foto freepik

Die Fortschritte innerhalb der künstlichen Intelligenz (KI) haben das Erscheinungsbild von Phishing-E-Mails drastisch verändert. Noch bis vor kurzem gab es einige Indikatoren, an denen man Phishing-Versuche recht zuverlässig erkennen konnte: inkorrekte Grammatik, Logos in schlechter Auflösung, allgemein gehaltene/generische Begrüßungsformeln und unpassender Kontext.

Dank KI erstellen Cyberkriminelle mittlerweile hochkomplexe und personalisierte Angriffe, die sehr viel schwerer als solche zu erkennen sind. So warnten Cybersicherheitsexperten kürzlich die Nutzer von Gmail, Outlook und Apple Mail vor hochpersonalisierten Phishing-E-Mails, erstellt von KI-Bots. Diese Angriffe verwenden Informationen, die aus den eigenen Social-Media-Konten der Nutzer zusammengestellt wurden. Das lässt sie sehr überzeugend wirken.

Phishing-Taktiken 2025

KI und insbesondere generative KI vervielfachen das Schadpotenzial von Cyberkriminellen, gerade im Bereich Social Engineering:

Hyperpersonalisierung

KI-Systeme nutzen Analysetools und fortschrittliches Data Scraping, um hoch personalisierte Phishing-E-Mails zu entwickeln. Die Inhalte beziehen sich beispielsweise auf erst kurz zurückliegende Aktivitäten, Einkäufe oder Interaktionen eines Opfers in den sozialen Medien. Diese hyperpersonalisierten E-Mails sind immer schwieriger zu erkennen.

Fortschrittliche Deepfakes

Die Deepfake-Technologie wird nicht nur überzeugender, sondern auch leichter zugänglich. Angreifer haben so die Möglichkeit, realistische Videos oder Audio-Dateien zu erstellen, die vertrauenswürdige Personen nachahmen. Mittels solcher Deepfakes werden Opfer beispielsweise dazu motiviert, hoch-volumige Transaktionen zu genehmigen oder sensible Informationen preiszugeben.

Chat-basiertes Phishing

KI-gesteuerte Chatbots verwickeln Nutzer in interaktive Gespräche, um Phishing-Angriffe in Echtzeit zu lancieren. Dabei verwenden sie zunehmend natürliche Sprache und die Chatbots passen ihre Antworten dynamisch an die Fragen, Bedenken und Reaktionen der Opfer an.

Social Media ausnutzen

KI gestattet es, ausgeklügelte Fake-Accounts zu erstellen, die echte Benutzer imitieren und über einen längeren Zeitraum mit potenziellen Opfern interagieren. So gewinnen sie deren Vertrauen. Langfristig angelegte Social-Engineering-Angriffe, insbesondere gegen hochrangige Ziele, werden zunehmen.

Phishing in Echtzeit

KI kann Phishing-Nachrichten erstellen, die in Echtzeit auf bestimmte Ereignisse, Branchen oder Orte zugeschnitten werden. Tendenziell vertrauen Benutzer eher solchen E-Mails, die auf aktuelle Nachrichten oder organisatorische Aktivitäten verweisen.

Manipulierte Links und Websites – noch überzeugender

KI ist in der Lage, Phishing-Websites und -Links zu generieren, die von legitimen kaum mehr zu unterscheiden sind und so herkömmliche Erkennungsmethoden umgehen. Detection-Tools haben Schwierigkeiten, solche Websites zu markieren, was zu höheren Erfolgsraten auf Seiten der Angreifer führen wird.

KI-gestützte adaptive Angriffe

Phishing-Versuche werden sich auf der Grundlage des Nutzerverhaltens in Echtzeit anpassen (zum Beispiel wenn jemand zögert, zu klicken oder Skepsis erkennen lässt). Angreifer nutzen Online-Tracking-Tools und adaptive Lernwerkzeuge, um ihre Taktik während eines laufenden Angriffs anzupassen. Auch das erhöht die Erfolgswahrscheinlichkeit.

Ransomware-Angriffe

Mithilfe von KI lassen sich Schwachstellen schneller identifizieren und ausnutzen. Der Datendiebstahl kann zusätzlich an eine Lösegeldforderung gekoppelt sein. KI-gestützte Phishing-Angriffe sind zudem doppelt schädlich. Ein ahnungsloser Benutzer verliert unter Umständen nicht nur seine Anmeldedaten, sein Geld oder seine persönlichen Daten. In Fällen, bei denen diese Informationen von KI-Bots eingesammelt werden (wie in unserem ersten Beispiel), fließen die Daten dauerhaft in das KI-Modell ein. Jeder, der die richtigen Fragen stellt, kann diese Daten dann wieder extrahieren. Dies stellt offensichtliche ethische Überlegungen zu KI in Frage, von denen ohnehin viele (wenn nicht die meisten) nach wie vor ungelöst sind.

Wie man sich vor KI-gestütztem Phishing schützt

Phishing-Prävention bezieht grundsätzlich Benutzer und Technologien mit ein [1]. Angesichts KI-gestützten Phishings sollte man die Anwender über die zu erwartenden Risiken aufklären und parallel dazu den Sicherheits-Stack mit KI-fähiger Software aufstocken. Die Kombination bietet eine reelle Chance gegen KI-gestützte Bedrohungen vorgehen zu können.

Erhöhte Wachsamkeit und regelmäßige Updates

KI-gesteuerte Phishing-Angriffe werden immer raffinierter. Einzelne und Unternehmen sollten in Awareness-Trainings investieren und äußerst wachsam sein. Traditionelle Phishing-Indikatoren sind zunehmend unzuverlässiger. Umfassende Schulungen und Programme zur Mitarbeitersensibilisierung schaffen Abhilfe. Parallel dazu sollten Firmen die Sicherheitsprotokolle regelmäßig aktualisieren und eine Sicherheitskultur etablieren, die sich auf Skepsis und kontinuierliche Überwachung stützt. Die trägt dazu bei, Angriffe frühzeitig zu erkennen und im Idealfall zu verhindern.

Zero-Trust-Ansatz (gesunde Skepsis)

Stufen sie jede Kommunikation so lange als nicht vertrauenswürdig ein, bis sie die betreffenden Interaktionen und Personen überprüft haben. Mitarbeitende sollten weniger neugierig klicken als vielmehr vorsichtig abwägen. Auch bei formell gehaltenen Anfragen nach Transaktionen, bei denen Geld oder Informationen im Spiel sind, empfiehlt sich ein gewisses Maß an »höflicher Paranoia«, gerade bei Business Email Compromise (BEC). Wenden Sie sich über einen separaten Kommunikationskanal an die jeweilige Person, um die Identität zu verifizieren.

KI-gestützte Sicherheitsmaßnahmen

KI-gestütztes Phishing geht inzwischen weit über E-Mails hinaus. Auch SMS (Smishing), Sprachanrufe (Vishing) und QR-Codes (Quishing) sind betroffen – die Taktik richtet sich gegen Benutzer unterschiedlicher Plattformen. Die Integration von KI in diese und weitere Angriffsvektoren verändert die Bedrohungslandschaft. Angriffe laufen personalisierter ab und sind schwerer zu erkennen.

KI-gestützte Bedrohungen unterlaufen herkömmliche E-Mail-Schutzmaßnahmen und unsere Wahrnehmungsfähigkeit gleichermaßen. Darauf sollten Unternehmen sich vorbereiten. Sicherheitslösungen mit Click-Time-Erkennung sorgen beispielsweise für Ausfallsicherheit, wenn ein Mitarbeiter dennoch auf einen raffiniert gestalteten KI-Betrug hereingefallen ist. Die bösartige URL wird erkannt, der Benutzer gewarnt und die Bedrohung entweder autonom oder durch das SOC neutralisiert.

In vielerlei Hinsicht haben wir einen Punkt erreicht, an dem wir KI brauchen, um KI zu bekämpfen. Multi-Faktor-Authentifizierung (MFA), eine unabhängige Verifizierung und kontinuierliche Überwachung sind grundlegende Bausteine von E-Mail-Sicherheit und werden es auch bleiben. Unternehmen sollten zukünftig jedoch solche Lösungen in Betracht ziehen, die KI und maschinelles Lernen nutzen. Sie sind besser geeignet, KI-basierte E-Mail-Bedrohungen in großem Stil zu erkennen und zu entschärfen.

David Corlette, Vice President of Product Management, VIPRE

[1] https://vipre.com/solutions/phishing-prevention/

1694 Artikel zu „Phishing“

News | Trends 2025 | IT-Security | Kommunikation | Tipps

Vorsicht Quishing: QR-Code Phishing Scams drohen

31. Dezember 2024

Dank der enormen Verbreitung von Smartphones ist parallel die Nutzung von QR-Codes weltweit um 57 % gestiegen. Für das Jahr 2025 wird ein Anstieg um weitere 22 % prognostiziert. Weltweit werden pro Minute bis zu acht neue QR-Codes generiert. Kein Wunder, dass QR-Codes praktisch überall zu finden sind – auf Plakatwänden, in Einkaufszentren, in…