Künstliche Intelligenz macht Phishing-Angriffe dramatisch erfolgreicher. Das zeigt eine Studie mit 7.700 Versuchspersonen, über die Golem berichtet: KI-gestützte Personalisierung verdreifacht die Klickrate auf bösartige E-Mails. Das Ergebnis ist ein Weckruf für IT-Sicherheit in Deutschland – besonders für Mittelstand und Behörden, die oft mit älteren Systemen und weniger geschultem Personal arbeiten.
Kurz & knapp
- 7.700 Versuchspersonen nahmen an dem Experiment teil
- Erfolgsquote verdreifacht durch KI-basierte Personalisierung von Phishing-E-Mails
- Spear-Phishing nutzt jetzt Machine Learning, um Inhalte individuell auf Ziele zuzuschneiden
- Besonders anfällig: Mitarbeiter ohne regelmäßige Sicherheitsschulung
Wie KI das Phishing-Handwerk verändert
Bisher verlassen sich Phishing-Kampagnen auf Massen-E-Mails mit generischen Texten – "Bitte aktualisieren Sie Ihr Passwort", "Ihr Konto wurde gesperrt". Viele Nutzer durchschauen das inzwischen. Mit KI ändert sich das Spiel: Spear-Phishing-Tools analysieren öffentliche Daten über Zielgruppen (LinkedIn-Profile, Unternehmenswebseiten, Social Media), generieren dann personalisierte E-Mails, die sich wie interne Nachrichten lesen – mit Namen des Vorgesetzten, Projektdetails, Abteilungsjargon.
Das Ergebnis der Golem-Studie zeigt, dass diese Personalisierung nicht nur überzeugender wirkt, sondern die Abwehrreflex der Menschen systematisch aushebelt. Wer eine E-Mail erhält, die exakt auf die eigene Rolle zugeschnitten ist, klickt eher auf den Link – auch wenn ein Sicherheitstraining das eigentlich hätte verhindern sollen.
Wer ist besonders gefährdet?
Die Studie deutet darauf hin, dass Standardisierte Sicherheitsschulung allein nicht reicht. Besonders anfällig sind:
- Neue Mitarbeiter ohne Phishing-Erfahrung
- Beschäftigte in Positionen mit Zugriff auf sensible Daten (Finanzen, HR, Technik)
- Organisationen mit schwacher Zwei-Faktor-Authentifizierung
- Unternehmen, die KI-Tools zur Anomalieerkennung nicht einsetzen
Deutsche Behörden und der Mittelstand sind hier besonders exponiert: Sie haben oft weniger Budget für fortgeschrittene Sicherheitstechnologie und kämpfen mit Legacy-Systemen, die keine modernen Phishing-Filter bieten.
Was bedeutet das für Unternehmen?
Die Studie ist ein klares Signal: Traditionelle Passwort-Richtlinien und jährliche Phishing-Simulationen reichen nicht mehr aus. Unternehmen sollten jetzt handeln:
- Häufigere, realistische Phishing-Tests mit KI-generierten E-Mails durchführen
- Zwei-Faktor-Authentifizierung konsequent ausrollen – auch wenn es nervt
- Anomalieerkennung in E-Mail-Systemen aktivieren, um ungewöhnliche Absender zu flaggen
- Mitarbeiter gezielt schulen, nicht nur einmal im Jahr, sondern kontinuierlich
- Reporting-Kanäle schaffen, damit verdächtige E-Mails schnell an die IT-Sicherheit gehen
Die gute Nachricht: Wer diese Maßnahmen kombiniert, kann die Erfolgsquote von KI-Phishing wieder senken. Die schlechte: Jedes Unternehmen, das das nicht tut, wird zum leichteren Ziel.
Einordnung: Warum das jetzt kritisch wird
Die Verdreifachung der Erfolgsquote ist kein theoretisches Szenario mehr – sie ist Realität. Für deutsche Unternehmen bedeutet das: Die klassische Verteidigungslinie "Mitarbeiter sind die letzte Firewall" wird durchlässiger. KI macht Social Engineering industrialisierbar. Wer jetzt nicht reagiert, wird in den nächsten 12 Monaten mit deutlich mehr erfolgreichen Angriffen rechnen müssen. Das ist nicht nur ein IT-Problem, sondern ein Geschäftsrisiko.
Quellen
Redaktionell verantwortet von Ideal Syka. Quellen und Arbeitsweise: Redaktion & Methode. Hinweise und Korrekturen: ai@i6eal.de.
