NCSC warnt vor „beispiellosem Anstieg" von Cyberangriffen in Großbritannien

Die Warnung schließt an eine Mitteilung der Geheimdienstallianz Five Eyes vom Juni an, wonach KI sowohl offensive als auch defensive Cyberfähigkeiten grundlegend verändern werde. „Der Zeithorizont sind nicht Jahre, es sind Monate", hieß es damals.

Als Beleg dafür, dass dieser Wandel bereits im Gange ist, verweisen Verantwortliche auf die stark steigende Zahl von Schwachstellen, die von Herstellern aufgedeckt werden. Die Entwicklung beschleunige sich, auch wenn Fachleute bislang keinen entsprechenden Anstieg der tatsächlichen Ausnutzung beobachtet hätten. „Große Technologieanbieter beheben inzwischen Hunderte von Schwachstellen in einem einzigen Update … und allein das Linux-Kernel-Projekt hat im vergangenen Monat mehr als tausend Schwachstellen gepatcht", wird Horne sagen. KI ermögliche es, Schwachstellen schneller denn je zu finden und zu beheben.

Zugleich bleibt das Risiko durch Angreifer, die die Technik einsetzen, erheblich. Das NCSC hält es für „sehr wahrscheinlich", dass bis 2028 KI-gestützte Schadsoftware bei einem Ransomware-Angriff auf die kritische Infrastruktur Großbritanniens eingesetzt wird. Bis zu diesem Zeitpunkt würden auch China und Russland „routinemäßig" KI in ihren Cyberoperationen verwenden.

Der Jahresbericht betont, KI habe „diese Sicherheitsschwächen nicht geschaffen", sondern lege „jahrelange technische Schulden und das Versäumnis, selbst grundlegende Cyberschutzmaßnahmen umzusetzen", offen. Selbst Angriffe, die staatlich gesteuerten Akteuren zugeschrieben werden, seien häufig über aus dem Internet erreichbare Anwendungen erfolgt und hätten „Schwachstellen ausgenutzt, für die Patches verfügbar sind, die aber nicht hinreichend zeitnah eingespielt wurden".

Horne äußert sich im Nachgang zum offiziellen Haushalt der britischen Regierung, in dem Pläne für eine Konsultation darüber bekannt wurden, ob Technologieunternehmen für Sicherheitsvorfälle haftbar gemacht werden sollen, die durch unsichere Produkte verursacht werden. Er nimmt dabei die etablierten Geschäftspraktiken ins Visier, die zur heutigen, verbreiteten Verwundbarkeit geführt hätten. „Jahrzehntelang sind wir alle damit durchgekommen, Technik auf die billige Tour zu machen", wird er sagen — mit Blick auf Organisationen, die Systeme nach dem Ende ihres Lebenszyklus weiterbetreiben und Aktualisierungen aus Gründen der „Kosteneffizienz" hinauszögern.

Führungskräfte, die nicht handelten, müssten am Ende „ihren Investoren, Aktionären, Beschäftigten, Kunden und Lieferanten in die Augen sehen und erklären …, wenn keine Lebensmittel in den Regalen liegen, das Licht nicht angeht, Unternehmen pleitegegangen sind".

Bereits im vergangenen Jahr hatte das NCSC öffentlich eine „strategische politische Agenda" gefordert, nachdem Bemühungen gegen unsichere Technik ins Stocken geraten waren. Technikchef Ollie Whitehouse schrieb damals, „die Realität ist, dass wir 2025 wissen, wie man sichere Produkte und Dienste baut", doch „die geschäftlichen und kommerziellen Anreize, die Einführung und Aufrechterhaltung sicherer Lösungen zu fördern, reichen nicht aus".

KI gegen KI

Der Bedrohung durch KI lasse sich begegnen, so Horne, der darlegt, wie die britische Regierung — darunter das NCSC als Teil des Nachrichtendienstes GCHQ — die Technik zu Sicherheitszwecken einsetzen will. „KI hat das Potenzial, eine der größten Chancen in der Cyberabwehr zu sein", wird er sagen. Dem Bericht zufolge testet die Regierung bereits moderne KI-Systeme, um Schwachstellen in den eigenen Netzen aufzuspüren.

Eine dieser Initiativen, Project DROMOS, war ursprünglich als vierwöchiges Pilotprojekt geplant und wurde anschließend auf produktive Regierungsumgebungen ausgeweitet. Dort fand sie „Hunderte potenzieller Sicherheitsprobleme, darunter kritische Schwachstellen".

Als Nächstes will die Behörde über die Regierungssysteme hinausblicken: Für 70 Millionen Pfund (93 Millionen Dollar) entsteht das NERV Centre — das National Exposure and Real-Time Vulnerability Centre. Es soll mit KI auf bestehenden NCSC-Projekten aufbauen, um „Schwachstellen in unserer kritischen Infrastruktur und Wirtschaft zu identifizieren".

Weitere 60 Millionen Pfund (80 Millionen Dollar) fließen in die erste Phase von Cyber Shield, einem nationalen Netz von KI-Agenten, das im Juli erstmals vorgestellt wurde. Es werde „hochmoderne agentische KI in eine Cyberabwehr in Maschinengeschwindigkeit auf nationaler Ebene einbetten", wird Horne erklären. Das NCSC stellt dabei die Plattform und die Bedrohungsinformationen bereit, während Sicherheitsunternehmen und Open-Source-Entwickler die KI-Agenten bauen, die in Organisationen im ganzen Land laufen sollen. Die erste Phase konzentriert sich laut Bericht auf das Erkennen und Blockieren von Angriffen.

Insgesamt geht das NCSC davon aus, dass der „strukturelle Vorteil bei den Verteidigern bleiben wird", während KI die Cybersicherheit verändert. Verteidiger seien es, die „die Umgebung besitzen oder betreiben, sie instrumentieren, sie verändern und akzeptables Verhalten definieren können". Doch, so die Einschränkung: „Dieser Vorteil ist nicht selbstverständlich, und ihn zu realisieren erfordert klare Richtung, Investitionen und disziplinierte Umsetzung."