Cyberkriminelle kommerzialisieren KI-gestützte Angriffe KI-Crimeware als Service für wenige Dollar pro Monat

Anbieter zum Thema

Group-IB Europe B.V.

Fsas Technologies GmbH

Cyberkriminelle nutzen KI nicht mehr experimentell, sondern kom­mer­zi­a­li­siert. Group-IB identifiziert eine strukturierte KI-Crimeware-Wirtschaft: Dark LLMs, Deepfake-as-a-Service und automatisierte Phishing-Kits für wenige Dollar monatlich. Die niedrigen Einstiegshürden demokratisieren Cy­ber­kri­mi­na­li­tät und verändern die Bedrohungslandschaft fundamental.

Die Entwicklung der Cyberkriminalität hat sich in den letzten drei Jahrzehnten in mehreren Phasen vollzogen: Sie reichte von opportunistischen Angriffen in den 1990er-Jahren über organisierte Malware-Kampagnen und Cybercrime-as-a-Service-Modelle bis hin zu groß angelegten Supply-Chain-Attacken. Eine aktuelle Analyse von Group-IB belegt, dass die Cyberkriminalität nun in eine fünfte Welle eingetreten ist, die durch die Adaption und Implementierung generativer künstlicher Intelligenz in bösartigen Cyber- und Betrugs­szenarien definiert wird.

Anders als bei früheren Technologien, die von Cyberkriminellen adaptiert wurden, wird KI nicht nur probeweise eingesetzt. Sie wird vielmehr als operationelle Infrastruktur in das gesamte kriminelle Ökosystem eingebettet. Die Beobachtung von Untergrundforen und Marktplätzen belegt eine anhaltende Zunahme der Diskussionen über KI-gestützte Kriminalität und deutet damit auf eine schnelle, sowie weitreichende Akzeptanz hin.

Anstatt völlig neue Angriffsformen zu entwickeln, nutzen Cyberkriminelle KI zur Verstärkung bestehender Angriffstypen. Dies ermöglicht ihnen eine Steigerung von Umfang, Geschwindigkeit und Automatisierungsgrad. Gleichzeitig verringern sich die notwendigen technischen Kompetenzen und die erforderliche Vorbereitungszeit erheblich.

Deutschlands Cyberabwehr unter Druck

Warum Hacker Deutschland ins Visier nehmen

Die Kommerzialisierung von KI-Crimeware

Eine zentrale Erkenntnis der Untersuchung ist, dass sich eine strukturierte KI-Crimeware-Wirtschaft herausbildet. Dabei zeigt sich, dass die Nutzung von generativer KI (GenAI) die verschiedenen Bereiche der Cyberkriminalität und des Betrugs unterschiedlich stark durchdringt.

Group-IB-Analysten konnten beobachten, dass Anbieter KI-gestützter Tools, Dienste und Produkte zunehmend als gebündelte Komplettpakete auf den Markt bringen. Deren Geschäftsmodelle weisen starke Parallelen zu legalen Software-as-a-Service (SaaS)-Angeboten auf. Diese Angebote umfassen gestaffelte Preise, Abonnements, Updates und sogar Nutzer-Support. Die monatlichen Kosten für diese Dienste sind bemerkenswert niedrig und reichen von wenigen bis zu einigen hundert Dollar. Dies macht hochentwickelte Funktionen für eine sehr breite Käuferschicht zugänglich.

Diese Kommerzialisierung steigert nicht nur die Effizienz krimineller Handlungen, sondern senkt auch die Einstiegshürde für Cyberkriminalität. Aktivitäten, die früher technisches Fachwissen erforderten – wie die Erstellung und Verbreitung von Malware oder die Verwaltung umfangreicher Betrugskampagnen – werden zunehmend automatisiert und an Dienste ausgelagert, die von anderen Kriminellen auf Untergrundmärkten angeboten werden.

Infolgedessen können auch finanziell motivierte Einzelpersonen effektive Angriffe starten, ohne einer großen, organisierten kriminellen Gruppe anzugehören und ohne einen signifikanten Zeitaufwand für Vorbereitung und Schulung leisten zu müssen.

Basierend auf den Beobachtungen hat Group-IB vier kriminelle Nischen identifiziert, in denen der Einsatz von GenAI die Effektivität und den Erfolg von Kriminellen signifikant steigert. Die Analyse beleuchtet die auffälligsten bösartigen Anwendungsfälle der GenAI-gestützten „Waffenentwicklung“.

Künstliche Intelligenz als Waffe

Rekordanstieg bei automatisierten Cyberangriffen

„Dark LLMs“ und der Missbrauch von Sprachmodellen

Während der Missbrauch öffentlich zugänglicher großer Sprachmodelle (LLMs) nach wie vor weit verbreitet ist, zeigt die Forschung eine wachsende Tendenz hin zu proprietären „Dark LLMs“, die speziell für kriminelle Zwecke entwickelt wurden.

Diese Modelle sind darauf ausgelegt, ethische Schutzmechanismen zu umgehen, und für Aufgaben wie die Generierung von Phishing-Inhalten, Coding-Assistenz, Betrugsskripte und Social Engineering optimiert.Group-IB hat mehrere aktive Anbieter solcher uneingeschränkten KI-Chatbots identifiziert, die häufig mit separaten API-Instanzen und einer Abrechnung pro Token angeboten werden. Parallel kursieren weiterhin verbreitet Anleitungen und Dienste zum „Jailbreaking“ legitimer KI-Systeme. Durch die Kombination dieser Ansätze können Bedrohungsakteure auf leistungsstarke Sprachfunktionen zugreifen und dabei Sicherheitskontrollen umgehen.

Deepfake-as-a-Service und synthetische Identitäten

Die Verwendung von Deepfakes und synthetischen Identitäten geht mittlerweile über das bloße Kopieren von Gesichtern berühmter Persönlichkeiten hinaus und hat sich zu einer personalisierten, überzeugenden und technologisch komplexen Nische entwickelt, die die Vertrauenswürdigkeit dessen, was wir sehen oder hören, grundlegend infrage stellt.

Die Überwachung von Untergrundforen durch Group-IB hat einen wachsenden Markt für Deepfake-as-a-Service-Angebote aufgedeckt. Dazu gehören Stimmklonen, Lippensynchronisation, Live-Gesichtsimitation und synthetische Identitätskits. Die Anwendungsfälle für eine solche Nische reichen von Identitätsdiebstahl über Betrug bis hin zu KYC-Umgehungen und Business Email Compromise (BEC). Die Preise für einige dieser Dienste beginnen bei nur wenigen Euro, während hochtechnologische Lösungen für größere Betrugsunternehmen mehrere tausend Euro pro Jahr betragen können.

Wichtig ist: Die Wirksamkeit dieser Tools hängt nicht immer von perfekter Ausführung ab. Selbst minderwertige oder kurzlebige Imitationen können profitabel sein, wenn sie in großem Umfang eingesetzt werden.

WormGPT und KawaiiGPT senken Einstiegshürden für Angreifer

KI-Modelle für Cyberangriffe beschleunigen Angriffsketten

Automatisierung über den gesamten Phishing-Lebenszyklus

KI verändert nicht nur die Art und Weise, wie Phishing-Nachrichten verfasst werden, sondern auch, wie Phishing-Kampagnen durchgeführt werden.

Moderne Phishing-Kits automatisieren bereits Hosting, Zustellung, Zielauswahl und die Bearbeitung von Antworten. Einige Anbieter im Untergrund integrieren KI-Modelle jedoch direkt in ihre Tools. Dies ermöglicht eine dynamische Anpassung der Köder an das Opferverhalten und schafft halbautomatisierte Workflows für die nahtlose Erstellung und Zustellung von Lockmitteln.

Die Spezialisten von Group-IB identifizierten zudem frühe Versionen von agentenbasierten Phishing-Funktionen, die Kampagnen mit minimalem menschlichem Eingriff steuern können und dafür lediglich Informationen über die Besuche der Opfer sowie eine minimale Angriffsbeschreibung benötigen. Obwohl diese Systeme noch nicht vollständig ausgereift sind, deuten sie auf eine Zukunft hin, in der sich Angriffsmuster so schnell ändern, dass herkömmliche Erkennungsmethoden nicht mehr mithalten können.

Implikationen für Verteidiger und Strafverfolgungsbehörden

Die Analyseergebnisse verdeutlichen einen strukturellen Wandel in der Bedrohungslandschaft. Anstatt einer begrenzten Zahl technisch versierter Akteure gegenüberzustehen, sehen sich Verteidiger nun einer breiteren Masse von Angreifern gegenüber. Diese nutzen ähnliche automatisierte Tools und kombinieren TTPs (Taktiken, Techniken und Prozeduren), wodurch die Attributionsmuster komplexer werden.

Cybercrime 2.0

Cyberkriminelle steigern ihre Effizienz mit Agentic AI

Dies erschwert die Erkennung, Zuordnung und Unterbrechung von Angriffen erheblich. Es unterstreicht zudem die entscheidende Bedeutung informationsgestützter Sicherheitsansätze. Diese müssen sich nicht nur auf die Aufdeckung und Abwehr einzelner Angriffe konzentrieren, sondern proaktiv die Ökosysteme, Tools und Dienste identifizieren und kartieren, die diese Angriffe ermöglichen.

Um dem zukünftigen Einsatz von KI proaktiv begegnen zu können, ist es unerlässlich, die heutige Operationalisierung dieser Technologie durch Kriminelle zu verstehen.

Über den Autor: Anton Ushakov ist Leiter der Abteilung für Hightech-Kriminalitäts­ermit­tlungen Europa bei der Group-IB. Ushakov ist ein Cybersicherheitsexperte, der sich auf Cyberkriminalität, Betrug und neue Angriffstechniken spezialisiert hat. Er arbeitet eng mit globalen Ermittlungen zu Phishing, Social Engineering und KI-gestützten Bedrohungen zusammen und hilft Unternehmen und Strafverfolgungsbehörden dabei, besser zu verstehen, wie sich kriminelle Ökosysteme entwickeln und ausweiten.

Masked Actors

Das sind die zehn gefährlichsten Cyberakteure 2025

(ID:50770450)