Technische Einordnung

Laut Microsoft-365-Roadmap (ID 575288) ist eine KI-gestützte Erkennung von Phishing-URLs und QR-Codes in Teams-Nachrichten angekündigt, die Social-Engineering-Angriffe frühzeitig erkennen soll. Die Funktion befindet sich derzeit im Status “Angekündigt” und ist noch nicht allgemein verfügbar.

Die geplante Funktion würde KI-Modelle einsetzen, um sowohl eingebettete URLs als auch QR-Codes in Teams-Chats und Kanälen zu analysieren. Ziel ist es, potenziell schädliche Inhalte zu erkennen, bevor Nutzer darauf reagieren, und so Social-Engineering-Risiken zu minimieren.

Typisches Praxisszenario

In einem typischen Szenario könnte ein Angreifer eine Nachricht mit einem QR-Code senden, der auf eine gefälschte Anmeldeseite verweist. Die KI-Erkennung würde den QR-Code analysieren und bei Verdacht eine Warnung anzeigen, bevor der Nutzer scannt.

Ebenso könnte ein Phishing-Link in einem Chat auftauchen, der zunächst harmlos wirkt. Die KI-Funktion würde den Link bewerten und bei hoher Wahrscheinlichkeit einer Phishing-Absicht eine Warnung auslösen, um Nutzer vor einer Interaktion zu schützen.

Was sich heute schon vorbereiten lässt

  1. Prüfen Sie heute Ihre Lizenzlage, insbesondere ob Sie über Microsoft Defender for Office 365 Plan 1 oder Plan 2 verfügen, da erweiterte Schutzfunktionen davon abhängen.
  2. Klären Sie den Rollenzuschnitt im Team: Wer übernimmt künftig die Überwachung von KI-Erkennungen und Warnmeldungen im Teams-Umfeld?
  3. Inventarisieren Sie bestehende Schutzstrukturen wie Safe Links, ZAP-Konfigurationen und Quarantäne-Workflows, um mögliche Überschneidungen zu erkennen.
  4. Legen Sie Verantwortlichkeiten fest, etwa wer im Fall einer Warnung oder eines Fehlalarms eingreift und wie die Kommunikation erfolgt.
  5. Benennen Sie eine Pilotgruppe, die frühzeitig auf neue KI-Warnungen vorbereitet wird und Feedback geben kann.
  6. Schaffen Sie Awareness-Materialien für Mitarbeitende, damit sie verstehen, dass neue Warnungen künftig KI-basiert erfolgen könnten.

Was im Microsoft-365-Tenant geprüft werden sollte

  • Prüfen Sie, ob Safe Links für Teams aktiv ist: der Schutz beim Anklicken einer URL setzt Microsoft Defender for Office 365 Plan 1 oder Plan 2 voraus und ist in den Microsoft-365-Standardplaenen nicht enthalten.
  • Klären Sie die Reichweite von Zero-hour Auto Purge in Teams: der Schutz setzt Defender for Office 365 Plan 1 oder Plan 2 voraus, greift bei internen Nachrichten in Chats und Standardkanälen und steht in privaten Kanälen nicht zur Verfügung. Einzuschalten gibt es dort nichts – konfigurierbar sind ausschliesslich Ausnahmen.
  • Sehen Sie den Bericht zu Sicherheitserkennungen im Teams Admin Center durch: er muss nicht aktiviert werden, sondern steht bereit und zeigt erkannte Phishing-URLs und blockierte Dateien.
  • Vergewissern Sie sich, dass Benutzer-Meldungen (Reporting) in Teams aktiviert sind, damit Nutzer verdächtige Nachrichten melden können.
  • Prüfen Sie, ob Ihr Team Advanced Hunting im Defender-Portal bereits für die Untersuchung von Phishing-Vorfällen nutzt und wer dort Abfragen ausführen darf.

Typische Fehler und Anti-Patterns

  • Es wäre ein Fehler, die angekündigte Funktion bereits als verfügbar zu behandeln und entsprechende Konfigurationen zu planen.
  • Ein Anti-Pattern wäre, die Awareness-Kommunikation zu vernachlässigen und Mitarbeitende nicht auf neue Warnmechanismen vorzubereiten.
  • Ein häufiger Fehler ist, bestehende Schutzmechanismen wie Safe Links oder ZAP nicht regelmäßig zu überprüfen und zu aktualisieren.
  • Es wäre problematisch, keine klare Verantwortlichkeit für die Auswertung von KI-Warnungen und deren Eskalation festzulegen.
  • Ein weiterer Fehler ist, keine Pilotgruppe zu definieren, die frühzeitig Feedback zur neuen Funktion geben kann.

Praxis-Checkliste für Entscheider

  1. Bewerten Sie zunächst Ihre aktuelle Lizenzierung, um festzustellen, welche Schutzfunktionen bereits aktiv sind und welche künftig ergänzt werden könnten.
  2. Analysieren Sie vorhandene Schutzmechanismen wie Safe Links und ZAP, um Redundanzen oder Lücken zu identifizieren.
  3. Definieren Sie klare Verantwortlichkeiten für Monitoring, Eskalation und Kommunikation im Falle von KI-Warnungen.
  4. Planen Sie eine Pilotphase mit ausgewählten Nutzenden, um die Wirkung der neuen Funktion zu beobachten und Feedback zu sammeln.
  5. Erstellen Sie ein Kommunikationskonzept, das Mitarbeitende über neue Warnmechanismen informiert und Verhaltensregeln vermittelt.
  6. Bereiten Sie SecOps-Prozesse vor, etwa durch Nutzung von Security-Detections-Reports und Advanced Hunting, um KI-Erkennungen effizient zu bearbeiten.

Rollen und Verantwortlichkeiten

Im technischen Betrieb sind Security Administratoren oder Security Reader verantwortlich für die Überwachung von Warnungen und die Reaktion auf erkannte Phishing- oder QR-Code-Angriffe.

Die IT-Leitung trägt die Verantwortung dafür, dass Awareness-Maßnahmen umgesetzt werden und dass klare Prozesse für Eskalation und Kommunikation etabliert sind.

Business-Nutzen

Der Business-Nutzen liegt darin, Social-Engineering-Angriffe frühzeitig zu erkennen und dadurch potenzielle Schäden wie Datenverlust oder Identitätsdiebstahl zu verhindern.

Durch KI-gestützte Erkennung wird die Reaktionszeit verkürzt und das Risiko menschlicher Fehlentscheidungen reduziert, was insbesondere im Mittelstand mit begrenzten Ressourcen relevant ist.

Betriebsmodell, sobald die Funktion verfügbar ist

Sobald die Funktion verfügbar ist, sollte sie nahtlos in bestehende SecOps-Workflows integriert werden, etwa über den Security-Detections-Report und Advanced Hunting.

Das Betriebsmodell sollte regelmäßige Reviews der KI-Warnungen vorsehen, inklusive Feedback-Schleifen zur Verbesserung der Erkennungsqualität und Anpassung von Quarantäne-Regeln.

Messbare Signale für Fortschritt

Messbare Signale für Fortschritt sind die Anzahl der durch KI erkannten Phishing-URLs oder QR-Codes sowie die Anzahl der false positives und false negatives.

Ein weiteres Signal ist die Reaktionszeit von SecOps auf KI-Warnungen sowie die Anzahl der gemeldeten und bearbeiteten Vorfälle über Reporting-Mechanismen.

Priorisierung: Was zuerst?

Zuerst sollte die Lizenzlage geprüft werden, da viele Schutzfunktionen von Defender-Lizenzen abhängen und ohne diese nicht verfügbar sind.

Anschließend ist die Überprüfung bestehender Schutzmechanismen wie Safe Links und ZAP wichtig, um eine solide Basis zu schaffen.

Danach sollten Verantwortlichkeiten und Awareness-Maßnahmen priorisiert werden, um organisatorisch vorbereitet zu sein.

Schließlich empfiehlt sich die Planung einer Pilotphase, um die neue Funktion kontrolliert zu testen und Erfahrungen zu sammeln.

Einordnung durch Azuric

Im Azuric-Assessment würden wir zunächst die aktuelle Lizenzierung und den Einsatz von Defender-Funktionen im Tenant analysieren, um die Basis für KI-Erkennung zu bewerten.

Zudem würden wir prüfen, ob Awareness-Prozesse, Reporting-Mechanismen und SecOps-Workflows vorhanden sind, um die angekündigte Funktion später effizient zu integrieren.

Quellen

Dieser Beitrag ist eine eigene Azuric-Einordnung. Die folgenden Quellen wurden zur fachlichen Grundlage herangezogen.