Kleine Organisationen, echte Daten: KI und Cybersicherheit für die Zivilgesellschaft

Im Juni vertrat ich COMoG auf dem Ghana Civil Society Forum 2026. Eines der Themen war die verantwortungsvolle Integration von künstlicher Intelligenz und Cybersicherheit in der Arbeit der Zivilgesellschaft. Als jemand, der Software entwickelt, blieb mir dieses Thema am meisten im Gedächtnis, und ich habe weiter darüber nachgedacht, was es in der Praxis für die Organisationen bedeutet, die ich kenne.

Dieser Beitrag ist mein eigener Standpunkt, als Ingenieur, der auch mit Gruppen der Zivilgesellschaft zusammenarbeitet. Es ist keine Zusammenfassung der Sitzungen des Forums.

Warum die Zivilgesellschaft ein Ziel ist

Zivilgesellschaftsorganisationen (CSOs) verfügen oft über einige der sensibelsten Informationen in einem Land: Berichte von Wahlbeobachtern, Geschichten von Überlebenden, Details von Whistleblowern, die Namen und Telefonnummern von Gemeindevolontären. Sie verfügen auch über etwas, das Angreifer ebenso schätzen: öffentliches Vertrauen. Eine Facebook-Seite oder E-Mail-Adresse einer CSO, die einmal übernommen wurde, kann Fehlinformationen mit dem Ruf der Organisation verbreiten.

Doch die meisten CSOs sind klein. Sie haben selten ein IT-Team, geschweige denn ein Sicherheitsteam. Laptops werden geteilt, Passwörter werden geteilt, und das Haupt-Social-Media-Konto der Organisation ist oft auf mehreren persönlichen Telefonen angemeldet.

Diese Kombination aus wertvollen Daten, öffentlichem Vertrauen und dünnen Verteidigungen ist genau das, wonach Angreifer suchen.

Eine Grundlage, die zu einem kleinen Budget passt

Sie benötigen kein teures Tool, um einen großen Unterschied zu machen. Diese vier Bereiche decken den größten Teil des Risikos ab, das ich sehe.

1. Konten

• Aktivieren Sie die Zwei-Faktor-Authentifizierung für die E-Mail und jedes Social-Media-Konto der Organisation. Vorziehen Sie eine Authentifizierungs-App gegenüber SMS, wo möglich (hier ist der Grund).
• Hören Sie auf, Passwörter zu teilen per WhatsApp oder auf Papier. Ein Passwort-Manager ermöglicht es einem Team, den Zugriff zu teilen, ohne dass jeder das Passwort kennt, und macht es einfach, jemanden zu entfernen, der die Organisation verlässt.
• Führen Sie eine Liste darüber, wer Zugriff auf was hat, und überprüfen Sie diese Liste, wenn jemand beitritt oder die Organisation verlässt.

2. Daten

• Sammeln Sie weniger. Jedes Feld auf einem Formular ist Daten, die Sie jetzt schützen müssen. Wenn Sie die Geburtsdatum oder die Heimatadresse einer Person nicht benötigen, fragen Sie nicht danach.
• Wissen Sie, wo Ihre Daten gespeichert sind: welche Tabelle, welches Telefon, welcher gemeinsam genutzte Laufwerk, welche WhatsApp-Gruppe.
• Löschen Sie diese nach einem Zeitplan. Ghanas Datenschutzgesetz von 2012 (Gesetz 843) erwartet, dass Organisationen personenbezogene Daten nicht länger aufbewahren, als sie benötigt werden. Alte Daten, die Sie nicht mehr verwenden, sind reines Risiko.

3. KI-Tools

KI-Tools können kleinen Teams wirklich helfen: Berichte erstellen, Materialien in lokale Sprachen übersetzen, lange Dokumente zusammenfassen. Aber sie benötigen Regeln.

• Fügen Sie keine persönlichen oder sensiblen Informationen in öffentliche AI-Chatbots ein: Namen von Begünstigten, Überlebendenberichte, unveröffentlichte Ergebnisse. Je nach Dienst und dessen Einstellungen kann das, was Sie eingeben, gespeichert oder verwendet werden, um das Produkt zu verbessern. Lesen Sie die Datenschutzbedingungen oder gehen Sie davon aus, dass es nicht privat ist.
• Überprüfen Sie jede Ausgabe. KI kann selbstsicheren, gut geschriebenen Text produzieren, der einfach falsch ist, einschließlich erfundener Fakten und Quellen. Für eine Organisation, deren Wert Glaubwürdigkeit ist, kann die Veröffentlichung eines KI-Fehlers echten Schaden anrichten.
• Seien Sie ehrlich über die Verwendung von KI in Ihren Veröffentlichungen, wenn diese den Inhalt geprägt hat.
• Erwarten Sie, dass KI auch gegen Sie eingesetzt wird: überzeugendere Phishing-E-Mails in perfektem Englisch und gefälschte Audio- oder Videoaufnahmen von öffentlichen Figuren, insbesondere während Wahlen. Überprüfen Sie vor dem Teilen.

4. Menschen

Die meisten erfolgreichen Angriffe beginnen immer noch damit, dass eine Person hereingelegt wird.

• Überprüfen Sie vor dem Klicken, Zahlen oder Teilen. Dringende Anfragen für Geld, Passwörter oder Dokumente, auch wenn sie scheinbar von einem Direktor oder einem Partner stammen, sollten über einen zweiten Kanal bestätigt werden, wie z.B. einem Telefonanruf unter einer bereits bekannten Nummer.
• Machen Sie das Melden einfach und schuldlos. Ein Freiwilliger, der auf einen schlechten Link geklickt hat, sollte sich innerhalb von Minuten sicher fühlen, es zu melden, und nicht wochenlang verstecken.
• Melden Sie Vorfälle. In Ghana hat das Cybersecurity-Gesetz von 2020 (Gesetz 1038) die Cyber Security Authority eingerichtet, die Berichte über Cyber-Vorfälle erhält.

Wo Bauherren wie ich ins Spiel kommen

Die meisten Sicherheitsempfehlungen sind für Unternehmen mit Sicherheitsbudgets geschrieben. Die Zivilgesellschaft benötigt etwas anderes: Werkzeuge und Standardvorgaben, die ohne die Notwendigkeit eines Experten konfiguriert werden können, und Schulungen in einfacher Sprache, in lokalen Sprachen, die auf den Telefonen und gemeinsam genutzten Laptops basieren, die die Menschen tatsächlich nutzen.

Diese Lücke, zwischen der Art und Weise, wie Sicherheit konzipiert wird und wie kleine Organisationen tatsächlich arbeiten, ist eine, die ich schließen möchte. Es ist Teil des Grundes, warum ich weiterhin Cybersicherheit studieren möchte, nicht nur als technisches Fach, sondern auch als etwas, das demokratische und gemeinnützige Arbeit schützt.

Wenn Ihre Organisation über irgendetwas sprechen möchte, kontaktieren Sie uns.