Was KI am Phishing verändert hat

  • Fehlerfreie Texte in jeder Sprache und jedem Tonfall, inklusive Fachsprache der Branche
  • Personalisierung aus öffentlichen Quellen wie Unternehmenswebsite, Pressemitteilungen und Business-Netzwerken
  • Variation: Jede Mail ist anders formuliert und dadurch für Filter schwerer zu erkennen
  • Glaubwürdige Gesprächsverläufe über mehrere Nachrichten statt einer einzelnen Mail
  • Kombination mit gefälschten Stimmen und Videos (siehe Deepfake-CEO-Fraud)

Woran man KI-Phishing trotzdem erkennt

Die Sprache verrät den Angriff nicht mehr. Der Ablauf schon. Fast jeder Phishing-Angriff will etwas, das vom normalen Prozess abweicht.

  • Eine Bitte, die ungewöhnlich ist: Zahlung, Kontodatenänderung, Zugangsdaten, Geschenkkarten, Daten von Beschäftigten
  • Zeitdruck oder Geheimhaltung: "Bitte heute noch", "Noch nicht mit dem Team besprechen"
  • Ein neuer oder ungewohnter Kanal: private Messenger-Nummer, neue E-Mail-Adresse
  • Ein Link oder Anhang, der zu einer Anmeldung auffordert
  • Ein Absender, dessen Adresse bei genauem Hinsehen nicht exakt stimmt

Prozesse schlagen Bauchgefühl

Aus der Arbeit in einem Security Operations Center zeigt sich immer wieder: Die Angriffe, die durchkommen, sind die, bei denen ein einzelner Mensch unter Druck allein entscheiden muss. Feste Prozesse nehmen diesen Druck heraus.

  • Zahlungen und Änderungen von Bankverbindungen nur nach Rückruf über eine bekannte, hinterlegte Nummer
  • Vier-Augen-Prinzip für Zahlungen ab einem festgelegten Betrag
  • Keine Zugangsdaten per E-Mail, Chat oder Telefon, ohne Ausnahme
  • Klare Regel: Ein Hinweis auf Geheimhaltung gegenüber Kollegen ist ein Warnsignal, kein Grund zur Eile
  • Einfacher Meldeweg für verdächtige Nachrichten, mit Rückmeldung an die meldende Person

Technische Schutzmaßnahmen

  • Phishingresistente Anmeldung mit Passkeys oder FIDO2-Sicherheitsschlüsseln, mindestens für Admin- und Finanzkonten
  • E-Mail-Authentifizierung mit SPF, DKIM und DMARC für die eigenen Domains
  • Kennzeichnung externer E-Mails im Postfach
  • Schutz vor Lookalike-Domains durch Überwachung ähnlicher Domainnamen
  • Bedingter Zugriff, der Anmeldungen aus ungewöhnlichen Umgebungen blockiert