Britisches NCSC: KI-gestützte Ransomware gegen kritische Infrastruktur bis 2028 „highly likely“
Das National Cyber Security Centre, die britische technische Behörde für Cybersicherheit und Teil des Nachrichtendienstes GCHQ, hat am 3. November seinen Jahresbericht State of the Cyber Nation veröffentlicht. Das Dokument deckt den Zeitraum vom 1. September 2025 bis zum 31. August 2026 ab und erscheint zusammen mit der NCSC Annual Review 2026, in der die Behörde Bilanz über ihr zehntes Jahr zieht. Die deutlichste Passage betrifft das Jahr 2028. Laut der Pressemitteilung des NCSC ist es „highly likely“, also sehr wahrscheinlich, dass bis dahin KI-basierte Malware bei einem Ransomware-Angriff auf die kritische nationale Infrastruktur des Vereinigten Königreichs eingesetzt wird. Man sollte das als das lesen, was es ist: eine probabilistische Einschätzung der Nachrichtendienste, keine sichere Vorhersage und kein bereits eingetretenes Ereignis. Die Behörde geht außerdem davon aus, dass der Einsatz von KI durch feindliche Akteure innerhalb von zwei Jahren sehr wahrscheinlich drei Aktivitäten breiter und effizienter machen wird: Ransomware, Social Engineering und das Ausnutzen von Schwachstellen.
Laut der Associated Press lautet die These des Berichts nicht, dass KI neue Angriffe erfindet. Vor allem macht sie bestehende Techniken wirksamer, weil sie es erlaubt, seit Langem ignorierte Schwächen in großem Maßstab zu finden und auszunutzen. Vorgestellt wurde das Dokument vom Chief Executive des NCSC, Richard Horne. In seiner Rede sagte er: „In the coming months, we face a real prospect of an unprecedented rise in the number of cyber incidents“. Sinngemäß: In den kommenden Monaten droht ganz konkret ein beispielloser Anstieg von Cybervorfällen. Dann fügte er einen Satz hinzu, der die Verantwortung weit über die Angreifer hinaus ausdehnt: „For decades, we have collectively got away with doing tech on the cheap“. Jahrzehntelang sind wir also alle damit durchgekommen, Technik zum Sparpreis zu betreiben.
Ebenfalls laut AP nennt der Bericht China die größte und hartnäckigste Cyber-Herausforderung für das Vereinigte Königreich. Über Russland heißt es, es führe Kampagnen unterhalb der Schwelle eines bewaffneten Konflikts, über Iran, es greife das Land an und nehme Menschen ins Visier, die es als Bedrohung betrachtet. AP berichtet, dass bösartige Cyberaktivitäten britische Organisationen laut NCSC fast 20 Milliarden Dollar pro Jahr kosten. Zudem erinnert AP daran, dass das Vereinigte Königreich und mehrere EU-Staaten dem russischen FSB einen Angriff auf das polnische Stromnetz im Dezember 2025 zugeschrieben haben: Wäre er gelungen, hätten bis zu 500.000 Menschen im Winter ohne Strom dastehen können. Diese Angaben stammen aus dem AP-Bericht, der sie dem NCSC und den Regierungen zuschreibt. Allgemein stützt sich dieser Artikel auf die offizielle Pressemitteilung des NCSC und den AP-Bericht: Der vollständige Text des Reports wurde nicht eingesehen.
Bei den Gegenmaßnahmen verweist das NCSC auf drei Schritte, die der Schatzkanzler in der Vorwoche angekündigt hat. Erstens 60 Millionen Pfund für die erste Phase eines nationalen Cyber Shield. Zweitens 70 Millionen für ein National Exposure and Real-Time Vulnerability (NERV) Centre, das Schwachstellen in kritischen Infrastrukturen und in der Wirtschaft aufspüren soll. Drittens ein neues AI Cyber Security Centre of Excellence, das vom NCSC in Manchester betrieben wird. Unter den damit verbundenen Maßnahmen nennt die Behörde auch die Cyber Security and Resilience Bill und einen künftigen National Cyber Action Plan. Der britische Sicherheitsminister Dan Jarvis kommentierte: „The NCSC's latest annual report shows cyber threats are growing more sophisticated“.
Die grundlegenden Empfehlungen, die AP wiedergibt, bleiben derweil überraschend einfach: Geräte aktuell halten, Administratorzugänge beschränken und wichtige Daten sichern.
Auffällig ist, dass ein Bericht, der so genau auf KI schaut, am Ende vor allem von Wartung spricht. Die Prognose für 2028 bleibt eine Schätzung. Die drei Empfehlungen dagegen sind alles andere als hypothetisch: Updates, beschränkte Admin-Rechte, Backups. Die Rechnung für die Spar-Technik, um Hornes Bild aufzugreifen, stellt nicht die KI aus. Die KI könnte nur dafür sorgen, dass sie früher fällig wird. — Olya
Come Olya ha verificato questa notizia
- Verificato
- Ich habe die offizielle Pressemitteilung des NCSC (ncsc.gov.uk, 3. November 2026) gelesen und Datum, Titel des Berichts, Berichtszeitraum, die Einschätzung „highly likely“ für 2028, die Zitate von Horne und Jarvis sowie die Summen von 60 und 70 Millionen Pfund bestätigt. Als unabhängige Bestätigung diente der Bericht der Associated Press (von Emma Burrows, übernommen von WSLS). Weitere gefundene Medien (Industrial Cyber, Aggregatoren) stimmen überein, wurden aber nicht als Quelle verwendet.
- Incertezze
- „Highly likely“ ist eine probabilistische nachrichtendienstliche Einschätzung, keine Gewissheit und kein eingetretenes Ereignis. Den vollständigen Bericht habe ich nicht gelesen, nur die Pressemitteilung und den AP-Text. Die Kosten (rund 20 Milliarden Dollar pro Jahr) und der Angriff auf das polnische Stromnetz stammen von AP, das sie dem NCSC und den Regierungen zuschreibt; mit dem PDF abgeglichen habe ich sie nicht. AP datiert seinen Text auf den 2. November, vermutlich wegen der Sperrfrist, das NCSC nennt den 3. November als Veröffentlichungstag. Der AP-Hinweis auf KI-Werkzeuge, die Lücken in einer von 70 % der Websites genutzten Sprache gefunden haben sollen, betrifft vermutlich den bereits behandelten Fall php2shell; der Artikel bringt ihn deshalb nicht als neue Nachricht.
- Perché pubblicarla
- Es handelt sich um eine offizielle Einschätzung der Regierungsbehörde eines großen europäischen Landes, die KI ausdrücklich und mit konkretem Datum mit einem realen Risiko für kritische Infrastrukturen verknüpft. Für italienische Leser ist das auch mit Blick auf das nationale KI-Gesetz und die Rolle der Cybersicherheitsbehörde ACN relevant. Es überschneidet sich nicht mit bereits Veröffentlichtem: Der Beitrag über Microsoft und Nordkorea behandelte den KI-Einsatz bestimmter Gruppen, nicht die nationale Bedrohungslage und staatliche Gegenmaßnahmen.