Mittwoch, 15. Mai 2024, KI: „Das muss ich mir mal überlegen.“

Auf die Frage der WeLT-Moderatorin, wie man denn in der Politik in Zukunft KI einsetzen könnte, meinte der Grüne: „Das muss ich mir noch überlegen“. Die Antwort zeigt die ganze Hilflosigkeit von Politikern. Sie wollen über ein Thema sprechen und haben wenig Ahnung. Dabei wäre eine Technikfolgeabschätzung für KI eine durchaus interessante Aufgabe. Der „Ausschuss für Forschung und Technikfolgeabschätzung“ klingt zwar ein wenig unverbindlich, aber man könnte etwas daraus machen. Dabei wird es gerade in der IT bezüglich KI ein Wettlauf zwischen Gut und Böse. Kriminelle Energie darf nie unterschätzt werden.

Security-Trainng als Schlüssel

Deshalb finde ich das, was unsere Firma in Sachen Cyber-Security tut, richtig gut. Alle paar Wochen muss man ein Security-Training absolvieren. Hauptelement is ein Cyberkrimi, der uns in einzelnen Folgen präsentiert wird. Anschließend muss man ein paar Quizfragen richtig beantworten. Jetzt halte ich mich zwar bezüglich Trickbetrügerei für sattelfest, doch muss ich ein Beispiel aus dem Film darstellen, weil es doch für eine gewisse Verblüffung sorgte.

USB-Sticks als Einfallstor

Ein Mitarbeiter bekam ein Päckchen von der eigenen IT-Abteilung, wie er glaubte. Inhalt war ein USB-Stick und eine kleine Anleitung, doch mal eben den USB-Stick einzustecken, um ein paar Programme upzudaten und gleich einmal ein Antivirusprogramm zu starten. Man müsse nur die selbsständige Installationsroutine laufen lassen. Gesagt, getan. Der Mitarbeiter schob den USB-Stick in seinen PC. Bevor sich überhaupt die aktive Antivirus-Software melden konnte, wurde dem Mitarbeiter schon ein kleines „erklärended“ Fensterchen eingeblendet: Der USB-Stick könnte Schadsoftware enthalten, weshalb man doch bitte zur Abklärung die unten eingeblendete Hotline-Nummer anrufen soll. Gesagt, getan. Der Mitarbeiter rief die „Hotline“ an, die ihm versicherte, dass alles ok sei und er die Installation fortsetzen könnte. Ob er aber dennoch der Hotline einmal schnell Fernzugriff erlauben könnte, dann könnte man das Ganze für ihn zu Ende bringen.

Die „Hotline“ war in Wahrheit ein Betrugs-Callcenter, das Päckchen kam natürlich nicht von der IT-Abteilung sondern von einer organsierten Betrügerbande. Über den Mitarbeiter-PC wurde Ransom-Software installiert, woraufhin alle Dateien im gesamten Netzwerk verschlüsselt wurden. Bittere Sache.

Präparierte Ladekabel

Es gibt noch mehr Tricks. Man ist in der Bahn unterwegs, arbeitet am Laptop und döst vor sich hin. Ein fremder Fahrgast von schräg gegenüber fragt höflich, ob man zufällig ein Ladekabel für das iPhone dabeihätte, er müsste mal eben sein iPhone laden. Das Helfer-Gen ist erwacht. Natürlich, kein Problem. Nach einer halben Stunde bekommt man das Ladekabel anstandslos wieder. Problem: Der Mitfahrer von gegenüber ist ein Hacker, der dir nicht das eigene Kabel wiedergibt, sondern ein präpariertes Kabel, das sich vom eigenen Kabel aber nicht unterscheiden lässt. In den Steckern ist Schadsoftware „versteckt“. Wenn man einmal dieses Kabel an den eigenen Laptop steckt, läuft eine Routine los und die Schadsoftware ist unbemerkt auf dem Laptop. Beim nächsten Firmenbesuch aktiviert man den Laptop nichtsahnend und wie gewohnt im Firmennetzwerk. Die Schadsoftware „erwacht“ und verbreitet die Ransomsoftware im Netzwerk.

Noch schlimmer: Laptops werden üblicherweise über ein externes Netzteil über den usb-c-Anschluss geladen. Würde es jemandem gelingen, das Original-Netzteil in der Laptoptasche gegen ein präpariertes Netzteil auszutauschen, wäre der Wahnsinn perfekt. Oh man, ich sehe überall Gespenster.

Schlüsselbundfund

Der Klassiker: Vor dem Firmeneingang findet man einen Schlüsselbund. Oh, da hat aber jemand Pech. Wie kann man jetzt dazu beitragen, dass der Kollege seinen Schlüssel wiederfindet? Ach, am Schlüsselbund ist ja ein kleiner usb-Stick. Da sind doch bestimmt Informationen drauf, die auf den Eigentümer schließen lassen. Frisch ans Werk, usb-Stick mal eben in den eigenen PC gesteckt und… Den Rest habe ich schon beschrieben.

Tatort: Bankautomat

Der Durchschnittsdeutsche muss sich somit mit KI nicht beschäftigen. Er muss erst einmal seine Basis-IT-Kenntnisse verbessern. Die Sinne müssen immer wieder neu geschärft werden. Wiederkehrendes Gehirn-Jogging ist angesagt. Niemand kann sich den Betrügereien entziehen. Jeder kann zum Angegriffen werden.

Letztes Beispiel: Jeder braucht Geld vom Automaten, und schon sind sie da, die Trickbetrüger. Geschehen mitten in Barcelona. Meine Schwester wollte 200 Euro aus dem Automat ziehen. Ein gekonntes Ablenkungsmanöver während der Prozedur hätte beinahe dazu geführt, dass das Geld futsch gewesen wäre. Allerdings war meine Cousine mit zum Automaten gegangen, einfach so, einer Ahnung folgend. Ihr war aufgefallen, wie ein junger Mann scheinbar unbeteiligt drei Meter neben dem Automat stand und die Lippen bewegte. Er zählte die Sekunden zwischen ‚Karte aus dem Schlitz‘ ziehen und dem tatsächlichen Geldauswurf. Dann trat er im richtigen Moment von links an meine Schwester heran, zeigte ihr ein Bild, vedeckte damit den Ausgabeschlitz, faselte kurz was, griff sich das Geld und stand drei Sekunden später wieder völlig unbeteiligt in einiger Entfernung, die Scheine hinter dem Bild verborgen.

Das Glück des Tüchtigen

Meine Cousine erfasste die Situation und riss dem Betrüger die Scheine wieder aus der Hand. Er schaute verblüfft und verschwand. Hätte meine Cousine nicht aufgepasst, hätte sich meine Schwester gefragt, wo eigentlich das Geld bleibt. Sie wäre von einem technischen Fehler ausgegangen und hätte den Geldabhebevorgang wiederholt. Erst zu Hause hätte sie sich darüber gewundert, warum 2×200 Euro abgebucht sind. Sie wäre niemals auf die Lösung gekommen.