Vogt am Freitag: Selbstverschuldet

Während KI-Konzerne vor sich selbst warnen, häufen sich tatsächliche Cyberangriffe auch in der Schweiz. Kolumnist Reto Vogt ist überzeugt, dass wir die falschen Prioritäten setzen.

Künstliche Intelligenz, die unsere Stromversorgung lahmlegt, Daten stiehlt und durch gezielte Angriffe ganze Unternehmen offline nimmt. Vor solchen Szenarien warnen uns die Chefs der grossen KI-Konzerne regelmässig (mit dem Ziel, die Regeln für sich selbst zu definieren). Die Warnungen kommen den Konzernen durchaus gelegen: Wer seine eigene Technologie zur potenziellen Menschheitsbedrohung erklärt, verschafft sich Einfluss auf die Debatte über ihre Regulierung. Von einer ausser Kontrolle geratenen KI sind wir allerdings weit entfernt. Cyberangriffe richten schon heute erheblichen Schaden an, ganz ohne eine solche Technologie.

Angriff folgt auf Angriff

Bei Ricardo wurden persönliche Angaben von fast 900’000 Nutzer:innen offengelegt. Beim Online-Magazin Republik konnten Angreifer über ein Analysetool während Wochen auf Nutzerdaten zugreifen. Ein Cyberangriff auf den Softwareanbieter PK Softech könnte zudem Versichertendaten zahlreicher Pensionskassen betreffen, darunter die Pensionskasse des Bundes Publica, die Migros-Pensionskasse und die Pensionskasse der Post. Ob und in welchem Umfang Daten abgeflossen sind, ist je nach Pensionskasse unterschiedlich und teilweise noch ungeklärt. Beim Bund jedenfalls ist es dramatisch: Daten von Geheimagentinnen, Elitesoldaten und Ex-Mitgliedern des Bundesrats sind abgeflossen (Paywall).

Bemerkenswert ist der Fall der Pensionskasse der Stadt Zürich (PKZH). Sie will erst 2027 auf die Software von PK Softech wechseln, nutzt diese also noch gar nicht im regulären Betrieb. Trotzdem deuten die bisherigen Abklärungen darauf hin, dass Personendaten ihrer Versicherten gestohlen wurden. Dies, weil für Tests offenbar mit echten Personendaten gearbeitet worden ist. Die PKZH schreibt: «Daten von Versicherten wurden im Rahmen von Tests für den geplanten Systemwechsel verwendet.» Darunter befinden sich Geburtsdaten, AHV-Nummern, Vorsorgeguthaben und IBAN-Nummern.

Das ewige Katz-und-Maus-Spiel bleibt

Solche Meldungen erscheinen mittlerweile in einer Kadenz, dass sie kaum noch Aufmerksamkeit erregen. Beim Bundesamt für Cybersicherheit (BACS) gingen 2025 insgesamt 64’733 freiwillige Meldungen ein. Das entspricht durchschnittlich einer Meldung alle 8,1 Minuten. Darunter sind auch Phishing und Betrugsversuche, längst nicht jede Meldung steht für einen erfolgreichen Angriff. Trotzdem: Die Zahlen zeigen, wie alltäglich die Bedrohung geworden ist.

Ist KI dafür mitverantwortlich? Die Risiken leistungsfähiger KI-Modelle lassen sich dabei nicht kleinreden. Natürlich können diese Cyberkriminellen helfen, Schwachstellen zu entdecken und diese auszunutzen. Potenziell befähigt KI auch technisch wenig versierte Personen, Angriffe auszuführen. Aber gleichzeitig könn(t)en Sicherheitsfachleute dieselben Werkzeuge einsetzen, um Fehler schneller zu finden und Systeme besser abzusichern. KI verändert zwar die Geschwindigkeit und die Werkzeuge, aber das Katz-und-Maus-Spiel zwischen Angreifern und Verteidigern bleibt dasselbe.

Die Sicherheitslücke ist längst da

Das eigentliche Problem liegt tiefer. In vielen Unternehmen und Organisationen ist die technische Infrastruktur über Jahre gewachsen, hat sich immer stärker vernetzt und die Abhängigkeit von externen Anbietern hat stetig zugenommen. Hinzu kommen bekannte Schwachstellen, die zu spät geschlossen werden. Aktueller Fall: Die kritischen Sicherheitslücken in PHP, die das halbe Internet lahmlegten. Werden diese nicht rechtzeitig geschlossen, könnten Angreifer schädliche Software ausführen.

Gefordert sind die Betreiber der betroffenen Systeme, ihre Softwarelieferanten und IT-Dienstleister. Sie müssen bekannte Schwachstellen erkennen, verfügbare Sicherheitsupdates einspielen und ihre Systeme konsequent absichern. Darauf gehört die Aufmerksamkeit gelenkt, nicht auf angeblich ausser Kontrolle geratene «Superintelligenz» (Linkedin-Post). Die klingt zwar viel spektakulärer als ein vergessenes Softwareupdate oder ein schlecht abgesicherter Zugang eines Dienstleisters, aber die Wahrheit ist: Viele erfolgreiche Angriffe nutzen eben genau das aus.

Es ist keine ausser Kontrolle geratene KI nötig, um die Kontrolle über IT-Systeme zu verlieren. Es ist die (Un)sicherheit ihrer eigenen Technologie, die viele Unternehmen und Organisationen nicht ausreichend im Griff haben. Oder wie es Eva Wolfangel in der Zeit korrekt formulierte: Uns killt nicht die KI-Apokalypse, sondern miserable IT-Sicherheit. Die Ursache sei nicht künstliche Intelligenz, sondern menschliche Dummheit.