Fasst man die Aufstellung des Informationsschutzbudgets der KB Kookmin Bank für das vergangene Jahr in einer Zeile zusammen, lautet sie „Von 67,6 Milliarden 39,2 Milliarden ausgegeben“. Genau genommen wurden von 67,613 Milliarden Won 39,297 Milliarden Won ausgegeben, die Ausführungsquote blieb bei 58,1 %. Bei derselben Bank wurde auch ein Vorfall bestätigt, bei dem durch Hacking mithilfe von KI-Agenten Daten abgeflossen sind. Auch wenn man den Blick auf die 20 Finanzunternehmen mit den häufigsten IT-Störungen ausweitet, lag die Ausführungsquote des Informationsschutzbudgets im vergangenen Jahr unter 70 %, und mehr als 30 % der zugewiesenen Mittel gingen ungenutzt ins neue Jahr über.
Die Angriffswerkzeuge haben sich verändert. Ein KI-Agent ist ein KI-Programm, das mehrere Schritte wie Suchen, das Öffnen von Dateien und den Zugriff auf Systeme selbstständig erledigt, sobald ein Mensch nur das Ziel vorgibt. Gerät ein Werkzeug, das zur Arbeitsentlastung eingeführt wurde, in die Hände eines Eindringlings, wird es zu einem Zugang, über den sich auf mehrere Systeme gleichzeitig zugreifen lässt, und der Vorfall bei der Kookmin Bank hat gezeigt, dass so etwas auch bei einer Geschäftsbank passieren kann.
Betroffen sind weitere Institute. Auch bei der Shinhan Bank, der Hana Bank und der BNK Busan Bank sowie bei der Yegaram Savings Bank, der Welcome Savings Bank und Hyundai Capital aus dem Nichtbankensektor wurden Schäden durch Hacking mit KI-Agenten bestätigt. Ausmaß und Zeitpunkt der Schäden bei den einzelnen Unternehmen wurden nicht bekannt.
Die Kookmin Bank ist nicht die einzige, die Budget übrig ließ. Auch bei Hanwha Life Insurance lag die Ausführungsquote im vergangenen Jahr bei 58,1 %, die Suhyup Bank kam auf 60,7 %. Alle drei ließen von 10 Won Informationsschutzbudget rund 4 Won ungenutzt. Als Informationsschutzbudget werden zusammenfassend die Mittel bezeichnet, die zur Abwehr von Hackerangriffen nötig sind, etwa für Firewalls und Systeme zur Angriffserkennung, externe Sicherheitsprüfungen und die Personalkosten für Sicherheitsfachkräfte, und in dem Maße, in dem sie nicht ausgegeben werden, wird die Abwehrlinie des jeweiligen Jahres zwangsläufig dünner.
Auch an Personal fehlt es. Die Kartenunternehmen stocken als Reaktion auf eine Reihe von Hackerangriffen ihr Sicherheitspersonal auf, klagen aber, dass sie kaum geeignete Fachkräfte finden.
Es wurde auch gewarnt, dass KI-Agenten in der Finanzbranche durch versteckte Befehle gesteuert werden und Daten nach außen geben oder dass ihre Transaktionsbefugnisse missbraucht werden könnten. Versteckte Befehle sind Anweisungen, die für das menschliche Auge unauffällig in Dokumente oder Webseiten eingebettet werden. Nimmt ein Agent sie als normale Arbeitsanweisung an, kann er sogar Kundendaten nach außen senden.
Auch die Abwehrseite nutzt dieselbe Technik. Artex hat einen KI-Agenten entwickelt, der mehrere externe KI-Systeme aufruft und Sicherheitstests durchführt. Übernimmt eine Maschine die Aufgabe, das System an vielen Stellen abzutasten und Schwachstellen zu finden, wird der Prüfumfang größer.
Die gefundenen Schwachstellen zu beheben, muss dennoch Aufgabe von Menschen bleiben. In Unternehmen, die keine Sicherheitsverantwortlichen finden, können die vom Agenten erstellten Prüfberichte ungenutzt liegen bleiben.
Die Ausführungsquote der 20 Unternehmen mit den häufigsten IT-Störungen überstieg 70 % nicht. Angreifer nehmen mit einem einzigen Agenten mehrere Finanzunternehmen gleichzeitig ins Visier, während die Sicherheitsausgaben der Finanzunternehmen an jährliche Geschäftspläne gebunden sind. Bleiben Budgets Jahr für Jahr ungenutzt, fällt auch die Planung für das Folgejahr entsprechend kleiner aus.
Damit die wenigen Minuten sicher sind, in denen man per Handy Kreditunterlagen einreicht und auf die Überweisungstaste drückt, müssen Personal und Ausrüstung zum Schutz der dahinter laufenden Agenten rechtzeitig bereitstehen. Das Informationsschutzbudget, das die Kookmin Bank im vergangenen Jahr nicht ausgegeben hat, beläuft sich auf mehr als 28,3 Milliarden Won. Erst wenn dieses Geld in Sicherheitspersonal und Abwehrsysteme umgesetzt wird, kann man dem KI-Assistenten in der Banking-App sein Geld mit Vertrauen überlassen.
