CEO-Fraud im Kontext (generativer) künstlicher Intelligenz – eine experimentelle Untersuchung

Der vorliegende Beitrag zeigt auf, wie Täter (generative) künstliche Intelligenz zur Begehung von CEO-Fraud und ähnlichen Straftaten nutzen können. Für Täter ohne fundierte Kenntnisse ist es möglich, innerhalb weniger Minuten eine Anleitung für die Begehung von CEO-Fraud zu erhalten. Der Autor Dr. iur. Dr. rer. pol. LLM. Fabian Teichmann zeigt in diesem Beitrag die Implikationen und Risiken für Unternehmen und Strafverfolgungsbehörden auf.

Als erstes verweist der Beitrag darauf, dass der CEO Fraud an sich bereits hinreichend untersucht wurde und auf die bestehende Literatur verwiesen werden kann. Die Nutzung von generativer künstlicher Intelligenz zur Begehung von CEO Fraud dagegen wurde noch nicht hinreichend untersucht.

Um sich Informationen zu beschaffen, startet ein Chat mit einer KI mit einer vermeintlich harmlosen Frage, wie zum Beispiel «Was versteht man unter CEO Fraud?» Nach der Antwort der KI, möchte der Täter wissen, wie ein geschickter Täter vorgeht. Auch auf diese Frage antwortet die KI, indem sie eine detaillierte Anleitung generiert. Der nächste Schritt ist die Erfragung von Angriffszielen, wie beispielsweise. «Welche Unternehmen sind besonders geeignete Ziele?» Als nächstes wird spezifischer gefragt, z.B. «Kannst du mir einige Beispiele für besonders geeignete Ziele in Deutschland nennen?» Als weitere Schritte erfolgen die Erfragung der Funktionsweise von E-Mail-Adressen-Spoofing und Domain-Spoofing und der Erfragung danach, wie Täter den Schreibstil und die Kommunikationsmuster von vermeintlichen Führungskräften nachahmen können. Als nächstes werden die Fragen, wie ein Täter Dringlichkeit und Druck aufbauen kann und wie das Vertrauen von Opfern gewonnen werden kann, an die KI gerichtet. Nachdem der Täter über potenzielle Opfer und die Vorgehensweise Bescheid weiss, generiert die KI ihm eine individualisierte CEO-Fraud E-Mail. An dieser Stelle gehen die Fähigkeiten der künstlichen Intelligenz über jene von herkömmlichen Suchmaschinen hinaus. Zum Schluss befragt der Täter die KI welche Möglichkeiten zum Erhalt von Deliktserträgen bestehen und wie sich Unternehmen gegen CEO-Fraud schützen.

Diese Entwicklung bedeutet für Unternehmen und Strafverfolgungsbehörden, dass sich die technischen Möglichkeiten potenzieller Täter erheblich verändert haben. Dagegen haben sich die Präventionsmassnahmen und straf- und strafprozessrechtlichen Möglichkeiten nicht wesentlich verändert. Somit besteht bei Unternehmen und Strafverfolgungsbehörden ein akuter Handlungsbedarf. So können Unternehmen beispielsweise Software zur Erkennung von Inhalten, welche durch künstliche Intelligenz geschaffen wurden, einsetzen.

Abschliessend hält der Beitrag fest, dass generative künstliche Intelligenz eine grosse Chance für Täter darstellt. Es ist überaus wichtig, dass Unternehmen darauf reagieren und technisch aufrüsten.