Phishing im KI-Zeitalter: So bereiten Sie Ihr Team auf Deepfake-Angriffe vor

Jahrelang haben Security-Awareness-Schulungen Menschen beigebracht, auf schlechte Grammatik, seltsame Anreden und allgemeine Nachrichten zu achten. Generative KI hat diese Hinweise unzuverlässig gemacht. Angreifer schreiben heute flüssige, personalisierte Nachrichten in jeder Sprache und können eine Stimme aus wenigen Sekunden Audio klonen.

Was sich verändert hat

Personalisierung im großen Maßstab

Angreifer füttern Sprachmodelle mit öffentlichen Informationen von Firmenwebsites, sozialen Medien und Pressemitteilungen und schreiben so überzeugende, kontextbezogene Köder für Tausende Ziele gleichzeitig.

Stimm- und Video-Imitation

Deepfake-Audio wurde bereits genutzt, um Führungskräfte am Telefon zu imitieren und dringende Zahlungen anzufordern. Video-Imitationen in Echtzeit wirken in Meetings zunehmend realistisch.

Angriffe über mehrere Kanäle

Auf eine Phishing-Mail folgen eine SMS und dann ein Anruf, die sich gegenseitig bestätigen. Diese Stimmigkeit lässt die Geschichte glaubwürdig wirken.

So passen Sie Ihre Abwehr an

Über einen zweiten Kanal verifizieren

Legen Sie als Richtlinie fest, dass jede Anfrage zu Geld, Zugangsdaten oder sensiblen Daten über einen separaten, vertrauenswürdigen Kanal bestätigt wird – etwa durch einen Rückruf unter einer Nummer aus dem Firmenverzeichnis. Keine Ausnahmen für Hierarchie oder Dringlichkeit.

Schulungen auf Verhalten statt auf Hinweise ausrichten

Statt Menschen beizubringen, Tippfehler zu finden, lehren Sie sie, Druck zu erkennen: Dringlichkeit, Geheimhaltung, Autorität und ungewöhnliche Bitten. Diese Signale bleiben, selbst wenn der Text perfekt ist.

E-Mail-Authentifizierung härten

Setzen Sie DMARC auf „reject“, überwachen Sie Lookalike-Domains und kennzeichnen Sie externe Absender deutlich. Markenschutz-Monitoring hilft, Imitations-Domains zu finden, bevor sie genutzt werden.

Melden einfach und lohnend machen

Ein einziger Melde-Button, eine schnelle Reaktion und ein Dankeschön schaffen eine Kultur, in der schnell gemeldet wird. Ihr Sicherheitsteam kann eine Kampagne dann nach der ersten Meldung blockieren statt nach dem fünfzigsten Klick.

Das Fazit

KI hat nicht verändert, was Angreifer wollen. Sie wollen immer noch Zugangsdaten, Zahlungen und Zugriff. Bauen Sie Prozesse, die solche Anfragen ohne Verifizierung schwer erfüllbar machen – dann verliert selbst perfektes Phishing den Großteil seiner Wirkung.