KI-Phishing

Ausführliche Erklärung

Klassische Phishing-Angriffe waren lange Zeit an sprachlichen Schwächen erkennbar: Rechtschreibfehler, holprige Formulierungen oder generische Anreden wie "Sehr geehrter Kunde" waren deutliche Warnsignale. Mit dem Aufkommen generativer KI-Modelle hat sich diese Situation grundlegend verändert. Moderne KI-Systeme erstellen heute fehlerfreie, kontextbezogene und hochgradig personalisierte Nachrichten, die von legitimer Geschäftskommunikation kaum zu unterscheiden sind. Die Technologie ermöglicht es Angreifern, in wenigen Minuten tausende individuell angepasste Phishing-Kampagnen zu erstellen – eine Aufgabe, die manuell Stunden oder Tage in Anspruch nehmen würde.

Die Bedrohung durch KI-Phishing ist für kleine und mittlere Unternehmen besonders relevant, da diese oft über begrenzte IT-Sicherheitsressourcen verfügen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt explizit vor dieser neuen Generation hochgradig personalisierter Phishing-Angriffe. Angreifer nutzen KI, um öffentlich verfügbare Informationen aus Social-Media-Profilen, Unternehmenswebsites oder Pressemitteilungen auszuwerten und damit Kommunikationsstile, Hierarchien und branchenspezifische Begriffe zu imitieren. Das Ergebnis sind keine Massenmails mehr, sondern Spear-Phishing-Angriffe, die exakt zum Kontext des Empfängers passen.

Die Methoden sind vielfältig: Neben E-Mails setzen Kriminelle verstärkt auf Smishing (Phishing per SMS), Quishing (manipulierte QR-Codes) und Voice-Phishing mit KI-generierten Stimmklonen. Letztere können bereits mit wenigen Sekunden Audiomaterial aus öffentlich verfügbaren Quellen täuschend echte Stimmen von Führungskräften nachahmen. Die Erfolgsrate ist dramatisch: Studien zeigen, dass KI-generierte Phishing-Links eine Klickrate von 54 Prozent erreichen, während traditionelle Methoden nur auf 12 Prozent kommen.

Für KMU bedeutet dies, dass traditionelle Abwehrstrategien – etwa das Suchen nach sprachlichen Fehlern – nicht mehr ausreichen. Notwendig sind technische Schutzmaßnahmen wie Multi-Faktor-Authentifizierung, moderne E-Mail-Filter mit KI-Erkennung sowie kontinuierliche Mitarbeiterschulungen, die auf das veränderte Bedrohungsbild eingehen. Die zentrale Verhaltensregel lautet: Jede unerwartete Aufforderung, die mit Zeitdruck operiert, sollte über einen zweiten, unabhängigen Kommunikationskanal verifiziert werden.