Phishing in Zeiten von KI: Warum der zweite Blick immer wichtiger wird

Täuschend echte Absender, persönliche Ansprache und professionell formulierte Texte: Phishing-Mails werden immer schwieriger zu erkennen. Künstliche Intelligenz erfindet diese Form des Betrugs nicht neu. Sie kann Angreifern aber helfen, schneller, einfacher und in größerem Umfang überzeugende Nachrichten zu erstellen.

KI senkt die Hürden für Angreifer

Phishing gehört seit vielen Jahren zum digitalen Alltag. Neu ist vor allem, wie niedrig die Hürden für professionell wirkende Angriffe inzwischen geworden sind. Generative KI kann dabei helfen, öffentlich verfügbare Informationen auszuwerten, Nachrichten sprachlich zu verbessern und Inhalte auf bestimmte Personen, Unternehmen oder Situationen zuzuschneiden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt fest, dass generative KI bereits die Qualität und Quantität von Social-Engineering-Angriffen steigert, beispielsweise durch personalisiertes Phishing in großem Umfang. Auch Microsoft Threat Intelligence beobachtet, dass Angreifer KI einsetzen, um Phishing-Texte zu erstellen, Informationen über potenzielle Ziele auszuwerten und Angriffe schneller zu skalieren.

Kurz gesagt: Die Schwelle sinkt, die Qualität steigt und Angriffe lassen sich leichter in großer Zahl umsetzen.

Damit verliert zugleich ein altes Erkennungsmerkmal an Bedeutung: Eine fehlerfreie, professionell formulierte Nachricht ist heute kein Beleg mehr dafür, dass eine E-Mail tatsächlich von der angegebenen Person stammt. Auch das BSI weist darauf hin, dass sich Phishing-Nachrichten mit KI überzeugender formulieren und mit Informationen aus sozialen Netzwerken oder anderen öffentlich verfügbaren Quellen personalisieren lassen.

Aktueller Fall bei der Kreishandwerkerschaft

Auch wir erhalten in letzter Zeit häufiger Rückmeldungen zu solchen Nachrichten. Aktuell werden beispielsweise E-Mails verschickt, bei denen im Absenderfeld der Name unseres Kreishandwerksmeisters Frank Wulfmeyer erscheint.

Die Nachrichten stammen jedoch nicht von ihm. Hinter dem angezeigten Namen verbirgt sich in den uns bekannten Fällen eine fremde E-Mail-Adresse eines großen Mailanbieters. Inhalt und Aufbau der Nachrichten können dabei unterschiedlich sein.

Genau darin liegt eine typische Gefahr: Viele Mailprogramme zeigen zunächst prominent den Namen des vermeintlichen Absenders an. Die tatsächliche E-Mail-Adresse fällt dagegen weniger ins Auge. Deshalb gilt: Nicht allein dem angezeigten Namen vertrauen, sondern im Zweifel auch die vollständige Absenderadresse kontrollieren.

Fünf Tipps für den Umgang mit verdächtigen Mails

1. Schauen Sie auf die tatsächliche Absenderadresse.
Nicht der angezeigte Name ist entscheidend, sondern die Adresse dahinter. Passt die Domain, also der Teil hinter dem @-Zeichen, tatsächlich zum Unternehmen oder zur Organisation? Bei „Max Mustermann“ mit einer völlig fremden Freemail-Adresse ist besondere Vorsicht angebracht. Auch leicht veränderte Domains können eingesetzt werden.

2. Achten Sie auf den Kontext, nicht nur auf Rechtschreibfehler.
Schlechtes Deutsch war früher ein häufiger Hinweis auf Phishing. Darauf sollte man sich heute nicht mehr verlassen. Wichtiger ist die Frage: Passt die Anfrage zur Person und zur üblichen Zusammenarbeit? Ist es normal, dass diese Person auf diesem Weg eine Zahlung, Unterlagen oder Zugangsdaten verlangt?

3. Werden Sie bei Zeitdruck und ungewöhnlichen Forderungen skeptisch.
„Bitte sofort erledigen“, eine kurzfristige Überweisung, der Kauf von Gutscheinen, die Übersendung vertraulicher Daten oder die überraschende Änderung einer Bankverbindung sollten Anlass für eine zusätzliche Prüfung sein.

4. Fragen Sie im Zweifel über einen bekannten zweiten Weg nach.
Kommt eine ungewöhnliche Nachricht angeblich vom Chef, Geschäftspartner oder Kollegen, greifen Sie zum Telefon oder sprechen Sie die Person direkt an. Wichtig: Nutzen Sie dafür eine bereits bekannte Telefonnummer oder Kontaktdaten aus einer vertrauenswürdigen Quelle – nicht eine Telefonnummer aus der verdächtigen Mail.

5. Öffnen Sie Links und Anhänge nicht vorschnell.
Macht Sie eine Nachricht misstrauisch, klicken Sie weder Links noch Anhänge an. Rufen Sie bekannte Internetseiten besser direkt über den Browser auf. Das gilt ebenso für QR-Codes, die in Mails oder Dokumenten eingebunden sein können.

Was Betriebe zusätzlich tun können

Ein offener, gut erreichbarer Internetauftritt ist richtig und wichtig. Unternehmensname, Ansprechpartner, Funktionen und Kontaktmöglichkeiten gehören selbstverständlich dazu. Es geht also nicht darum, weniger auffindbar zu sein, sondern darum, mit öffentlich verfügbaren Informationen bewusst umzugehen und technische Schutzmöglichkeiten zu nutzen.

Öffentlich verfügbare Informationen im Blick behalten.
Angreifer können für eine glaubwürdige Geschichte verschiedene öffentlich zugängliche Bausteine miteinander verknüpfen: Namen, Funktionen, Zuständigkeiten, Social-Media-Beiträge oder frei abrufbare Dokumente. Das ist kein Grund, solche Informationen grundsätzlich zurückzuhalten. Es hilft aber, sich bewusst zu machen, welche Informationen auch für einen Angreifer sichtbar und kombinierbar sind.

Wo es praktisch passt, zentrale Kontaktwege nutzen.
An manchen Stellen bieten sich Funktionsadressen wie info@... oder Kontaktformulare ohnehin an, etwa für allgemeine Anfragen. Das ist in erster Linie eine Frage der Organisation und nicht des Versteckens. Persönliche Ansprechpartner und eine gute Erreichbarkeit bleiben selbstverständlich erhalten.

Auch das klassische „Verstecken“ von Mailadressen – etwa durch Schreibweisen wie name [at] firma [punkt] de – bietet nur begrenzten Schutz. Automatisiertes Auslesen lässt sich damit möglicherweise erschweren, verhindern lässt es sich jedoch nicht zuverlässig. Zudem benötigt ein Angreifer für die bloße Vortäuschung einer bekannten Person deren echte Mailadresse oft gar nicht.

Die eigene E-Mail-Domain technisch absichern.
Betriebe sollten mit ihrem IT-Dienstleister prüfen, ob Verfahren wie SPF, DKIM und DMARC für die eigene Domain korrekt eingerichtet sind. Sie helfen dabei, legitime Absender zu authentifizieren und den Missbrauch der eigenen Domain als gefälschten Absender zu erschweren.

Ein wichtiger Hinweis zum aktuellen Fall: Diese technischen Verfahren verhindern nicht jede Form des Identitätsmissbrauchs. Wenn ein Angreifer wie in dem oben beschriebenen Fall lediglich den richtigen Namen mit einer völlig fremden Mailadresse kombiniert, nutzt er die echte Domain des Betroffenen gar nicht. SPF, DKIM oder DMARC können einen solchen Angriff daher nicht grundsätzlich verhindern.