Security News Folge 30

Hallo und herzlich willkommen! Schön, dass Sie wieder dabei sind!

Ein aktueller Sicherheitshinweis aus dem Verfassungsschutz, Manipulationsversuche bei Video-Ident-Verfahren, Risiken durch die Nutzung von KI im Finanzbereich, Neues zu Software Bill of Materials (SBOM) und ein Notfallleitfaden zu Vorfällen mit autonomen KI-Systemen, auch die neue Ausgabe ist randvoll gefüllt mit spannenden Neuigkeiten aus der Cybersicherheit.

Jetzt reinhören, abonnieren und mit Sicherheit immer gut informiert sein, in weniger als zehn Minuten!

Los geht es einem aktuellen Sicherheitshinweis für die Wirtschaft:

Das Bundesamt für Verfassungsschutz warnt davor, dass die Sicherheits- und Verteidigungsbranche im Zentrum von Angriffen ist. Die Sicherheits- und Verteidigungswirtschaft steht traditionell besonders im Fokus sowohl von ausländischen Nachrichtendiensten als auch von extremistischen Akteuren. Die russische Invasion in der Ukraine und das dynamische Konfliktgeschehen im Nahen und Mittleren Osten erhöhen die Gefährdungslage. Das gilt mit Blick auf die strategische Aufklärung, die verdeckte Beschaffung von militärischen Technologien und einschlägigem Know-how, aber auch gezielte Einflussnahme und Sabotagehandlungen.

Der Sicherheitshinweis ordnet die aktuelle Gefährdungslage für Unternehmen der Sicherheits- und Verteidigungswirtschaft durch Spionage, Sabotage, Cyberangriffe und Sanktionsumgehung ein und gibt praktische Empfehlungen, mit denen Personal- und (IT-)Sicherheitsverantwortliche sowie Beschäftigte eigenverantwortlich das eigene Schutzniveau erhöhen können.

Mehr dazu gibt es in den Shownotes.

Weiter geht es Injektionsangriffen auf Video-Ident:

Zum Hintergrund: Die Identitätsprüfung aus der Ferne wird immer beliebter. Sie gilt als bequeme Alternative zu Vor-Ort-Terminen bei Behörden und anderen Diensteanbietern. Beispiele sind etwa die Registrierung für Bankkonten, SIM-Karten, Gesundheits-ID oder ELSTER. Neben der Online-Ausweisfunktion (eID) mit PIN können sich Nutzerinnen und Nutzer zunehmend auch über einen Videokanal ausweisen. Dabei zeigen sie Ausweisdokument und Gesicht in die Kamera. Ob ein System vorab aufgenommene Videos oder Deepfakes von echten Live-Bildern unterscheiden kann, ist entscheidend für seine Vertrauenswürdigkeit.

Das Bundesamt für Sicherheit in der Informationstechnik macht deutlich: Injektionsangriffe sind eine zentrale Bedrohung für die videobasierte Fernidentifizierung. Zwar sollen die Systeme manipulierte Daten erkennen, eine genaue Prüfmethodik dieser Fähigkeit lag bislang jedoch nicht vor. Diese Lücke soll ein Leitfaden zur Evaluierung der Erkennung von Injektionsangriffen bei der Fernidentifikation schließen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) lädt Prüfstellen, Hersteller, Betreiber, Forschende und weitere Interessierte ein, die Entwurfsfassung bis zum 30. September 2026 zu kommentieren.

Sie finden den Link in den Shownotes.

Nun geht es um KI im Finanzbereich und einen Prüfkatalog zur Sicherheit:

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die finale Abschlussstudie zu einem Projekt über KI im Finanzbereich veröffentlicht. Ziel des Projekts ist es, einheitliche Prüfkriterien und Methoden zur Bewertung von KI-Systemen im Finanzsektor zu entwickeln und validieren. Die Studie adressiert die wachsende Bedeutung von Künstlicher Intelligenz für Prozesse, Entscheidungsfindung und Risikomanagement sowie die damit verbundenen neuen Herausforderungen für Aufsicht und Regulierung.

Im Mittelpunkt steht ein strukturierter Prüfkatalog, der regulatorische, operative und technische Perspektiven der KI-Prüfung zusammenführt. Ergänzend beschreibt und vergleicht ein Werkzeugkatalog geeignete Softwarelösungen zur systematischen Prüfung der Kriterien.

Die Inhalte basieren auf zwei realen Anwendungsfällen aus dem Finanzsektor. Das ist zum einen ein neuartiges, KI-basiertes Modell zur Einschätzung der Bonität von Kreditkunden. Zum anderen wurde eine automatisierte LLM-basierte Überprüfung von Nachhaltigkeitsberichten mit ESG-Daten betrachtet.

Die Inhalte wurden jedoch bewusst so strukturiert, dass sie auf andere Sektoren übertragbar sind. Der Prüfkatalog kann daher auch in anderen Domänen als Orientierung und Ausgangspunkt für eigene Prüfverfahren dienen, insbesondere bei vergleichbaren regulatorischen oder sicherheitskritischen Anforderungen.

Den Link gibt es in den Shownotes.

Weiter geht es mit Software-Bestandteillisten:

Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) hat in Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und weiteren internationalen Partnerorganisationen eine überarbeitete Version der “Minimum Elements for a Software Bill of Materials (SBOM)” herausgegeben. Das Dokument aktualisiert und erweitert die ursprüngliche Version von 2021 und reflektiert aktuelle Anforderungen an SBOMs. Die Überarbeitungen verbessern die Datenqualität und unterstützen ein breiteres Spektrum an SBOM-Anwendungsfällen. Die Aktualisierungen basieren auf Praxiserfahrungen aus den letzten Jahren.

Zum Hintergrund: Eine SBOM ist eine umfassende Liste mit allen Bestandteilen einer Software. Sie enthält Informationen zu eigenen oder fremden Komponenten. Dazu zählen etwa Bibliotheken, die in einer Software verwendet werden. Die SBOM wird automatisiert erstellt und liegt im Ergebnis als maschinenverarbeitbare Datei vor. Sie ist somit ein wichtiges Instrument zur transparenten Darstellung der Software-Lieferkette. Durch einen Abgleich mit Schwachstellendatenbanken und Security Advisories können effizient potentielle Schwachstellen in den eingesetzten Komponenten ermittelt und adressiert werden.

Mit dem Cyber Resilience Act (CRA) werden SBOMs auf dem europäischen Markt verpflichtend vorgeschrieben. Der CRA definiert sie als eine Grundlage für die Behandlung von Schwachstellen in Produkten mit digitalen Elementen.

Sie finden einen Link dazu in den Shownotes.

Nun berichten wir noch über einen Notfallleitfaden zu Vorfällen mit autonomen KI-Systemen:

Die Cloud Security Alliance (CSA) hat den Leitfaden „Hugging Face Incident Initial Post Mortem“ veröffentlicht, ein Strategiepapier, das Lehren aus dem ersten öffentlich dokumentierten vollständig autonomen Angriff zusammenfasst, bei dem OpenAI-Modelle aus ihrer Testumgebung ausbrachen, eine Zero-Day-Schwachstelle ausnutzten und die Produktionssysteme von Hugging Face kompromittierten, während sie versuchten, eine Benchmark-Bewertung zu manipulieren.

Das Briefing dokumentiert das beobachtete Verhalten des autonomen Angreifers, untersucht sowohl unmittelbare Reaktionsmaßnahmen als auch weitergehende systemische Erkenntnisse und leitet daraus praktische Handlungsempfehlungen für Sicherheitsverantwortliche ab. Es enthält eine Checkliste mit konkreten Maßnahmen, die Organisationen diese Woche, diesen Monat und dieses Quartal ergreifen sollten, sowie Empfehlungen zum Umgang mit rechtlichen und versicherungstechnischen Risiken.

Sie finden einen Link dazu in den Shownotes.

– Diese Folge wird Ihnen präsentiert von Marktplatz IT-Sicherheit und dem Angebot Top 5 Hacker-relevante Schwachstellen

Das wöchentliche Briefing zu den risikoreichsten Schwachstellen.

Mit den wöchentlich veröffentlichten Top 5 der Schwachstellen, die Hacker für ihre Angriffe hauptsächlich nutzen, liefern der Marktplatz IT-Sicherheit Anwendungsunternehmen wichtige Informationen darüber, wo schnelles Handeln von ihnen gefragt ist.

Dafür wurde ein neuartiger, Entscheidungsbaum-basierter Priorisierungsansatz entwickelt, der es Organisationen ermöglicht, ihre Ressourcen effektiv zuzuweisen, indem sie auf die risikoreichsten Schwachstellen ihren Fokus richten können, um sich gegen die aktuell vorhandenen Gefahrenpotentiale optimal zu schützen.

Dieser Ansatz wird auf Basis von über 100.000 Schwachstellen- und Bedrohungsinformationen trainiert. Er erweitert Industriestandards wie CVSS und EPSS, um das Echtzeitrisiko und den Kontext neuer Schwachstellen besser zu erfassen.

Sie finden den Link zu diesem Angebot von Marktplatz IT-Sicherheit sowie alle anderen Links zu dieser Folge in den Show-Notes zu diesem Podcast.

Das war es für heute.

Ich freue mich, wenn wir uns bald wieder hören und auf wichtigen Events sehen, besuchen Sie den Marktplatz IT-Sicherheit und abonnieren Sie diesen Podcast und die anderen Formate auf dem Marktplatz IT-Sicherheit! Hier werden Sie mit Sicherheit gut informiert! Das war Oliver Schonschek, der News-Analyst vom Marktplatz IT-Sicherheit