Unternehmen müssen den Spagat zwischen KI und Datenschutz schaffen

KI gilt als einer der wichtigsten Treiber für Innovation und Effizienz in der digitalen Wirtschaft. Eine internationale Umfrage von Cohesity unter 6.000 Befragten zeigt nun Kehrseiten dieser Entwicklung auf. IT WELT.at hat dazu mit James Blake, Global Cyber Resiliency Strategist bei Cohesity, ein Interview geführt. [...]

Laut der Umfrage von Cohesity sehen 71 Prozent der Verbraucher KI als potenzielles Risiko für die Sicherheit ihrer persönlichen Daten. Diese Bedenken sollten Unternehmen alarmieren, denn das Vertrauen der Kunden steht auf dem Spiel. Ganze 90 Prozent der Befragten gaben an, dass sie ohne zu zögern den Anbieter wechseln würden, sollten sie Zweifel am verantwortungsvollen Umgang mit ihren Daten haben. Vor diesem Hintergrund sind Unternehmen gefordert, nicht nur in moderne Technologien zu investieren, sondern auch klare Maßnahmen zur Datensicherheit und Transparenz zu ergreifen. Verschärft wird der Druck durch neue regulatorische Vorgaben wie den EU AI Act und die NIS-2-Richtlinie, die den Rahmen für den Einsatz von KI und den Schutz von Daten weiter definieren. Für Unternehmen wird der verantwortungsvolle Umgang mit Daten daher nicht nur zur ethischen Verpflichtung, sondern auch zu einem zentralen Wettbewerbsfaktor.

Ihre Studie hat ergeben, dass eine große Mehrheit der Verbraucher KI als Risiko für die Sicherheit ihrer Daten sieht. Was sind die häufigsten Bedenken der Verbraucher vor unregulierter Datennutzung durch KI?

Neun von zehn Verbraucher sind besorgt, dass KI den Schutz und die Verwaltung ihrer Daten erheblich erschweren wird. Mehr als drei Viertel haben ernsthafte Bedenken hinsichtlich der uneingeschränkten oder unkontrollierten Nutzung ihrer Daten durch KI. 71 Prozent der Befragten stufen KI sogar als Risiko für Datenschutz und Datensicherheit ein.

Wie verändert KI den Umgang mit Daten und was bedeutet das für Kunden und Unternehmen?

KI stellt im Vergleich zu herkömmlichen Technologien eine Art Black Box dar. Kaum jemand weiß, wie sie genau funktioniert und woher sie welche Daten bezieht. Daher fordern Verbraucher, dass Unternehmen in Sachen Datenmanagement und Datensicherheit ein hohes Niveau erfüllen. Sonst wechseln sie den Anbieter. Unternehmen müssen daher sicherstellen und transparent kommunizieren, dass die KI-Nutzung keine zusätzlichen Risiken für sensible Kundendaten mit sich bringt.

Was erwarten Verbraucher beim KI-Einsatz von Unternehmen?

Die große Mehrheit der Befragten (85 Prozent) will wissen, mit welchen Anbietern ihre Daten geteilt werden. Fast ebensoviele fordern deshalb, dass Unternehmen die Datensicherheit und die allgemeinen Datenorganisationsprozesse von Drittanbietern, die Zugang zu ihren Kundendaten haben, überprüfen. Und 82 Prozent der Verbraucher wollen um Erlaubnis gefragt werden, bevor ihre persönlichen Daten oder Finanzinformationen in KI-Modelle eingespeist werden.

Wie sehen die Konsequenzen aus, wenn Unternehmen diese Erwartungen nicht erfüllen?

Das Vertrauen der Verbraucher geht schnell verloren, und die Konkurrenz ist nicht weit. So möchten über 90 Prozent der Befragten nicht mehr Kunden eines Unternehmens sein, wenn dieses Opfer eines Cyberangriffs wird. Verbraucher sind bereit, den Anbieter zu wechseln, wenn sie das Vertrauen in die Datensicherheit verlieren.

Welche Maßnahmen sollten Unternehmen ergreifen, um das Vertrauen der Verbraucher beim Thema KI-Datensicherheit zu stärken, und wie können sie sicherstellen, dass die KI-Nutzung keine zusätzlichen Risiken für sensible Kundendaten mit sich bringt?

Unternehmen, die KI nutzen wollen, sollten sorgfältiger als bisher die Sicherheit und den Schutz der erhobenen persönlichen Daten gewährleisten – so 82 Prozent der befragten Verbraucher. Zudem kritisieren 79 Prozent, dass Unternehmen zu viele persönliche oder finanzielle Daten über sie sammeln. Sie erwarten Datensparsamkeit, also dass nur wirklich relevante Daten erfasst werden. Kommen KI-Lösungen von Zulieferern oder Drittanbietern zum Einsatz, ist ein strenger und proaktiver Ansatz in Bezug auf Compliance und Security nötig.

Wie können Unternehmen die Sicherheit und das Management von Daten und KI-Informationen durch Drittanbieter effektiv überprüfen?

Sie sollten ermitteln, ob der Drittanbieter regelmäßig Sicherheitsaudits durchführt und über Zertifizierungen wie ISO 27001 oder SOC 2 verfügt, die den Schutz und die Integrität von Daten belegen. Neben der Analyse von Datenschutzrichtlinien und Sicherheitsverfahren des Drittanbieters können sie in Verträgen klare Anforderungen entlang der gesamten Lieferkette festlegen, etwa zu Verschlüsselung, Datenspeicherstandorten, Zugriffskontrollen oder zur Benachrichtigung bei Sicherheitsvorfällen. Kontinuierliches Monitoring und Berichterstattung gemäß der Compliance-Richtlinien, Penetrationstests und Schwachstellenanalysen sowie ein Response-Plan im Ernstfall sind mit jedem Drittanbieter einzurichten.

Die Studie zeigt, dass 56 Prozent der Befragten gegen die Zahlung von Lösegeld bei Ransomware-Angriffen sind. Welche Alternativen haben Unternehmen, um Cyberangriffe abzuwehren und sich ohne Lösegeldzahlungen zu schützen?

Das A und O eines robusten Schutzes vor Ransomware ist eine sichere Backup-Infrastruktur. Wichtige Funktionen sind dabei ein Zero Trust-Konzept, unveränderlicher Speicher sowie ein Datentresor, der durch einen virtuellen oder realen Air Gap von der restlichen Infrastruktur getrennt ist. Somit erhalten Angreifer keinen Zugriff auf die Backups. Unternehmen können dann manipulierte Daten schnell wiederherstellen, ohne Lösegeld an Hacker zu zahlen. Angesichts der Vielzahl an Angriffen ist es jedoch nicht nur wichtig, in die Cyberabwehr zu investieren. Unternehmen sollten insbesondere Maßnahmen ergreifen, um den Schaden im Falle erfolgreicher Angriffe möglichst gering zu halten. Dies wird unter dem Begriff Cyber-Resilienz zusammengefasst.

Welche spezifischen Maßnahmen empfehlen Sie Unternehmen, um ihre Cyber-Resilienz zu verbessern?

Eine wichtige Maßnahme ist die Einrichtung eines isolierten Cleanrooms, der – abgeschottet von der Außenwelt – alle wichtigen Daten und Werkzeuge enthält, damit Security-Teams trotz eines Totalausfalls der IT-Infrastruktur arbeitsfähig sind. Im Ernstfall kann ein Ransomware-Angriff alle Systeme verschlüsseln und den Zugriff darauf verhindern. Selbst die physische Zutrittskontrolle oder Mail- und VoIP-Telefonie-Systeme funktionieren dann nicht mehr. Ein Cleanroom stellt deshalb die Kerndienste bereit, um Räume betreten zu können, intern und mit Partnern und Behörden zu kommunizieren, auf einen Incident zu reagieren, erste Analysen durchzuführen und den Notbetrieb schnell zu ermöglichen.

Welche langfristigen Trends sehen Sie im Bereich Datensicherheit, insbesondere in Verbindung mit dem Einsatz von KI?

KI führt zu wesentlichen Veränderungen. Cyberkriminelle nutzen sie für immer ausgefeiltere, gezieltere und höher skalierte Angriffe. Insgesamt beobachten wir eine zunehmende Professionalisierung der Angreifer. Aufgrund dieses zunehmenden Bombardements – das menschliche Security-Teams nicht mehr alleine bewältigen können – müssen Unternehmen ihrerseits ebenfalls KI einsetzen, um neuartige Attacken sofort zu erkennen und weitgehend automatisiert abzuwehren.