Folge 42 · Im Gespräch mit Thomas Lang
Die Einstiegshürde ist weg: Was KI für Angreifer und Verteidiger ändert
Früher brauchte ein Angreifer Kommandozeilenkenntnisse. Heute reicht ein Satz an ein Sprachmodell. IT-Security-Fachmann Thomas Lang über Werkzeugketten in fünf Minuten, Stimmen aus 15 Sekunden Audio und die Täter, gegen die kaum jemand geschützt ist.
Thomas Lang arbeitet seit 26 Jahren in der IT und den Großteil davon in der Informationssicherheit. Sein Arbeitsgebiet beginnt dort, wo niemand hinwill: wenn der Angreifer bereits da war, oder wenn verhindert werden soll, dass er kommt.
Seine These für diese Folge lässt sich in einem Satz zusammenfassen. Die Fähigkeiten, die früher den Zugang zu diesem Feld begrenzt haben, sind keine Begrenzung mehr.
Fünf Minuten bis zur Werkzeugkette
Was früher Kommandozeilenerfahrung und Systemwissen verlangte, lässt sich heute zusammenklicken. Claude Code, Docker, MCP-Anbindungen an Kali Linux und Shodan ergeben in etwa fünf Minuten eine funktionsfähige Kette für Sicherheitstests.
Das ist zunächst eine gute Nachricht, weil dieselbe Kette der Verteidigung dient. Die schlechte Nachricht ist die Symmetrie: Der Aufwand sinkt für beide Seiten, und die Angreiferseite braucht nur einen Erfolg.
Praktisch verschiebt sich damit das Bedrohungsbild. Bisher war die Zahl der Angreifer durch die Zahl der Personen mit den nötigen Fähigkeiten begrenzt. Diese Kopplung ist gelöst.
Der Täter, mit dem niemand rechnet
Der unbequemste Teil des Gesprächs betrifft nicht die Technik.
„Gegen Angriffe von innen sind Unternehmen nach unserer Wahrnehmung sehr viel schlechter geschützt als gegen Angriffe von außen.“
Zwei Fälle aus der Praxis illustrieren das. Im ersten haben sich Angreifer 14 Monate lang mit Domain-Admin-Rechten auf einem Terminal-Server bewegt, ohne aufzufallen. Im zweiten hat ein Auszubildender sich privat Kenntnisse angeeignet und sie im Firmennetz ausprobiert, ohne dass es Folgen hatte.
Der strukturelle Grund dafür ist bekannt und wird selten adressiert. Sicherheitsarchitekturen sind überwiegend als Perimeterschutz gebaut: Innen ist vertrauenswürdig, außen nicht. Wer bereits innen ist, bewegt sich in einer Umgebung mit deutlich weniger Kontrollen. Mit KI-gestützten Werkzeugen kann diese Person jetzt Dinge tun, für die sie vorher jahrelange Erfahrung gebraucht hätte.
Beachten Sie, dass die naheliegende Gegenmaßnahme nicht Misstrauen gegenüber Mitarbeitenden ist, sondern Protokollierung und Rechtevergabe nach Bedarf. Beides ist unbeliebt, weil es Arbeit macht und niemandem gefällt.
Der Markt dahinter
Ein Abstecher führt in die Schattenmärkte. WormGPT und FraudGPT werden dort als Software as a Service angeboten, mit Telegram-Support, Monatsabo für 129 Dollar oder Lifetime-Lizenz für 900 Dollar.
Das ist die vollständige arbeitsteilige Wirtschaft der legalen Welt, befreit von der Pflicht, sich an Gesetze zu halten. Wer Angriffe plant, muss nichts mehr selbst können, sondern nur noch einkaufen.
15 Sekunden für eine Stimme
Der Selbstversuch in der Folge ist der greifbarste Teil.
„Das lokale Modell hat mit 15 Sekunden Audio ein Hammer-Ergebnis gebracht.“
Entscheidend an dieser Aussage ist das Wort lokal. Es braucht keinen Dienst, keine Anmeldung und keine Spur bei einem Anbieter. Ein gewöhnliches Notebook genügt, das Material liefert jeder öffentliche Auftritt, jede Sprachnachricht, jede Telefonkonferenz.
Für CEO-Fraud und Social Engineering ändert das die Ausgangslage. Der Rückruf unter bekannter Nummer war lange die pragmatische Absicherung gegen ungewöhnliche Zahlungsanweisungen. Er trägt weiterhin, weil die Nummer der Prüfpunkt ist. Die Stimme allein trägt nicht mehr.
Praktische Konsequenz für Freigabeprozesse: Legen Sie fest, dass Zahlungsanweisungen und Rechteänderungen niemals über einen einzelnen Kanal bestätigt werden, und schreiben Sie hinein, dass eine Stimme kein Nachweis ist. Das ist eine Änderung an einer Arbeitsanweisung, keine Investition.
Die Lotus-Notes-Parallele
Für den zweiten Teil des Gesprächs liefert eine historische Analogie den Faden. Als IT-Fähigkeiten mit Lotus Notes und Domino in die Fachabteilungen wanderten, entstand Tempo und zugleich Intransparenz. Niemand wusste mehr vollständig, welche Anwendungen existierten und welche Daten sie berührten.
Dasselbe passiert gerade wieder, mit größerer Reichweite. Fachbereiche bauen Agenten und Automatisierungen, weil sie es können. Governance und Sicherheit hinken hinterher, weil sie nicht wissen, wonach sie suchen sollen.
Daraus folgen zwei Fragen, die in der Folge offen bleiben und in vielen Unternehmen gerade auf den Tisch kommen. Braucht es eine agentische Sicherheits-KI gegen agentische Angriffs-KI? Und lohnt sich angesichts steigender Tokenkosten die Rückkehr zum eigenen Serverschrank?
Fazit
Die Folge liefert keine beruhigende Botschaft, aber eine brauchbare Prioritätenliste.
Prüfen Sie zuerst, was ein Angreifer mit vorhandenen internen Rechten anrichten könnte, nicht was er von außen erreichen kann. Dort liegt die größere Lücke.
Ändern Sie zweitens Ihre Freigabeprozesse so, dass keine Anweisung allein über Stimme oder Video bestätigt wird. Das ist die billigste wirksame Maßnahme in diesem gesamten Themenfeld.
Und behandeln Sie drittens jeden Inhalt, den ein Agent liest, als potenzielle Anweisung. Solange ein Agent nur liest, ist das Risiko begrenzt. Sobald er handelt, ist es das nicht mehr.
Dieselbe Technologie steckt übrigens hinter medizinischer Diagnostik, die Leben rettet. Beides ist wahr, und beides folgt aus derselben Entwicklung.