BSI warnt vor neuer KI-Technologie zur Schwachstellenerkennung
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat sich intensiv mit dem neuen KI-Modell „Mythos" von Anthropic auseinandergesetzt und warnt vor erheblichen Auswirkungen auf die Cyberbedrohungslage und nationale Sicherheit. Die Technologie markiert einen bedeutsamen Wendepunkt in der Cybersecurity-Landschaft, da sie automatisiert verborgene Software-Schwachstellen in weit verbreiteten Betriebssystemen und Webbrowsern aufspürt.
Was ist das KI-Modell Mythos?
Mythos ist ein von dem US-Unternehmen Anthropic entwickeltes Künstliche-Intelligenz-Modell, das spezialisiert darauf ausgerichtet ist, verborgene Software-Schwachstellen automatisiert zu erkennen. Das Unternehmen gab bekannt, dass es mit diesem Tool bereits tausende schwerwiegende Schwachstellen gefunden hat – darunter in jedem viel genutzten Betriebssystem und Webbrowser. Diese Entdeckungen unterstreichen die praktische Leistungsfähigkeit der Technologie im realen Umfeld.
Besonders bemerkenswert ist, dass Anthropic selbst warnt, dass solche Fähigkeiten bei KI-Tools mit dem schnellen Fortschritt der Künstlichen Intelligenz recht bald auch Online-Angreifern zur Verfügung stehen könnten. Dies macht die Kontrolle und begrenzte Verfügbarkeit solcher Werkzeuge zu einer zentralen Sicherheitsfrage.
Kontrollierter Zugang durch hochkarätige Partner
Anthropic plant, Mythos nicht allgemein öffentlich verfügbar zu machen. Stattdessen erfolgt eine kontrollierte Kooperation mit ausgesuchten großen Technologieunternehmen und Sicherheitsspezialisten. Apple, Amazon und Microsoft gehören zu den Kooperationspartnern, denen Zugang zu Mythos gewährt wird, um Sicherheitslücken in ihrer eigenen Software zu identifizieren und zu schließen.
Neben den großen Tech-Konzernen sind weitere Partner in diesem Projekt involviert: die Linux-Stiftung, die IT-Sicherheitsfirmen Crowdstrike und Palo Alto Networks sowie der Netzwerk-Spezialist Cisco. Diese Auswahl deutet auf eine Strategie hin, die auf etablierte und vertrauenswürdige Akteure im Sicherheitssektor setzt.
Die Perspektive des BSI: Nationale Sicherheit im Fokus
Umfassende Neubewertung der Schwachstellenlandschaft
BSI-Präsidentin Claudia Plattner äußerte sich besorgt über die weitreichenden Implikationen der Technologie. Das BSI habe das neue Tool zwar bisher nicht selbst testen können, habe aber im persönlichen Gespräch mit den Entwicklern Einblick in die Funktionsweise gewinnen können. Die Behörde nehme die Ankündigungen von Anthropic sehr ernst und erwarte „Umwälzungen im Umgang mit Sicherheitslücken und in der Schwachstellenlandschaft insgesamt".
Konsequent zu Ende gedacht, könnte es mittelfristig keine unbekannten klassischen Software-Schwachstellen mehr geben. Dies würde eine fundamentale Verschiebung der Angriffsvektoren und einen Paradigmenwechsel mit Blick auf die Cyberbedrohungslage zur Folge haben. Angreifer würden sich gezwungen sehen, neue Methoden zu entwickeln und andere Schwachpunkte auszunutzen.
Souveränität und strategische Kontrolle
Das BSI stellt zudem die Frage, ob und wenn ja, wie lange derart wirkmächtige Werkzeuge auf dem freien Markt oder überhaupt für andere Länder verfügbar sein werden. Aus dieser Frage ergeben sich unmittelbar Überlegungen zur nationalen und europäischen Sicherheit sowie zur technologischen Souveränität. Wer Kontrolle über solche mächtigen Sicherheitswerkzeuge hat, besitzt auch einen strategischen Vorteil in der Cybersecurity-Landschaft.
Der kritische Kontext: Warum Schwachstellen so gefährlich sind
Einfallstore für Cyberkriminalität und Spionage
Schwachstellen in Software, Hardware oder Netzwerken sind Einfallstore für Cyberangriffe durch Kriminelle oder Hacker, die im Dienste ausländischer Geheimdienste tätig sind. Je länger eine Schwachstelle bekannt, aber nicht geschlossen ist, desto größer ist das Risiko für Unternehmen, staatliche Einrichtungen und private Nutzer, Opfer von Datendiebstahl zu werden oder von Erpressung nach dem Aufspielen von Schadsoftware.
Besonders kritisch sind sogenannte Zero-Day-Schwachstellen, die den Herstellern noch nicht bekannt sind. Diese werden oft als erste Angriffsziele von Cyberkriminellen und Geheimdiensten genutzt, da Unternehmen und Behörden noch keine Gegenmaßnahmen ergreifen können.
Historisches Beispiel: WannaCry und die NSA-Lücke
Die Geschichte zeigt die dramatischen Konsequenzen, wenn Schwachstellen nicht rechtzeitig geschlossen werden. Im Jahr 2017 nutzten Hacker eine vom US-Geheimdienst NSA bekannte Sicherheitslücke aus, um im großen Stil Computer mit der Erpressungs-Software WannaCry zu infizieren. Diese Programme verschlüsseln die Festplatte und verlangen Geld für die Freigabe der Daten. Damals waren unter anderem britische Krankenhäuser und Anzeigetafeln der Deutschen Bahn betroffen. Die NSA geriet in die Kritik, weil sie die Sicherheitslücke nicht schließen ließ, obwohl die Gefahr offensichtlich war.
Auch deutsche Nachrichtendienste und Ermittler nutzen Schwachstellen allerdings für bestimmte Zwecke – etwa um Terrornetzwerke oder schwere Straftaten aufzuklären oder zur Gefahrenabwehr. Dies verdeutlicht die komplexe Abwägung zwischen Sicherheit und bestimmten Ermittlungsbefugnissen.
Praktische Relevanz für Sicherheitsverantwortliche
Patching und regelmäßige Updates als kritische Praxis
Aus der Situation folgt unmittelbar für Unternehmen und Betreiber von kritischen Infrastrukturen: Das Einspielen von Sicherheitsupdates und das systematische Patching müssen oberste Priorität haben. Mit modernen KI-Tools, die Schwachstellen automatisiert erkennen, werden diese früher und zahlreicher bekannt. Unternehmen müssen ihre Update-Prozesse entsprechend beschleunigen und optimieren.
Insbesondere für Betreiber von Systemen mit hohem Schutzbedarf gilt: Eine proaktive Schwachstellenanalyse und regelmäßige Sicherheitsaudits werden noch unverzichtbarer. Dies gilt auch für spezialisierte Sicherheitseinrichtungen, die kritische Vermögenswerte schützen – etwa Banken, die Bargeld und Wertpapiere lagern, könnten von zusätzlichen Sicherheitsmaßnahmen profitieren, um auch gegen technische Angriffe geschützt zu sein.
Ausblick und strategische Implikationen
Die Entwicklung von Mythos durch Anthropic markiert einen neuen Meilenstein in der Cybersecurity-Technologie. Mit dem kontrolliertem Zugang zur Technologie versucht Anthropic, die Balance zwischen Innovation und Sicherheit zu wahren – eine Balance, die schwer zu halten sein wird, wenn ähnliche Fähigkeiten auch bei anderen KI-Systemen entstehen.
Das BSI wird die Entwicklung weiterhin genau beobachten und mit Anthropic im Austausch bleiben. Gleichzeitig werden nationale und europäische Behörden sich mit der Frage auseinandersetzen müssen, wie solche strategisch wichtigen Technologien reguliert und kontrolliert werden können – im Interesse der Sicherheit und Souveränität Deutschlands und Europas.
Für Unternehmen und Organisationen bedeutet dies: Die Zeit, sich auf moderne Bedrohungslandschaften einzustellen, ist jetzt. KI-gestützte Schwachstellenerkennung wird die Realität werden – und wer heute nicht gut vorbereitet ist, wird morgen umso stärker unter Druck geraten.
