Die Klickraten liegen bei bis zu 54 Prozent – herkömmliche Mails schaffen nur rund 12 Prozent. Besonders Finanzinstitute und ihre Kunden geraten ins Visier der Angreifer.
Sparkassen-Kunden im Fokus der Betrüger
Sicherheitsforscher beobachten eine neue Welle professioneller Phishing-Angriffe. Die Täter nutzen KI-Tools, um täuschend echte Mails zu erstellen – selbst erfahrene Anwender erkennen sie kaum noch.
In Deutschland spielen Betrüger gezielt mit Verunsicherung: Die Sparkassen stellen ihre S-ID-Check-App bis Anfang 2027 ein, Zahlungsfreigaben laufen künftig über die S-pushTAN-App. Kriminelle verschicken gefälschte Update-Aufforderungen und ködern Kunden mit der Preisgabe ihrer Zugangsdaten. Auch Nutzer der DKB und der Volksbanken sind verstärkt betroffen.
Parallel dazu verbreitet sich neue Schadsoftware. Die Android-Malware „PromptSpy“ nutzt das KI-Modell Gemini, um Angriffe zu verfeinern. Täter kombinieren KI-Phishing zudem mit SIM-Swapping, um Zwei-Faktor-Authentifizierungen zu umgehen.
Ein Datenleck bei einem großen Einzelhändler liefert Kriminellen die perfekte Datengrundlage: Namen, E-Mails und Telefonnummern wurden entwendet – genug Material für zielgerichtete Attacken.
Angesichts der steigenden Erfolgsquoten von KI-basierten Betrugsmails müssen Unternehmen ihre Abwehrstrategien dringend anpassen. In diesem kostenlosen Ratgeber erfahren Sie in 4 Schritten, wie Sie Phishing-Angriffe effektiv stoppen und Ihr Unternehmen absichern. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen
Deepfake-Betrug: 3,8 Millionen Dollar Schaden in Singapur
Die KI-Angriffe beschränken sich nicht auf Online-Banking. In Südostasien verzeichnet Interpol eine Welle von Deepfake-Betrugsfällen. In Singapur verlor ein Opfer im Frühjahr rund 3,8 Millionen US-Dollar – durch eine manipulierte Videokonferenz, in der das Konterfei von Premierminister Lawrence Wong simuliert wurde.
Ähnliche Vorfälle mit Aufnahmen der Präsidenten Prabowo Subianto (Indonesien) und Ferdinand Marcos Jr. (Philippinen) verursachten Millionenschäden.
Technisch erreichen die Angriffe eine neue Autonomiestufe. Im Juli identifizierten Forscher mit „JADEPUFFER“ den ersten autonomen Ransomware-Angriff auf Basis von Large Language Models (LLM). Solche Systeme finden eigenständig Sicherheitslücken und führen Schadcode aus. Branchenanalysten schätzen den globalen Schaden durch Social Engineering auf rund 460 Milliarden Euro.
EU AI Act: Strafen in Millionenhöhe ab August
Regierungen weltweit reagieren auf die Bedrohungslage. In der EU treten ab Anfang August erste Transparenzpflichten des EU AI Act in Kraft. Bei Verstößen drohen Unternehmen Strafen in Millionenhöhe oder ein erheblicher Prozentsatz ihres weltweiten Jahresumsatzes.
Die neuen gesetzlichen Anforderungen der EU-KI-Verordnung stellen Unternehmen vor komplexe Herausforderungen bei Compliance und Risikomanagement. Dieser kostenlose Umsetzungsleitfaden bietet Ihrer Rechts- und IT-Abteilung einen kompakten Überblick über alle relevanten Fristen, Pflichten und Risikoklassen. EU AI Act E-Book: Jetzt kostenlosen Praxisleitfaden sichern
Südkorea geht noch einen Schritt weiter: Ein reformiertes Gesetz verpflichtet Plattformbetreiber wie Google, Meta oder TikTok, illegale Inhalte schneller zu melden und zu entfernen. Die Unternehmensleitung haftet bei Verstößen persönlich.
Für Verbraucher gibt es ein wichtiges Signal aus der Justiz: Der belgische Kassationshof entschied, dass Banken Erstattungsanträge nach Phishing-Angriffen nicht pauschal ablehnen dürfen. Die Beweislast für grobe Fahrlässigkeit liegt bei den Finanzinstituten.
Experten raten zu erhöhter Vorsicht – besonders bei unangeforderten Nachrichten mit Aufforderungen zur Eingabe von Zugangsdaten oder Software-Installation. Als sicherere Alternative zum SMS-Einmalpasswort gewinnen physische Sicherheitsschlüssel und biometrische Verfahren an Bedeutung.
