Hacker werden immer besser darin, die Cyberabwehr zu durchdringen. Darum sind raffinierte neue Gegenmaßnahmen gefragt – so wie jene, die ein US-amerikanisches Forscherteam nun vorschlägt: Sie empfehlen Unternehmen, durch Einsatz von künstlicher Intelligenz massenhaft überzeugende Fälschungen der wichtigsten Dokumente zu generieren und sie neben den Originalen auf den Servern zu speichern. Selbst wenn ein Angreifer die Daten abgreift, wird es ihm schwer bis unmöglich gemacht, das Verwertbare unter dem Falschen zu erkennen.

Ihr Algorithmus hat die Bezeichnung »Word Embedding-based Fake Online Repository Generation Engine« (WE-FORGE) und erzeugt derzeit nur täuschend echte Nachahmungen von Patenten. Aber eines Tages könnte er »gefälschte Versionen in großer Zahl von jedem Dokument erstellen, das ein Unternehmen für schützenswert hält«, sagt sein Entwickler, der Cybersicherheitsforscher V. S. Subrahmanian vom Dartmouth College in Hanover, New Hampshire.

Wenn Hacker beispielsweise hinter der Formel für ein neues Medikament her wären, müssten sie die entsprechende Nadel in einem Heuhaufen von Fälschungen finden. Das könnte bedeuten, dass sie jede Formel im Detail prüfen und womöglich sogar Zeit und Geld in ein paar unbrauchbare Rezepte investieren müssten. »Die Devise lautet hier: ›Macht es ihnen so schwer wie möglich‹«, erklärt Subrahmanian. »Macht denen, die euch bestehlen, richtig Ärger.«

Die Erkenntnis, dass Unternehmen im Schnitt erst 312 Tage nach einem Cyberangriff davon etwas mitbekommen, habe ihn zu diesem Projekt motiviert, erzählt Subrahmanian. »Die Bösen haben also fast ein Jahr Zeit, um sich mit allen Dokumenten und dem gesamten geistigen Eigentum davonzumachen«, sagt er. »Selbst wenn Sie Pfizer sind, ist das genug Zeit, um fast alles zu stehlen. Nicht nur die Kronjuwelen – sondern die Kronjuwelen, den Schmuck des Dienstmädchens und auch noch die Uhr der Sekretärin.«

Nicht nur tarnen, sondern auch täuschen!

Gefälschte Dokumente, die von WE-FORGE produziert werden, könnten auch als versteckte »Stolperdrähte« fungieren, sagt Rachel Tobac, CEO der Cybersecurity-Beratungsfirma SocialProof Security. Zum Beispiel könnte eine verlockende Datei die Sicherheitskräfte alarmieren, wenn auf sie zugegriffen wird. Bisher nehmen Unternehmen dafür normalerweise von Menschen erstellte Fälschungen. »Aber wenn die KI das eigenständig tut, dann lassen sich viele neue Dokumente erstellen, die für einen Angreifer glaubwürdig sind – ohne dass wir mehr Arbeit haben«, sagt Tobac, die an diesem Projekt nicht beteiligt war.

Das System generiert überzeugende Täuschungen, indem es ein Dokument nach Schlüsselwörtern durchsucht. Für jedes gefundene Schlüsselwort berechnet es eine Liste verwandter Konzepte und ersetzt den ursprünglichen Begriff durch einen zufällig ausgewählten. Das Verfahren kann Dutzende von Dokumenten erzeugen, die keine geschützten Informationen enthalten, aber dennoch plausibel aussehen. Subrahmanian und sein Team baten fortgeschrittene Informatik- und Chemiestudenten, echte und gefälschte Patente aus ihren jeweiligen Fachgebieten zu bewerten. Die fanden die von WE-FORGE erzeugten Dokumente sehr glaubwürdig. Die Ergebnisse wurden in den »Transactions on Management Information Systems« der Association for Computing Machinery veröffentlicht.

Künftig könnte WE-FORGE durchaus auch andere Dokumentarten fälschen. Allerdings merkt Subrahmanian an, dass ein Dokument, das beispielsweise eine Handlungsempfehlung enthält, viel schwerer zu imitieren ist als eine technische Anleitung. Dass die Software auf das Interesse der Wirtschaft stoßen wird, glauben aber sowohl er als auch seine Fachkollegin Tobac. »Ich könnte mir durchaus vorstellen, dass ein Unternehmen ein solches Produkt nutzen wird«, sagt sie. »Wenn damit glaubwürdige Täuschungen geschaffen werden, ohne dass sensible Details frei werden, dann ist das ein Riesending.«