Warum Phishing nicht mehr wie Phishing aussieht – und wie KI betrügerische E-Mails verändert

Phishing funktioniert weiterhin nach demselben Prinzip. Ziel ist es, eine Person davon zu überzeugen, den Schritt auszuführen, den der Angreifer benötigt. Dabei kann es sich beispielsweise um Folgendes handeln:

• die Eingabe von Anmeldedaten,
• das Öffnen eines schädlichen Anhangs,
• das Klicken auf einen Link,
• die Bestätigung einer Anmeldeaufforderung,
• das Senden sensibler Daten,
• die Änderung der Bankverbindung,
• oder die Durchführung einer Zahlung.

Es ändert sich jedoch die Art und Weise, wie Angreifer Glaubwürdigkeit erzeugen.

Grammatikfehler sind kein zuverlässiges Warnsignal mehr

Ältere Phishing-Kampagnen ließen sich häufig an sprachlichen Mängeln erkennen. Unnatürliches Slowakisch, ein ungewöhnlicher Stil oder eine allgemeine Anrede waren Gründe, aufmerksam zu werden. Generative KI kann jedoch:

• die Grammatik korrigieren,
• den Kommunikationston anpassen,
• Texte in einer bestimmten Sprache erstellen,
• eine Nachricht an eine konkrete Position anpassen,
• oder mehrere Varianten derselben Kampagne vorbereiten.

Das Ergebnis kann eine Nachricht sein, die sich sprachlich in keiner Weise von der üblichen beruflichen Kommunikation abhebt. Daher gilt die einfache Regel nicht mehr, dass sich Phishing an „schlechtem Slowakisch“ erkennen lässt. Das Fehlen sprachlicher Fehler ist kein Beweis für die Glaubwürdigkeit einer Nachricht.

KI vereinfacht personalisiertes Spear-Phishing

Beim gewöhnlichen Phishing kann eine große Anzahl von Menschen dieselbe Nachricht erhalten. Spear-Phishing ist gezielter. Der Angreifer passt den Inhalt an eine konkrete Person, Position oder ein Unternehmen an. Die Nachricht kann sich beispielsweise beziehen auf:

• einen bestimmten Lieferanten,
• eine Rechnung,
• eine Position,
• ein Unternehmensprojekt,
• eine interne Richtlinie,
• ein freigegebenes Dokument,
• Personalbeschaffung,
• oder eine Aufforderung der Geschäftsleitung.

Die Informationen, die zur Erstellung eines solchen Kontexts erforderlich sind, müssen dabei nicht aus einem kompromittierten System stammen. Viele davon sind öffentlich verfügbar, beispielsweise über:

• die Unternehmenswebsite,
• LinkedIn,
• soziale Netzwerke,
• Jobportale,
• Konferenzwebsites,
• Pressemitteilungen.

KI ermöglicht es, solche Informationen schneller in einen Text zu überführen, der dem konkreten Kontext entspricht. Dadurch verringert sich der Unterschied zwischen Massenphishing und einem Angriff, der wie individuell vorbereitete Kommunikation wirkt.

Beim Phishing geben sich Angreifer als Manager oder Lieferanten aus

Der Angreifer muss den Nutzer nicht davon überzeugen, dass er mit einer unbekannten Organisation kommuniziert. Oft ist es wirksamer, sich als jemand auszugeben, dem bereits vertraut wird. Dabei kann es sich um Folgendes handeln:

• einen Vorgesetzten,
• die Finanzabteilung,
• den IT-Support,
• einen Kollegen,
• eine Bank,
• einen Buchhalter,
• einen Transportdienstleister,
• oder einen Geschäftspartner.

Typisch ist eine Aufforderung, die für sich genommen nicht ungewöhnlich wirkt.

Zum Beispiel:

• ein Lieferant teilt eine Änderung der Bankverbindung mit,
• die Geschäftsleitung muss dringend eine Zahlung bestätigen,
• die IT-Abteilung fordert eine erneute Anmeldung,
• ein Kollege sendet ein Dokument zur Genehmigung.

Glaubwürdigkeit entsteht durch die Kombination aus einem bekannten Namen, beruflichem Kontext und Zeitdruck. Gerade der menschliche Faktor bleibt einer der wichtigsten Bestandteile des Cyberrisikos. Im Interview „Heute ist es einfacher, einen Menschen zu hacken als ein System“ weist ein Servicetechniker von ANASOFT darauf hin, dass technischer Schutz allein nicht ausreicht, wenn der Angreifer den Nutzer manipulieren kann.

Ein Angriff muss nicht auf E-Mail beschränkt bleiben

Eine E-Mail kann nur der erste Teil eines Angriffs sein. Anschließend kann er über folgende Kanäle fortgesetzt werden:

• einen Telefonanruf,
• SMS,
• Teams,
• WhatsApp,
• oder eine andere Kommunikationsplattform.

Die einzelnen Schritte erzeugen dabei gemeinsam Glaubwürdigkeit. Eine E-Mail weist beispielsweise auf eine Änderung bei einer Zahlung hin, und wenige Minuten später ruft eine Person an, die sich als Lieferant ausgibt. Oder eine Nachricht vom „IT-Support“ meldet ein Problem mit dem Konto, woraufhin eine Aufforderung zur Bestätigung der Anmeldung folgt. Ein solcher Angriff ist gerade deshalb wirksamer, weil er nicht wie eine isolierte verdächtige E-Mail wirkt. Er erscheint als Abfolge gewöhnlicher Arbeitsereignisse.

KI verändert das Prinzip des Angriffs nicht, senkt aber die Kosten seiner Vorbereitung

Generative KI ist keine neue Art von Cyberangriff. Sie ist ein Werkzeug, das einige Teile des Social Engineering beschleunigen kann. Der Angreifer kann einfacher:

• Textvarianten erstellen,
• Sprache und Ton ändern,
• Inhalte für unterschiedliche Positionen vorbereiten,
• auf aktuelle Ereignisse reagieren,
• oder die Kommunikation personalisieren.

Das bedeutet, dass eine hochwertigere Vorbereitung nicht mehr nur den ausgefeiltesten Angriffen vorbehalten sein muss. Bei der Bewertung von Sicherheitsrisiken ist es daher wichtig, sich nicht nur auf neue Technologien zu konzentrieren, sondern auch darauf, wie bestehende Angriffsarten ihre Überzeugungskraft steigern.

Welche Signale weiterhin wichtig sind

Obwohl Grammatik als Hauptindikator an Bedeutung verliert, verrät Phishing häufig noch immer den Kontext der Aufforderung. Besondere Aufmerksamkeit verdienen vor allem Situationen, in denen eine Nachricht:

• ungewöhnlichen Zeitdruck erzeugt,
• eine Änderung des Standardverfahrens verlangt,
• sensible Daten anfordert,
• Zahlungsinformationen ändert,
• eine erneute Anmeldung verlangt,
• zur Bestätigung einer unerwarteten MFA-Anfrage auffordert,
• die Kommunikation auf einen anderen Kanal verlagert,
• oder einen unerwarteten Anhang beziehungsweise Link enthält.

Entscheidend ist nicht nur die Frage: Wirkt die E-Mail verdächtig? Wichtiger ist die Frage: Ist die Aufforderung im jeweiligen Arbeitskontext zu erwarten?

Die Aufmerksamkeit der Nutzer ist wichtig, kann aber nicht der einzige Schutz sein

Sicherheitsschulungen haben ihre Berechtigung. Sie helfen dabei, Gewohnheiten zu entwickeln, bei denen ungewöhnliche Aufforderungen überprüft werden und der Nutzer weiß, wann er aufmerksam werden muss. Es ist jedoch unrealistisch zu erwarten, dass ein Mensch jeden Versuch erkennt. Ein Angriff kann:

• von einem tatsächlich kompromittierten Konto stammen,
• an eine bestehende Kommunikation anknüpfen,
• natürliche Sprache verwenden,
• mit echten Daten arbeiten,
• oder den Nutzer unter Zeitdruck erreichen.

Daher besteht einer der häufigsten Fehler von Unternehmen darin, einen zu großen Teil der Verantwortung auf die Mitarbeitenden selbst zu übertragen. Mit menschlichen, prozessualen und technischen Schwachstellen befasst sich ausführlicher der Artikel Die 5 häufigsten Fehler in der IT-Sicherheit, die Unternehmen machen. Der Schutz vor Cyberangriffen funktioniert als mehrschichtiges System besser, als darauf zu vertrauen, dass der Nutzer immer die richtige Entscheidung trifft.

Ein Passwort kann nur der Anfang des Problems sein

Ein großer Teil der Phishing-Angriffe zielt darauf ab, Anmeldedaten zu erlangen. Der Nutzer öffnet eine Seite, die wie eine legitime Anmeldeseite aussieht, und gibt Folgendes ein:

• den Benutzernamen,
• das Passwort,
• gegebenenfalls eine weitere Authentifizierungsangabe.

In diesem Moment liegt das Problem nicht mehr nur in der Phishing-E-Mail. Es handelt sich um eine kompromittierte Identität. Entscheidend wird die Frage, was der Angreifer mit einem solchen Konto anschließend tun kann.

Er kann versuchen:

• auf E-Mails zuzugreifen,
• in Cloud-Anwendungen zu gelangen,
• sensible Dokumente zu suchen,
• weiteres Phishing von einem vertrauenswürdigen Konto aus zu versenden,
• oder Zugriff auf weitere Systeme zu erlangen.

Gerade deshalb betont der Artikel So verhindern Sie, dass Ihre Unternehmensinfrastruktur gehackt wird neben Passwörtern auch die Multi-Faktor-Authentifizierung, die Zugriffssteuerung und die kontinuierliche Überwachung von Aktivitäten.

Auch die Multi-Faktor-Authentifizierung ist kein Grund, die Wachsamkeit aufzugeben

MFA verringert das Risiko erheblich, dass ein gestohlenes Passwort allein dem Angreifer Zugang verschafft. Es ist jedoch falsch, sie als absoluten Schutz zu verstehen. Angreifer können beispielsweise versuchen:

• den Nutzer davon zu überzeugen, eine unerwartete Authentifizierungsanfrage zu bestätigen,
• eine bereits aktive Sitzung zu missbrauchen,
• oder ein Phishing-Szenario zu erstellen, das den legitimen Anmeldeprozess nachbildet.

Deshalb werden beim Schutz der Identität mehrere Prinzipien kombiniert:

• starke Authentifizierung,
• eingeschränkte Berechtigungen,
• Zugriffskontrolle,
• die Auswertung ungewöhnlichen Verhaltens.

Passwort und MFA können daher nicht isoliert davon betrachtet werden, was nach der Anmeldung mit dem Konto geschieht.

Wichtig ist auch, zu sehen, was nach dem Phishing folgt

Phishing ist häufig nur der Einstiegspunkt. Ist der Angriff erfolgreich, können die nächsten Schritte ohne jede betrügerische E-Mail erfolgen. Der Angreifer kann ein legitimes Konto verwenden, und seine Aktivität muss sich auf den ersten Blick nicht wesentlich von der eines gewöhnlichen Nutzers unterscheiden.

Warnsignale können beispielsweise sein:

• eine ungewöhnliche Anmeldezeit oder ein ungewöhnlicher Anmeldeort,
• der Zugriff auf Systeme, die der Nutzer normalerweise nicht verwendet,
• eine ungewöhnliche Menge heruntergeladener Daten,
• Änderungen an Regeln im E-Mail-Postfach,
• Versuche, höhere Berechtigungen zu erlangen,
• oder eine Kombination mehrerer kleinerer Anomalien.

Auch deshalb ist es bei der Unternehmenssicherheit notwendig, nicht nur das Eingangstor, sondern auch das Verhalten innerhalb der Umgebung zu überwachen. Einen umfassenderen Blick auf die Kombination von Prävention, Authentifizierung, Segmentierung und Überwachung bietet der Artikel So verhindern Sie, dass Ihre Unternehmensinfrastruktur gehackt wird.

Phishing kann der Beginn eines größeren Vorfalls sein

Erfolgreiches Phishing muss nicht mit einem gestohlenen E-Mail-Konto enden. Je nach Art der Kompromittierung kann es der erste Schritt zu Folgendem sein:

• einem Finanzbetrug,
• einem Datenleck,
• der Kompromittierung weiterer Nutzer,
• der Übernahme eines Administratorkontos,
• oder der Installation von Schadsoftware.

In einigen Fällen kann Phishing auch einer der Wege zu einem Ransomware-Vorfall sein. Deshalb ist es sinnvoll, es im Kontext des umfassenderen Lebenszyklus eines Angriffs zu betrachten. Der Artikel Wie Sie Ransomware vorbeugen und was zu tun ist, wenn ein Unternehmen ihr zum Opfer fällt behandelt ausführlicher die Prävention und die Reaktion in einer Situation, in der der Angriff bereits die Unternehmenssysteme erreicht hat.

Schutz vor Phishing ist eine Kombination aus Technologien, Prozessen und Menschen

Phishing lässt sich nicht mit einer einzigen Maßnahme lösen. Sicherheitsbewusstsein hilft, eine verdächtige Situation zu erkennen. Technischer Schutz kann einen Teil der Angriffe stoppen, noch bevor sie den Nutzer erreichen.

Multi-Faktor-Authentifizierung kann die Folgen eines gestohlenen Passworts verringern. Überwachung hilft, Situationen zu erkennen, in denen ein kompromittiertes Konto ungewöhnliches Verhalten zeigt. Ebenso wichtig sind jedoch die Unternehmensprozesse.

Beispielsweise sollte eine Änderung des Bankkontos eines Lieferanten nicht allein auf Grundlage einer einzigen E-Mail bestätigt werden. Sensible Finanztransaktionen können eine unabhängige Überprüfung oder eine mehrfache Genehmigung erfordern. Je überzeugender die Werkzeuge des Social Engineering sind, desto wichtiger sind Kontrollmechanismen, die nicht allein vom Eindruck des Nutzers abhängen.

KI legt die Messlatte höher, die Schutzprinzipien bleiben bestehen

Phishing wird in Zukunft wahrscheinlich nicht leichter zu erkennen sein. Generative Werkzeuge beseitigen einen Teil der Mängel, anhand derer sich betrügerische Inhalte früher identifizieren ließen. Glaubwürdig wirkende Sprache ist daher kein Argument mehr für die Glaubwürdigkeit einer Nachricht. Wichtiger ist der Kontext:

• wer die Aufforderung sendet,
• ob sie erwartet wird,
• was sie verlangt,
• ob sie dem etablierten Verfahren entspricht,
• und was nach ihrer Ausführung geschehen kann.

Die beste Reaktion besteht daher nicht darin, nach einer neuen Liste mit „zehn Merkmalen von Phishing“ zu suchen, die für immer funktioniert. Wirksamer ist ein Modell, das Folgendes kombiniert:

• Sicherheitsbewusstsein,
• die Überprüfung ungewöhnlicher Aufforderungen,
• Identitätsschutz,
• die Einschränkung von Zugriffen,
• technische Prävention,
• und die Überwachung von Sicherheitsereignissen.

Gerade die Kombination von Technologien und menschlichem Verhalten ist auch Thema des Interviews mit dem CIO von ANASOFT „Viele Risiken entstehen auf der menschlichen Seite“, das darauf hinweist, dass der bloße Kauf von Sicherheitstechnologien nicht regelt, wie ein Unternehmen mit Risiken umgeht.

Phishing verändert sich. Das grundlegende Ziel der Cybersicherheit bleibt jedoch dasselbe: eine Umgebung zu schaffen, in der ein einziger Fehler oder eine einzige überzeugende E-Mail nicht einfach zu einem schwerwiegenden Vorfall führen kann.

Phishing verändert sich. Der Schutz des Unternehmens muss Schritt halten

Überzeugendere Sprache, Personalisierung und die Verknüpfung mehrerer Kommunikationskanäle bedeuten, dass Phishing nicht mehr zuverlässig allein nach dem Eindruck des Nutzers gefiltert werden kann. Wirksamerer Schutz entsteht durch die Kombination von Sicherheitsbewusstsein, der Überprüfung ungewöhnlicher Aufforderungen, Identitätsschutz, technischen Kontrollen und der Überwachung verdächtigen Verhaltens.

Für Unternehmen ist es daher wichtig, nicht nur zu bewerten, ob Mitarbeitende Phishing erkennen können, sondern auch, was geschieht, wenn es einem Angriff gelingt, die erste Verteidigungslinie zu überwinden. 

Häufig gestellte Fragen