Ein Mann benutzt eine Deepfake Maske
02.01.2020
  • Drucken

Social Engineering heißt die Gefahrenquelle. Erlangen Angreifer durch die soziale Manipulation von Mitarbeitern Zugang zu unternehmenskritischen Systemen und Daten, sind die besten Sicherheitsvorkehrungen nutzlos. Mit Abstand am häufigsten treten Betrugsversuche mit Phishing-Mails auf. Beliebt bei Hackern ist der gezielte Angriff auf wenige Personen per E-Mail, das Spear-Phishing. Aber auch die Gefahr des Vishings, also von Angriffen via Telefon, sollte nicht unterschätzt werden. Noch komplexer wird die Bedrohungslage durch Deepfakes.

Drei beliebte Angriffsszenarien

Bei Deepfakes, abgeleitet aus den Begriffen Deep Learning und Fake, handelt es sich um manipulierte Bilder, Videos oder Audio-Files. Die dahinterstehenden Technologien wie Künstliche Intelligenz und Machine Learning sorgen dafür, dass kaum mehr Original von Fälschung zu unterscheiden ist. Unternehmen sollten die Gefahr durch Deepfakes deshalb nicht unterschätzen. Nach Einschätzung von NTT Security sind folgende Angriffsszenarien zu beachten:

  • C-Level-Fraud: Betrüger versuchen nicht mehr, einen Mitarbeiter einer Firma mit einer fingierten E-Mail zu überzeugen, beispielsweise Geld zu überweisen, sondern durch ein Telefonat, bei dem der Anrufer sich so wie der CFO oder CEO anhört.
  • Erpressung: Mit der Deepfake-Technologie können Gesichter und Stimmen in Mediendateien übertragen werden, die Personen dabei zeigen, 
wie sie gefälschte Aussagen treffen. 
So könnte zum Beispiel ein Video mit einem CEO erstellt werden, der bekannt gibt, das Unternehmen habe alle Kundendaten verloren oder stehe kurz vor einer Insolvenz. Mit der -Drohung, dieses Video an die Medien zu schicken oder es in sozialen Netzwerken zu posten, könnte ein Angreifer die Firma erpressen.
  • Manipulation von Authentifizierungsverfahren: Die Technologie kann auch genutzt werden, um kamera-basierte Authentifizierungsmechanismen zu umgehen, etwa die Legitimationsprüfung über Postident.

Security-Awareness-Trainings helfen

Es ist wahrscheinlich, dass Deepfakes deutlich an Bedeutung gewinnen, da die eingesetzten Machine-Learning-Methoden ständig optimiert werden und die Realisierung längst nicht mehr zeitaufwendig und teuer ist. So können Video-Deepfakes mit frei verfügbarer Software wie FakeApp erstellt werden. Für Audio-Deepfakes „lernen“ Tools wie Lyrebird in nur wenigen Minuten, beliebige Stimmen nachzuahmen.

Da die technischen Möglichkeiten zum Schutz vor Deepfakes begrenzt sind, ist sicherheitsbewusstes Verhalten der Mitarbeiter entscheidend. Security-Awareness-Trainings sind unverzichtbar – wichtig ist, dabei individuell und firmenspezifisch auf mögliche Angriffe einzugehen. Generische Trainings werden von Mitarbeitern in der Regel als lästige Pflichtveranstaltung angesehen und haben nicht den gewünschten Erfolg. Eventuell sollte ein Training basierend auf einem Profiling aus Sicht eines potenziellen Angreifers in Betracht gezogen werden. Gleichzeitig sollte die Entwicklung technischer Abwehrmaßnahmen im Blick bleiben. So wird gegenwärtig beispielsweise an Applikationen zur Erkennung von Deep-fakes gearbeitet. NTT Security kooperiert in diesem Bereich mit allen relevanten Herstellern.

Zur Person

Porträt von David Wollmann

David Wollmann

ist Executive Consultant bei NTT Security

02.01.2020
  • Drucken
Zur Startseite