KI-Cyberangriffe auf Banken sind nur eine Frage der Zeit
Der Binance-Hack zeigt: Nicht ob, sondern wann ein großes Finanzinstitut kompromittiert wird, warnt ein Chicago-Booth-Professor.
Der Cyberangriff auf die Krypto-Börse Binance liefert nach Einschätzung eines Finanzprofessors wichtige Lehren für Investoren, Aufsichtsbehörden und politische Entscheidungsträger. Der Autor, Professor für Volkswirtschaftslehre und Finanzen an der Chicago Booth School of Business, ordnet den Vorfall in einem Gastbeitrag als Warnsignal ein. Seine zentrale These: Bei Cyberangriffen auf große Finanzinstitute geht es nicht um die Frage, ob sie kompromittiert werden, sondern wann.
Politische Entscheidungsträger planen routinemäßig die Bewältigung verschiedener Risiken für die Finanzstabilität – etwa durch Kriegsspiele und Stresstests. Cyberangriffe unterscheiden sich jedoch von den meisten anderen Risiken. Während andere Gefahren kalkulierbar erscheinen, gilt für die Cyber-Bedrohung: Ein großer Angriff auf ein Finanzinstitut ist nur eine Frage der Zeit.
Die Affäre um Binance deutet auf eine mögliche Erklärung hin, warum bislang keine massive Sicherheitslücke im traditionellen Bankensystem aufgetreten ist. Möglicherweise sind Banken und konventionell regulierte Finanzinfrastrukturen nicht mehr die attraktivsten Ziele. Wenn das Krypto-Ökosystem bei der Abwehr von Angriffen nachlässig gewesen ist, könnten Angreifer dorthin abwandern, wo sie leichter Beute machen.
Große Banken stehen unter ständigem Beschuss
Daraus sollte man jedoch keinen Grund zur Beruhigung ableiten. Große Banken stehen unter ständigem Beschuss. Das Gesetz der großen Zahlen, gepaart mit der Art und Weise, wie zunehmend fortschrittliche Künstliche Intelligenz (KI) Angreifer befähigt, lässt darauf schließen, dass es nur eine Frage der Zeit ist, bis ein erheblicher Angriff erfolgreich ist.
Manchmal wird behauptet, der Aufstieg der KI werde Institutionen in die Lage versetzen, Cyberangriffen auf Augenhöhe entgegenzutreten. Der Autor hält das für zu optimistisch. KI kann und sollte eingesetzt werden, um Schwachstellen zu identifizieren, und wird Teil der Bemühungen sein, diese zu beheben. Doch wie der kürzlich erfolgte Hack des KI-Modells und Datenrepositories Hugging Face deutlich macht, können sich Institutionen nicht ausschließlich auf Technologie verlassen.
Maßnahmen zur Behebung von Mängeln hängen von Menschen ab, die nicht so schnell arbeiten und sich anpassen können wie KI. Folglich werden die Verteidigungsanstrengungen hinter denen der Angreifer zurückbleiben. Die ersten Berichte über den Hackerangriff auf Binance deuten zudem auf die mögliche Beteiligung staatlich geförderter Angreifer hin.
Einzelne Institute können sich gegen staatliche Angreifer kaum wehren
Einzelne Institutionen werden niemals über ausreichende Ressourcen verfügen, um gegen staatlich geförderte Akteure zu kämpfen, und es ist unvernünftig, dies von ihnen zu erwarten. Zwar gibt es gewisse Kooperationsbemühungen zwischen großen Finanzinstituten zum Austausch von Informationen, doch Regierungen spielen eine entscheidende Rolle bei der Schaffung von Standards, die die besten Interessen ihrer Bürger schützen.
Für das Bankensystem besteht ein Aufsichtsregime, das dazu beitragen soll, die Risiken eines KI-Angriffs zu bewältigen. Dasselbe gilt nicht für das Krypto-Ökosystem. Der Mangel an strenger Aufsicht mag Innovation fördern, macht Krypto-Unternehmen jedoch auch anfällig.
Im Moment könnte ein Angriff vom Typ Binance das Vertrauen in das breitere Finanzsystem nicht erschüttern. Doch wenn das Krypto-Ökosystem weiter wächst und stärker in das traditionelle Finanzsystem integriert wird, könnten die Auswirkungen weitaus verheerender sein. Eine wahre Aussage im Zusammenhang mit Cyberrisiken lautet, dass eine Organisation oder ein Finanzsystem nur so stark ist wie ihr schwächstes Glied.
Kriminelle könnten KI-Agenten im Krypto-Ökosystem trainieren
Ein weiterer Grund zur Sorge besteht darin, dass Kriminelle und andere feindliche Akteure das Krypto-Ökosystem nutzen könnten, um KI-Agenten darin zu schulen, wie sie Finanzinstitutionen am besten hacken können. KI verbessert sich rasant, und verschiedene Institutionen setzen unterschiedliche Abwehrmaßnahmen ein. Doch das Erlernen des Hackens eines Systems kann Erkenntnisse liefern, die beim Angriff auf ein anderes System hilfreich sind.
Wenn die Funktionsweise einer wichtigen Finanzinstitution oder eines Schlüsselelements der etablierten Finanzinfrastruktur beeinträchtigt wird, kann dies rasch zu weitverbreitetem Misstrauen gegenüber dem Finanzsystem führen. Vertrauen ist das Schmiermittel, das das Finanzsystem am Laufen hält und Unternehmen sowie Haushalte unterstützt. Wenn es durch einen Cyberangriff, der von einem feindlichen Staat oder einem nicht-staatlichen Akteur initiiert wurde, schwer beschädigt wird, lässt es sich nur schwer wiederherstellen. Die systemischen Folgen könnten weitreichend sein.
Politik sollte den Binance-Angriff als Warnschuss begreifen
Banken investieren erheblich in den Schutz vor diesen Risiken, und das US-Finanzministerium sowie die Bankenaufsichtsbehörden arbeiten mit regulierten Finanzinstituten zusammen, um die Vorbereitungsbereitschaft zu fördern. Doch sowohl das Ausmaß als auch die Art der Investitionen des Privatsektors werden hinter dem Bedarf zurückbleiben, der erforderlich ist, um die Widerstandsfähigkeit des Finanzsystems zu gewährleisten.
Politische Entscheidungsträger sollten den Angriff auf Binance daher als das erkennen, was er ist: als Warnschuss für potenziell viel schlimmere Entwicklungen in Zukunft. Der Schutz vor Hacks, die Milliarden Dollar stehlen und das Vertrauen in die Finanzwelt untergraben, erfordert, dass der öffentliche Sektor eng mit dem Privatsektor zusammenarbeitet, um die Resilienz zu stärken und Pläne für den Fall zu entwickeln, dass etwas schiefgeht.
Die Duldung, dass die Krypto-Welt – ein großer und wachsender Teil der Finanzbranche – weiterhin minimaler Aufsicht unterliegt, gefährdet nach Ansicht des Autors das nationale Wohlergehen. Innovation ist gut, muss aber mit angemessener Aufsicht einhergehen. Kathryn Judge, Professorin an der Columbia Law School, hat zu diesem Beitrag beigetragen.