So verhindern Sie Ihr erstes KI-Datenleck

In seiner Keynote-Rede auf der RSA Conference 2024 beschrieb Matt Radolec, Vice President of Incident Response and Cloud Operations bei Varonis, ein Szenario, das im Zeitalter der generativen KI immer häufiger vorkommt:

Ein Unternehmen wandte sich an Varonis, weil es vor einem Rätsel stand: Ein Konkurrent hatte sich auf irgendeine Weise Zugang zu sensiblen Kontoinformationen verschafft und nutzte diese Daten nun, um die Kunden des Unternehmens mit Werbekampagnen anzusprechen.

Das Unternehmen hatte keine Ahnung, wie man an die Daten gekommen war – das Ganze war ein Sicherheitsalbtraum, der das Vertrauen der Kunden gefährden konnte.

In Zusammenarbeit mit Varonis war das Unternehmen in der Lage, die Quelle des Datenlecks zu identifizieren: Ein ehemaliger Mitarbeiter hatte einen GenAI-Copilot genutzt, um auf eine interne Datenbank voller Kontodaten zuzugreifen. Daraufhin hatte er sensible Daten wie die Ausgaben der Kunden und die Produktnutzung kopiert und diese mit zu einem Konkurrenten genommen.

Sehen Sie sich die vollständige Diskussion von Matt Radolec über die Vermeidung von KI-Datenlecks auf der RSA Conference 2024 an. 

Dieses Beispiel verdeutlicht ein wachsendes Problem: Der breite Einsatz von GenAI-Copilots wird unweigerlich zu mehr Datenlecks führen.

Laut einer aktuellen Gartner-Umfrage gehören Anwendungen auf Basis generativer KI wie Microsoft 365 Copilot und Einstein Copilot von Salesforce zu den häufigsten Anwendungsfällen künstlicher Intelligenz. Diese Tools sind zwar eine hervorragende Möglichkeit für Unternehmen, die Produktivität zu steigern, schaffen gleichzeitig jedoch auch erhebliche Herausforderungen für die Datensicherheit.

In diesem Blogartikel gehen wir auf diese Herausforderungen ein und zeigen Ihnen, wie Sie Ihre Daten im Zeitalter der generativen KI schützen können.

Das Datenrisiko von generativer KI 

Fast 99 % der Berechtigungen werden nicht genutzt und mehr als die Hälfte dieser Berechtigungen bergen ein hohes Risiko. Ungenutzter und allzu freizügiger Datenzugriff ist immer ein Problem für die Datensicherheit, doch generative KI gießt dabei noch Öl ins Feuer.

Wenn ein Benutzer einem GenAI-Copilot eine Frage stellt, formuliert das Tool auf der Grundlage von Internet- und Geschäftsinhalten mittels Graphtechnologie eine Antwort in natürlicher Sprache.

Da Benutzer oft über zu großzügigen Datenzugriff verfügen, kann der Copilot leicht sensible Daten aufdecken – selbst wenn der Benutzer sich nicht dessen bewusst war, dass er Zugriff darauf hatte. Viele Unternehmen wissen gar nicht, welche sensiblen Daten sie überhaupt haben, und die richtige Dimensionierung des Zugriffs ist manuell kaum zu bewerkstelligen.

Generative KI senkt die Messlatte für Datenlecks.  

Bedrohungsakteure müssen nicht mehr wissen, wie man ein System hackt, oder Ihre Umgebung in- und auswendig kennen. Sie können einfach einen Copilot nach sensiblen Informationen oder Zugangsdaten fragen, die es ihnen erlauben, sich lateral durch die Umgebung zu bewegen.

Einige der Sicherheitsherausforderungen, die mit dem Aufkommen von GenAI-Tools einhergehen, sind folgende:

• Mitarbeiter haben Zugriff auf viel zu viele Daten 
• Sensible Daten werden häufig gar nicht oder falsch gekennzeichnet 
• Insider können Daten mithilfe natürlicher Sprache schnell finden und exfiltrieren 
• Angreifer können Geheimnisse für die Eskalation von Berechtigungen und laterale Bewegungen aufdecken 
• Es ist unmöglich, den Zugriff manuell richtig zu dimensionieren 
• Generative KI kann äußerst schnell neue sensible Daten erstellen

Diese Herausforderungen für die Datensicherheit sind nicht neu, doch angesichts der Geschwindigkeit und Leichtigkeit, mit der generative KI Informationen ausspähen kann, lassen sie sich sehr gut ausnutzen.

So verhindern Sie Ihr erstes KI-Sicherheitsleck 

Der erste Schritt zur Beseitigung der mit generativer KI verbundenen Risiken besteht darin, sicherzustellen, dass bei Ihnen intern alles in Ordnung ist.

Es ist keine gute Idee, Copiloten auf Ihr Unternehmen loszulassen, wenn Sie nicht genau wissen, wo sich die sensiblen Daten befinden und worum es sich dabei handelt, wenn Sie Ihre Exposure und die Risiken nicht analysieren können und wenn Sie nicht in der Lage sind, Sicherheitslücken zu schließen und Fehlkonfigurationen effizient zu beheben.

Sobald Sie die Datensicherheit in Ihrer Umgebung im Griff haben und die richtigen Prozesse eingerichtet sind, sind Sie bereit, einen Copilot einzuführen. An diesem Punkt sollten Sie sich auf drei Bereiche konzentrieren: Berechtigungen, Labels und menschliche Aktivitäten.

• Berechtigungen: Stellen Sie sicher, dass die Berechtigungen Ihrer Benutzer korrekt dimensioniert sind und dass der Zugriff des Copilot diese Berechtigungen widerspiegelt.
• Labels: Sobald Sie verstanden haben, welche sensiblen Daten Sie haben und was diese sensiblen Daten sind, können Sie sie mit Labels versehen, um DLP durchzusetzen.
• Menschliche Aktivitäten: Es ist wichtig, die Verwendung des Copiloten zu überwachen und jedes erkannte verdächtige Verhalten zu überprüfen. Um die Ausbeutung von Copiloten zu verhindern, ist es wichtig, Eingabeaufforderungen sowie die aufgerufenen Dateien zu überwachen.

Die Einbeziehung dieser drei Bereiche der Datensicherheit ist nicht einfach und lässt sich in der Regel nicht mit rein manuellem Aufwand bewerkstelligen. Nur wenige Unternehmen können GenAI-Copilots auf sichere Weise einführen, ohne einen ganzheitlichen Ansatz für die Datensicherheit sowie konkrete Kontrollen für die Copilots selbst zu implementieren.

Verhindern Sie KI-Sicherheitslecks mit Varonis. 

Varonis konzentriert sich seit fast 20 Jahren auf die Sicherung von Daten und hilft über 8.000 Kunden weltweit dabei, das zu schützen, was am wichtigsten ist. 

Wir setzen unser fundiertes Fachwissen ein, um Unternehmen zu schützen, die die Implementierung generativer KI planen.
 
Wenn Sie gerade erst Ihre GenAI-Reise antreten, beginnen Sie am besten mit unserer kostenlosen Datenrisikobewertung.

In weniger als 24 Stunden haben Sie einen Echtzeit-Überblick über die Risiken in Bezug auf ihre sensiblen Daten und können so feststellen, ob Sie einen GenAI-Copilot sicher implementieren können. Varonis ist außerdem die branchenweit erste Datensicherheitslösung für Microsoft 365 Copilot und verfügt über eine breite Palette an KI-Sicherheitsfunktionen für andere Copilots, LLMs und GenAI-Tools.

Um mehr zu erfahren, erkunden Sie unsere Ressourcen zur KI-Sicherheit.