Generative KI hat Phishing-Angriffe in der Breite professionalisiert: Laut aktuellen Untersuchungen kommen bei großvolumigen Phishing-Kampagnen inzwischen 90 % automatisierte „Phishing-as-a-Service“-Kits zum Einsatz. Für Leserinnen und Leser stellt sich zuerst die Frage: Was bedeutet das konkret für den Schutz von Firmenkonten und Zahlungen? Die Antwort: Die Verteidigung muss sich weg von reiner Erkennung von Rechtschreibfehlern hin zu technischen Verifizierungsprozessen und organisationalen Anpassungen entwickeln.
Was die Studien zeigen
Ein Red Team von Barracuda Research demonstrierte Ende August 2026 in einem Proof-of-Concept, wie ein kompromittiertes Mitarbeiterkonto und ein KI‑Assistent gemeinsam eine Organisation scannen und täuschend echt formulierte Anfragen erzeugen können. Die Simulation zielte auf die Umleitung einer Zahlung über 247.500 US-Dollar und verdeutlichte, dass die Angriffssoftware imstande war, Warnhinweise und Sicherheitsmeldungen für den Benutzer zu verbergen.
Parallele Daten aus dem SANS Security Awareness & Culture Report 2026 bestätigen die Bedrohungslage: Innerhalb von zwei Jahren stieg der Fehlgebrauch von KI am Arbeitsplatz von Platz 4 auf Platz 2 der größten menschlichen Risiken; rund 42 % der befragten Sicherheitsverantwortlichen sehen darin eine kritische Schwachstelle.
| Kennzahl | Wert |
|---|---|
| Phishing-Kampagnen mit automatisierten Kits | 90 % |
| Vom Red Team demonstrierter Zahlungsschaden (Proof‑of‑Concept) | 247.500 US-Dollar |
| Sicherheitsverantwortliche, die KI‑Missbrauch als kritisch einstufen | 42 % |
Konsequenzen für Unternehmen und Behörden
Die Studien führen zu klaren Schlüssen für die IT‑Sicherheit:
- Technische Verifikation von Zahlungs- und Zugriffsanfragen muss Standard werden; alleinige visuelle Prüfung reicht nicht mehr aus.
- Multi‑Faktor‑Authentifizierung (MFA) ist nicht länger empfehlenswert, sondern notwendig, um kompromittierte Konten abzusichern.
- Zero‑Trust‑Prinzipien und strengere Freigabeprozesse für Finanztransaktionen reduzieren das Risiko interner Fehlleitungen.
Zusätzlich zeigt die Analyse: Awareness‑Programme, die Mitarbeiter primär auf Tippfehler und schlechte Grammatik trainieren, sind überholt. Generative Modelle erzeugen fehlerfreie, personalisierte Texte, die mit herkömmlichen Trainingsmethoden nicht verlässlich erkannt werden.
Praktische Schritte für den Alltag
Was sollten österreichische Unternehmen und öffentliche Stellen jetzt tun? Neben der technischen Absicherung empfehlen Sicherheitsexperten folgende Maßnahmen:
- Implementierung verbindlicher MFA für sämtliche kritischen Systeme und Zahlungsfreigaben.
- Etablierung formalisierter Verifikationsschritte bei Zahlungsänderungen (z. B. Telefon‑ oder Video‑Bestätigung über unabhängige Kanäle).
- Regelmässige, praxisorientierte Red‑Team‑Tests, die KI‑gestützte Angriffe simulieren.
- Aktualisierte Awareness‑Schulungen: Fokus auf Verifikationsprozesse, kritisches Hinterfragen ungewöhnlicher Zahlungsanweisungen und sichere Nutzung von KI‑Tools im Arbeitsumfeld.
Verantwortliche sollten zudem prüfen, ob bestehende Monitoring‑ und E‑Mail‑Filterlösungen auf KI‑generierte Inhalte angepasst sind und ob die Protokollierung bei verdächtigen Aktivitäten ausreichend ist.
Fazit
Die Kombination aus automatisierten Phishing‑Kits und generativer KI erhöht die Gefahr, dass Angreifer sehr gezielt und technisch versiert fremde Identitäten nachahmen. Die Schutzmaßnahmen müssen deshalb technisch robuster und organisatorisch stringenter werden. Für Unternehmen bedeutet das: Weg von der Hoffnung, Fehler im Text würden Angriffe entlarven, hin zu verbindlichen Verifikations- und Authentifizierungsprozessen — bevor Geld bewegt wird oder Zugriffsrechte erweitert werden.
Leserinnen und Leser sollten interne Richtlinien überprüfen, MFA flächendeckend aktivieren und mit der Geschäftsleitung klären, wie Zahlungsprozesse künftig abgesichert werden. Nur so lassen sich die finanziellen und reputativen Folgen eines erfolgreichen KI‑Phishing‑Angriffs wirksam begrenzen.
