KI-Angriffe auf KRITIS: Was der Brief bedeutet

Was konkret passiert ist

OpenAI hat gemeinsam mit mehr als 100 Unternehmen — darunter Microsoft, Google, Anthropic, Deutsche Telekom und SAP — einen offenen Brief veröffentlicht, der KI-gestützte Cyberangriffe auf kritische Infrastruktur als systemische Bedrohung einordnet. Die Koalition warnt ausdrücklich vor Angriffen auf Krankenhäuser, Energieversorger und weitere KRITIS-Sektoren. Gleichzeitig fordern die Unterzeichner, dass Regierungen KI-basierte Cyberverteidigung aktiv fördern und regulatorische Rahmenbedingungen schaffen, die den Einsatz defensiver KI-Systeme nicht unnötig erschweren. Konkrete Angriffstechniken oder CVE-Nummern werden in der veröffentlichten Fassung laut aktueller Berichtslage nicht genannt — der Brief ist strategischer Natur und richtet sich an politische Entscheider.

Warum das weit über KRITIS hinausgeht

Die öffentliche Diskussion fokussiert sich auf Krankenhäuser und Stromnetze — das greift zu kurz. KI-gestützte Angriffe verändern die Bedrohungslage für jeden Sektor, der digitale Systeme betreibt.

Beispiel Fertigung: Mittelständische Maschinenbauer betreiben zunehmend vernetzte Produktionsanlagen (OT/IT-Konvergenz). KI-Systeme können automatisiert Schwachstellen in SCADA-Umgebungen oder ungeschützten SPS-Schnittstellen identifizieren und ausnutzen — mit einer Geschwindigkeit und Skalierbarkeit, die menschliche Angreifer nicht erreichen. Ein erfolgreicher Angriff bedeutet Produktionsausfall, Lieferverzug und im Extremfall physische Schäden an Anlagen.

Beispiel Bildungssektor: Universitäten und Forschungseinrichtungen verwalten sensible Forschungsdaten und sind historisch schwach im Patch-Management. KI-gestützte Phishing-Kampagnen — personalisiert auf Basis öffentlich zugänglicher Daten aus LinkedIn oder Publikationsdatenbanken — erzielen nachweislich höhere Klickraten als generische Angriffe. Der Schaden entsteht nicht nur durch Datenverlust, sondern durch den Abfluss von Forschungsergebnissen mit wirtschaftlichem oder geopolitischem Wert.

Das wirtschaftliche Risiko ist messbar: KI senkt die Einstiegshürde für Angreifer signifikant. Aufgaben, die bisher Spezialisten erforderten — Reconnaissance, Exploit-Anpassung, Social Engineering in Landessprache — lassen sich heute teilautomatisiert durchführen. Verteidiger müssen mit denselben Mitteln antworten, oder sie verlieren strukturell an Boden.

Rechtlicher Rahmen: Was wirklich greift

Für KI-Systeme, die in der Cyberverteidigung eingesetzt werden, ist der EU AI Act relevant: Art. 15 fordert Genauigkeit, Robustheit und Cybersicherheit für Hochrisiko-KI-Systeme — eine Kategorie, in die defensive KI-Anwendungen im KRITIS-Umfeld fallen können. Art. 13 verlangt Transparenz über die Funktionsweise, was für automatisierte Angriffserkennung und -reaktion konkrete Dokumentationspflichten erzeugt.

Im Finanzsektor greift zusätzlich DORA: Art. 8 verpflichtet Finanzinstitute zur kontinuierlichen IKT-Risikobewertung, explizit einschließlich neuer Bedrohungsvektoren. Art. 24–27 regeln Resilience-Testing — wer KI-gestützte Angriffe nicht in seine Threat-Led Penetration Tests (TLPT) einbezieht, erfüllt die Anforderung formal, aber nicht materiell. Art. 28–30 verpflichten zur Steuerung von Drittanbieter-KI-Systemen, was den Einkauf externer KI-Sicherheitslösungen regulatorisch einhegt.

NIS2 (umgesetzt durch das nationale KRITIS-Dachgesetz) verpflichtet betroffene Einrichtungen zu technischen Maßnahmen, die dem Stand der Technik entsprechen — und KI-gestützte Angriffserkennung ist mittlerweile als Stand der Technik diskutierbar, nicht mehr als Luxus.

Handlungsempfehlungen

Für jeden Betreiber digitaler Systeme:

1. Sofort (72 Stunden): Prüfen Sie, ob Ihre bestehenden Erkennungssysteme (EDR, SIEM) regelbasiert oder KI-gestützt arbeiten. Rein regelbasierte Systeme erkennen polymorphe, KI-generierte Angriffsmuster strukturell schlechter. CrowdStrike Falcon und SentinelOne Singularity bieten verhaltensbasierte Erkennung, die weniger auf statische Signaturen angewiesen ist. Microsoft Defender for Endpoint ist für Organisationen im M365-Ökosystem ein direkter Einstieg.
2. Innerhalb von 14 Tagen: Führen Sie eine Bestandsaufnahme exponierter Angriffsflächen durch — insbesondere öffentlich erreichbare Systeme und privilegierte Konten. Nutzen Sie Vulnerability-Management-Plattformen (Tenable, Qualys) für ein priorisiertes Asset-Inventar. KI-gestützte Angriffe beginnen fast immer mit Reconnaissance auf genau diesen Oberflächen.
3. Im nächsten Planungszyklus: Integrieren Sie KI-Bedrohungsszenarien in Ihre Tabletop-Übungen oder Incident-Response-Tests. Szenarien: automatisierter Spear-Phishing-Angriff auf Führungskräfte, KI-generierter Code in Supply-Chain-Angriff. Dokumentieren Sie die Ergebnisse im ITSM und leiten Sie daraus konkrete Maßnahmen ab.

Zusätzlich für regulierte Branchen:

1. Finanzinstitute sollten ihre TLPT-Scope-Definitionen (DORA Art. 26) um KI-gestützte Angriffsvektoren erweitern und dies mit der zuständigen Aufsichtsbehörde abstimmen. Eine TLPT-Durchführung, die KI-Angriffstechniken systematisch auslässt, erzeugt ein dokumentierbares Residualrisiko, das im nächsten Audit-Zyklus erklärungsbedürftig wird.
2. Für den Einsatz externer KI-Sicherheitslösungen (z. B. KI-SIEM, automatisierte SOC-Systeme) ist eine Auslagerungsanalyse nach MaRisk AT 9 bzw. DORA Art. 28–30 erforderlich — inklusive Exit-Strategie und Risikokonzentrations-Prüfung, wenn der Anbieter marktdominant ist.

Was wir kritisch sehen

Ein offener Brief, der von denselben Unternehmen unterzeichnet wird, die KI-Systeme kommerziell vertreiben, hat ein strukturelles Glaubwürdigkeitsproblem: Die Forderung nach mehr KI-Einsatz in der Verteidigung deckt sich zufällig mit dem Geschäftsmodell der Unterzeichner. Das muss die inhaltliche Warnung nicht falsch machen — aber Entscheider sollten den Brief als Interessenartikulation lesen, nicht als neutrales Expertengutachten. Kritischer Befund: Die Koalition benennt das Angriffsproblem präzise, bleibt aber bei konkreten Lösungsvorschlägen bewusst vage — was politisch taktisch klug, für operative Sicherheitsverantwortliche jedoch wenig hilfreich ist. Zudem wird das Risiko der eigenen KI-Verteidigungssysteme als Angriffsziel — Modellmanipulation, Prompt Injection in SOC-Systeme, Adversarial Inputs — im öffentlichen Diskurs systematisch unterbelichtet.