Basisschutz durch konsequente Systemhärtung: Nichts zu holen für die KI

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat bereits 2025 festgestellt, dass künstliche Intelligenz (KI) bislang keine neuartigen Tactics, Techniques & Procedures (TTPs) hervorbringt.[1]

Was sich verändert hat, ist das Tempo: Angreifer nutzen KI-gestützte Werkzeuge, um Schwachstellen schneller zu identifizieren, Schadsoftware flexibler zu gestalten und Täuschungsversuche überzeugender zu machen. Laut CERT-EU werden neu entdeckte Sicherheitslücken im Schnitt bereits sieben Tage vor der Verfügbarkeit eines Patches aktiv ausgenutzt. Das Zeitfenster für Verteidiger schrumpft damit drastisch.[2]

Die eigentliche Herausforderung liegt nicht in der verfügbaren Technologie, sondern in der mangelnden Umsetzungsdisziplin. Das BSI beschreibt in seinem Lagebericht einen „Trend zu leichter Beute“ und richtet diesen Befund ausdrücklich an deutsche Unternehmen und Behörden.

„Sie alle haben gemeinsam, dass es ihnen häufig nicht nur an Wissen, Ressourcen und Fähigkeiten zur IT-Sicherheit mangelt, sondern zu oft auch an der grundsätzlichen Einsicht, dass sie sehr wohl lohnende Ziele für Cyberangriffe sind.“[3]

Anders ausgedrückt: Viele Firmen und Kommunen scheitern bereits an elementaren Präventionsmaßnahmen. Sie bieten Angreifern damit ein leichtes Ziel.

Drei Entwicklungen, die Verteidiger unter Druck setzen

KI verändert die Spielregeln im Cyberwar nicht durch revolutionäre Ansätze, sondern durch Skalierung und Effizienzsteigerung. Drei Entwicklungen sind dabei besonders kritisch. Erstens ermöglicht KI die beschleunigte Ausnutzung von Schwachstellen.

Automatisierte Werkzeuge können Tausende Zero-Day-Lücken in weit verbreiteten Betriebssystemen und Anwendungen in einem Tempo aufspüren, mit dem menschliche Analysten nicht mithalten können. Während Unternehmen noch an der Verteilung von Sicherheits-Patches arbeiten, werden die betreffenden Lücken bereits ausgenutzt. Zweitens stellt sogenannte polymorphe Malware eine wachsende Herausforderung dar.

Diese Schadsoftware verändert ihren Code selbstständig und dynamisch, ohne dabei ihre Funktionalität einzubüßen. Antivirenprogramme und Endpoint-Detection-and-Response(-EDR)-Systeme erkennen solche Bedrohungen häufig erst dann – wenn überhaupt –, wenn der Schaden bereits eingetreten ist.

Drittens hat KI das Social Engineering auf eine neue Qualitätsstufe gehoben. Phishingmails sind nicht mehr an schlechter Grammatik oder an unplausiblen Absenderadressen erkennbar. KI-generierte Nachrichten erscheinen fehlerfrei und sind auf die jeweilige Zielperson zugeschnitten, unter Verwendung von Daten aus sozialen Netzwerken oder geleakten Datensätzen. Selbst gut geschulte Mitarbeiter können so zu Einfallstoren werden.

Systemhärtung: Prävention statt Reaktion

Viele Organisationen konzentrierten sich in der Vergangenheit auf reaktive Maßnahmen, also auf die Erkennung und Abwehr laufender Cyberattacken.

Die Alarmglocken schrillen erst dann, wenn ein Angriff erfolgt. Was dabei häufig zu kurz kam, war die vorgelagerte Prävention – also der systematische Aufbau von Widerstandsfähigkeit, bevor ein Angriff überhaupt stattfindet. Genau hier setzt die Systemhärtung an.

Unter Systemhärtung – im Englischen auch System Hardening genannt – versteht man die sichere Konfiguration von IT-Systemen mit dem Ziel, deren Angriffsfläche zu verkleinern. Hierzu werden unnötige Dienste und Protokolle deaktiviert, überflüssige Software entfernt und Zugriffsrechte so restriktiv wie möglich vergeben.

Selbst KI-gestützte Malware verliert auf solchen Systemen an Wirksamkeit, weil die Schnittstellen, Funktionen oder Berechtigungen fehlen, die sie für ihre Ausführung benötigt.

Aus an unplausiblen Absenderadressen erkennbar. KI-generierte Nachrichten erscheinen fehlerfrei und sind auf die jeweilige Zielperson zugeschnitten, unter Verwendung von Daten aus sozialen Netzwerken oder geleakten Datensätzen. Selbst gut geschulte Mitarbeiter können so zu Einfallstoren werden.

Systemhärtung: Prävention statt Reaktion

Viele Organisationen konzentrierten sich in der Vergangenheit auf reaktive Maßnahmen, also auf die Erkennung und Abwehr laufender Cyberattacken.

Die Alarmglocken schrillen erst dann, wenn ein Angriff erfolgt. Was dabei häufig zu kurz kam, war die vorgelagerte Prävention – also der systematische Aufbau von Widerstandsfähigkeit, bevor ein Angriff überhaupt stattfindet.

Genau hier setzt die Systemhärtung an. Unter Systemhärtung – im Englischen auch System Hardening genannt – versteht man die sichere Konfiguration von IT-Systemen mit dem Ziel, deren Angriffsfläche zu verkleinern.

Hierzu werden unnötige Dienste und Protokolle deaktiviert, überflüssige Software entfernt und Zugriffsrechte so restriktiv wie möglich vergeben. Selbst KI-gestützte Malware verliert auf solchen Systemen an Wirksamkeit, weil die Schnittstellen, Funktionen oder Berechtigungen fehlen, die sie für ihre Ausführung benötigt.

Aus Sicht des Risikomanagements lässt sich das so beschreiben: Ein Risiko entsteht erst, wenn eine Bedrohung auf eine ausnutzbare Schwachstelle trifft. Systemhärtung trägt damit effektiv zur Risikominimierung bei.

Systemhärtung ist dabei keine freiwillige Maßnahme mehr. Regulatorische Rahmenwerke wie NIS-2, DORA, ISO 27001:2022 und der BSI IT-Grundschutz verlangen eine nachweisbare Härtung von IT-Systemen. Auch Cyberversicherungen ziehen nach: Wer keine entsprechenden Nachweise erbringen kann, muss mit höheren Prämien oder sogar mit der Verweigerung des Versicherungsschutzes rechnen.

Strategie und Struktur

Systemhärtung ist kein Selbstläufer. Sie erfordert Struktur, Fachwissen und kontinuierliche Pflege. Zunächst müssen die Verantwortlichkeiten, die internen Ziele und individuelle Anpassungen klar definiert werden.

Pauschale Vorgaben wie „alle Systeme müssen nach anerkannten Industriestandards gehärtet werden“ erweisen sich jedoch häufig als unzureichend. So empfehlen zum Beispiel manche Hardening-Standards die Deaktivierung von Bluetooth, was bei Arbeitsplatzrechnern schlicht unpraktisch ist.

Für die Umsetzung haben sich in unseren Projekten drei Vorgehensweisen bewährt, die sich an Zeitdruck, Kritikalität der Systeme und anstehenden IT-Projekten orientieren:

• Beim Rapid Hardening geht es um eine schnelle Basishärtung: Möglichst viele Systeme erhalten zügig einen Grundschutz, beschränkt auf die unkritischen Einstellungen, die sich ohne größeres Troubleshooting ausrollen lassen. Bei Client-Systemen sind das in der Regel etwa 200 bis 300 Konfigurationen. Der Ansatz eignet sich vor allem, um schnell erste Ergebnisse vorzuweisen und interne Vorbehalte abzubauen.
• Das Layered Hardening geht schrittweise entlang eines Tiering-Modells vor: Zuerst härtet man die besonders schützenswerten Systeme wie Domain Controller tiefgreifend, danach folgen Ebene für Ebene die weniger sensiblen Systeme. So lassen sich kritische Systeme wirksam absichern. Allerdings ist hier der Aufwand höher und die Projektdauer länger.
• Das Lifecycle Hardening koppelt die Härtung an ohnehin anstehende Rollout-Projekte, etwa die flächendeckende Einführung eines neuen Betriebssystems oder eine Server-Migration. Der Vorteil: Test- und Ausrollaufwände fallen mit den Projektaufwänden zusammen, statt separat anzufallen.

Unabhängig vom gewählten Ansatz gilt: Jede Änderung muss dokumentiert und überwacht werden, um den Anforderungen von NIS-2, DORA und vergleichbaren Regularien zu genügen.

Automatisierung als Voraussetzung für Skalierbarkeit

Systemhärtung ist kein einmaliger Prozess. Neue Bedrohungen, Software-Updates, veränderte Infrastrukturen oder geänderte Geschäftsanforderungen machen regelmäßige Anpassungen erforderlich. Bei einer professionellen Härtungskonfiguration – Betriebssystem, Office-Anwendungen, Browser und weitere Komponenten eingerechnet – kommen schnell mehr als 1.000 einzelne Konfigurationseinstellungen zusammen.

In großen oder hybriden IT-Landschaften ist diese Herausforderung angesichts der immer knapper werdenden IT-Ressourcen kaum zu bewältigen. Zumindest, wenn die Systemhärtung manuell oder mit selbst entwickelten Konzepten (Stichwort Group Policy Objects, GPOs) umgesetzt werden soll.

Angesichts dieser Komplexität ist Automatisierung eine naheliegende Lösung. Werkzeuge, die Benchmarks einhalten, Änderungen zentral verwalten und ausrollen sowie Abweichungen erkennen und melden, können den Aufwand beherrschbar halten. Sind die Systeme in Sachen Härtung auf aktuellem Stand und die Angriffsflächen reduziert, laufen klassische wie KI-gestützte Angriffe in vielen Fällen ins Leere.

Fazit

Künstliche Intelligenz hat bislang keine neuartigen Angriffe hervorgebracht, aber bekannte Angriffswege spürbar beschleunigt und effizienter gemacht. Bei aller Leistungsfähigkeit bleibt KI jedoch an ein einfaches Prinzip gebunden: Ohne Angriffsfläche läuft auch ein KI-gestützter Angriff ins Leere. Systemhärtung ist daher keine Option, sondern eine Notwendigkeit – und die Basis, von der viele weitere Sicherheitsmaßnahmen profitieren.

Sie reduziert die Verwundbarkeit von Systemen, erfüllt regulatorische Anforderungen und senkt das Risiko durch KI-gestützte Angriffe. Weil weniger Alarme anfallen, entlastet sie zudem das Security Operations Center (SOC). Ihren vollen Nutzen entfaltet die Härtung allerdings nur, wenn sie strategisch und strukturiert umgesetzt und fortlaufend überwacht, protokolliert und optimiert wird.

Literatur

[1] Bundesamt für Sicherheit in der Informationstechnik (BSI): KI und die gegenwärtigen Cyberbedrohungen. www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Threat-Intelligence/Blogeintraege/KI_gegenwaertige-Cyberbedrohungen.html
[2] CERT-EU: AI is changing the economics of vulnerability discovery. Defenders should adapt now, https://cert.europa.eu/blog/ai-vulnerability-discovery-defenders-must-adapt
[3] Bundesamt für Sicherheit in der Informationstechnik (BSI): Die Lage der IT-Sicherheit in Deutschland 2025 – Vorworte, https://medien.bsi.bund.de/lagebericht/de/vorworte-und-fazit/