Vertrauen im Zeitalter der Desinformation

In der Realität sind Anwender, Kunden, Investoren sowie die Geschäftsleitung von Unternehmen heute vielfachen Möglichkeiten von Täuschungsmanövern ausgesetzt. Seit Jahren wird vor den Auswirkungen von Deepfakes gewarnt in Form von gefälschten CEOs in Videokonferenzen, geklonten Stimmen, die Zahlungen autorisieren und von betrügerischen E-Mails. Die Taktiken, um Menschen in die Irre zu führen, sind also nicht neu. Allerdings hat die KI seit ihrem Aufkommen  dazu geführt, dass Deepfakes kostengünstiger zu produzieren und schwerer zu erkennen sind sowie im normalen Geschäftsablauf weitaus überzeugender wirken.

Das hat zur Folge, dass Zero Trust-Prinzipien für den Umgang mit Informationen mittlerweile ebenso relevant sind wie für den Zugriff auf Daten. In der Cybersicherheit geht Zero Trust von der simplen Prämisse aus, dass keinem User, keinem Gerät, keiner Anwendung und keiner Anfrage standardmäßig ohne Verifikation vertraut werden darf. Im Zeitalter von KI-generierten Falschinformationen müssen Unternehmen diese Denkweise auch auf die innerhalb ihres Unternehmens zirkulierenden Informationen anwenden.

Die neue Vertrauenskrise

Angestellte, Kunden, Investoren und Partner treffen ihre Entscheidungen auf der Grundlage dessen, was sie sehen, lesen und hören. Sind diese Informationen falsch, manipuliert oder aus dem Zusammenhang gerissen, kann dies zu Verwirrung und wirtschaftlichem Schaden führen. Deshalb müssen Falschinformationen, Desinformationen und Fehlinformationen als geschäftliches Risiko behandelt werden.

Falschinformationen, also falsche Inhalte, die sich ohne vorsätzliche Absicht verbreiten, waren schon immer ein Problem. Desinformationen, die gezielt zur Täuschung erstellt werden, lassen sich heute leichter und in größerem Umfang verbreiten als je zuvor. Und Fehlinformationen, die aus dem Kontext gerissen und als Waffe eingesetzt werden, sind möglicherweise die heimtückischste Form dieser Betrugsmasche.

Ein Wettbewerber, eine kriminelle Gruppierung oder eine Aktivistenkampagne muss nicht mehr in ein Netzwerk eindringen, um ernsthaften Schaden anzurichten. Sie können die mit einer Organisation verbundenen Personen beeinflussen, indem sie steuern, was diese Menschen sehen und glauben.

Für Unternehmen ist diese Situation besonders bedrohlich, da ein Problem gespiegelt wird, mit dem bereits Einzelpersonen zu kämpfen haben. In einem Umfeld, das mit KI-generierten Inhalten übersättigt ist, gelten für Unternehmen die gleichen Vorsichtsmaßnahmen zum Schutz wie für Privatpersonen. Sie müssen zunächst innehalten und die Ruhe bewahren, bevor sie reagieren. Sie müssen die Quelle hinterfragen und überprüfen, bevor sie handeln. Unternehmen müssen diese Gewohnheiten in ihre Arbeitsweise integrieren. Denn im Grunde ist ist das Urvertrauen zu einer Schwachstelle geworden und erfordert ein Umdenken und eine Umgestaltung etablierter Prozesse.

Die Bedeutung von verifiziertem Trust

An dieser Stelle bekommt eine Zero Trust-Strategie besondere Bedeutung. Bislang haben Unternehmen Zero Trust unter dem Gesichtspunkt des Least Privilege-Prinzips betrachtet und dafür gesorgt, dass nur autorisierte User Zugriff auf die richtigen Anwendungen haben – und nicht mehr. In einer KI-gesteuerten Informationsumgebung muss dieses Prinzip jedoch weiterentwickelt werden. Unternehmen können sich nicht mehr nur darauf konzentrieren, wer Zugriff anfordert. Sie müssen auch prüfen, welche Informationen genutzt werden, welche Aktionen durchgeführt werden und ob die Absicht hinter der Aktion vertrauenswürdig ist.

Der nächste Schritt muss demnach über die Authentifizierung hinausgehen und sich mit der Überprüfung der Echtheit von Informationen befassen. Dabei werden Fragen gestellt wie: „Sind diese Informationen verifiziert?“, „Ist dieses Bild echt oder von einer KI generiert?“ und „Wurde dieser Inhalt bearbeitet?“.

Zero Trust bietet Unternehmen einen Rahmen zur Beantwortung dieser Fragen. Es zwingt sie dazu, Informationen zu überprüfen, bevor sie handeln und Risiken, wo immer möglich, zu begrenzen. Die Gefahr, dass falsche, manipulierte oder aus dem Zusammenhang gerissene Informationen ungeprüft durch das Unternehmen zirkulieren, lässt sich dadurch verhindern.

Standardisierungsgremien wie die C2PA (Coalition for Content Provenance and Authenticity) zeigen die Richtung dieser Entwicklung auf: eine Zukunft, in der die Herkunft und Integrität von digitalen Inhalten verankert sind. Vergleichen lässt sich das mit dem Vorhängeschloss im Browser, das die Sicherheit der Verbindung anzeigt. Vertrauen wird also nicht mehr etwas sein, das Unternehmen überprüfen müssen. Es wird etwas sein, das mit den Informationen mitwandert, da die Herkunft die Verifizierungen beeinflußt. Somit wird jeder Inhalt zu einem Signal in einem fortlaufenden Vertrauensentscheidungsprozess.

Vertrauen im Zeitalter von KI-Agenten

Mit dem Einzug von KI-Agenten in die Arbeitswelt ist die Vertrauensfrage noch dringlicher geworden. Diese Agenten agieren zunehmend wie ein weiterer Mensch, der an unserer Seite arbeitet. Sie ahmen unser Verhalten nach, etwa beim Lesen von Dokumenten, bei der Auswertung von Daten, beim Treffen von Entscheidungen und beim Ausführen der Handlungen. Der Unterschied besteht jedoch darin, dass diese nicht-menschlichen Identitäten mit maschineller Geschwindigkeit agieren. Eine Überprüfung in menschlichem Tempo kann da nicht Schritt halten.

Das bedeutet, dass KI-Agenten von Anfang an nach dem Zero Trust-Prinzip gesteuert werden müssen.

Einem Agenten sollte nicht allein deshalb vertraut werden, weil er sich innerhalb des Unternehmens befindet, von einem User genehmigt wurde oder mit Unternehmenssystemen verbunden ist. Stattdessen müssen seine Identität, Berechtigungen, sein Verhalten und seine Ergebnisse kontinuierlich überprüft werden.

Ebenso wichtig ist es, Agenten nach dem Least Privilege-Prinzip zu steuern und es auf das Prinzip der geringsten Information und Funktion auszuweiten. Dabei wird nur der für eine bestimmte Aufgabe erforderliche Mindestzugriff auf einen minimalen Datensatz erlaubt und auf einen Mindestfunktionsumfang limitiert.

Agenten stellen jedoch eine weitere Herausforderung in Punkto Vertrauen dar, die sich nicht allein durch Identitätsmanagement lösen lässt. Unternehmen müssen wissen, ob sie es mit einem Menschen oder einer Maschine zu tun haben, ob sich ein Agent verantwortungsbewusst verhält und ob seine Handlungen die Werte und Grenzen der Organisation widerspiegeln. Im Grunde müssen Unternehmen eine Betriebsverfassung einführen, an der Agenten kontinuierlich gemessen werden. In Zeitalter der KI müssen Unternehmen zudem Informationen, Inhalte, Absichten, Verhalten und Handlungen in Echtzeit und kontinuierlich hinterfragen. Die Identität wird nämlich in der Regel nur beim Zugang zur „Haustür“ überprüft. Angesichts des Ausmaßes dieser Aufgabe wird KI ebenso erforderlich sein, um zu prüfen, zu kennzeichnen und zu steuern und die Vertrauenskette intakt zu halten.

Vertrauen als strategisches Element

Erfolgreiche Unternehmen betrachten Vertrauen nicht als selbstverständlich, sondern als etwas, das aktiv gestaltet werden muss. Falschinformationen, Desinformationen und Fehlinformationen stellen eine Herausforderung für die Sicherheit, die Resilienz und die Unternehmensführung dar. Angetrieben durch die Fähigkeiten der KI lässt sich diese Aufgabe immer schwerer ignorieren.

Es gilt in Bezug auf Authentizität dieselbe Disziplin an den Tag zu legen, die sie schon immer beim Zugriff auf Informationen angewandt haben. Letztlich schreibt die Technologie ihnen vor, wie Informationen erstellt, geteilt und umgesetzt werden. Das bedeutet, Inhalte zu überprüfen, Absichten zu hinterfragen und die Fähigkeiten von KI-Systemen auf das zu beschränken, was sie tatsächlich leisten müssen.

Vertrauen darf nicht länger nur die Standardeinstellung sein. Stattdessen muss es im heutigen Geschäftsumfeld eine kontinuierlich und in Maschinen-Geschwindigkeit getroffene Entscheidung über Informationen, Absichten, Verhalten und Handlungen hinweg sein. Die gute Nachricht ist, dass mit Zero Trust bereits ein Framework existiert. Was sich jedoch ändern muss, ist die Art und Weise, wie Unternehmen diesen Sicherheitsansatz anwenden: Sie müssen den Anwendungsbereich auf Informationen, Absichten, Verhalten und Handlungen ausweiten.