31.03.2026

INTERVIEW

„Der Angreifer braucht nur ein gekipptes Fenster“ – KI und die Asymmetrie in der Cybersicherheit

Interview. Künstliche Intelligenz verleiht Cyberkriminellen nie dagewesene Geschwindigkeit und macht Angriffe durch Deepfakes oder unregulierte „Schatten-KI“ zur existenziellen Bedrohung. Im Interview erklärt Security-Experte Avi Kravitz, wie sich die Spielregeln der Abwehr radikal verändern und mit welchen Strategien sich Unternehmen im neuen Wettlauf gegen die Zeit rüsten müssen.

/artikel/wenn-minuten-ueber-millionen-entscheiden-wie-ki-den-takt-der-cyber-angriffe-verschaerft

✨ AI Kontextualisierung

Avi Kravitz ist Gründer von A-Team Rocks Consulting, einer spezialisierten Security-Boutique mit den Schwerpunkten Securityberatung und Offensive Security. Seit fast 20 Jahren arbeitet er an der Aufklärung von Cyber-Sicherheitsvorfällen und tritt als Trusted Advisor für Kunden in ganz Europa auf. Im Interview spricht er über die massiven Veränderungen durch Künstliche Intelligenz, die Tücken von „Shadow AI“ und warum der Faktor Zeit heute entscheidend ist.

Du beschäftigst dich schon fast dein ganzes Leben mit IT-Sicherheit. Warum hast du Anfang 2020 A-Team Rocks Consulting gegründet und wo liegt euer Fokus?

Avi Kravitz: Ich beschäftige mich tatsächlich schon, seit ich zehn Jahre alt bin, mit diesem Thema. Beruflich mache ich das Ganze jetzt seit fast 20 Jahren. Vor etwa sechs Jahren hatte ich die Idee, viel Kompetenz auf Senior-Level in einer Firma zu bündeln. Daraus entstand A-Team Rocks Consulting, das ich Anfang 2020 gegründet habe.

Wir konzentrieren uns auf drei Hauptthemen: Erstens die technische Seite, also Offensive Security. Wir simulieren Hackerangriffe und führen klassische oder sehr spezielle Penetrationstests durch. Zweitens das Thema Security Management und Governance. IT-Security wurde früher oft als reines IT-Thema gesehen. Mittlerweile hat sich herumgesprochen, dass es ein ganzheitliches Thema ist, das stark mit Organisation, Prozessen, Policies und den Mitarbeitern zusammenhängt. Die dritte große Säule ist das Security Monitoring, wo wir für unsere Lösungen die laufende Überwachung übernehmen. Zudem machen wir forensische Analysen und Incident Response, helfen Unternehmen also, wenn sie gehackt wurden.

Wie seid ihr dafür personell aufgestellt?

Avi Kravitz: Wir sind aktuell fünf feste Mitarbeiter. Dazu haben wir einen Pool von etwa 15 Senior-Experten, die wir projektbezogen als Freelancer hinzuziehen. Das gibt uns die nötige Flexibilität, um Projekte auf höchstem Niveau abzuwickeln.

Wenn wir auf das aktuelle Top-Thema schauen: Künstliche Intelligenz. Wie verändert KI die Lage für Angreifer und Verteidiger in der Cybersicherheit?

Avi Kravitz: KI hat einen massiven Impact. Es gibt und gab in der Cybersicherheit immer eine Asymmetrie zwischen Angreifer und Verteidiger. Der Verteidiger muss schauen, dass das ganze „Haus“ abgesperrt ist, alle Fenster und Türen zu sind. Der Angreifer braucht nur ein einziges gekipptes Fenster, um einzubrechen.

KI verschärft diese Asymmetrie und bringt drei große Problemfelder mit sich. Das Erste ist der Faktor Zeit. Vor der KI-Ära haben wir bei Angriffen oft über Stunden und Tage gesprochen. Mit KI-gestützten Angriffen reden wir immer öfter über Minuten. Das ist signifikant, denn der Umkehrschluss lautet: Die Verteidigung muss genauso schnell reagieren können.

Was sind die anderen beiden Problemfelder?

Avi Kravitz: Das Zweite ist das Thema Täuschung. Vertrauen wird durch KI und Deepfakes massiv auf die Probe gestellt. Laut Microsoft ist KI-gestütztes Phishing mittlerweile rund dreimal effektiver als klassische Kampagnen. Früher hat man Phishing-Mails oft an schlechter Sprache oder schlechtem Design erkannt – heute sind sie sprachlich und visuell nahezu perfekt.

Das zieht sich auch ins Social Engineering. Wir hatten letztes Jahr einen Fall im deutschsprachigen Raum, bei dem ein Pharmaunternehmen einen hohen sechsstelligen Betrag durch einen Deepfake verlor. Die Angreifer hatten sich zuvor Zugriff auf das E-Mail-Konto einer zentralen Person im Unternehmen verschafft und dort über längere Zeit mitgelesen. So konnten sie laufende Geschäftsprozesse, Kommunikationsmuster und den nötigen Kontext genau nachvollziehen. Auf dieser Basis starteten sie eine Deepfake-Kampagne, die den CEO imitierte und sich über ein halbes Jahr aufbaute.

Nach diesen neun Monaten kam per Deepfake die Anweisung an den Geschäftsführer: „Bitte überweise diesen Betrag auf die Bank in Hongkong.“ Da der Kontext stimmte, hat er die Transaktion genehmigt. Erst am nächsten Tag, als er den echten CEO in der Schweiz traf, flog der Betrug auf.

Das klingt erschreckend. Wie lässt sich so etwas verhindern? Fällt hier die fehlende Governance ins Gewicht?

Avi Kravitz: Exakt. Wenn Unternehmen schon vor der KI-Zeit ihre Hausaufgaben im Bereich Governance nicht gemacht haben, fällt ihnen das jetzt auf den Kopf. Wenn kritische Geschäftsprozesse nicht durch ein Vier-Augen-Prinzip abgesichert sind, wird es gefährlich.

Für kritische Freigaben muss ein „Out-of-Band-Kanal“ etabliert sein. Das heißt: Wenn mich jemand anruft und drängt, sofort 100.000 Euro zu überweisen, muss ich über einen völlig anderen, unabhängigen Kanal zurückfragen: „Stimmt das wirklich?“ Solche fehlenden Prozesse machen KI-Angriffe jetzt noch verheerender. Zudem fehlen oft die Log-Files, also die „Augen und Ohren“ der IT. Wenn nicht entsprechend mitgeloggt wird und diese an sicheren Orten verwahrt werden, können wir in der Analyse im Nachhinein kaum oder nur schwer nachvollziehen, was in den vergangenen Monaten passiert ist.

Du hast vorhin noch ein drittes Problemfeld erwähnt.

Avi Kravitz: Ja, der Kontrollverlust. Wir nennen das „Shadow AI“‘. Früher sprach man von „Shadow IT“, wenn Mitarbeitende nicht freigegebene Geräte, Software oder Cloud-Dienste für die Arbeit nutzten. Heute verwenden Mitarbeitende für ihre Arbeit verschiedenste KI-Tools, oft ohne klare Regeln, Freigaben oder Sichtbarkeit für IT und Security.

Die Problematik: In diesen Tools landen sensible Firmendaten. Das Unternehmen gibt Interna heraus und hat keine Ahnung, wo diese Daten landen oder was die Anbieter damit machen. Es ist ein bisschen wie der Wilde Westen. Die IT hat darüber keine Hoheit mehr und klassische Security-Maßnahmen reichen hier allein nicht mehr aus. Auch das ist wieder ein Governance-Thema.

Gibt es Unterschiede, wie Startups und Großkonzerne damit umgehen? Gerade im Vergleich zum Vorreiter Israel?

Avi Kravitz: Bei kleineren Startups in Österreich bekommt Cybersecurity ehrlicherweise oft noch zu wenig Aufmerksamkeit. Das liegt meist an knappen personellen und finanziellen Ressourcen. Für viele Startups haben Überleben, Produktentwicklung und schneller Markteintritt zunächst Priorität.

Israel ist im Cyberbereich deutlich reifer aufgestellt. Dort ist Cybersecurity oft sehr anwendungsnah und einsatzgetrieben. Die Einheit 8200 des israelischen Militärs bringt seit Jahren starke Cyber-Experten hervor, und das Ökosystem ist darauf ausgelegt, Startups früh mit Kapital, Netzwerk und internationaler Skalierung zu unterstützen. Dadurch fällt es vielen Unternehmen dort leichter, neue Technologien wie KI auch in der Verteidigung schneller zu adaptieren.

Wir leben auch in geopolitisch sehr angespannten Zeiten. Hat der Russland-Ukraine-Konflikt die Bedrohungslage für Unternehmen verändert?

Avi Kravitz: Definitiv. Seit dem Ausbruch des Ukrainekriegs ist Cyber für Unternehmen viel stärker als geopolitischer Risikofaktor sichtbar geworden. Wir sehen seither, dass staatliche und staatsnahe Akteure digitale Angriffe gezielt mit politischen und militärischen Zielen verknüpfen – etwa durch Wiper-Malware, die nicht auf Verschlüsselung, sondern auf gezielte Zerstörung ausgelegt ist, durch DDoS-Kampagnen zum Lahmlegen von Systemen, durch Angriffe auf kritische Infrastrukturen oder durch Angriffe entlang digitaler Liefer- und Dienstleisterketten.

Besonders deutlich wurde das bei Angriffen auf die ukrainische Energieversorgung, etwa durch die russlandnahe Hackergruppe Sandworm und durch Industroyer2, eine speziell für Energie- und Steuerungssysteme entwickelte Schadsoftware. Für Unternehmen in Europa ist die Bedrohung dadurch greifbarer geworden, weil nicht nur einzelne Systeme, sondern auch Lieferketten, Dienstleister, Energieversorgung und digitale Abhängigkeiten stärker in den Fokus rücken.

Zusammenfassend: Wenn ein Unternehmen jetzt aufrüsten möchte, welche konkreten Tipps gibst du mit auf den Weg?

Avi Kravitz: Es gibt keine Silver Bullet und keine einzelne Maßnahme, die alle Probleme löst. Es braucht immer einen Mix aus technischen, organisatorischen und prozessualen Schutzmaßnahmen.

Erstens: Identitäten schützen. Angreifer zielen heute sehr häufig auf Zugangsdaten, Tokens und privilegierte Konten.

Zweitens: starke Authentifizierung und klare Verifikationsprozesse. Dazu gehören konsequente MFA und gerade im Zeitalter von Deepfakes, CEO-Fraud und Social Engineering eine zusätzliche, unabhängige Out-of-Band-Verifikation bei sensiblen Vorgängen wie Zahlungen, Kontowechseln, Freigaben oder Zugriffsänderungen – idealerweise nach dem Vier-Augen-Prinzip.

Drittens: Systeme konsequent aktuell halten. Sicherheitsupdates schließen bekannte Schwachstellen, bevor Angreifer sie ausnutzen können. Und weil Angreifer heute oft in Minuten statt in Tagen agieren, wird Geschwindigkeit beim Patchen und Absichern zum entscheidenden Faktor. Das gilt nicht nur für exponierte Systeme, sondern für die gesamte IT-Landschaft – vom Server bis zum Client.

Viertens: konsequentes Least Privilege. Niemand sollte mehr Zugriffsrechte haben, als für die jeweilige Aufgabe unbedingt nötig sind.

Und fünftens: Monitoring. Gutes Monitoring ist unerlässlich, um Auffälligkeiten früh zu erkennen und im Ernstfall schnell reagieren zu können. Unternehmen brauchen heute mehrere Schutzebenen, nicht nur eine einzelne Maßnahme. Gleichzeitig sollte man KI nicht nur als Risiko sehen: Richtig eingesetzt kann sie auch auf der Verteidigungsseite helfen – etwa bei der schnelleren Erkennung von Auffälligkeiten, der Priorisierung von Vorfällen und der Entlastung von Security-Teams.

Event der AICC – Austrian-Israeli Chamber of Commerce im weXelerate

Wie brisant diese Entwicklung ist, zeigte sich erst kürzlich am 24. März 2026 beim Event „Cyber Security in the Age of AI“ der Österreichisch-Israelischen Handelskammer (AICC) im Wiener weXelerate. Vor rund 80 Gästen aus Wirtschaft und Tech-Szene brachte Avi Kravitz die aktuelle Bedrohungslage auf den Punkt: Die größte Gefahr durch Künstliche Intelligenz liege derzeit gar nicht in völlig neuen Bedrohungsformen, sondern in der massiven Beschleunigung bestehender Angriffe.

Photo (c) D.Mikkelsen v.l.n.r.: Benjamin Ruschin (Präsident, AICC), Michael Wilnitsky (Generalsekretär, AICC), Avi Kravitz (Founder & CEO, A-Team Rocks Consulting), Yaron Zehavi (Senior Enterprise Architect, Identity Architect & CIAM Product Owner, Raiffeisen Bank International), Christoph Moser (Chief Resilience Officer, Plasser & Theurer), Mara Weinblatt (Marketing & Kommunikation, AICC), Awi Lifshitz (Präsident, AICC).

Was für Abwehrteams früher ein „Stundenproblem“ war, wird durch KI zunehmend zum „Minutenproblem“. Gemeinsam mit Branchenexperten wie Christoph Moser (Plasser & Theurer) und Yaron Zehavi (Raiffeisen Bank International) warnte Kravitz auf dem Podium davor, dass Attacken durch KI nicht nur rasant skalieren und billiger werden, sondern auch in ihrer Täuschung kaum noch zu entlarven sind. Das eindringliche Fazit des Abends: Cybersicherheit darf kein technisches Nischenthema mehr bleiben, sondern muss im KI-Zeitalter zur zentralen Management- und Führungsfrage werden.

5.139 Unternehmen mussten laut aktueller Hochrechnung des Kreditschutzverbands KSV1870 in den ersten drei Quartalen 2026 in Österreich Insolvenz anmelden. Das entspricht einem Plus von 0,4 Prozent zum gleichen Zeitraum im Vorjahr. Nach Jahren des deutlichen Anstiegs bedeutet das eine Stagnation auf hohem Niveau. Diese erwartet der Verband auch für das gesamte Jahr. Die Passiva sind wegen einer etwas geringeren Zahl an Großinsolvenzen in den ersten drei Quartalen im Vergleich zum Vorjahreszeitraum um rund sieben Prozent auf etwa sechs Milliarden Euro gesunken. Bei den Branchen – Handel vor Baugewerbe und Gastronomie – gab es „wenig Bewegung“.

„Kräftiger Aufschwung gegenwärtig nicht erkennbar“

Insgesamt gibt es seitens des KSV1870 weiter keine Entwarnung. Die schwache Konjunktur, die verhaltene Nachfrage und die hohen Kosten würden Betriebe weiterhin belasten, „ein kräftiger Aufschwung ist gegenwärtig nicht erkennbar“, heißt es vom Verband. „Wo Margen und finanzielle Reserven knapp sind, kann der anhaltende wirtschaftliche Druck schnell existenzbedrohend werden. Entsprechend hoch bleibt die Zahl der Betriebe, die ihre finanziellen Verpflichtungen nicht mehr erfüllen können und den Weg in die Insolvenz antreten müssen“, kommentiert Karl-Heinz Götze, Leiter KSV1870 Insolvenz.

Weiterer Zuwachs bei nicht eröffneten Fällen „alarmierend“

Mehr noch beschäftigt den Verband eine Entwicklung, die sich in den vergangenen Jahren kontinuierlich verschärft hat, und vom KSV als „besorgniserregend“ eingestuft wird: ein massiver Zuwachs bei den nicht eröffneten Fällen. So ist die Zahl der eröffneten Unternehmensinsolvenzen im dritten Quartal gegenüber dem Vorjahreszeitraum sogar um 7,2 Prozent gesunken, die Zahl der mangels Masse nicht eröffneten Verfahren dagegen um nicht weniger als 12,6 Prozent gestiegen. Konkret war es laut KSV seit Jahresbeginn bei 2.204 Fällen, also ca. 43 Prozent aller Verfahren mangels Kostendeckung nicht möglich, diese einer geordneten Abwicklung zuzuführen.

„Dass es zwischen den eröffneten und abgewiesenen Fällen mittlerweile nur noch einen zahlenmäßig geringen Unterschied gibt, ist alarmierend. Das ist ein Umstand, den die Gläubiger massiv zu spüren bekommen, da sich in diesen Fällen ihre Verluste weiter erhöhen. Das kann auch für wirtschaftlich gesunde Unternehmen mittel- und langfristig zum Problem werden“, erläutert Götze.

KSV1870 sieht Betrugsbekämpfungsgesetz „zumindest punktuell“ als Auslöser

Die Gründe für die Dynamik laut KSV: Nicht nur werde immer häufiger mit der Insolvenzanmeldung zu lange gewartet, der Verband sieht die Entwicklung auch „zumindest punktuell“ als eine Folge des im Jänner 2026 beschlossenen Betrugsbekämpfungsgesetzes. „Denn infolgedessen ist es vielfach so, dass vor der Änderung der Gesetzeslage durchsetzbare Anfechtungsansprüche nun nicht mehr geltend gemacht werden können, die Zahl der Gläubigeranträge sinkt und auch die Quoten dementsprechend für die Gläubiger zurückgehen“, heißt es vom KSV. In diesem Zusammenhang seien – „wie bereits beim Gesetzesbeschluss seitens des KSV1870 vorausgesagt“ – Folgeinsolvenzen zu befürchten.

Der KSV1870 erwartet auch für das vierte Quartal keine Entschärfung der Insolvenzdynamik und auch keine Verbesserung bei den nicht eröffneten Fällen. „Angesichts dieser Faktenlage ist es höchst an der Zeit, eine gesetzliche Basis zu schaffen, wie mit den mangels Masse abgewiesenen Fällen zukünftig umzugehen ist. Andernfalls wird sich der gesamtwirtschaftliche Schaden weiter erhöhen“, meint Götze.

Deutliches Statement zur Insolvenz-Entgelt-Fonds-Diskussion

Der Verband äußert sich zudem zur Diskussion rund um eine Finanzierungslücke beim Insolvenz-Entgelt-Fonds (IEF). „Aus Sicht des KSV1870 ist dabei ein Punkt wesentlich: Aufgrund der Tatsache, dass sich Österreichs Unternehmen seit einigen Jahren mit massiven wirtschaftlichen Herausforderungen konfrontiert sehen, ist eine automatische Anhebung der Dienstgeberbeiträge keine Option“, heißt es dazu. Götze kommentiert: „Dadurch würden die Betriebe finanziell zusätzlich belastet werden, was angesichts der derzeitigen Situation nicht erstrebenswert sein kann.“ Wichtig in der Diskussion sei jedenfalls, „nicht nur den Bedarf für das Jahr 2027 zu bewerten, sondern langfristig zu denken und sowohl die Interessen der Arbeitgeber wie auch jene der Arbeitnehmer zu berücksichtigen“, so der Verband abschließend.