E-ID in Gefahr? Super Mario in fremdem Game alarmiert Bundesbern

• KI-Technik ermöglicht es, Software per «Reverse Engineering» in wenigen Wochen zu entschlüsseln – das bedroht staatliche Projekte wie die E-ID und das elektronische Gesundheitsdossier.
• Vier Nationalräte aus SVP, FDP, Grünen und Mitte warnen vor KI-gestützten Angriffen und fordern regelmässige Sicherheitstests.
• FDP-Nationalrat Marcel Dobler verlangt: «Sicherheit geht vor Terminplan» – im Zweifel müsse eine Einführung verschoben werden.

«Reverse Engineering» bedeutet frei übersetzt «rückwärts entwickeln». Im Fall von Software wird ein fertiges Programm in seine Bestandteile zerlegt, bis der Quellcode wiederhergestellt ist – zumindest annäherungsweise.

Das Problem: Eines der wichtigsten Sicherheitsmerkmale von vielen Softwares ist bisher, dass es für Menschen unglaublich schwierig und aufwendig ist, einen Quellcode wiederherzustellen. So bleiben eventuell enthaltene Sicherheitslücken unentdeckt. Doch das ändert sich gerade grundlegend. Neuen KI-Modellen gelingt es, eine Software binnen weniger Wochen oder Monate zu zerlegen und wieder für Menschen lesbar zu machen.

Bei Games führt das zu einem neuen Phänomen: Mario wird in die Spielwelt von Elden Ring «implantiert» oder Minecraft und GTA werden zu einem einzigartigen Spiel fusioniert. Entsprechende Videos fluten seit einigen Wochen viele Timelines und erreichen hunderttausende Klicks.

Grosse Gefahr für Staats- und Wirtschaftssoftware

Ganz anders das Bild, wenn es um E-Banking, Unternehmenssoftware oder auch staatliche Projekte wie die elektronische ID oder das E-Gesundheitsdossier geht. Dort drohe akute Gefahr, warnen Politiker.

«Künstliche Intelligenz senkt die Hürde für Angriffe drastisch», warnt SVP-Nationalrat Franz Grüter. Seine IT-affinen Ratskollegen Gerhard Andrey (Grüne), Marcel Dobler (FDP) und Dominik Blunschy (Die Mitte) pflichten ihm bei.

Marschhalt? Politik sagt «Nein, aber»

Trotz der neuen Risiken fordert keiner der vier Nationalräte einen generellen Marschhalt bei staatlichen Digitalisierungsprojekten. Einig sind sie sich aber darin, dass die Sicherheitsprüfungen mit der Entwicklung der KI Schritt halten müssen.

SVP-Nationalrat Franz Grüter fordert, dass der Bund seine Systeme laufend selbst mit KI angreifen lässt und unabhängige Prüfungen vorschreibt. Gerade bei E-ID und elektronischem Gesundheitsdossier gehe es um hochsensible Daten.

Bundesamt: «Mächtiges Instrument für Cyberangriffe»

Das Bundesamt für Cybersicherheit (BACS) ist sich der Gefahr bewusst. «Neueste KI-Modelle haben Fähigkeiten, welche sie zu einem sehr mächtigen Instrument für die Durchführung von Cyberangriffen machen», erklärt ein Sprecher. Es werde immer weniger Zeit und Fachwissen benötigt, um Schwachstellen zu identifizieren und auszunutzen. «Für Behörden und Unternehmen bedeutet dies, dass sie Schwachstellen viel schneller schliessen müssen», erklärt er.

KI werde aber auch von Cybersicherheitsspezialisten für die Analyse und das Testen von Hard- und Software genutzt. «Werden solche Analysen konsequent zur Prüfung von Codes genutzt, kann KI mittel- bis längerfristig die Cybersicherheit verbessern», ist er überzeugt. Der Bund fördere solche Bemühungen. Das BACS arbeite bereits mit ethischen Hackern zusammen und trage dazu bei, dass gefundene Schwachstellen so rasch wie möglich geschlossen werden.

«Sicherheit darf deshalb nie darauf beruhen, dass ein Code geheim bleibt.» Zudem solle der Staat so wenige Daten wie nötig speichern.

«Sicherheit geht vor Terminplan»

Ähnlich argumentiert FDP-Nationalrat Marcel Dobler. Er fordert, dass der Bund KI-basierte Angriffe zwingend in Sicherheitstests einbauen müsse. «Bei kritischen Systemen muss aber Sicherheit vor Terminplan gelten.» Im Zweifel müsse eine Einführung verschoben werden.

Grünen-Nationalrat Gerhard Andrey sieht einen weiteren Hebel: Staatliche Software müsse Open Source, der Quellcode also öffentlich einsehbar sein. «Ein System ist nur dann sicher, wenn es sicher bleibt, obwohl alle wissen, wie es gebaut ist.» Anwendungen, deren Schutz auf Geheimhaltung beruhe, seien durch KI besonders verwundbar.

Mitte-Nationalrat Dominik Blunschy warnt davor, Reverse Engineering mit einem erfolgreichen Hackerangriff gleichzusetzen. «Eine kopierte Oberfläche ist noch kein gehacktes System.» Entscheidend seien die Sicherheitsmechanismen dahinter. Beim elektronischen Gesundheitsdossier fordert er eine Ende-zu-Ende-Verschlüsselung, da gestohlene Diagnosen etwa für Erpressungen missbraucht werden könnten.

Bei der E-ID müssten insbesondere Identitätsdiebstahl und gefälschte Nachweise verhindert werden. Auch für ihn gilt: Werden kritische Lücken entdeckt, hat deren Behebung Vorrang vor dem Einführungstermin.

Wie beurteilst du die Gefahr von KI-gestütztem Reverse Engineering für E-ID und andere staatliche IT-Projekte?

Sehr ernst, bei kritischen Systemen muss Sicherheit klar vor Tempo kommen.

Stefan Lanz (sla) arbeitet seit 2021 für 20 Minuten. Er ist Bundeshausjournalist mit langjähriger Erfahrung.