Sicherheitskultur als Antwort So wehren Unternehmen sich gegen KI-gestützte Phishing-Angriffe

Anbieter zum Thema

Deutsche Telekom MMS GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Cyberkriminelle nutzen heute Tools, die Phishing-Angriffe deutlich ver­ein­fach­en und die potenziellen Auswirkungen deutlich erhöhen. Phishing-as-a-Service-Kits, automatisierte Phishing-Tools und kuratierte Ziellisten sind mittlerweile leicht zugänglich und ermöglichen auch tech­nisch wenig versierten Angreifern, Phishing-Kampagnen durchzuführen. Die technischen Einstiegshürden sind, auch dank generativer KI, so gering wie nie zuvor.

Noch vor wenigen Jahren war das Erstellen einer glaubwürdigen Phishing-Mail eine mühsame Aufgabe. Sie erforderte Kreativität, Zeit sowie ein gutes Verständnis der Kultur und Sprache, in der die Opfer geködert werden sollten. Heute hingegen erleichtert generative KI (GenAI) diesen Prozess erheblich. Freizugängliche KI-Modelle wie ChatGPT haben zwar Sicherheits­mecha­nis­men, doch mit ein wenig Erfahrung können Angreifer diese aushebeln und sich in wenigen Minuten den Inhalt täuschend echter Phishing-Mails verfassen lassen – beispielsweise ein angebliches Gewinnspiel oder einen 20-Prozent-Rabatt für Mitarbeitende bei einem tatsächlichen Partner. Fehlerfrei, sprachlich angepasst, genau zugeschnitten auf vorher ausgewählte Zielpersonen und schnell in weitere Sprachen übersetzt. Zudem gibt es spezialisierte GenAI-Anwendungen, die gezielt für Phishing-Zwecke entwickelt wurden. So tauchte bereits 2023 etwa Worm GPT auf, ein GenAI-Interface, dem sämtliche Ethik- und Schutzmechanismen fehlten.

Doch Phishing geht heute weit über einen reinen E-Mail-Betrugsversuch hinaus. Gepaart mit Social Engineering ergibt sich eine hochgefährliche Kombination. Über öffentlich zugängliche Informationen wie die Unternehmenswebsite oder Corporate Social Accounts verschaffen sich Angreifer ein umfassendes Bild von ihrem Ziel und identifizieren Mitarbeitende als Einfallstor. Während die herkömmlichen, eher breit gestreuten Betrugsversuche in der Vergangenheit über die pure Masse versuchten, Erfolge zu erzielen, sind die KI-gestützten Phishing-Angriffe heute hochpersonalisiert.

Gut informiert für mehr IT-Sicherheit

ChatGPT als Mittäter bei Cyberangriffen?

Die Maschen der Kriminellen

Die Strategie der Angreifer ist in der Regel darauf ausgelegt, sich möglichst lange unentdeckt in den Systemen eines Unternehmens zu bewegen und Informationen für ein großes Finale zu sammeln. Diese letzte Angriffsphase kann eine vollständige Verschlüsselung der Unterneh­mens­daten oder ein Betrug sein. Ein häufiger Ansatz ist das gezielte Eindringen in den E-Mail-Account eines Geschäftsführers, einer Geschäftsführerin oder einer anderen Führungskraft. Hier sammeln die Cyberkriminellen zunächst vertrauliche Informationen, um diese anschließend entweder zu verkaufen oder für Erpressungsversuche zu nutzen. In einem weiteren Schritt könnten sie beispielsweise eine Person in der Buchhaltung per gefälschtem Auftrag anweisen, einen hohen Betrag an ein vorgeblich vertrauenswürdiges Konto zu überweisen.

Die Angreifer setzen dabei entweder auf psychologischen Druck oder locken mit Gewinn­versprechen, um das kritische Urteilsvermögen der Betroffenen außer Kraft zu setzen. Solche gezielten Social-Engineering-Techniken machen es Cyberkriminellen leichter, das Vertrauen ihrer Opfer zu gewinnen und deren Reaktionen zu manipulieren.

Hacker können dafür mittels GenAI-Tools binnen Minuten ganze Fake-Identitäten auf sozialen Netzwerken wie LinkedIn erstellen. Diese nutzen sie, um Stück für Stück das Vertrauen ihrer Zielpersonen zu gewinnen und dabei unauffällig weitere Informationen zu sammeln. Parallel dazu bauen die Kriminellen eine täuschend echt wirkende Website. Mit Hilfe generativer KI-Modelle, die sogar die nötigen Grafiken und Formulare bereitstellen können, ist das nahezu ein Kinderspiel. Sobald ein günstiger Zeitpunkt erreicht ist, schicken die Angreifer ihr Opfer auf die fingierte Website und lassen die Falle zuschnappen.

Eine weitere Dimension gewinnt die Bedrohung, wenn die Kriminellen zusätzliche Angriffs­vektoren nutzen, wie etwa Voice Phishing (Vishing). Hierbei täuschen sie beispielsweise Telefonanrufe aus dem IT-Support vor, oder nutzen KI, um zum Beispiel die Stimme des CEOs zu klonen. Die Kombination unterschiedlicher Methoden lässt die Anfragen einerseits plausibel erscheinen und ermöglicht es den Angreifern so andererseits, Druck auf die Zielperson auszuüben. Zudem erschwert sie es erheblich, die Phishing-Angriffe rechtzeitig zu erkennen und ihnen entgegenzuwirken. Ein erfolgreicher Angriff kann gravierende Folgen für das ganze Unternehmen haben, von finanziellen Verlusten über Reputationseinbrüchen bis hin zu massivem Datenabfluss.

KI-gestützte Cyberbedrohungen

Wie Kriminelle Künstliche Intelligenz für Angriffe nutzen

Wie Unternehmen ihre Abwehrkräfte stärken können

Für Sicherheitsverantwortliche und IT-Teams gilt es, sich auf diese neue Generation der Cyberkriminalität einzustellen und entsprechende Schutzmaßnahmen zu etablieren – sowohl technisch als auch organisatorisch und prozessual. Zu ersteren gehören unter anderem spezialisierte Security-Tools für E-Mail-Programme. Diese können Mails auf verdächtige Merkmale prüfen, zum Beispiel auffällige Absenderadressen, einen suspekten Mailinhalt sowie die Legitimität der eingebetteten Links bestätigen. Regelmäßige Updates und Weiterentwick­lungen in der E-Mail-Sicherheit bieten dabei die beste technische Grundlage, um auf die wachsenden Cyber-Bedrohungen vorbereitet zu sein. Doch auch die besten Sicherheits­programme bieten keinen hundertprozentigen Schutz. Aus diesem Grund sind zusätzliche Sicherheitsmaßnahmen unverzichtbar.

Verdächtige Anhänge und Dateien sind immer in einer kontrollierten, gesicherten Umgebung zu öffnen, um potenzielle Risiken zu minimieren. Darüber hinaus kann es sinnvoll sein, nur den Empfang von E-Mails aus bekannten Quellen zuzulassen, um die Angriffsfläche deutlich zu verringern. Um die Abwehr zu stärken, sollten Unternehmen ihre Mail-Security grundsätzlich so scharf konfigurieren, dass möglichst alle Phishing Mails geblockt werden, noch bevor sie in den Inboxen landen.

Auf der organisatorischen Seite sollten Unternehmen sehr genau prüfen, welche Informationen sie nach außen geben. Insbesondere Bilder und andere visuelle Inhalte können Anhaltspunkte für Social Engineering bieten oder im schlimmsten Fall für den Einsatz als Deepfake missbraucht werden. Ergänzend dazu lassen sich auch prozessuale Schutzmaßnahmen ergreifen, die das Angriffspotenzial verringern können. Dazu können klare Richtlinien gehören bezüglich der Kommunikationswege bei kritischen Entscheidungen, also beispielsweise wichtiges nur im persönlichen Gespräch zu klären oder in Telefongesprächen als Rückversicherung bestimmte Fragen zu stellen.

Schöpft etwa jemand den Verdacht, dass die Person im Video-Call gegenüber gar nicht der eigene Chef ist, kann schon eine einfache Rückfrage den Betrug auffliegen lassen. So geschehen ist das jüngst bei Ferrari. Ein Manager erhielt einen Anruf, angeblich von CEO Benedetto Vigna, der für eine geheime Übernahme Unterstützung benötige. Diverse Faktoren, darunter eine neue, unbekannte Telefonnummer sowie metallische Töne in der Stimme, schürten jedoch das Misstrauen des Managers. Daher bat er um eine Verifizierung der Identität durch eine persönliche Frage – die der falsche Vigna nicht beantworten konnte.

Um die Mitarbeitenden für diese Bedrohungen zu sensibilisieren, sind interne Aufklärungs­kampagnen enorm wichtig. Diese sollen einerseits helfen, Phishing Mails zu erkennen und andererseits lernen, auch dann einen klaren Kopf zu behalten, wenn jemand sie künstlich unter Handlungsdruck setzen will. Solche Security Awareness Maßnahmen können entscheidend dazu beitragen, die Resilienz gegenüber immer komplexeren und KI-gestützten Phishing-Bedrohungen zu erhöhen. Den Erfolg ihrer Schulungsmaßnahmen können Unternehmen schließlich mittels simulierter Phishing-Angriffe testen.

Drei Präventionsmaßnahmen

Wie sich Unternehmen vor Deepfake-Betrug schützen können

Starke Sicherheitskultur als Antwort auf KI-gestütztes Phishing

Tatsächlich existieren bislang keine sicherheitstechnischen Maßnahmen, die Phishing-Angriffe vollständig abwehren können. Doch die rasanten Fortschritte im Bereich der Künstlichen Intelligenz versprechen wertvolle Unterstützung: KI-basierte Sicherheitssysteme können künftig helfen, schädliche Mails frühzeitig zu identifizieren und verdächtige Aktivitäten schnell zu erkennen. So wird KI zunehmend zur wichtigen Stütze im Bereich der Cybersicherheit, indem sie schadhafte Muster erkennt und die Sicherheitsteams bei der Analyse und Abwehr unterstützt. Für Unternehmen bedeutet dies, dass sie sich bereits heute auf eine ganzheitliche Strategie stützen sollten, die sowohl auf technische Lösungen als auch auf eine starke, wachstumsfähige Sicherheitskultur setzt.

Über den Autor: Marcel Gersdorf-Wallbaum arbeitet seit 2014 bei der Deutschen Telekom MMS und bringt einen fundierten technischen Hintergrund als Informatiker mit. Seine Expertise ermöglicht es, komplexe technische Themen, regulatorische Anforderungen und Prozesszusammenhänge für Mitarbeitende ohne technischen Hintergrund anschaulich und verständlich aufzubereiten. In seiner Rolle als Security Awareness Coordinator unterstützt er Unternehmen beim Aufbau und der Festigung einer nachhaltigen Sicherheitskultur. Sein Ziel ist es, das Sicherheitsbewusstsein zu fördern und dafür zu sorgen, dass Sicherheitsmaßnahmen nicht nur verstanden, sondern auch aktiv gelebt werden.

Der ewige Kampf Gut gegen Böse, die KI Edition

Gute KI gegen böse KI

(ID:50322440)