Phishing wird immer cleverer

Phishing wird immer besser – und deshalb müssen wir umdenken

Im Februar 2024 überwies ein Mitarbeiter der Finanzabteilung des internationalen Ingenieurunternehmens Arup rund 25 Millionen Dollar an Betrüger. Nicht nach einer verdächtigen E-Mail.

Nicht wegen eines Rechtschreibfehlers. Und auch nicht, weil er unvorsichtig war.

Er tat es nach einer Videokonferenz mit dem CFO und mehreren Führungskräften. Er sah ihre Gesichter. Er hörte ihre Stimmen. Alles wirkte vollkommen normal. Und er kannte die Leute.

Das Problem: Die Personen auf dem Bildschirm waren keine echten Menschen. Die Betrüger hatten mithilfe von KI täuschend echte Deepfakes erstellt.

Was noch vor wenigen Jahren wie Science-Fiction geklungen hätte, ist heute Realität.

Und genau deshalb müssen Unternehmen ihre Sicht auf Phishing überdenken.

‍

Die alten Regeln reichen nicht mehr aus

Viele Jahre lang war die Empfehlung relativ einfach: Achte auf Rechtschreibfehler. Du haben gut, krass oder?

Prüfe die Absenderadresse. Sei misstrauisch bei Zeitdruck.

Hinterfrage unpersönliche Anreden. Das war sinnvoll, weil viele Phishing-Mails genau diese Schwächen hatten.

Heute sieht die Situation anders aus.

Moderne KI kann fehlerfreie Texte schreiben, Informationen aus sozialen Netzwerken nutzen und Nachrichten formulieren, die kaum von echter Geschäftskommunikation zu unterscheiden sind.

Wer immer noch nur nach Rechtschreibfehlern sucht, kämpft den letzten Krieg.

Das bedeutet nicht, dass klassische Warnsignale völlig verschwunden sind. Aber sie reichen allein nicht mehr aus. Die entscheidende Frage lautet heute nicht mehr:

„Sieht diese E-Mail verdächtig aus?"

Sondern:

„Passt diese Anfrage zu unseren normalen Abläufen?"

‍

Was sich verändert hat

Früher war Phishing oft leicht zu erkennen.

Die Sprache war holprig. Die Anrede unpersönlich. Der Kontext wirkte konstruiert.

Heute können Angreifer mit wenigen Informationen Nachrichten erstellen, die auf einzelne Personen zugeschnitten sind.

Sie wissen, wer im Unternehmen arbeitet. Sie kennen Hierarchien.

Sie wissen, welche Lieferanten genutzt werden. Jeder hat Zugriff auf Linkedin, Netzwerke sind häufig klar ersichtlich.

Und sie verstehen zunehmend, wie interne Prozesse funktionieren.

Dadurch verschiebt sich die Verteidigung weg von der reinen Erkennung hin zur konsequenten Verifikation.

‍

Drei Phishing-Beispiele aus der Praxis

Der gefälschte CFO

Im bekannten Fall bei Arup wurde eine Finanzabteilung zunächst kontaktiert und anschliessend zu einer Videokonferenz eingeladen. Mehrere vermeintliche Führungskräfte nahmen teil. Die Gesichter wirkten echt. Die Stimmen wirkten echt. Die Anweisung wirkte plausibel.

Genau diese Kombination machte den Angriff so erfolgreich.

Rückblickend hätte nicht bessere Beobachtung geholfen, sondern ein klarer Prozess: Eine zweite Bestätigung über einen unabhängigen Kommunikationskanal, beispielsweise einen Rückruf über eine bekannte Telefonnummer.

‍

Der angebliche IT-Support

Ein anderes Unternehmen erhielt einen Anruf von einer Person, die sich als Mitarbeiter des internen IT-Supports ausgab. Die Stimme klang glaubwürdig. Der Anrufer wollte Fernzugriff auf den Computer erhalten. Der Mitarbeitende reagierte jedoch genau richtig.

Er beendete das Gespräch und rief die IT-Abteilung über die bekannte interne Nummer zurück. Dort stellte sich heraus: Niemand hatte angerufen. Niemand wusste von etwas.

Der Unterschied zwischen einem Sicherheitsvorfall und einem abgewehrten Angriff lag in einem einzigen Rückruf.

‍

Die neue Bankverbindung

Ein Lieferant informierte per E-Mail über eine angeblich neue Bankverbindung.

Die Nachricht wirkte professionell. Trotzdem wurde die Änderung nicht übernommen.

Warum?

Weil das Unternehmen eine einfache Regel eingeführt hatte: Bankverbindungen werden niemals ausschliesslich auf Basis einer E-Mail geändert. Jede Änderung wird zusätzlich telefonisch bestätigt.

Auch hier war nicht die Technik entscheidend, sondern ein klar definierter Prozess.

‍

Was Unternehmen jetzt tun sollten

Viele Verantwortliche suchen nach der einen technischen Lösung.

Die gibt es nicht.

Wirksamer Schutz entsteht durch das Zusammenspiel mehrerer Massnahmen.

‍

Technik als erste Verteidigungslinie

Moderne E-Mail-Sicherheit, Authentifizierungsverfahren wie SPF, DKIM und DMARC, Multi-Faktor-Authentifizierung sowie intelligente Filter bleiben wichtige Bausteine.

Sie verhindern viele Angriffe bereits im Vorfeld.

Aber sie verhindern nicht alle.

Deshalb darf Sicherheit nie ausschliesslich auf Technologie basieren.

‍

Mitarbeitende anders schulen

Auch das klassische Awareness-Training muss sich weiterentwickeln.

Es genügt nicht mehr, einmal pro Jahr Beispiele offensichtlicher Phishing-Mails zu zeigen.

Mitarbeitende sollten lernen, ungewöhnliche Anfragen konsequent zu hinterfragen und definierte Verifizierungsprozesse anzuwenden.

Besonders wirksam sind kurze, regelmässige Trainings sowie realistische Übungen, die aktuelle Angriffsmethoden berücksichtigen.

‍

Prozesse schaffen Sicherheit

Am Ende schützen oft die langweiligen Dinge am besten.

Klare Freigabeprozesse.

Vier-Augen-Prinzip bei grösseren Zahlungen.

Telefonische Bestätigung von Kontodatenänderungen.

Festgelegte Verfahren für ungewöhnliche Anweisungen.

Je klarer diese Regeln definiert sind, desto schwieriger wird es für Angreifer, Mitarbeitende unter Druck zu setzen.

‍

Worauf Mitarbeitende weiterhin achten sollten

Auch wenn KI viele klassische Warnsignale verschwinden lässt, gibt es weiterhin Hinweise, die Aufmerksamkeit verdienen.

Besonders vorsichtig sollte man werden, wenn eine Anfrage ungewöhnlich dringend ist, etablierte Prozesse umgehen möchte oder sensible Informationen beziehungsweise Geldtransaktionen betrifft.

In solchen Situationen gilt eine einfache Regel:

Nicht reagieren. Erst verifizieren.

Ein kurzer Rückruf kann Schäden in Millionenhöhe verhindern.

‍

Ein Wettrüsten ohne Enddatum

Phishing wird nicht verschwinden.

Die Werkzeuge der Angreifer werden leistungsfähiger. Deepfakes werden realistischer. Stimmen lassen sich immer einfacher nachahmen.

Gleichzeitig entwickeln sich auch die Verteidigungsmassnahmen weiter.

Doch unabhängig davon, welche Technologien in den kommenden Jahren auf den Markt kommen, bleibt ein Faktor entscheidend:

Menschen, die nachfragen.

Menschen, die Prozesse einhalten.

Menschen, die sich nicht unter Druck setzen lassen.

Technologie kann unterstützen.

Training kann sensibilisieren.

Ob ein Angriff am Ende erfolgreich ist, entscheidet jedoch oft etwas viel Banaleres: Ob jemand bereit ist, kurz zum Telefon zu greifen und eine ungewöhnliche Anfrage zu überprüfen.

‍

Die drei wichtigsten Erkenntnisse

1. KI macht Phishing-Angriffe glaubwürdiger und schwerer erkennbar.
2. Verifikation über einen zweiten Kanal sollte bei ungewöhnlichen Anfragen zum Standard werden.
3. Die beste Verteidigung besteht aus einer Kombination von Technologie, Training und klaren Prozessen.

‍

Quellen

Hauptstudien und Berichte:

KnowBe4 (2025): AI phishing statistics

FBI Internet Crime Complaint Center (IC3): 22,364 AI-related reportsAnti-Phishing Working Group (APWG): Over 1 million attacks quarterly

IBM Cost of a Data Breach Report 2025: $4.44 million average breach cost

Huntress 2025: Median time to click = under 60 seconds

‍

Schweizer Quellen:

Bundesamt für Cybersicherheit (BACS): 6,643 Phishing-Meldungen H1 2024 (vs. 2,179 H1 2023)

‍