KI-Phishing und Deepfakes: Warum alte Erkennungsregeln nicht mehr reichen

„Achten Sie auf Rechtschreibfehler und holprige Formulierungen“ — dieser klassische Phishing-Tipp hat ausgedient. Aktuelle Analysen gehen davon aus, dass inzwischen über 80 Prozent der Phishing-Mails KI-generiert sind: fehlerfrei, persönlich zugeschnitten und vom echten Schriftverkehr eines Geschäftspartners kaum zu unterscheiden. Gleichzeitig meldet der BSI-Lagebericht, dass rund 80 Prozent der gemeldeten Cyberangriffe kleinere Unternehmen und Organisationen treffen — genau die Zielgruppe, der oft Zeit und Fachwissen für die Abwehr fehlen.

Die neue Qualität der Angriffe

KI verändert das Angriffsbild auf drei Ebenen:

• Perfekte Mails in Masse: Angreifer werten öffentlich verfügbare Informationen (Website, LinkedIn, Handelsregister) automatisiert aus und erzeugen daraus maßgeschneiderte Nachrichten — etwa eine täuschend echte Zahlungsaufforderung im Namen eines realen Lieferanten.
• Deepfake-Anrufe: Schon rund 30 Sekunden Audiomaterial reichen, um eine Stimme zu klonen. Der „Chef“, der am Telefon eine dringende Überweisung freigibt, ist ein wachsender Angriffsvektor — Deepfake-Angriffe auf Unternehmen sind zuletzt um mehrere hundert Prozent gestiegen.
• Neue Kanäle: Phishing kommt längst nicht mehr nur per Mail, sondern auch per QR-Code (Quishing), SMS und Messenger.

Was wirklich schützt

Da das Erkennen per Bauchgefühl unzuverlässig wird, verlagert sich der Schutz auf Prozesse und Technik:

1. Multifaktor-Authentifizierung überall: Selbst wenn ein Passwort abgephisht wird, bleibt das Konto geschützt. Noch besser: Passkeys, die gegen Phishing grundsätzlich immun sind.
2. Feste Freigabeprozesse für Zahlungen: Überweisungen und Änderungen von Bankverbindungen nie allein auf Zuruf — immer Rückruf über eine bekannte Nummer und Vier-Augen-Prinzip. Das entschärft auch den perfektesten Deepfake.
3. Technische Basis: Aktuelle Mail-Filter, korrekt konfiguriertes SPF/DKIM/ DMARC für die eigene Domain und gepflegte Endgeräte reduzieren die Angriffsfläche deutlich.
4. Regelmäßige, kurze Sensibilisierung: Nicht die jährliche Pflichtschulung, sondern kurze, aktuelle Beispiele — idealerweise mit simulierten Phishing-Tests.

Unser Fazit

Gegen KI-gestützte Angriffe hilft kein einzelnes Wundermittel, sondern die Kombination aus sauberer Technik, klaren Prozessen und wachen Mitarbeitenden. Das Gute daran: Die wirksamsten Maßnahmen — MFA, Zahlungsprozesse, Mail-Härtung — sind mit überschaubarem Aufwand umsetzbar. Wenn Sie wissen möchten, wo Ihre Umgebung heute steht, machen wir gerne den Sicherheits-Check mit Ihnen.