#13 Cyber-Betrug 2.0 in Unternehmen: KI-Skalierung und Psychologie

Andy: Grüezi und herzlich willkommen zur 13. Folge des Hube Business AI Podcasts. Heute im Fokus, Cybersecurity nicht nur eine technische Entscheidung ist, eine psychologische Herausforderung für jedes Unternehmen. Mein heutiger Gast, Jill Wick, zeigt auf, wie generativ die KI-Zkalierbarkeit von Social-Engineering-Angriffen und Deepfakes heute massiv erhöht. Wir besprechen die Gefahr der Automatisierung in der Betrugsindustrie und die Notwendigkeit einer nachhaltigen Awerness-Strategie Hi, Jill schön bist du heute in meinem Podcast. Jill, wie nutzt du heute KI privat im Alltag?

Jill Wick: Die KI ist eigentlich schon recht gut integriert bei mir. Ich nutze die KI ziemlich viel für viele verschiedene Sachen. So ein bisschen als Tool auch oder ⁓ mich auch mal bisschen hinterfragen zu wenn ich eine Idee habe oder etwas ist mal vielleicht nur grob ausformuliert. Und dann kann man recht gut auch zum Beispiel so Brainstormings machen finde ich. Das ist auch noch recht hilfreich, weil die halt sehr viel...

Andy: Erfahre heute, warum die Geschäftsleitung die Vorbildrolle beim Onboarding übernehmen und wie die IT-Security als interne Marke etabliert wird, um die Wissenskurve bei den Mitarbeitern langfristig zu stabilisieren. Ein gesunder Umgang mit der Fehlenkultur ist der entscheidende Faktor und geschäftlich schadet durch menschliche Fehlbarkeit, jedes Unternehmen zu minimieren. Bleibt dran für Fakten zur strategischen Absicherung eurer Betriebe. Los geht's!

Jill Wick: Wissen haben. habe auch zum Beispiel ein File gemacht mit Kontextwissen über mich, wo ich sagen kann, das benutze ich einmal. Vor allem nicht mit Kontext, die persönliche Daten sind, aber mehr so, was über mich wissen wer ich bin, damit es meine Stimme kennt. Das kann ich dann in diesen Situationen benutzen für den Chat, ich es gerade möchte. Chatbot das weiss, damit ich überall eingeschaltet habe, dass es alles über mich Das ist schon ein unangenehm. So der Gedanke, dass die Tools alle Informationen speichern und alles über uns wissen. langt das doch als Info.

Andy: Ja, das ist super. Was natürlich auch immer alle interessiert ist, es gibt ja ganz viele Tools heute. Was ist dein Lieblingstool, welches du am meisten brauchst heute gerade aktuell?

Jill Wick: Ich bin sehr am Hin und Her-Switchen zwischen Claude. Claude ist für das Schreiben und auch Codes sehr gut. Wenn man nicht coden kann, Vibecoding recht cool. Gemini auch für Bildgenerationen. Und CHTGPT habe ich jetzt recht aufgehört. die kostenlose Version und dort wurden die Antworten wirklich sehr schlecht. Also, ich... Ich... Ich funktioniere nicht. Ja.

Andy: Wir wollen dann zahlen, aber wenn man andere Tools schon im Einsatz hat, und glaube, mit Gemini und Claude, ist man extrem gut aufgekommen. Jill Die Hörer möchten natürlich gerne wissen, wer du bist und was du genau machst. Erklär uns mal, was du machst in deinem beruflichen Alltag.

Jill Wick: Ja, das ist eine gute Frage, weil ich so extrem viele verschiedene Sachen Ich bin ein Mensch, extrem viele Interessen hat. Ich bin Wirtschaftspsychologin ausgebildet, FH im Master und bin aber auch noch der Cybersecurity tätig, der Awareness, Cybersecurity Awareness, also Faktor Mensch.

Andy: Hahahaha

Jill Wick: Wenn man mich als Cybersecurity-Expertin ich meistens schnell korrigieren, denn ich bin nicht technische Expertin in diesem Bereich, sondern ich setze ⁓ Trainings und Awareness und Kampagnen. Ich komme auch aus dem Bereich Betrug. Ich habe über 10 Jahre, ich glaube sogar länger, im Betrugsbereich auf Kreditkarten gearbeitet. als Betrugsanalystin und das ist auch etwas, was mich sehr fasziniert. Scams und wie sie so funktionieren. Erst dann bin ich eigentlich darauf gekommen, ich Psychologie studieren weil ich gemerkt habe, die Leute klicken immer wieder. Was passiert da mit uns? Was ist da los? Wieso? klicke auch. Ich habe auch mal auf eine Simulation geklickt, die im Unternehmen gemacht worden ist, ganz am Anfang noch, bevor ich studiert habe und dann ich mir gesagt, aber ich bin doch so aufmerksam, aber da war ich gerade im Multitasking-Modus und es hat mich so einfach erwischt und wieso das passiert, das ist für mich etwas sehr Spannendes.

Andy: Das ist eine sehr spannende Aussage. der Seite haben wir Hardware- und Softwareseiten, die man versucht, sich in den Unternehmen zu schützen gegenüber einem Scam-Versuch oder Betrugsversuch. Aber wenn heute an einem CEO erklären müsstest, warum das Cybersecurity vor allem auch ein Menschenthema ist, wie würdest du das genau formulieren oder erklären, warum das so ist?

Jill Wick: Ja, also man kann eigentlich davon ausgehen, dass die Betrüger systematisch herausgefunden haben, wie man unsere Menschlichkeit ausnutzen und dass man nicht davon ausgehen dass nur Dumme klicken, sondern dass es jeden treffen wenn es blöd läuft und dass es sich richtig lohnt, dieses Thema auch zu sensibilisieren und dass die Leute so... so aufmerksam sind, dass sie sogar in den Fällen, wo sie in Automatismus verfallen und klicken würden, dann auch aufgefangen werden. Das beste Beispiel finde ich die Call Center, die Scam Compounds in Kambodscha, die systematisiert haben. Sie eigentlich einfach einen Skript, den sie folgen Und sie sind extrem erfolgreich. Sonst würden nicht ganze Städte eigentlich aufgehen, wo Leute abzocken. Also, das kann systematisiert werden und dass die das herausgefunden haben, Betrüger, das zeigt eigentlich, dass es sich wirklich lohnt, sich damit auseinanderzusetzen.

Andy: ist ja so, weil jede Firma seine IT-Abteilung wo natürlich jemand oder mehrere Leute zuständig sind für die Security. Und meistens ja Leute aus der IT heraus, die dementsprechend auch sehr viel IT-Know-how haben. Trotzdem, aus deiner Sicht, was fehlt in der Regel der Security-Verantwortlichen in diesem ganzen Thema? Du hast manchige Aspekte angesprochen. Ist das so ein grosser Faktor aus deiner Sicht? Was ist da deine Einschätzung dazu?

Jill Wick: Es ist schon ein riesiger Faktor. Viele Leute, die selber in der IT arbeiten, sind natürlich auch anfällig auf Selbstbetrug. Aber sie haben oft das Stigma oder den Gedanken, dass es nicht Wir haben auch sehr viele Denkfehler, die uns passieren wir immer zu positiv denken. Das nie passieren. Oder ich komme ja mit IT Darum würde ich nie mein Passwort falsch verraten oder etwas Falsches abladen. Das macht es natürlich umso gefährlicher. Auch wenn Unternehmensführungen nicht verstehen oder nicht finden, dass das etwas bringt, Awareness zu machen. Es ist halt auch schwierig, das nachzuweisen, messbar zu machen. Sie sind jetzt alle aware. Oder viele überschätzen auch. Sie sagen, unsere Leute wissen das schon, wir haben eine Schulung gemacht. dann ist es so, Einmal im Jahr, wenn man die Vergessenskurve beachtet, also die ist ja schon nach 24 Stunden, hat man abends, nachdem man etwas gelernt hat, 80 % vom Inhalt verloren. Dann geht es weiter und wenn du sie wieder holst, geht es wieder hoch, die Kurve, und dann kannst du sie wieder behalten. Aber vor allem bei Security-Wissen und so Sachen ist das Interesse meistens nicht riesig. Darum wird es wahrscheinlich recht schnell vergessen gehen. Da muss man dann dranbleiben.

Andy: Was heisst, da dran zu Nach 24 Stunden 80 % des Wissens oder des Gelerntes es wieder vergessen. Die Leute auch sehr schnell wieder ihre alten Muster. Das sieht man bei allem, man lernt. Wenn man etwas verändern im Verhalten, braucht es viel Anstrengung und Kraft, das neueste zu automatisieren, wenn du willst. Wie würdest du machen? Was sind deine Empfehlungen aus deiner Sicht? die Awänness höchst behalten. Du hast gesagt Schulungen, aber klar, kannst du nicht alle Woche eine Schulung machen. Was ist da beste Erfahrung, die du mit den Unternehmen oder das, was du oder ich empfehle? Was ist das gute Vorgehen?

Jill Wick: Mein Approach ist mich die Security-Abteilung fast wie eine Marke, die man innerhalb der Unternehmung Manchmal finde ich den Ansatz auch etwas schwierig, wenn wir sagen, ich bin Consultant und komme von aussen und finde, jetzt müsst ihr noch das machen und dieses. Aber der beste Weg wäre eigentlich, wenn innerhalb der Firma 2-3 Leute die das antreiben. Und Influencer sind. Innerhalb der Unternehmung. machen Werbung für ihre Massnahmen. Die Leute kennen sie. Sie finden sie sympathisch. Es ist wie so, wenn man sich vorstellt, in einer Marke, die alle gerne haben... Coca Cola oder so, das kennt ja jeder. Was machen die? Die haben immer die gleiche Farbe, die gleichen Messages, die gleichen oder ähnlichen Töne oder Layouts. Und sie kommunizieren recht klar, wo man hin muss, damit man kaufen Sie zeigen sich überall. In der Security ist es oft so, dass die Leute irgendwelche Regeln erlönt, die sie nicht hinterstehen Dann haben sie Angst davor, dass die Leute hässig auf sie sind. Dann verstecken sie sich hinter einem Laptop und niemand weiss genau, wo man hin geht für Fragen. Sie haben auch Angst. Die Security einerseits und auch Leute vor der Security. Es ist einfach so eine verkappte Situation. Alle haben Angst, dass sie klicken oder bestraft werden. dass sie vom Haar... Weil die einen entlönen ja Leute, wenn sie klicken. Es gibt gewisse Unternehmen, die das haben. Du klickst dreimal nacheinander in einer gewissen Zeit auf Simulationen. und dann wirst nicht mehr lassen. Dann natürlich die Angst riesig. wenn es Leute innerhalb der Firma gibt, die das wie so ein Brand erachten, das vorantreiben, ansprechbar sind, Feedback geben, positiv, auf eine positive Art, wo positive Fehlerkultur herrscht, wo auch die Führung voll dahintersteht und das von oben runter kommt und vorgelebt wird. Und natürlich dann eben, mit der Wissenskurve auch das Wissen immer wiederholt wird. Also man muss halt ja dann wirklich regelmässige Schulungen durchführen und das Wissen schon neu zu erhältlich machen. Und dann kann schon recht etwas gehen. Das habe ich schon in meiner alten Unternehmung auch gesehen. Die Leute sind so ein wie... Sie stehen dann auch für Security und es ist cool, sich sicher zu verhalten.

Andy: Absolut. Ich habe meinem ehemaligen Name, den ich geholt habe, Spedopo Oeschger eine super gute IT-Abteilung gehabt, bei sie das Thema so hochgehängt haben, dass man aktiv übertritt und es auch entmystifiziert. Das ist eben, wie du erklärt hast, man muss aus einem Brand sein, muss dazugehören, dass man gut damit umgeht und nicht Angst hat, wenn man dreimal klickt, drauf geht. Ich habe auch mal auf eine Simulation auf dem Handy

Jill Wick: Und dass wir es schaffen.

Andy: Das unglaublich peinlich, dass einer der Geschäftsleitung draufklickte. Das war aber nicht mit Vorwurf, sondern man hat sich lustig gemacht, man verwischt wurde. Das ist gesunde Mentalität, dass man der einen Seite das Ganze aufmerksam macht und auf der anderen Seite stark aufklärt und immer wieder erklärt, wie wichtig es ist und auch trainiert. Das ist ein ganz wichtiger Punkt. Kannst uns mal vielleicht ...

Jill Wick: Mhm. Ja, das ist cool. Ja.

Andy: Ich dir mal krasse Beispiele wiedergeben, du in deiner Zeit schon erlebt hast von Firmen oder gehört von Firmen, wo es passiert ist, wo es so gut verpackt war, dass man sagen kann, dass vielleicht auch Schwierigkeiten gehabt hättest, eben nicht drauf zu klicken oder nicht etwas aufzumachen.

Jill Wick: Ja, ich glaube aus meiner eigenen Praxis habe ich noch nicht die krassesten Fischings gesehen. es ist auch ein Mythos, dass man denkt, die Fischings müssen so krass sein. Dass die Leute klicken kann es auch nicht krass sein. Sie können auch relativ einfach gemacht werden. von Microsoft ein Logo getouched. ja, dein Passwort ist gesperrt und du brauchst jetzt ein neues. Also klick hier jetzt und erneuern. Weil sonst kannst du nicht mehr arbeiten. Das reicht eigentlich oft schon, dass jemand etwas angeht. Oder bei den alten Firma-Kreditkarten sind natürlich täglich Millionen oder nein, sagen wir Tausende von Mails ausgegangen an unsere Kunden. und die haben uns das die ganze Zeit gemeldet. ist wirklich... Also dort habe ich es schon ein krass gefunden, weil sie wirklich eins zu eins unsere E-Mails kopiert hatten und einfach den Link geändert haben. Das ist dann natürlich auch wieder so ein System, das Problem. Wir haben auch E-Mails überhaupt rausgeschickt, wo sie kopieren und dann sind natürlich Kunden komplett verwirrt. Und was auch... eher ein schwieriges Thema empfinden, sind so SMS-Fischings, weil die können ja die Nummer oder der Absender virtuell einfach gespufft werden. Und dann kommen sie eigentlich sogar im Verlauf, also von deinem Kreditkartenunternehmen, kommen sie dort zugeordnet rein. Und dann sieht es so wirklich aus, als wäre es im gleichen Verlauf deiner Bank und sie schreibt dir jetzt etwas mit einem Link. Das ist ja ultimativ vertrauenswürdig. Ja, solche Sachen. Ja, Markenfaken.

Andy: Wenn man die Leute trotzdem sehr gut aufklärt und alle Trainings macht, und es ist ja nie ausgeschlossen, die Leben gleich fühlen, also wie auch funktioniert, Manipulationen oder die Social Engineering oft dann auch, wenn die Leute gut informiert sind, worauf sie achten müssen. Was ist es dann, warum das immer gleich drin geht? Ist es der psychologische Aspekt? es, wie du vorhin selbst erwähnt hast, dass viel gleichzeitig machen, mal kurz unaufmerksam sein und eben doch drin gehen. Was ist da deine Einschätzung und deine Sicht?

Jill Wick: Man kann die Leute bis zu einem gewissen Grad so sensibilisieren, dass sie Trigger erkennen und auch aufmerksamer sind. Oder auch ich habe mir abgewöhnt, im Multitasking-Modus irgendwelche Links anzuklicken. Das für mich wirklich das Learning schlechthin. Aber natürlich, das Denken von uns ist so auf... oder konstruiert oder von der Evolution gemacht. Das können wir nicht wirklich ändern. hat mal Kahnemann noch recht gut beschrieben in seinem Buch, das Slow Thinking und Fast Thinking. Ich weiss nicht, ob du das schon mal gelesen hast oder für die, die es nicht kennen. Es gibt zwei Systeme, mit denen wir funktionieren. Das ist eigentlich der Grund, weshalb wir auf sehr viele Sachen reingehen. Wir tun etwa 80...

Andy: Klasse Niederwürde.

Jill Wick: von unserer Zeit in einem automatischen Modus funktionieren. Dort handeln wir anhand von visuellen Cues. Wir leiten immer schnell ab, dass sich ⁓ das handeln Wenn der Kontext stimmt, dann fallen wir gar nicht aus dem System 1, aus dem automatisierten. Aber es ist leider anfällig auf Fehler, weil es ist sehr schnell. Also ein Beispiel, wenn wir im System 1 drin sind, ist, wenn wir essen oder wenn wir von A nach B fahren mit dem Auto, dann denken wir nicht... Also erst beim irgendwie Wegsuchen denken wir darüber nach, was wir da eigentlich wirklich machen, weil sonst fahren wir einfach... Ich weiss nicht, vielleicht ist das dir auch schon passiert, du bist irgendwo... ...aussehen, einfach deinen eigenen Weg. und eigentlich auch noch mit dem anderen Stamm wählen. Das ist dann wirklich System 1.

Andy: Ja, es mir letztes Jahr bei meiner Tochter passiert, wo sie sagt, bitte recht durchfahre ich. Ich bist du jetzt nicht recht zappt? Ich so, ja stimmt so, ich war im Automatismus drin, im Gelernten. Absolut.

Jill Wick: Ja genau. das ist das gut. Also gut natürlich. Wir können uns währenddessen auf ganz andere Sachen konzentrieren. Wir können einen Podcast hören oder so währenddessen fahren. Aber es kann uns auch anfällig machen auf eben so Skript oder Sachen, die den Betrüger dann uns in einer falschen Sicherheit wähnen. Und dann das auch so... Wir dass wir nicht aus dem herauskommen, dass wir wirklich denken, dass das einfach zu meinem normalen Alltag und sie passen über die Logos an und das behaltet uns in dem System 1. Dann müssen wir selber aktiv finden, jedes Mal, wenn ich aufgefordert werde, einen Link anzuklicken oder ein Passwort, erst dann muss ich aus dem System 1 herauskommen. Und dann ins andere, Rationale und überlegen kurz.

Andy: Gibt es im Unternehmen unterschiedliche Rollen, die eher gefährdet sind, dass man aus der psychologischen Betrachtung alle gleich gefährdet?

Jill Wick: Es sind alle gleich gefährdet, aber es gibt schon unterschiedliche Ausmass, die passieren Leute jetzt privilegierte Rechte haben, ist es natürlich viel gefährlicher, wenn sie viel mehr Rechte haben innerhalb des Systems. Also mal G, das wird überhaupt unterschiedlich in einer Unternehmung. Das ist auch nicht bei allen so. In grösseren Unternehmen ist es oft so, dass die einen Leute vielleicht irgendwelche Adminrechte haben oder Passwörter, die dann wirklich viel ausmachen, wenn die abhanden kommen und dass der Betrüger sich dann auch viel schneller selber neue Rechte erteilen und dann relativ schnell auch das ganze System übernehmen und verschlüsseln Es sind schon die Ausmass unterschiedlich, aber für jeden gibt es sozusagen einen Betrug. Die einen sagen, sie seien dumm. Ich würde nie jemandem, dem ich tate, Geld überweisen. Aber sie sind auch keine Ansprechgruppe von diesem Betrug. Sie sind dafür eher anfällig, es darum geht, eine Investitionsmöglichkeit Sie das ausprobieren. Sie sich plötzlich auf einem Portal, sie noch Millionen oder tausende Franken investiert sind. Es gibt für jeden einen Scam sozusagen. Oder einen Betrug, ja.

Andy: Das ist ja die Gegenseite, man so will. Das sind ja in der Regel auch alles zum Teil Superprofis, wissen genau, was sie machen eben ans Ziel zu ist ja eine riesige Industrie, das wissen ja die meisten ja nicht. Die sagen immer, sind vielleicht irgendwelche Leute, irgendwelche Scams machen. Aber auf anderen Seite sind das riesige Organisationen, die geführt werden wie eigene Unternehmen. Zum Teil auch eigene Hotlines haben auf der Scam-Seite. Das ist ja auch eine relativ grosse... Wirtschaft, dahintersteckt, die sich mittlerweile so aufgestellt hat, dass es natürlich auch auch funktioniert. auf der anderen Seite, sie werden eben nicht so gross, sonst wird sie nicht funktionieren. Das hast vorhin gesagt, sind die anderen Kamposchia, im Osten Europas gibt es zum Teil richtig grosse Organisationen, wo das was uns wieder geht, arbeitet einfach einfach sein Game. Auf Deutsch gesagt. Hast du dir den Einblick, wie diese Organisationen heute funktionieren, wie gross das ist? Wenn man das Privatpersonenunternehmen Gefühl, das sind irgendwelche komischen Menschen, aus einem Keller operieren, die sich einen Einblick aus der Erfahrung geben, wie gross das wirklich Dass man sich vorstellen kann, dass wirklich grosse Organisationen sind, dahinterstecken.

Jill Wick: Mmh. Ich habe schon bisschen Einblick bekommen durch meine Tätigkeit bei Info Guard. Das ist ja ein Cyber Security Unternehmen, das auch ein Security Operations Center hat. wirklich Incidents betreut, wo etwas grossen Vorfall passiert ist. Ich durfte dort auch mit dem Haupt-Incident Responder ein längeres Gespräch haben. Es gibt auch immer wieder Informationen, die uns und dann die Preise geben werden, ⁓ in der Awareness-Tätigkeit was sie immer wieder zeigen, einfach, also es ist so krass professionell aufgestellt, diese Welt. Vor allem jetzt sprechen wir von den Ransomware-Gruppen, die unternehmenhaltig angreifen. Das sind so Erpresser, die alles verschlüsseln. Und sie haben nicht nur, man stellt sich eben so Vorher vielleicht so ein Kido, das im Keller mit dem Hoodie etwas hackt. Sie haben wirklich wie so Corporate Unternehmen. Sie haben die, die Transomware entwickeln. Das sind die einen Leute, die das einfach mal entwickeln. Aber das sind nicht die, die den Angriff ausführen. Die haben wie so Affiliates. Also wie wenn ich Werbung mache für ein Produkt, dann ... Es Leute, die Werbung machen für Transomware und dann auch Kunden vermitteln. Also Kunden, Leute, die man erpressen Und dann auch den Angriff ausführen. Sie haben eben so ein wie ein Callcenter und richtige Schichtenplanung. Also nicht jeder muss dann 24 Stunden dort im Keller sitzen, sondern Es ist ein Bürogebäude, wo sie Schichten arbeiten. Ich übernehme die Schichten und muss meinen Boss fragen, man sieht es auch in den Chats. Ich muss meinen Boss fragen, ob ich die Erpressersumme heruntersetzen Oder mein Boss hat gesagt Nein. Wir können das nicht approven. Vor diesen Affiliates gibt es auch weitere Stellen. Es gibt noch zwei andere Player in diesem Markt. Die einen scannen wirklich nur und schauen, ob es irgendwo eine Schwachstelle gibt. Diese verkaufen sie dann an den anderen auf einem Marketplace. Sie einschätzen dann, wie wertvoll diese Schwachstellen sind. Sie spielen zusammen, sie projizieren Es ist alles professionellisiert, sie haben Regeln, sie machen keine Ransom-Erpressungen bei öffentlichen Institutionen. Einerseits gibt es auch kein Geld, aber... Und auch andererseits, z.B. Non-Profit-Organisationen oder so Sachen. Das ist wirklich in ihren Regeln drin. Oder irgendwelche kritischen Institutionen, die ihnen selber schaden wenn sie es angriffen, ist in der Regel verboten. Aber ja, ist extrem.

Andy: Das ist ein guter Punkt. ist grundsätzlich, wie du es erklärst. Auf anderen Seite sind die Affiliates, die dich nach Leads suchen, nach Opportunitäten, wenn man so will. Das ist wie bei uns in unserer Wirtschaft, wo wir neue Kunden suchen oder neue Kontakte. Du machst das gleiche, ein Businessmodell, wie du deine Wertschöpfung einander Aber darum ist der Punkt auch, sie scannen alles.

Jill Wick: Ja. Ja.

Andy: Das ist meistens auf unserer KM-Aussicht. Wenn man in Sicht nimmt, man viele Unternehmen, die das Gefühl haben, das passiert ihnen nie. Das ist eine typische Reaktion, die du sicher auch immer wieder hast, wo dann hörst, dass passiert ist. Wir sind viel zu klein, zu uninteressant. Es etwas, das immer wieder vorkommt. Man muss gross sein, ⁓ in den Zielfokus zu Oder ist jeder gefährdet?

Jill Wick: Ja, das ist definitiv so ein Stigma. Das ist bei Unternehmen so eine Annahme, aber auch bei jedem Einzelnennamix. Viele sagen, dass es doch egal ist, wenn ich das poste. Mit dem kann ja ⁓ niemand etwas anfangen. Und da haben jetzt auch die Kolleginnen aus dem O-Sind-Bereich, Open Source Intelligent, also einfach alles, was man online finden über Leute. kann man automatisiert auswerten. Sie haben ein Programm für Background-Checks gemacht. Wir haben mit Szenarios Dort haben wir in kürzester Zeit extrem viele Szenarios gefunden, die jeden betreffen Zum Beispiel auf Client-Zeigen. Post ist irgendetwas mit einer Hütte des Kindes. Es hat vielleicht noch einen namens... ein Namensschild dran und dann willst es verkaufen. Und dann finden wir über dich den Namen des Kindes, dann finden wir vielleicht den Ort, wo du wohnst, weil du das ja irgendwo auspostert oder abgeholt hast in Zürich-Altstätten oder so. Und dann suchen sie mal in diesem Umkreis vielleicht, dann finden sie vielleicht auch den Kindergarten, wo dein Kind jetzt drin ist. Es können dann viele unterschiedliche Angriffe geben. gemacht werden, von Stalking über, ja, weiss ich alles, was mit Kindern zu tun hat. Das ist natürlich ein unangenehmes Thema, ja, es könnte wirklich eigentlich jeder wiederhaken.

Andy: Absolut. Ich auch gesehen, in deiner LinkedIn-Post, du gemacht hast, du ein Beispiel gemacht von Strava. Jungen, die auf Strava ihre Joggingroute aufladen. Man konnte erkennen, dass er dreimal in der Woche immer vom gleichen Punkt aus seine Route für 3-4 Std. Das heisst für den Einbrecher, ich weiss, am Mittwoch, Freitag. Zwischen der 8. stehen sie immer nicht im Haus. Also gut, dann let's go. Der immer frei. Das Themen, die heute mit den ganzen Daten, die vorhanden sind, durchaus viel einfacher sind.

Jill Wick: Ja. Das hatten wir abgeleitet, von einem echten Beispiel, als einer mit Zürich einem Politiker auf seiner Joggingroute Da war er dreimal pro Woche. Dann warten wir einfach dort, er so lange unterwegs und dann haben sie ihn so angegriffen mit Zürich.

Andy: Das krass, da gibt man sich schon relativ viele Preise. Was jetzt sicher auch mit den neuen, also neuen, den zusätzlichen Features, KI einem bietet, dir das ganz neue Scam oder Gefahrenpotenzial für Firmen wie auch für Private. Wie schätztest das jetzt, wo KI gekommen ist? Wie verändert sich der Scam-Markt aus deiner Sicht?

Jill Wick: Aus meiner Sicht ist es vor allem Skalierbarkeit, die einfach extrem zunimmt und Automatisierbarkeit. Also die Scams... Wenn man vorher noch gesagt hätte, mich betrifft es nicht, dann wird es uns in Zukunft noch viel mehr betreffen, weil Betrüger haben jetzt einfach die Möglichkeit... Ein Betrüger hat jetzt die Möglichkeit, ohne mega tiefes Wissen von irgendetwas... Angriff starten und dann auch noch zu skalieren durch Automatisierungen, gebaut werden durch KI-Tools. eben online findest so viel Information über uns oft, dass man das dann so überzeugend auch noch gestalten dass der Kontext stimmt, dass wir... Ein Beispiel, das ich manchmal bringe an Vorträge ist so ein Lieferservice ist gehackt worden, so etwas wie Uber Eats. Dort hat es deine Adresse drin, deinen Namen und das Zahlungsmittel mit der Bank. Wahrscheinlich, Twint, ZKB oder so steht. Dort hat es eine riesige Datenleak und all diese Personen weiss man jetzt wo sie wohnen. Dann kann man schön einen Scam ausdenken mit etwas von unserer Bank. die im genannt wird, wo man sogar Namen vorkommen Das ist nicht schwierig. Automatisierte E-Mails, also jedem Newsletter kann man das mit einem Platzhalter Dann kann man all den 1000 Leuten ein individualisiertes E-Mail schicken von der richtigen Bank. So geht es viel schneller, damit die E-Mails so aussehen, als wären sie wirklich korrekt. von der Bank und der richtigen Bank. Das ich auch oft. Bei meiner alten Firma, beim Betrug, ja, aber es sah so echt aus. Es sah auch echt aus, weil sie das eins zu eins kopiert Das kann man jetzt mit haben. Man nimmt natürlich von einer Webseite und kann die ganze Seite einfach schnell klonen. Früher musste man das mühsam erstellen mit Elementen. Und jetzt kann man einfach die ganze Seite schnell neu programmieren.

Andy: Wie siehst du aus der neuen Thematik mit den ganzen Deepfakes? Du kannst sagen, ich kann am Chef seine Stimme imitieren, ich das mit 11 Laps Mitschnitten aufnehmen und dann entsprechend wiedergeben, neue Texte reinnehmen. Auf anderen Seite auch die ganzen Videos, die ich relativ easy dein Gesicht übernehmen und sage, du musst bitte eine Überweisung machen oder etwas anderes. Zugang zu einem System, dort macht es die Welt noch einmal.

Jill Wick: Mmh.

Andy: viel grösser aus. Ich kann mir durchaus vorstellen, dass Unternehmenssicht ein enormes Gefahrenpotenzial ist. Ich weiss nicht, ob ich wirklich mit Chill im Podcast bin. Vielleicht ist es ja Peter und er keine Ahnung von Scams. Das theoretisch. Heute alles machbar. Man müsste denken, ich stehe in der Kinderschule. Wo führt das? Sehen Sie da schon Trends? Auf der Seite InfoGuard, Beispiel. Da rast du deine Erfahrungen aus und siehst, das wird sich exponentiell. und noch viel gefährlicher sein als der Klick auf den falschen Wink. Das ist kleinste Problem für uns alle.

Jill Wick: Ja, das geht in die Gleichung mit der Skalierbarkeit. Aktuell ist die Gefahr auch schon da. Das hat ja auch schon funktioniert bei einem Unternehmen in der mit einem Voice-Cloning. Viele haben mir in den Vorträgen gesagt, dass uns doch nicht Wir sprechen Schweizerdeutsch. Das wird wahrscheinlich auch kein Argument mehr sein in Zukunft. Ich denke nicht in einer weiten Zukunft. Deepfakes, die anrufen oder einen im Call nehmen, das wird automatisierbar sein. Heutzutage gibt es auch schon KIs, die Salesagenten imitieren. Die Software gibt es schon. Dass man mit einem KI-Klon von mir Salesgespräche führen kann und dann kann man das auch für Betrug nutzen.

Andy: Wie schützt man sich genau gegen solche Dinge? Es ist eben so, dass man Leuten erklärt, dass man das aufbauen Das kann man verstehen, wenn man in diese Neudisziplinen geht. Was empfiehlst du dir zu diesen Themen? Wie man die Leute von solchen zukünftigen oder aktuellen Scams schützen Was würdest du dir für Tipps geben?

Jill Wick: Der Tipp, den wir abgeben, ist, wenn wir im Call aufgefordert werden, Geld zu überweisen, dann wir am besten abhängen und auf unseren bekannten Kanal das mit dieser Person Ich auch schon von Attacken gehört, die sie Multichannel gemacht haben. Dass man z.B. am Call war. Dann man etwas, aber ist das wirklich du? Oder man ist vielleicht ein bisschen kritisch. Dann gibt es eine SMS-Bestätigung mit einem gespufften SMS. Dann denkt man, ⁓ wenn der Chef noch ein SMS schreibt, wird das auch stimmen. Und wenn sogar noch zurückschreiben. Meistens ist es so, dass es dringend ist. Man darf ja niemandem davon erzählen. Es ist mega vertraulich und wichtig. es muss sofort passieren, damit man nicht nachdenken kann. Das ist auch meistens Taktik. man in so ein Gefühl kommt, dass das jetzt unbedingt lösen die Millionen, also im Normalfall muss man nicht Millionen ... Man ist halt in so einem Umfeld, aber einfach so von einem Moment auf den anderen beweisen. dass man das schon noch kurz überprüfen kann. Aber es wird immer wichtiger sein, man andere Kanäle noch dazu nimmt, zu überprüfen. Aufs Bild, sich zu verlassen, wird in Zukunft sicher nicht mehr möglich sein.

Andy: Es wird sicher immer heikel und schwieriger. Die Unterschiede hat es gesehen. Da braucht es ganz viele Sicherheitsmassnahmen. Da schliesst sich der Kreis wieder. Wenn wir wieder zurücksehen, was du eingangsmässig gesagt hast, es, die IT-Teams in so zu positionieren, dass man das als ein gutes Team sieht, das einen schützen und nicht jemandem losstellen Das ist ein wichtiger Punkt. Zusammenfassend, würdest du empfehlen, wenn man drei wichtige Punkte aus deiner Seite Was muss man machen, wenn man den Podcast gehört und sagt, ich muss noch einmal in Bücher bei meinem Unternehmen, wie geht man davor? Was sind für drei Punkte, die man machen

Jill Wick: Aus meiner Sicht ist es wichtig, dass das Thema Security Awareness oder auch die Security Kultur versucht wird zu prägen in einer Unternehmung und dass das wirklich von oben herbeikommt und vorgelebt wird. Das ist etwas, was man gratis machen kann. Ich habe auch schon neue Leute onboarded und dann Leute, irgendwie in der GL sind, die sind so, ja, aber ich bin auch davon ausgenommen, oder? Und dann, das sollte eben nicht passieren. Also, die wirklich auch finden, ja, das ist ein mega wichtiges Thema. Und ich habe dann auch schon GL-Mitglieder gesehen im Onboarding-Kurs und die haben sich mega beteiligt und schon von Anfang an, aha, ja, Notizen gemacht und einfach so allen anderen, können die so starke Signalwirkung geben, dass das das wichtigste Thema ist. Und das ist viel... ⁓ Viel zu unterschätzen, habe ich das Gefühl. Die Leute orientieren sich an die anderen. Dass man das vorlebt, man das Wissen bereitstellt. Und dass man auch, wenn jemand Fehler macht, nicht die Angstkultur schüren Sondern dass man die Fehler aufnimmt, zusammen behandelt, die Leute abholt. Feedback ist wichtig und dass man es aufarbeitet. Wenn etwas passiert ist, was sind die lessons learned? Nun haben wir schon den Tipp begehrt.

Andy: Das sieht mega spannend aus.

Jill Wick: Es soll sich einfach jemand darum kümmern. Es muss jemand da sein.

Andy: Absolut. Das ist ein ganz wichtiger Punkt. Vielfach ist wie immer in den Unternehmen. Man weiss gar nicht, wohin man Wer soll ich genau fragen, was sich dem Thema auch nimmt? Wer hat Erfahrung? Welche Firmen gibt es? Das eine ist der Hardware-Anbieter. Auf der Seite gibt es Unternehmen wie die Infoguard, die ich auch schon zusammengearbeitet Da geht sicher eine Empfehlung aus, auch von meiner Seite. Auf anderen Seite lässt man sich aufklären.

Jill Wick: Ja.

Andy: empfehle ich allen, Hörern, dir zu folgen. Chill auf LinkedIn, da kommt ganz viel Informationen mit übrigt. es auch in der Show notes. Da könnt ihr draufklicken. Sie macht auch Vorträge. Sie klärt auf. Das ist sicher sehr empfehlenswert. Sie kann auch da sensibilisieren und den richtigen Leuten folgen, die bei einem guten und relevanten Content zuweisen. Ich glaube, ist ein ganz wichtiger Punkt, sich aufzuklären. Und wenn euch der Podcast gefallen hat, dann selbstverständlich ... Abonniert, erzählt, teilt, abonniert den Newsletter. dann würde ich sagen, Jill, ganz herzlichen Dank, dass du heute bei mir im Podcast warst. Es war mega interessant. Ich möchte noch viel mehr wissen. ist aber ⁓ Darum folge ich dich in Zukunft auf LinkedIn. Jill, danke, du heute im Podcast warst.

Jill Wick: Dank an dich!

Andy: Tschüss, bis dann, tschüss, tschüss.

Jill Wick: Tschüss!