Cyberattacke
Erster KI-Angriff auf eine deutsche Kommune?
Es erwischte ausgerechnet Tangerhütte. Die Einheitsgemeinde im Landkreis Stendal gehört zu den Vorreitern bei der Digitalisierung der Verwaltung. Bürgermeister Andreas Brohm hatte sich schon früh zum Ziel gesetzt, Amtsgeschäfte per Computer und App rund um die Uhr ermöglichen. Seit 2017 arbeitete die Kommune in Sachsen-Anhalt daran, 2020 ging dort das digitale Rathaus dann an den Start. Bürger und Bürgerinnen können seitdem zahlreiche Dienstleistungen online erledigen. Nach einem Hackerangriff hat die Kommune ihr digitales Rathaus aus Sicherheitsgründen vorübergehend geschlossen. Es ist nicht der erste Cyberangriff auf das Angebot einer Kommune, aber Experten sehen Anhaltspunkte dafür, dass erstmals eine KI eine Sicherheitslücke durchstoßen hat.
Cyberattacke durch KI in Tangerhütte vermutet
Wie der MDR berichtete, kommen mehrere Experten zu dieser Einschätzung. Hagen Woecht, Geschäftsführer eines Softwareunternehmens aus Tangermünde, vermutet, dass nicht Menschen sich an der IT zu schaffen machten. Das Unternehmen hat die Anwendung für das digitale Rathaus entwickelt. "Künstliche Intelligenz scheut die Arbeit nicht. Deswegen schließen wir, dass das kein menschlicher Angriff war", sagt Woecht – "für Menschen wäre das zu aufwändig". Weitere IT-Experten halten den Einsatz von KI für plausibel. Der MDR zitiert Dirk Labudde, Professor für IT-Forensik an der Hochschule Mittweida: "Angriffe, die nicht nur linear Befehle befolgen, sondern scheinbar random ablaufen und selbständig neue Anweisungen entwickeln, deuten auf KI."
Unbekannte Sicherheitslücke ausgenutzt
Nach Angaben des Softwareentwicklers in Tangerhütte entdeckten und nutzten die Angreifer eine bislang unbekannte Sicherheitslücke. Solche Schwachstellen werden als Zero-Day-Lücken bezeichnet. Sie sind besonders gefährlich, weil selbst die Entwickler sie noch nicht kennen und deshalb noch kein Sicherheitsupdate zur Verfügung steht. Die Attacke begann nachts. Am nächsten Morgen bemerkte ein IT-Mitarbeiter der Kommune Unregelmäßigkeiten. Der betroffene Server wurde daraufhin vom Internet getrennt. Damit war das digitale Rathaus nicht mehr erreichbar. Bürger konnten ihre Anliegen vorübergehend nur auf herkömmlichem Weg erledigen.
Die Sicherheitsmechanismen hätten gegriffen, erklärte die Stadt Tangerhütte. Bürgermeister Andreas Brohm betonte, die Verwaltung sei weiterhin arbeitsfähig. Anträge konnten telefonisch, per E-Mail, postalisch oder persönlich gestellt werden. Vier weitere Kommunen nahmen nach Angaben des Softwareunternehmens ihr digitales Rathaus vorsorglich vom Netz. Hinweise auf einen Angriff gab es dort allerdings nicht.
Warum gehen die Experten von einem KI-Angriff aus?
Bei der Untersuchung des Angriffs stießen die Softwareentwickler auf zwei Auffälligkeiten. Zum einen wurden innerhalb kürzester Zeit zahlreiche Befehle ausgeführt. Das ging offenbar so schnell, dass ein Mensch die Eingaben nicht selbst vorgenommen haben konnte.
Noch aufschlussreicher war das weitere Vorgehen. Die Angreifer entwickelten ihren Programmcode offenbar während der Attacke direkt auf dem angegriffenen Server weiter. Das spricht nach Einschätzung des Softwareentwicklers für den Einsatz künstlicher Intelligenz. „Wir stufen das als KI-Angriff ein“, so Woecht gegenüber dem MDR.
Weitere IT-Experten halten diese Einschätzung für plausibel. Dirk Labudde, Professor für IT-Forensik an der Hochschule Mittweida, verweist darauf, dass Angriffe, die selbstständig neue Anweisungen entwickeln, auf künstliche Intelligenz hindeuten können. Auch der Cybersicherheitsexperte Marc-Oliver Pahl sieht in komplexen Aktionen, die in schneller Abfolge ausgeführt werden, ein starkes Indiz.
Allerdings haben beide Experten die Protokolldateien aus Tangerhütte nicht selbst untersucht. Das Landeskriminalamt Sachsen-Anhalt kann bislang weder bestätigen noch dementieren, dass KI eingesetzt wurde. Die Polizei ermittelt wegen des Verdachts auf Ausspähen von Daten. Nach Angaben des Softwareentwicklers konnten die Angreifer lediglich auf Testkonten zugreifen. Echte Bürgerdaten seien nicht erbeutet worden.
KI verändert die Bedrohungslage
Der Fall Tangerhütte zeigt, vor welchen neuen Herausforderungen kommunale Verwaltungen stehen. Denn künstliche Intelligenz kann Cyberangriffe erheblich beschleunigen. Während Hacker bislang häufig einzelne Systeme gezielt untersuchten, ermöglichen KI-Anwendungen zunehmend automatisierte Angriffe auf zahlreiche Rechner gleichzeitig.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor dieser Entwicklung. KI-Systeme können bekannte Sicherheitslücken nicht nur erkennen, sondern teilweise auch selbstständig ausnutzen. Damit wächst die Zahl potenzieller Angriffsziele. Zugleich sinken die technischen Hürden für weniger erfahrene Täter. BSI-Vizepräsident Thomas Caspers sagte dem MDR, Angreifer könnten mit KI gleichzeitig Hunderte oder sogar Tausende Systeme ins Visier nehmen könnten. Für Städte und Gemeinden ist das eine neue Dimension der Bedrohung. Besonders öffentliche Online-Dienste sind mögliche Angriffsziele. Die Zeit zwischen dem Bekanntwerden einer Sicherheitslücke und ihrer Ausnutzung kann sich durch automatisierte Angriffe erheblich verkürzen.
Wie können sich Kommunen gegen KI-Angriffe schützen?
Brauchen Rathäuser künftig völlig neue Sicherheitskonzepte? Nicht unbedingt. Denn auch gegen KI-gestützte Angriffe helfen bewährte Schutzmaßnahmen. Entscheidend ist allerdings, dass Sicherheitslücken möglichst schnell erkannt und geschlossen werden.
Das BSI betont, dass Kommunen und andere Organisationen mit einem hohen IT-Sicherheitsniveau auch gegenüber neuen KI-Bedrohungen besser gewappnet sind.
Für die kommunale Praxis kommt es vor allem auf folgende Maßnahmen an:
Sicherheitslücken schnell schließen: Kommunen sollten gemeinsam mit ihren IT-Dienstleistern sicherstellen, dass öffentlich erreichbare Anwendungen regelmäßig auf Schwachstellen überprüft werden. Sicherheitsupdates müssen insbesondere bei kritischen Lücken zügig eingespielt werden. Bei bislang unbekannten Schwachstellen ist außerdem wichtig, verdächtige Aktivitäten frühzeitig zu erkennen.
Ungewöhnliche Zugriffe erkennen: Automatisierte Überwachungssysteme können auffällige Aktivitäten auf Servern registrieren. Dazu gehören ungewöhnlich viele Zugriffsversuche oder verdächtige Befehlsfolgen. Solche Warnungen müssen allerdings auch zeitnah ausgewertet werden.
IT-Dienstleister einbeziehen: Viele Gemeinden betreiben ihre digitalen Angebote nicht selbst. Deshalb sollten sie mit ihren Dienstleistern verbindlich klären, wer für Sicherheitsupdates, die Überwachung der Systeme und die Reaktion auf einen Angriff verantwortlich ist.
Zugänge und Daten schützen: Mehrfaktor-Authentifizierung, getrennte IT-Systeme und regelmäßig überprüfte Datensicherungen gehören weiterhin zu den wichtigsten Schutzmaßnahmen. Sie können verhindern, dass Angreifer nach einem erfolgreichen Eindringen weitere Systeme übernehmen, und erleichtern die Wiederherstellung.
Auf den Ernstfall vorbereitet sein: Auch bei guter Absicherung lässt sich ein Cyberangriff nicht vollständig ausschließen. Kommunen brauchen deshalb einen Notfallplan. Er sollte festlegen, wer bei einem Angriff entscheidet, welche Systeme abgeschaltet werden und wie die Verwaltung weiterarbeiten kann.
