IKT-Risikomanagement unter DORA – IKT-Risiken sind mehr als nur Abweichungen aus Soll-Ist-Abgleichen!
Ich mag stringente Methodik. Aber die aktuellen technologischen Entwicklungen (OpenClaw) zwingen mich, unsere Ansätze zu hinterfragen – besonders die im IKT-Risikomanagement.
Ich mag stringente Methodik. Aber die aktuellen technologischen Entwicklungen (OpenClaw) zwingen mich, unsere Ansätze zu hinterfragen – besonders die im IKT-Risikomanagement.
- Kurz zur Einordnung: Viele Unternehmen und auch DORA orientieren sich an ISO 27005. Wir prüfen regelmäßig Schwachstellen in IKT-Systemen, mögliche Bedrohungen, Eintrittswahrscheinlichkeit und Schaden. Daraus entsteht ein bewertetes IKT-Risiko, das wir in einer Risikomatrix einordnen.
Schwachstellen verstehen wir dabei meist als Abweichungen von definierten Sollmaßnahmen (auch: IKT-Sicherheitsmaßnahmen). Bedrohungen kommen dabei oft nur indirekt ins Spiel: Wir leiten sie „rückwärts“ ab, indem wir prüfen, welche Sollmaßnahmen zu den Einträgen in standardisierten Bedrohungskatalogen passen. So entsteht schnell die Annahme: 100 % Sollmaßnahmen-Erfüllung = „sicher“ = kein Risiko.
⁉️ Aber stimmt das? Eher nicht!
Gestern habe ich über OpenClaw geschrieben: autonome KI-Agenten, die sich unbemerkt in IKT-Systeme einschleusen, dort systematisch Schwachstellen suchen und diese mit hoher Erfolgsrate ausnutzen.
Sie verändern die Bedrohungslandschaft fundamental – und zwar täglich. Allein in den letzten zwei Wochen ist dadurch die Eintrittswahrscheinlichkeit vieler IKT-Risiken vermutlich massiv gestiegen.
⁉️ Damit stellt sich die Frage: Ist unser Verfahren – mit statischen Bedrohungskatalogen und Schwachstellen, die primär aus Soll-Ist-Abgleichen abgeleitet werden – eigentlich noch geeignet?
Versteht mich nicht falsch – ich stehe weiterhin hinter dem Ansatz! Aber es gibt einen riesigen blinden Fleck! Denn Soll-Ist-Abgleiche finden nur Lücken im bekannten Maßnahmenraum. Was sie nicht finden, sind Schwachstellen, die entstehen, weil neuartige Bedrohungen anders wirken und unbekannte Möglichkeiten nutzen.
Und OpenClaw liegt vermutlich außerhalb dieses Raums – ich kenne jedenfalls keine DORA-Anforderung, keine ISO-Control und auch keinen BSI-Baustein, der gegen KI-Agenten wirkt, die sich Telefonnummern und E-Mail-Adressen zulegen und wie Menschen Captchas lösen oder die Multi-Faktor-Authentifizierung durchlaufen!
- 💡 Praktisch gilt also: Ein IKT-System kann verwundbar sein, obwohl es alle Sicherheitsmaßnahmen erfüllt.
Eine jährliche Überprüfung statischer IKT-Risikoszenarien geht daher an der Realität vorbei, denn die Bedrohungslage verändert sich stündlich, und wo gestern keine Schwachstelle war, gibt es heute eine – nicht weil sich das System geändert hat, sondern weil Angreiferfähigkeiten sich weiterentwickeln.
Hand aufs Herz: Wer ist darauf schon vorbereitet?