Großer Cybersicherheits-Appell der Branchenriesen

Ein breites Bündnis aus IT-Konzernen, Sicherheitsfirmen, Banken und Behörden hat einen offenen Brief unterzeichnet, der ein koordiniertes, weltweites Vorgehen gegen KI-gestützte Cyberangriffe fordert. Initiiert wurde die Erklärung von OpenAI.

Zu den Unterzeichnern zählen unter anderem Microsoft, Google, Amazon, Cisco, Anthropic, IBM, Cloudflare, SAP, die Deutsche Telekom sowie zahlreiche Banken wie Citi, Mastercard und Visa.

Zeitfenster für Verteidiger schließt sich

In dem Statement warnen die Unterzeichner, dass KI-gestützte Cyberangriffe in den kommenden Monaten deutlich häufiger und ausgefeilter werden dürften, weil die zugrunde liegenden Modelle weltweit immer leistungsfähiger würden. Betroffen seien nicht nur Unternehmen, sondern auch kritische Infrastrukturen. Genannt werden explizit Krankenhäuser, Wasserwerke und die Systeme, die das Internet am Laufen halten.

Gleichzeitig verschafften aktuelle KI-Fortschritte den Verteidigern neue Möglichkeiten, seit Jahren bestehende Sicherheitslücken zu schließen. Die Unterzeichner sprechen von einem begrenzten Zeitfenster, in dem Verteidiger gegenüber Angreifern die Nase vorn haben könnten. Vorausgesetzt wird dabei, dass jetzt entschlossen gehandelt wird.

„In den kommenden Monaten werden KI-gestützte Cyberangriffe weitaus verbreiteter und ausgefeilter werden, da die Modelle weltweit immer leistungsfähiger werden. Die Unternehmen und öffentlichen Einrichtungen, auf die unsere Gemeinden angewiesen sind – von Krankenhäusern über Wasseraufbereitungsanlagen bis hin zur Infrastruktur, die das Internet am Laufen hält –, sind gefährdet.“

Anzeige

Unterzeichner des Briefs

Drei Grundprinzipien

Der Brief formuliert drei zentrale Forderungen für eine gemeinsame Reaktion:

• Der Status quo reicht nicht aus. Alte Bugs, überzogene Berechtigungen, Fehlkonfigurationen, ungepatchte Software, schwache Authentifizierung und technische Altlasten in Legacy-Systemen haben viele Systeme verwundbar gemacht. Insbesondere Sicherheitsteams kritischer Infrastrukturen seien seit Langem unterausgestattet.
• Mehr Verteidiger sollen Zugang zu KI-Fähigkeiten bekommen. KI bringe Spezialwissen zu einer breiteren Masse an Verteidigern und mache zentrale Sicherheitsaufgaben schneller, günstiger und besser. Voraussetzung dafür sei, dass Tools, Praxiswissen und verifizierte Fixes geteilt werden.
• Eine kollektive Antwort soll organisiert werden. Da sich Cyberfähigkeiten weltweit weiterentwickeln, brauche es neue Partnerschaften, um Sicherheitsstandards anzuheben und gemeinsam auf neue Bedrohungen zu reagieren. Keine einzelne Firma solle die Zukunft dieser Fähigkeiten kontrollieren.

Wer was tun soll

Der Aufruf richtet sich an vier Gruppen mit jeweils eigenen Aufgaben.

Unternehmen im Allgemeinen sollen Cyberabwehr zur Chefsache machen und mit derselben Dringlichkeit behandeln wie einen laufenden Sicherheitsvorfall. Gefordert wird das Schließen der riskantesten Lücken sowie strengere Sicherheitsanforderungen an eingekaufte und selbst entwickelte Software, ausdrücklich eingeschlossen ist dabei auch KI-generierter Code. Außerdem sollen Systeme auf Least-Privilege-Prinzipien und mehrschichtige Verteidigung umgebaut werden.

Sicherheitsfirmen und Technologiepartner sollen ihre Werkzeuge kontinuierlich gegen aktuelle KI-Angriffsfähigkeiten testen und KI in bestehende Sicherheitsprodukte integrieren. Zudem sollen sie Betreibern kritischer Infrastruktur mit begrenztem Budget direkt beim Einsatz und der Verifikation von Fixes helfen sowie Bedrohungsdaten und erprobte Playbooks teilen.

Regierungen sollen Cyberabwehr auf lokaler, nationaler und internationaler Ebene koordinieren und den Austausch von Bedrohungsinformationen zwischen Staat und Industrie stärken. Gefordert wird außerdem, gezielt Mittel für Institutionen bereitzustellen, die sich eigenständig keine moderne Verteidigung leisten können, etwa Krankenhäuser, Wasserversorger und Kommunen. Auch sollen Angreifer stärker zur Rechenschaft gezogen werden.

Führende KI-Unternehmen selbst sollen verantwortungsvollen Modellzugang, Fördergelder, Schulungen und praktische Unterstützung bereitstellen, vor allem für unterfinanzierte Betreiber kritischer Infrastruktur. Gefordert werden zudem eine bessere Beobachtbarkeit von KI-Systemen, nachvollziehbare agentische Identitäten sowie Investitionen in autorisierte Sicherheitstests und koordinierte Offenlegung von Schwachstellen.

Lange Unterzeichnerliste

Neben den großen US-Tech-Konzernen und Cloud-Anbietern finden sich auf der Liste auch klassische Sicherheitsfirmen wie CrowdStrike, Palo Alto Networks, Fortinet, SentinelOne, Sophos und Zscaler. Dazu kommen Berater wie PwC, KPMG und Accenture sowie Finanzdienstleister wie Capital One und Fiserv. Aus deutscher Sicht fällt vor allem die Deutsche Telekom und SAP als Unterzeichner auf.

Konkrete Maßnahmen, Fristen oder Finanzierungszusagen enthält der Brief nicht. Er bleibt bewusst auf der Ebene einer gemeinsamen Absichtserklärung. Ob und wie die einzelnen Punkte in die Praxis umgesetzt werden, bleibt damit vorerst offen.

(red)