er bittet dringend um eine Zahlung, anderenfalls sei ein wichtiges Projekt gefährdet. 10 Minuten noch bis zum Meeting. Also schnell die Zahlung ausgelöst, man will den Kollegen ja nicht hängen lassen.
Solche und ähnliche Mails erreichen täglich tausendfach die Mitarbeitenden deutscher Unternehmen. Und natürlich ist die Masche nicht immer erfolgreich. Aber, und das ist das Problem: Immer wieder gelingt es den Betrügenden eben doch, ihr Gegenüber zu überrumpeln. Dann werden sensible Daten wie Passwörter geteilt, eine Zahlung ausgelöst oder versehentlich eine Schadsoftware auf das Firmensystem geladen. Wie hoch der Schaden ist, der deutschen Unternehmen auf diese Weise entstanden ist, weiß niemand genau. Die Bitkom-Studie »Wirtschaftsschutz 2026« beziffert ihn für das Jahr 2026 auf 160,4 bis 205,8 Milliarden Euro.
Angriffe simulieren, Verständnis schaffen
Um der wachsenden Gefahr aus dem Netz etwas entgegenzusetzen, hat das Fraunhofer IAO gemeinsam mit der Hochschule Heilbronn im Jahr 2024 das »Lernlabor Cybersicherheit Faktor Mensch« auf dem Bildungscampus Heilbronn eröffnet. In einem Raum, groß wie ein Klassenzimmer, können Besucherinnen und Besucher seither Cyberangriffe an verschiedenen Demonstratoren durchspielen. Manche der Geräte simulieren den Angriff aus der Perspektive des oder der Angreifenden, andere aus der des Opfers. »Unser Ziel ist es, ein möglichst tiefes Verständnis der Angriffe zu vermitteln, um Menschen im besten Fall gegen sie zu immunisieren«, sagt Dr. Heiko Roßnagel, Leiter des Teams »Identitätsmanagement« am Fraunhofer IAO.
Wie einfach es mittlerweile ist, betrügerische Mails zielgerichtet zu versenden, zeigt der erste Demonstrator im Lernlabor, der sich dem sogenannten Spear-Phishing widmet. Im Gegensatz zur klassischen Phishing-Mail, die massenhaft an möglichst viele Unbekannte geschickt wird, nehmen Spear-Phishing-Angriffe Einzelpersonen gezielt ins Visier, punktgenau – wie ein Speer.
Angriffsstrategien
Die Angreifenden recherchieren die Zielperson oft wochenlang und greifen dabei auf öffentlich verfügbare Informationen zu wie die Firmen-Website oder Geschäftsberichte. Aber auch private Informationen, etwa aus Social-Media-Profilen, werden recherchiert. Open Source Intelligence (OSINT) nennt sich diese Art der Informationsbeschaffung. Auf Basis der gesammelten Daten werden dann E-Mails formuliert, die sich direkt an die Zielperson richten. Nicht selten enthalten sie Informationen zu Beförderungen, Hobbys oder Reisen, die die Zielperson in den sozialen Medien geteilt hatte. Und im Gegensatz zu den früher recht hölzern formulierten Phishingmails sind die Nachrichten heute – dank KI – in Wortwahl und Sprachstil eher unverdächtig.
Wer jetzt meint, es sei aufwendig, eine solche personalisierte Spear-Phishing-Mail zu erstellen, wird im Lernlabor eines Besseren belehrt. Am hier aufgebauten Demonstrator dauert es nur wenige Sekunden, um eine Mail an einen real existierenden Mitarbeiter eines DAX-Unternehmens zu erstellen, die in Ton und Inhalt überzeugt. Die OSINT-Recherche hat hier auch eine KI übernommen. In der Signatur gibt der Absender sich ebenfalls als Mitarbeiter eines DAX-Unternehmens zu erkennen. »Eine Strategie der Angreifenden ist es, dass sie sich als Personen ausgeben, die Autorität verkörpern. Das soll die Adressaten einschüchtern«, sagt Dr. Mrudula Arunkumar. Die Kognitionspsychologin beschäftigt sich am Fraunhofer IAO mit der Frage, welche menschlichen Schwächen Cyberkriminelle ausnutzen – und wie man sich gegen die Techniken der Manipulation wappnen kann. »Eine weitere Strategie ist Druck«, so Arunkumar. »Die Angreifenden simulieren Zeitnot und nötigen auf diese Weise die Adressaten, eine Entscheidung zu fällen.« Hinzu komme das Vorspielen von Nähe durch die in sozialen Medien recherchierten persönlichen Informationen. »In der Summe kann das Menschen verunsichern oder dazu bringen, irrationale Entscheidungen zu fällen«, erzählt Arunkumar.
Psychotricks und »Stimmenklone«
Ein anderer Demonstrator im Lernlabor treibt die Manipulation noch weiter. Der »Voice Cloner« zeigt, wie einfach es ist, Stimmen mithilfe von KI zu generieren. Eine halbe Minute Originalton reicht aus, um eine Computerstimme, die ihrem menschlichen Vorbild zum Verwechseln ähnlich klingt, jeden beliebigen Text vorlesen zu lassen. Teilnehmende sprechen hier einige Sätze ein – und nur Sekunden später hören sie ihrer Stimme dabei zu, wie sie die eigene Großmutter davon zu überzeugen versucht, eine größere Summe Bargeld bereitzulegen. Der berüchtigte Enkeltrick wird übrigens auch im Unternehmenskontext eingesetzt. Beim sogenannten CEO-Fraud wird die Stimme des Chefs oder der Chefin geklont, um Mitarbeitende am Telefon zur Preisgabe von Daten zu bewegen.
Im Zeitalter von KI erfordert die zuverlässige Identitätsprüfung mehr als eine vertraut klingende Stimme.«
Dr. Mrudula Arunkumar, Kognitionspsychologin am Fraunhofer IAO
Eröffnet wurde das Lernlabor Cybersicherheit Faktor Mensch nach sechs Monaten Aufbauphase im Juni 2024 vom Fraunhofer IAO gemeinsam mit der Hochschule Heilbronn. Die Idee, ein Lernumfeld zu schaffen, in dem man sich gegen die Psychotricks von Cyberkriminellen rüsten kann, hatte Roßnagel, der neben seiner Tätigkeit am Fraunhofer IAO an der Hochschule Heilbronn als Dozent tätig ist.
Spielwiese für IT-Sicherheit
»Als er mir von seiner Idee erzählte, war ich sofort überzeugt«, erzählt Jochen Günther. Der Stiftungsprofessor für KI und Cybersicherheit an der Hochschule Heilbronn war bis 2016 selbst am Fraunhofer IAO und hatte schon damals mit einem weitverbreiteten Missverständnis zu kämpfen: »Die meisten Menschen halten IT-Sicherheit für eine Frage der Technik«, so Günther. Das Klischee des Hackers im schwarzen Kapuzenpulli, der versucht, durch technisches Know-how in IT-Systeme einzudringen, sei eben weit verbreitet. »Das gibt es zwar auch«, sagt Günther. Doch das Ziel der großen Mehrheit der Cyberangriffe seien nicht die Systeme – sondern der Mensch. Ob Phishing-Mails, Voice-Cloning oder Deepfakes: »Die Technologien, die Cyberkriminelle heute mithilfe von KI anwenden, stellen menschliche Grundannahmen infrage«, so Günther. In einer Welt, in der nicht mehr auf Anhieb klar sei, was real ist und was Fiktion, müssten Menschen den Umgang mit Informationen im Grunde neu erlernen und trainieren. »Das Lernlabor ist ein Ort, an dem das möglich ist.«
Auch Günthers Studierende können hier viel lernen, weshalb er sie regelmäßig mitnimmt ins Labor. »Gemeinsam entwickeln wir dann Fragestellungen rund um die Angriffstechniken und testen neue Ideen«, erzählt er. KI-gestützte Cyberangriffe seien eben ein ziemlich neues Themenfeld. Da müsse die Forschung versuchen, Schritt zu halten, um Menschen schützen zu können.
Für unsere Studierenden ist das Lernlabor eine ganz fantastische Spielwiese.«
Jochen Günther,
Stiftungsprofessor für KI und Cybersicherheit an der Hochschule Heilbronn
Die Katastrophe nachspielen
Am Ende des Demonstrator-Rundgangs im Lernlabor wartet der Super-GAU: ein Ransomware-Angriff, der damit beginnt, dass Kriminelle in das IT-System eines Unternehmens eindringen. Die Wege, auf denen das geschehen kann, sind vielfältig. Ein angeklickter Link, ein geöffneter Dateianhang, ein eingesteckter USB-Stick, ein VPN-Zugang oder ein ungenutztes Mailkonto – auch hier nutzen die Angreifenden die mangelnde Skepsis von Mitarbeitenden aus, um sich Zugang zu verschaffen. Ist der Einstieg einmal geschafft, breiten sie sich Schritt für Schritt im gesamten System aus – in der Regel so lange, bis sie Administratoren-Accounts unter ihre Kontrolle gebracht haben. Damit können sie dann Daten blockieren, verschlüsseln und beispielsweise ein Lösegeld vom geschädigten Unternehmen fordern.
Im Lernlabor steckt man einen USB-Stick ins Laufwerk – und wenige Sekunden später färbt sich der Bildschirm rot, ein Totenkopf aus weißen Pixeln wird sichtbar, und plötzlich funktioniert nichts mehr. Was in der realen Welt eine Katastrophe wäre, ist hier – im geschützten Raum des Lernlabors – ausdrücklich erwünscht: Hier soll man Fehler machen. Damit man sie anschließend draußen nicht mehr macht.