KI-Phishing wird smarter: So schützt du deine Konten

Eine E-Mail von deiner Bank, eine SMS vom Paketdienst oder ein Anruf mit vertrauter Stimme. Viele Betrugsversuche beginnen genau so. Neu ist, dass hinter solchen Nachrichten immer häufiger KI-Phishing steckt. Generative Sprachmodelle können Texte in Sekunden personalisieren und an tausende Empfänger anpassen.

Das Bundesamt für Sicherheit in der Informationstechnik berichtet für 2023 von durchschnittlich rund 78 neuen Schwachstellen pro Tag. Gleichzeitig beobachtete die Behörde im Jahr 2023 im Schnitt etwa 20.650 infizierte Systeme täglich über eigene Sinkholes. Diese Zahlen zeigen, wie groß die technische Angriffsfläche inzwischen ist.

Auch die EU-Agentur ENISA zählt in ihrem Threat Landscape Report 2024 mehr als 11.000 erfasste Sicherheitsvorfälle im Zeitraum Juli 2023 bis Juni 2024. Soziale Manipulation, Ransomware und Angriffe auf Daten gehören weiterhin zu den zentralen Bedrohungen. KI macht viele dieser Methoden effizienter und schwerer erkennbar.

KI-Phishing bedeutet nicht, dass eine künstliche Intelligenz selbstständig Bankkonten plündert. Die Technik wird genutzt, um Inhalte zu erzeugen. Sprachmodelle formulieren überzeugende Nachrichten, passen Tonfall und Details an und können sogar auf frühere Konversationen Bezug nehmen.

Generative KI erhöht die Skalierbarkeit und Qualität von Social-Engineering-Angriffen, indem sie Inhalte automatisiert und personalisiert erstellt.

So beschreibt es eine wissenschaftliche Analyse zu missbräuchlichen Anwendungen generativer KI aus dem Jahr 2024. Die Studie ist älter als zwei Jahre, liefert aber eine grundlegende Einordnung der Mechanismen.

Technisch kombinieren Angreifer mehrere Bausteine. Ein Sprachmodell erstellt die Texte. Bestehende Botnetze oder kompromittierte Server verteilen sie massenhaft. Laut BSI machten Android-Botnetze 2023 rund 42,3 % der beobachteten Infektionen unter den führenden Familien aus. Diese Infrastruktur ermöglicht Reichweite.

Hinzu kommt das Prinzip Living off Trusted Sites. Dabei werden legitime Cloud-Dienste oder bekannte Plattformen missbraucht, um Schadlinks oder gefälschte Inhalte zu hosten. Für dich sieht der Link dann vertraut aus, obwohl er Teil einer Betrugskette ist.

Im Alltag trifft KI-Phishing vor allem digitale Routinen. Online-Banking, Paketbenachrichtigungen, Kleinanzeigen oder geschäftliche E-Mails über Cloud-Dienste sind typische Einfallstore. Wenn Nachrichten sprachlich fehlerfrei und individuell formuliert sind, sinkt die Hemmschwelle zu klicken.

Besonders kritisch sind Szenarien, in denen Zugangsdaten abgegriffen werden. Mit erbeuteten Anmeldedaten können Angreifer weitere Dienste testen. Viele Menschen verwenden ähnliche Passwörter für mehrere Konten. Dadurch entsteht ein Ketteneffekt.

Auch Unternehmen in Deutschland sind betroffen. Die ENISA nennt soziale Manipulation und Angriffe auf Daten als zentrale Bedrohungen. In Verbindung mit Cloud-Diensten wie E-Mail- und Kollaborationsplattformen können gefälschte Support-Chats oder interne Anfragen glaubwürdig wirken.

KI senkt zudem die sprachliche Barriere. Früher waren betrügerische Nachrichten oft an schlechtem Deutsch erkennbar. Heute erzeugen Modelle Texte, die sich an regionale Besonderheiten anpassen lassen. Das erhöht die Erfolgswahrscheinlichkeit, auch ohne dass einzelne Personen gezielt ausgespäht werden.

Schutz vor Betrug mit KI beginnt bei einfachen, konsequenten Maßnahmen. Die wichtigste Regel lautet: Zugangsdaten niemals über Links in E-Mails oder SMS eingeben. Öffne stattdessen die bekannte Website direkt über dein Lesezeichen oder gib die Adresse selbst ein.

Aktualisierte Geräte sind die zweite Verteidigungslinie. Sicherheitsupdates schließen viele der Schwachstellen, die täglich neu gemeldet werden. Wenn dein Smartphone oder Laptop Updates anbietet, solltest du sie zeitnah installieren.

Entscheidend ist außerdem eine starke Zwei-Faktor-Authentifizierung. Neben dem Passwort wird ein zweiter Faktor abgefragt, etwa ein Code aus einer App oder ein Hardware-Schlüssel. Noch komfortabler sind Passkeys. Dabei wird die Anmeldung kryptografisch an dein Gerät gebunden, sodass klassische Phishing-Seiten kein verwertbares Passwort mehr abgreifen können.

Bei Anrufen oder Sprachnachrichten gilt eine einfache Prüfroutine. Gib keine sensiblen Informationen preis, wenn du nicht selbst angerufen hast. Beende das Gespräch und wähle die offizielle Nummer des Unternehmens. Diese Gewohnheit kostet Sekunden, kann aber hohen finanziellen Schaden verhindern.

Die Berichte von BSI und ENISA zeigen, dass die technische Basis für Angriffe breit vorhanden ist. Viele neue Schwachstellen, tausende Vorfälle und große Botnetze schaffen ein Umfeld, in dem automatisierte Kampagnen wirtschaftlich attraktiv sind.

KI-Phishing verstärkt diesen Trend, weil Inhalte schneller produziert und angepasst werden können. Selbst wenn nicht jeder Angriff erfolgreich ist, reicht eine kleine Erfolgsquote bei großer Reichweite.

Für die Zukunft bedeutet das: Identität wird zum zentralen Schutzfaktor. Wer seine digitalen Identitäten konsequent absichert, reduziert das Risiko deutlich. Dazu gehören eindeutige Passwörter, Passwortmanager, 2FA oder Passkeys sowie eine kritische Haltung gegenüber unerwarteten Kontaktaufnahmen.

Technik allein löst das Problem nicht. Sicherheitsbewusstsein und klare Routinen sind genauso wichtig. Wenn du verdächtige Nachrichten meldest und in deinem Umfeld darüber sprichst, stärkst du auch andere gegen KI-gestützte Betrugsversuche.

KI-Phishing ist keine ferne Zukunftsvision, sondern eine Weiterentwicklung bekannter Betrugsmaschen. Behördenberichte aus 2024 zeigen eine wachsende Angriffsfläche und tausende erfasste Vorfälle in Europa. Generative KI macht Nachrichten persönlicher und sprachlich überzeugender, doch sie ändert nichts an einem Grundprinzip. Angreifer sind auf deine Zugangsdaten angewiesen. Mit Updates, klaren Prüfregeln und starken Verfahren wie 2FA oder Passkeys kannst du dieses Einfallstor weitgehend schließen. Wer digitale Identität ernst nimmt, reduziert sein Risiko deutlich.