Cyber Threat Intelligence gegen KI-Angriffe

Cyberkriminelle, neue Bedrohungen und Angriffsvorlagen kursieren ständig in Untergrundforen und auf Darknet-Marktplätzen. Je mehr wir über Cyberbedrohungen wissen, desto besser können wir ihnen begegnen. Cyber Threat Intelligence bezeichnet konkret das Sammeln, Auswerten und Weitergeben von Informationen über aktuelle und potenzielle Angriffe auf Ihr Unternehmen. Diese Erkenntnisse geben SOC-Teams und CISOs das nötige Rüstzeug gegen Angreifer, die künstliche Intelligenz und kommerzielle Phishing-Plattformen als Waffe einsetzen.

Die Zahlen zeigen, wie stark sich diese Bedrohungen allein im vergangenen Jahr verändert haben. KI-gestützte Phishing-Angriffe sind seit 2022 laut Forschenden um 4.151 % gestiegen. Phishing-as-a-Service-Plattformen wie EvilProxy und Darcula haben die Zahl der Phishing-Kampagnen um 29 % in die Höhe getrieben und machen professionelle Täuschung für jeden zugänglich, der ein monatliches Abo bezahlt. Gleichzeitig kostet eine Datenpanne Unternehmen inzwischen durchschnittlich 4,44 Millionen US-Dollar, und Stealer Logs, mit denen sich Firmenpasswörter abgreifen lassen, werden im Darknet für etwa 10 US-Dollar pro Stück verkauft. Diese Zahlen zeigen, wie grundlegend sich die Funktionsweise der Cyberkriminalität verändert hat. Cyber Threat Intelligence ist damit vom Zusatz zur Notwendigkeit geworden.

Cyber Threat Intelligence und das Wettrüsten mit der KI

Künstliche Intelligenz ist für die Cybersicherheit ein zweischneidiges Schwert, doch eine der beiden Klingen ist erkennbar schärfer als die andere. Erst kürzlich hat ein einzelner Angreifer das KI-Tool Claude missbraucht und damit 150 GB sensibler Daten der mexikanischen Regierung gestohlen. Ein einzelner Mann entwickelte Tausende automatisierte Phishing-Strategien und erbeutete 195 Millionen Steuerdatensätze. Dafür brauchte es kein ausgebildetes, finanziertes Profi-Hackerteam, sondern nur einen Mann und einen kostenlosen Chatbot.

Andere Cyberkriminelle verschärfen die Lage mit KI-generierten Phishing-Mails und Deepfake-Angriffen. Schädliche KI-Tools wie WormGPT und FraudGPT, die in einschlägigen Foren kursieren, liefern leistungsstarke Phishing-Kits, die Schutzmaßnahmen umgehen und ihre Ziele empfindlich treffen.

Bei so niedrigen Einstiegshürden belastet allein die Menge an KI-generierten Angriffen die SOC-Teams enorm. Immer mehr Sicherheitsexperten bekämpfen Feuer mit Feuer und setzen selbst KI und Automatisierung zur Abwehr ein. Intelligente Tools verkürzen die Reaktionszeit bei Sicherheitsvorfällen und senken die durchschnittlichen Kosten einer Datenpanne im Vergleich zu Unternehmen, die solche Lösungen nicht nutzen.

Die Epidemie der gestohlenen Zugangsdaten

Gestohlene Zugangsdaten sind für Sicherheitsteams eine dauerhafte Bedrohung, die Cyberkriminelle inzwischen im industriellen Maßstab ausnutzen. Infostealer wie Redline, Raccoon und Lumma sammeln auf infizierten Rechnern unbemerkt gespeicherte Passwörter, Session-Cookies, Autofill-Daten und Kryptowallets ein und bündeln alles in strukturierten Dateien, den sogenannten Stealer Logs. Diese mit Zeitstempel und Gerätekennung versehenen Datenpakete verkaufen und tauschen Bedrohungsakteure auf Darknet-Marktplätzen und in Telegram-Kanälen, oft schon wenige Stunden nach der Infektion. Ein einziges Log legt die Zugangsdaten zu Dutzenden Unternehmensanwendungen offen und verschafft Angreifern einen authentifizierten Zugang, ohne dass sie ein einziges Passwort knacken müssen.

Am Anfang der Angriffskette steht meist Social Engineering: Eine überzeugende Phishing-Mail, ein gefälschter Software-Download oder eine schädliche Anzeige verleiten Mitarbeitende dazu, die Schadsoftware des Infostealers auszuführen. Die Malware arbeitet im Verborgenen und stiehlt Zugangsdaten, noch bevor ein Endpoint-Alarm anschlägt. Mit gestohlenen Session-Cookies umgehen die Angreifer die Multi-Faktor-Authentifizierung vollständig. Ransomware-Angriffe, Business Email Compromise und der Diebstahl geschützter Daten lassen sich häufig auf ein einziges Stealer Log zurückführen, das in einem Untergrundforum für wenige Dollar gekauft wurde.

Oft nehmen Angreifer gezielt VIPs und Führungskräfte eines Unternehmens ins Visier und nutzen Hierarchien aus, um die Wirkung eines Angriffs zu maximieren. Über den Diebstahl von Zugangsdaten hinaus greifen sie öffentlich erreichbare Systeme mit Malware an, die sich schneller weiterentwickelt, als signaturbasierte Erkennung mithalten kann. Täglich setzen sie rechtsverletzende Domains auf, um bekannte Marken zu imitieren, und handeln in privaten Foren mit Exploits, bevor die Patches bei den Verteidigern ankommen. Nur die Überwachung von Surface Web, Deep Web und Darknet kann das gesamte Spektrum dieser Aktivitäten abdecken.

Was Cyber Threat Intelligence leistet

Gut geschützte Unternehmen setzen auf Cyber Threat Intelligence, um solchen Kampagnen proaktiv zu begegnen. Eine wirksame Intelligence-Lösung besteht aus drei eigenständigen, aber miteinander verzahnten Phasen. Zunächst durchsuchen automatisierte Collector rund um die Uhr Foren der Kriminellen, Marktplätze und technische Feeds. Individuell festgelegte Bedrohungsparameter sorgen dafür, dass Unternehmen nur Meldungen erhalten, die für ihre Branche und ihren Technologie-Stack relevant sind. So entsteht keine Alarmmüdigkeit, und echte Bedrohungen behält man dennoch im Blick.

Danach prüfen erfahrene Analysten alle Bedrohungen, sortieren Fehlalarme aus und ergänzen den Kontext. Jede Meldung sollte die Motive der Angreifer, bisherige Muster, beobachtete Taktiken und empfohlene Gegenmaßnahmen enthalten. Dadurch wird aus einer bloßen Benachrichtigung ein Instrument zur Entscheidungsunterstützung, auf dessen Grundlage SOC-Verantwortliche sicher handeln können.

Im dritten Schritt wird gehandelt. Direkte Unterstützung bei der Eindämmung von Bedrohungen, vom Zurücksetzen von Zugangsdaten bis zu koordinierten Takedowns, sorgt dafür, dass aus Erkenntnissen praktische Maßnahmen werden. Wer seine Reaktionen auf Cyber Threat Intelligence stützt, schützt sein Unternehmen besser vor Diebstahl, Identitätsmissbrauch und Angriffen.

Fortgeschrittene Erkennungsmethoden

Wirksame Bedrohungserkennung geht über Stichwortsuchen und Bildabgleiche hinaus. Cyber-Threat-Analysten setzen zusätzlich Hash-Korrelation, Kampagnen- und Akteursprofile sowie den Abgleich von Indicators of Compromise ein. Wer einfache und fortgeschrittene Methoden kombiniert, kann Phishing-Kampagnen und raffinierte digitale Identitätsfälschungen erkennen, bevor sie zuschlagen.

Entscheidend ist: Dynamische Angriffe erfordern dynamische Lösungen, und nur mit ständiger Weiterentwicklung gelingt der Schutz. Wer seine Bedrohungsabfragen laufend verfeinert, steigert mit der Zeit die Trefferquote. Sobald Analysten Angriffsmuster aufdecken, passen sie ihre Suchmethoden an, um neue Varianten zu erfassen. Durch wöchentliche Updates der Erkennungslogik wird die Intelligence kontinuierlich besser, statt stehen zu bleiben. Für CISOs, die Investitionen in Intelligence betriebswirtschaftlich begründen müssen, spricht dieser wachsende Nutzen für eine nachhaltige, langfristige Strategie.

Der strategische Wert von Cyber Threat Intelligence

Für CISOs, die dem Vorstand berichten, bedeutet Cyber Threat Intelligence eine messbare Risikoreduzierung, die sich in konkreten Geschäftszahlen ausdrücken lässt. Die Größenordnungen, sowohl bei vertraulichen Daten in Bytes als auch bei den Summen in Dollar, summieren sich. Erkenntnisse, die auch nur eine einzige Datenpanne verhindern, rechtfertigen den Aufwand für ein ganzes Intelligence-Programm oft um ein Vielfaches.

Für SOC-Verantwortliche verringert Intelligence das Rauschen, das Analysten überfordert. Wer Fehlalarme herausfiltert und echte Bedrohungen priorisiert, richtet die Energie seines Teams auf die Angriffe, auf die es ankommt. In einer Lage, in der Have I Been Pwned jedes Jahr Millionen gestohlener Passwörter hinzufügt und KI-Chatbots den Zugang zu Gigabytes an Regierungsdaten liefern, brauchen Teams alle verfügbaren Mittel, um ihr Unternehmen zu schützen.

Fazit: Intelligence als Fundament moderner Sicherheit

KI-gestützte Angriffe lassen nicht nach, und es ist nur eine Frage von Stunden, bis die nächste Attacke Schlagzeilen macht. Da Phishing-as-a-Service und der Diebstahl von Zugangsdaten weiter zunehmen, hilft Cyber Threat Intelligence Unternehmen, einen Schritt voraus zu bleiben.

Für Sicherheitsteams, die von reaktiv auf proaktiv umstellen wollen, macht Intelligence die Spielzüge des Gegners sichtbar. Hier können Sie eine kostenlose Demo anfordern und mehr über unsere X-RAY Threat Intelligence Plattform und maßgeschneiderte Intelligence-Lösungen für Ihr Sicherheitsteam erfahren.
Content