Cyberrisiken entstehen vor allem durch uns selbst, nicht durch die KI

In den letzten zwei Monaten war ich an mehreren Veranstaltungen mit C-Level und Verwaltungsräten. In solchen Räumen sind schnell 250+ Geräte im selben WLAN. Ohne einen einzigen Angriff, allein anhand dessen, was Geräte von sich aus offen in den Raum funken, entsteht in kurzer Zeit ein präzises Bild. Gerätetyp, Betriebssystem, und in Kombination mit einer Teilnehmerliste oft die dahinterstehende Person und ihr Arbeitgeber. Es geht dabei allein um jene Signale, die ohnehin für jeden im Raum sichtbar sind, und die ich weder auslese noch speichere. Fremde Inhalte spielen dabei keine Rolle.

Die gestiegenen Cyberrisiken der KI zuzuordnen ist einfach und bequem, aber eben nicht ganz richtig.

Die KI ist nicht das eigentliche Problem

Die Angst vor Cyberangriffen wächst, und immer öfter wird KI als grösste Gefahr genannt. Diese Gefahr ist real und gehört auf die Traktandenliste der Geschäftsleitung und des Verwaltungsrats. Nur verschiebt die Fixierung auf KI den Blick weg von dort, wo die meisten Angriffe tatsächlich beginnen: bei uns selbst. Aus Unwissenheit, aus Bequemlichkeit, aus einer internen oder externen IT, die Sicherheit nicht im Fokus hat, aus mangelnder Schulung und fehlender Technologiekompetenz.

KI senkt die Kosten eines Angriffs und erhöht die Trefferquote. Die offenen Türen aber stellen wir selber bereit. Genau eine dieser Türen möchte ich hier aufmachen: das offene WLAN.

Offenes WLAN: alle verbinden, kaum jemand hinterfragt die Sicherheit

Ob Hotel, Zug, Flughafen oder Veranstaltung, das Muster ist überall gleich. Ein WLAN steht bereit, und die grosse Mehrheit verbindet sich, ohne zu fragen, was dahinter steckt.

• Niemand weiss, in welchem Zustand ein öffentliches WLAN ist und was dort protokolliert wird. Ein Eventveranstalter oder ein Hotel hat selten ein durchdachtes Sicherheitsdispositiv.
• Wer sich mit «Airport-Guest» verbindet, hat keine Gewähr, dass dahinter wirklich der Flughafen oder die Fluggesellschaft steht. Ein Angreifer stellt einen unauffälligen Access Point ins Netz, leitet den Verkehr als Mittelsmann weiter und liest mit.
• Vielleicht wurden die Zugangsdaten, die auf den Tischen liegen, längst ausgetauscht, und der QR-Code führt an einen ganz anderen Ort.

Das ist kein Spezialistenwissen und kein grosser Aufwand. Es kann jeder, der weiss, wie man Netzwerkverkehr mitschneidet. Es braucht dafür nicht einmal eine grosse Infrastruktur, die nötige Software läuft auf einem Mobiltelefon.

«Unsere Daten sind verschlüsselt» stimmt zwar, schützt aber trotzdem nicht

Der häufigste Einwand lautet: Unser Verkehr ist verschlüsselt, also sind wir sicher. Das ist zwar richtig und dennoch irreführend. Richtig, weil die Inhalte tatsächlich oft verschlüsselt sind. Irreführend, weil der Angreifer an diesen Inhalten in diesem Moment gar nicht interessiert ist. Er braucht lediglich die Metadaten für die nächsten Angriffs-Stufen, beispielsweise etwa den Namen des Rechners, das Betriebssystem, laufende Dienste oder die MAC-Adresse.

Beispielsweise kann man Ransomware-Attacken in vier Phasen einteilen, von der Vorbereitung über den Zugriff und die Ausbreitung bis zur Infektion. Was hier offen sichtbar wird, ist Phase eins in Reinform, die Vorbereitung. Aufklärung ohne Risiko für den Angreifer, lange bevor irgendetwas verschlüsselt wird.

Was Geräte von sich aus aktiv preisgeben

In der Praxis zeigen sich immer wieder dieselben Muster:

• Eindeutig identifizierbare Geräte: Bei rund einem Drittel der Geräte sind Name, Modell und Betriebssystem offen lesbar. In etwa einem Zehntel lässt sich das Gerät einer Person zuordnen, sobald man den offenen Gerätenamen mit einer Teilnehmerliste kombiniert: das MacBook von Max Muster der XYZ AG. Ein hervorragender Startpunkt für einen gezielten Angriff.
• Veraltete Systeme: An den offen sichtbaren Merkmalen der Geräte lässt sich erkennen, welche im Netzwerk veraltete oder ungepatchte Betriebssysteme fahren. Der Anteil liegt meist im einstelligen Prozentbereich. Er ist damit klein, aber eben nicht null, und für ein Unternehmen muss er, ob privates oder geschäftliches Gerät, ein No-Go sein.
• Offene Fernzugriffe: Immer wieder sind Fernzugriffe auf Notebooks, etwa Bildschirmfreigaben, falsch installiert und dadurch offen. Dasselbe gilt für freigegebene Verzeichnisse. Häufig wissen die Nutzenden nichts davon, und die IT hat es offenbar nicht gekümmert.
• Vermischung von privat und geschäftlich: Das private Mobiltelefon von Max Muster gehört nicht direkt ins Firmennetz. Es gibt Wege, solche Geräte abzusichern. Wird darauf aus Bequemlichkeit verzichtet, wird die vermeintlich günstige Lösung aus Datenschutz- und aus Sicherheitssicht später oft teuer.

Warum diese Einzelinformationen zusammen gefährlich werden

Jedes dieser Signale ist für sich harmlos: In Kombination sind sie wertvoll.

Ein ungepatchtes System kann im selben Moment zum Ziel werden. Geräteinformationen zusammen mit einer Teilnehmerliste ergeben ein Bild von Person und Unternehmen, und ein Inventarkleber wie «MusterAG#4524» hilft der IT. Er hilft ebenso dem Angreifer. Wer Gerätename, Betriebssystem, Person und Firma kennt, baut einen Angriffsvektor für Spear-Phishing oder CEO-Fraud mit deutlich weniger Aufwand.

Besonders heikel ist die eingesetzte Software. Läuft auf einem Gerät der VPN-Client eines Herstellers mit einer bekannten, ungefixten Schwachstelle, braucht es wenig, um zuzuschlagen. Das ist kein theoretisches Szenario. Laut BACS nutzte die Ransomware «Akira» im zweiten Halbjahr 2025 in der Schweiz gezielt SonicWall-Geräte aus, deren Schwachstelle aus dem Jahr 2024 nicht überall konsequent behoben worden war. Zur Grössenordnung: Allein in diesem Halbjahr registrierte das BACS 29’006 freiwillige Meldungen und 145 meldepflichtige Cybervorfälle. Aus eigener Beobachtung ergänze ich: Betroffen sind selbst verwaltete Geräte ebenso wie solche, die von einem externen IT-Dienstleister betreut werden. Genau dort muss am Monitoring dringend gearbeitet werden.

Man muss sich bewusst machen, dass es zwischen Angriff und Verteidigung keine Fairness gibt. Ein Angreifer muss nur die eine Lücke finden, die in vielen Fällen sogar bekannt ist. Die Verteidigung muss 1’000 Lücken absichern und zusätzlich die Architektur so auslegen, dass auch «Unknown-Unknown»-Szenarien abgedeckt sind. Oder anders ausgedrückt: Die Messlatte in der Verteidigung ist sehr viel höher als im Angriff.

Meine Empfehlung

Ich verbinde mich nicht auf öffentliches WLAN, weder im Inland noch im Ausland. Muss es doch einmal sein, etwa in geschlossenen Räumen oder bei schlechtem Empfang, dann ausschliesslich über meine eigene VPN-Verbindung und mit einem Gerät, das die genannten Schwachstellen nicht aufweist. Mobile Daten kosten heute wenig, ein kostenloses WLAN dagegen kann teuer werden. Wer ein offenes WLAN statt mobiler Daten verwendet, spart am falschen Ort. Und ja, auch mobile Datennetze sind nicht per se sicher, nur weil ein Telekom-Anbieter dahintersteht. In der Regel sind sie aber sicherer als ein offenes WLAN. Es geht darum, die Messlatte möglichst hoch zu hängen, denn absolute Sicherheit ist eine gefährliche Illusion.

Keine sichtbaren Geräte- und Nutzerinformationen, weder auf dem Gerät noch im Netzwerkverkehr. Inventarkleber und Firmenlogos sind bequem, sie helfen aber auch dem Angreifer.

Sämtliche Infrastruktur erhält die nötigen Updates zeitnah. Ein Anteil von fast zehn Prozent veralteter Geräte in einem Raum mit über 250 Geräten ist eine grosse Angriffsfläche. Eine der grösseren Herausforderungen der Cybersecurity im Zusammenhang mit KI ist die Geschwindigkeit der Angriffe. Hatte man früher Tage oder Wochen Zeit, ein System nach Bekanntwerden einer Sicherheitslücke abzusichern, sind es heute oft nur noch Stunden. Zunehmend werden Lücken sogar aktiv ausgenutzt, bevor sie überhaupt öffentlich bekannt sind. Geschwindigkeit ist damit ein entscheidender Faktor.

Korrekte Konfiguration durch die IT oder den IT-Dienstleister. Nur weil eine Fernwartungssoftware bequem zu installieren ist und dabei oft falsch konfiguriert wird, ist das Gerät noch lange nicht sicher. Der Angreifer nimmt diese Einladung dankend an.

Das Bild vom Angreifer

Im Gespräch mit Führungskräften spüre ich oft ein bestimmtes Bild vom Angreifer: ein Jugendlicher in einem dunklen Raum mit Süssgetränk und Convenience Food, oder eine Bande in einem einschlägig bekannten Land im Osten. Dieses Bild trägt in der Praxis nicht weit genug.

Der Angreifer kann ebenso im Anzug neben Ihnen sitzen, am Flughafen, im Zug oder an der Veranstaltung, und Ihnen aktiv oder passiv Informationen entlocken, die einzeln wenig, in der Summe aber viel wert sind. Es ist vielleicht der nette Gesprächspartner, mit dem Sie sich angeregt unterhalten, und der danach Ihre Schwachstellen kennt.

Cyberkriminalität ist ein Milliardengeschäft und damit ökonomisch attraktiv. Entsprechend wird auf der Angreiferseite in Know-how, Personal und Infrastruktur investiert. Der Angreifer muss nur eine einzige Lücke finden, die Verteidigung muss Tausende schliessen. Diese Asymmetrie arbeitet gegen die Unternehmen. Heute liegt das Hauptproblem in mangelndem Bewusstsein und schlecht konfigurierten, schlecht gewarteten Systemen, noch nicht in der KI. Das ist unbequem, weil es auf uns selbst zeigt. Es ist zugleich die gute Nachricht, denn genau hier haben wir es in der Hand.

Die Rolle des Verwaltungsrats

Der Verwaltungsrat trägt die Oberaufsicht, und diese Aufgabe ist nach Art. 716a Abs. 1 Ziff. 5 OR unübertragbar. Das heisst nicht, dass er im konkreten Fall WLAN-Konfigurationen prüfen muss. Es heisst, dass er das Thema traktandiert, den Risikoappetit festlegt, aussagekräftige Berichterstattung einfordert und sich Gewissheit verschafft, dass Geräte, IT-Dienstleister und Schulung tatsächlich unter Kontrolle sind. Wer nur die beruhigende Zusammenfassung entgegennimmt, nimmt seine Aufsichtspflicht nicht wahr. Wer hier im Dunkeln tappt, sollte dringend ein Cybersecurity-Audit erwägen und dessen Durchführung bei der Geschäftsleitung in Auftrag geben. Der Sachverhalt trifft den Verwaltungsrat aber auch ganz persönlich. Als oberstes Organ hat er eine Vorbildfunktion und in der Regel auch Zugriff auf geschäftlich sensitive Daten. Damit ist er selbst ein beliebtes Angriffsziel.

Die Geschäftsleitung verantwortet die Umsetzung. Dazu gehören verbindliche Vorgaben für WLAN und VPN, ein funktionierendes Patch- und Gerätemanagement, die Einbindung mobiler und privater Geräte über eine geeignete Plattform, die Härtung der Konfiguration, die Steuerung der IT-Dienstleister und regelmässige Schulung. Ebenso gehört dazu, dem Verwaltungsrat ein realistisches Bild zu liefern statt eines beschönigten. In der Praxis hört man stattdessen oft, man müsse sich auf den Betrieb konzentrieren und habe ganz andere Probleme als Cybersecurity. Das Muster ist bekannt: Irgendwann zwingt ein Angriff das Unternehmen zum ungünstigsten Zeitpunkt, genau diese Zeit doch zu investieren, und das wird in aller Regel deutlich teurer als eine seriöse Vorbereitung.

Das Zusammenspiel von Verwaltungsrat und Geschäftsleitung muss funktionieren, denn der Angreifer wartet nur darauf, dass niemand die Verantwortung übernimmt.