Problemstellung: Die drei Treiber des Kontrollverlusts
Wenn hochentwickelte KI-Modelle und autonome Agenten Schwachstellen im Banking-Sektor ausnutzen, versagen traditionelle, manuelle Sicherheitsmechanismen. Banken stehen damit vor einer dreifachen Herausforderung, die den Kern ihres klassischen Information Security Management Systems (ISMS) bedroht:
- Zeitkompression: KI-Automatisierung verkürzt Angriffszyklen von Tagen auf Sekunden. Wo früher menschliche Angreifer Stunden für den nächsten Schritt brauchten, agiert die Maschine im Millisekunden-Takt. Menschliche Reaktion und wöchentliche Patch-Komitees sind damit schlicht zu langsam.
- Fragmentierung: Subtile, einzeln völlig unauffällige Schritte unterlaufen traditionelle Schwellenwerte und Detektionsmechanismen. Ein Angriffs-Bot zerlegt die Attacke in winzige Mikroschritte, die isoliert betrachtet vollkommen legitim wirken. Erst in der Summe kollabiert das System.
- Automatisierung: Es findet eine massive Skalierung und Personalisierung von Phishing-Angriffen durch Large Language Models (LLMs) statt. Die Barriere für hochkomplexe Social-Engineering-Angriffe ist Null gesunken.
Die Konsequenz: Viele etablierte Sicherheitsmaßnahmen (Controls) auf Basis der ISO 27001 sind auf dem Papier zwar vorhanden, verlieren in dieser neuen Dynamik aber schleichend ihre Schutzwirkung.
Analyse: Der MRIS-Framework nach Richard Peddi
Um diesem Kontrollverlust zu begegnen, hat der Sicherheitsexperte Richard Peddi das Framework für „Mythos-resistente Informationssicherheit (MRIS)“1 entwickelt. Das MRIS-Framework funktioniert wie eine Filterbrille, die man über das bestehende ISMS legt. Es bewertet die 93 Annex A Controls der ISO 27001 auf ihre tatsächliche Standfestigkeit gegen Gen-AI-beschleunigte Offensiven und teilt sie in vier Kategorien ein:
- Standfest (robust): Maßnahmen, die auch bei maximaler Angriffsgeschwindigkeit eine harte Barriere bilden (z. B. strikte kryptografische Verfahren wie MFA).
- Teilweise degradiert (degraded): Kontrollen, die durch KI-gestütztes Phishing oder Automatisierung massiv an Wirkung verlieren und dringend technologisch gehärtet werden müssen.
- Reine Reibung (friction): Controls, die heute nur noch administrativen Aufwand und Dokumente erzeugen, aber keinen echten Schutz mehr bieten. Ein prägnantes Beispiel aus der MRIS-Analyse ist die rein manuelle Erst-Sichtung (Triage) von Sicherheitswarnungen im SOC (A.5.25). Da die Angreifergeschwindigkeit die menschliche Reaktionszeit systematisch überholt, wird der Mensch an dieser Stelle zur strukturellen Schwachstelle.
- Nicht betroffen (unaffected): Controls, die gegenüber KI-Angriffen neutral sind; typischerweise organisatorische, dokumentarische, governanceorientierte oder physisch-gebundene Controls.
Die unbequeme Wahrheit: Ein Großteil der klassischen ISO 27001 Controls verliert unter Gen-AI-beschleunigten Angriffen schleichend an Wirkung.
Um eine Bank KI-resistent aufzustellen, muss der Fokus auf die von Richard Peddi definierten 13 Mythos-Härtungs-Controls (MHC) gelegt werden.
Das bedeutet konkret: weg von statischen Passwörtern hin zu Phishing resistenter MFA (MHC-03). Weg von periodischen Prüfungen hin zu Continuous Control Monitoring (MHC-10). Kurz gesagt:
KI-gestützte Funktionen sollten neben menschlichen Aufgaben (z. B. Priorisierung, Filterung oder Überwachung) eingesetzt werden.
Lösung: KI-Resilienz durch ein AI Security Readiness Assessment
Die Theorie des MRIS-Frameworks ist brillant, doch wie gelingt der Transfer in die Praxis eines Finanzinstituts? msg for banking hat diese Methodik in ein pragmatisches, managementgerechtes Werkzeug übersetzt: das AI Security Readiness Assessment.
Ein strukturierter, standardisierter Fragenkatalog überführt die 13 Mythos-Härtungs-Controls in 6 strategische Management-Cluster:
- AI Strategy & Governance (Risikoappetit, Richtlinien und Steuerung von Shadow AI)
- Identity & Access (Schutz kritischer Zugänge gegen KI-Phishing und Identitätsdiebstahl)
- SOC & Detection & Automation (Verhaltensbasierte Erkennung und automatisierte Incident-Response-Geschwindigkeit)
- Secure Development (Integration von automatisierten Sicherheitsprüfungen in die CI/CD-Pipeline)
- Supply Chain Security (Kontinuierliche Überwachung und Transparenz der Drittanbieter-Risiken)
- Resilience & Recovery (Wiederanlauffähigkeit und RTO/RPO-Belastbarkeit bei schweren Vorfällen)
Unsere Expertinnen und Experten analysieren in einem unverbindlichen Fachaustausch den Status quo Ihrer IT-Sicherheit und definieren Ihre maßgeschneiderte Roadmap zur Härtung der KI-Resilienz.
Mehrwert für Banken: Investitionsschutz, Effizienz und Compliance
Fokus statt Gießkanne: Das erzeugte Spinnendiagramm deckt „degradierte“ Kontrollen sofort auf. Banken können dadurch ihre Security-Budgets exakt dorthin lenken, wo sie den höchsten Schutzwert bieten, und Maßnahmen eliminieren, die nur noch „Reibung“ erzeugen.
Audit-Fähigkeit für DORA und NIS2: Das Assessment liefert den methodisch fundierten und nachweisbaren Beleg der digitalen Resilienz, den Aufseher im Rahmen von DORA (insb. Art. 17) und NIS2 zwingend fordern.
