Mit Kostenexplosionen gegen KI-Bots

Angriffe durch bösartige autonome KI-Bots entwickeln sich zu einem ernsthaften Problem für Unternehmen. Um ihnen zu begegnen, schlägt Security-Experte von Tim Chang von Thales einen ungewöhnlichen Weg vor: Neben der Beschleunigung der klassischen Abwehrmaßnahmen will er die Angreifer mit einer absichtlich herbeigeführten Kostenexplosion in die Flucht schlagen.

Jeder Angriff kostet Energie, Ressourcen für Mensch und Technologie sowie den Faktor Zeit. Genauso sieht es auf der Seite der Verteidigung aus, jede Gegenmaßnahme erfordert genau den gleichen Dreiklang. Diese Logik der Ökonomie spiegelt wider, wie ein gutes Application Security-Team gegen bösartige Bots vorgeht. Anstatt sich allein auf das Blockieren zu verlassen, erhöht es die Kosten, der Aufwand und die Komplexität eines Angriffs, bis die Automatisierung für den Betreiber zu einer schlechten Investition wird.

Blockieren allein ist noch kein Erfolg. Wenn Angreifer immer wieder zurückkommen, funktioniert das Modell nicht. KI-gestützte Bots verhalten sich wie ein menschlicher Nutzer es tun würde. Seit Jahren ahmen sie Menschen nach – sie tippen, surfen, machen Pausen und klicken, um sich in den legitimen Datenverkehr einzufügen. Doch die KI hat diese Fähigkeiten zur Nachahmung des menschlichen Verhaltens beschleunigt, was bedeutet, dass sich die Anwendungssicherheit weiterentwickeln muss, um den berühmten Schritt voraus zu sein. Die Teams können sich nicht mehr fragen: "Ist dieser Datenverkehr bösartig?" Sie müssen fragen: "Wer oder was greift auf diese Anwendung zu, unter welchen Bedingungen und mit welcher Absicht?"

Das Internet wird verzerrt

Bots erzeugen mittlerweile im Internet mehr Datenverkehr als Menschen, und mehr als ein Drittel dieser Aktivitäten ist laut unseren Threat-Intelligence-Daten bösartig. KI-gestützte "Predator-Bots" sind Teil der grundlegenden Bedrohungslandschaft. Sie ergänzen bekannte Techniken wie SQL-Injection, Cross-Site-Scripting, Verhaltensmissbrauch, der legitime Nutzer imitiert sowie volumetrische Angriffe, die darauf abzielen, die Infrastruktur zu überlasten oder die Absicht zu verschleiern.

Die wirtschaftlichen Auswirkungen sind erheblich. Unsichere APIs und Bot-Angriffe verursachen jedes Jahr weltweit massive Verluste – nicht nur durch Ausfälle oder Sicherheitsverletzungen, sondern auch durch weniger offensichtliche Schäden. Bots sammeln Preisdaten, horten Bestände, manipulieren Arbeitsabläufe, verbreiten Falschinformationen und untergraben das Vertrauen in digitale Erlebnisse.

Solange Angriffe weniger kosten als die Verteidigung, behalten Angreifer in großem Maßstab die Oberhand. Menschen, Bots, APIs, Agenten und automatisierte Systeme interagieren kontinuierlich mit maschineller Geschwindigkeit über moderne Anwendungen hinweg, oft ohne einheitliche Kontrollen hinsichtlich Identität, Zugriff oder Governance. In dieser Umgebung versagen statische Anmeldedaten. Sicherheit muss Identität als dynamisches Signal betrachten, das durch Kontext und Verhalten geprägt wird.

Angriffe teurer machen, nicht nur blockieren

Traditionelle Abwehrmaßnahmen wurden für eine andere Ära entwickelt. Statische Kontrollen gingen davon aus, dass Automatisierung primitiv und leicht zu erkennen sei. Ratenbegrenzungen setzten voraus, dass sich Angreifer vorhersehbar verhalten. Selbst verhaltensbasierte Abwehrmaßnahmen haben Schwierigkeiten, da Bots immer besser darin werden, menschliche Nuancen nachzuahmen. In manchen Fällen trainieren Abwehrmaßnahmen Angreifer unbeabsichtigt, indem sie Schwellenwerte und Signale offenlegen, die zukünftige Angriffe schneller und kostengünstiger machen.

Das Problem sollte jedoch anders betrachtet werden. Angreifer sind erfolgreich, wenn der Wert, den sie gewinnen, die Kosten des Angriffs übersteigt. Diese Gleichung gilt unabhängig davon, ob es sich um technische, verhaltensbasierte oder volumetrische Techniken handelt. Wenn Abwehrmaßnahmen Angriffe lediglich verlangsamen, ohne die Statik zu verändern, ist eine anhaltende Bedrohung fast garantiert.

Die Wirtschaftlichkeit gegen den Angreifer wenden

Bei der modernen Bot-Abwehr geht es nicht nur darum, Datenverkehr zu blockieren. Es geht darum, Angriffe so teuer zu machen, dass sie nicht mehr fortgesetzt werden können. Das Ziel moderner Anwendungssicherheit sollte nicht bei der Erkennung und Reaktion Halt machen. Es sollte darin bestehen, das Geschäftsmodell des Angreifers zu zerstören. In der Unternehmensfinanzierung macht eine "Poison Pill" feindliche Übernahmen unerschwinglich teuer. In der Anwendungssicherheit ist das Konzept ähnlich. Anstatt alle Kosten für die Abwehr intern zu tragen, können Unternehmen diese zurück auf den Angreifer verlagern. Techniken wie Proof-of-Work, fortschrittliches Fingerprinting und identitätsbewusste Verhaltensdurchsetzung machen jede Interaktion für Bots, Skripte und automatisierte Tools schrittweise teurer. Angreifer hören nicht auf, wenn sie blockiert werden. Sie hören auf, wenn eine Fortsetzung wirtschaftlich keinen Sinn mehr ergibt. Indem sie die Automatisierung dazu zwingen, immer mehr Rechenleistung, Zeit und Aufwand zu verbrauchen, können Unternehmen ihre Gegner zermürben und Skalierung von einem Vorteil in einen Nachteil verwandeln.

Warum dies gerade jetzt wichtig ist

APIs sind zum primären Schnittpunkt für Menschen, Maschinen und autonome Agenten geworden. Agentenbasierte Systeme bringen neue Risiken mit sich, darunter automatisierte Aktionen ohne klare Identität, den Missbrauch von APIs in maschineller Geschwindigkeit und eine begrenzte Rechenschaftspflicht für Entscheidungen, die ohne menschliches Zutun getroffen werden. Passive Erkennung reicht nicht aus. Anwendungssicherheit muss aktiv, identitätsorientiert und kontinuierlich durchgesetzt werden.

Ausblick

Predator-Bots werden sich mithilfe von KI-Rückkopplungsschleifen zunehmend selbst beibringen, wie man jagt. Unternehmen, die identitätsorientierte Kontrollmaßnahmen einführen, schützen nicht nur ihre Systeme. Sie sichern auch ihren Umsatz, das Vertrauen ihrer Kunden und ihr langfristiges Wachstum und verwandeln Bot-Angriffe von anhaltenden Bedrohungen in unrentable Investitionen.

Zum Autor:

Tim Chang ist Vice President of Application Security bei Thales.

CRN-Newsletter beziehen und Archiv nutzen - kostenlos: Jetzt bei der CRN Community anmelden