Anomaly Detection in Cybersecurity Service Contracts

In der Welt des Rechts ist Vorhersehbarkeit eine Tugend. Wenn zwei Parteien einen Vertrag unterzeichnen, erwarten sie, dass die Bedingungen einem vertrauten Muster folgen, ähnlich wie ein gut ausgetretener Pfad durch einen Wald. Wenn eine Klausel erscheint, die drastisch von diesem Pfad abweicht, stellt sich die Frage: Ist dies eine notwendige Anpassung an eine einzigartige Situation oder ist es ein Zeichen für etwas Ungewöhnliches, vielleicht sogar Risikoreiches? Diese Spannung zwischen dem Standardmäßigen und dem Seltsamen steht im Mittelpunkt einer neuen Studie, die Cybersicherheits-Dienstleistungsverträge untersucht. Dies sind Vereinbarungen zwischen öffentlichen Organisationen, wie Städten oder Krankenhäusern, und privaten Unternehmen, die damit beauftragt werden, ihre digitalen Systeme zu schützen. Da diese Verträge oft mit großer Freiheit verfasst werden können, können sie stark variieren. Die Forscher wollten wissen, ob sie Computer nutzen könnten, um jene Verträge aufzuspüren, die aus der Masse herausstechen – nicht um sie als schlecht zu bewerten, sondern um zu verstehen, was sie einzigartig macht. Indem sie Rechtsdokumente als Daten behandelten, wandten sie eine Methode namens systematische Inhaltsanalyse an, die Texte in spezifische, zählbare Merkmale zerlegt, und kombinierten dies mit maschinellem Lernen, einer Art von Computerprogramm, das lernt, Muster zu erkennen, ohne explizit darauf hingewiesen zu werden, wonach es suchen soll.

Die Forscher konzentrierten sich auf einen spezifischen Satz von 567 Verträgen, die zwischen 2019 und 205 zwischen öffentlichen Behörden und privaten Cybersicherheitsanbietern in der Slowakei unterzeichnet wurden. Sie lasen diese Dokumente manuell durch und übersetzten die komplexe Rechtssprache in eine strukturierte Liste von Merkmalen. Sie notierten, ob ein Vertrag bestimmte Elemente enthielt, wie etwa eine Klausel über monatliche Zahlungen, eine Definition dessen, was einen schwerwiegenden Verstoß ausmacht, oder eine Anforderung, dass der Anbieter Software und Hardware liefern muss. Sie erfassten auch numerische Details wie die Anzahl der Mitarbeiter in der anstellenden Organisation und den Gesamtwert des Geschäfts. Sobald diese Informationen organisiert waren, speisten sie sie in ein System des maschinellen Lernens ein, das darauf ausgelegt war, Ausreißer zu finden. Dieses System wusste nicht im Voraus, welche Verträge „falsch“ oder „richtig“ waren; stattdessen suchte es einfach nach den Dokumenten, die am stärksten aus der typischen Gruppe hervorstachen. Das Ziel war es, zu identifizieren, welche spezifischen Merkmale einen Vertrag im Vergleich zu den Hunderten anderen im Datensatz ungewöhnlich erscheinen ließen.

Die Studie zeigte, dass dessen, was als „normal“ in diesem Bereich gilt, tatsächlich recht spezifisch ist. Die typischsten Verträge, jene, die der Computer als Standard erkannte, waren meist einfache Beratungsdienstleistungsverträge. Sie betrafen oft kleinere Gemeinden oder soziale Einrichtungen und wurden in regelmäßigen monatlichen Raten bezahlt. Diese Standardverträge waren tendenziell kurz und stützten sich auf allgemeine Gesetze, um die Lücken zu füllen, anstatt jedes mögliche Szenario auszuschreiben. Im Gegensatz dazu waren die Verträge, die das System als hochgradig anomal einstufte, oft viel komplexer. Sie betrafen häufig große, strategische Einheiten wie Krankenhäuser, Regionalregierungen oder große Staatsunternehmen. Diese Verträge bestanden nicht nur aus Beratung; sie beinhalteten oft auch die Lieferung physischer Software oder Hardware, detaillierte IT-Überwachungssysteme und umfangreiche Listen von Strafen für verschiedene Arten von Fehlern.

Einer der frappierendsten Befunde war, dass die Komplexität eines Vertrages ein wesentlicher Treiber seines „Anomalie-Scores“ war. Der Computer identifizierte Verträge mit hochdetaillierten Regelungen zur Haftung, spezifischen Sanktionen bei Verzögerungen und strengen Definitionen eines wesentlichen Vertragsbruchs als statistisch selten. Beispielsweise wurde ein Vertrag zwischen einer Stadt und einer Cybersicherheitsfirma, der eine Strafe für die Stadt bei Zahlungsverzug oder eine Klausel enthielt, die es dem Lieferanten erlaubte, sich nur unter sehr spezifischen Bedingungen zurückzuziehen, als ungewöhnlich eingestuft, da die meisten anderen Verträge in diesem Datensatz nicht über diese spezifischen, strengen Details verfügten. Ähnlich wurden Verträge mit Gesundheitseinrichtungen oft als Ausreißer betrachtet, wahrscheinlich weil der hohe Einsatz beim Schutz von Patientendaten zu strengeren und spezifischeren Bedingungen führte als bei Vereinbarungen mit kleineren Städten. Die Forscher merkten an, dass in einem extremen Fall ein Vertrag für eine kleine monatliche Dienstleistung als ungewöhnlich eingestuft wurde, weil die Kosten einen unverhältnismäßig großen Anteil am Gesamtumsatz des Anbieters darstellten – eine statistische Besonderheit, die der Computer sofort erfasste.

Die Forscher stellten jedoch klar, dass „anomal“ nicht bedeutet, dass ein Vertrag rechtlich mangelhaft oder unfair ist. Der Begriff bedeutet lediglich, dass das Dokument vom statistischen Durchschnitt abweicht. Tatsächlich legt die Studie nahe, dass viele dieser „seltsamen“ Verträge wahrscheinlich das Ergebnis des Versuchs der Parteien sind, vorsichtiger zu sein. Wenn ein Vertrag eine große Summe Geld oder eine kritische Dienstleistung wie die Sicherheit eines Krankenhauses beinhaltet, ist es sinnvoll, dass die Parteien mehr Regeln aufschreiben, um sich zu schützen. Der Computer, der ein Muster aus einfachen, risikoarmen Verträgen sah, interpretierte diese detaillierten, risikoreichen Vereinbarungen als Abweichungen. Die Studie hob auch eine potenzielle Schwachstelle in der Erfassung von Rechtsdaten hervor. Zum Beispiel kodierten die Forscher einen Vertrag als „ohne Rücktrittsrecht“, wenn der Text dies nicht explizit erwähnte, obwohl das Gesetz dieses Recht möglicherweise bereits gewährt. Dies bedeutete, dass der Computer manchmal auf das Fehlen eines spezifischen Satzes reagierte und nicht auf das Fehlen eines gesetzlichen Rechts.

Letztendlich bietet diese Arbeit eine neue Art, Rechtsdokumente zu betrachten. Indem sie Computer nutzten, um die Landschaft der Cybersicherheitsverträge abzubilden, schufen die Forscher eine Baseline dessen, was üblich und was selten ist. Dies bedeutet nicht, dass die seltenen Verträge vermieden werden sollten; vielmehr bietet es den Beamten ein Werkzeug, um zu sehen, wann sie sich in weniger erschlossenes Gebiet vorwagen. Wenn eine Stadt kurz davor steht, ein komplexes Geschäft mit einem Krankenhaus abzuschließen, kann das System ihnen zeigen, dass diese Art von Vereinbarung anders aussieht als die Hunderten einfacheren Verträge, die sie normalerweise unterzeichnen. Dieses Bewusstsein ermöglicht es ihnen, doppelt zu prüfen, ob die ungewöhnlichen Bedingungen beabsichtigt und wohlüberlegt sind oder nicht. Die Studie kommt zu dem Schluss, dass die Maschine zwar die Ausreißer erkennen kann, aber ihren Wert nicht beurteilen kann. Die eigentliche Arbeit, zu verstehen, ob ein komplexer Vertrag notwendig oder überzogen ist, liegt weiterhin bei den menschlichen Experten, die die Zahlen im Kontext der realen Bedürfnisse interpretieren müssen.