Kommentar von Sven Kniest, Okta Wie Künstliche Intelligenz das Phishing strukturell verändert

Anbieter zum Thema

Okta Deutschland

Fujitsu Technology Solutions GmbH

Board Deutschland GmbH

INFOMOTION GmbH

Phishing-Angriffe haben durch Künstliche Intelligenz (KI) und Automatisierung eine neue Qualitätsstufe erreicht. Was Sicherheitsverantwortliche heute beobachten, unterscheidet sich fundamental von den plumpen Betrugsversuchen der Vergangenheit: Moderne Phishing-Kampagnen sind so raffiniert gestaltet, dass selbst erfahrene Experten ihnen zum Opfer fallen können.

Generative KI (GenAI) senkt die operative Einstiegsschwelle für Angreifer erheblich. KI-gestützte Coding-Tools ermöglichen es, mit einfachen Textbefehlen, sogenannten Prompts, voll funktionsfähige Kopien legitimer Login-Portale zu erzeugen. Dieses als Vibe Phishing bezeichnete Vorgehen automatisiert die visuelle und funktionale Nachbildung realer Webseiten in Sekundenschnelle.

In einem dokumentierten Fall genügte die simple Texteingabe „Erstelle eine Kopie der Website login.okta.com“, um innerhalb von 45 Sekunden eine fehlerfreie, voll funktionsfähige Nachbildung einer Anmeldeseite zu generieren. Die KI analysierte dabei die Originalseite, erfasste deren wesentliche Merkmale und replizierte diese in HTML und JavaScript. Das Ergebnis war von der legitimen Seite praktisch nicht zu unterscheiden.

HP Wolf Security Threat Report

Schnell statt ausgefeilt: KI macht Cyberangriffe zur Massenware

Diese Entwicklung bedeutet einen Paradigmenwechsel: Während frühere Phishing-Seiten oft durch Rechtschreibfehler, fehlerhafte Layouts oder unprofessionelle Gestaltung auffielen, sind KI-generierte Fälschungen optisch und funktional makellos. Sicherheitsschulungen, die Nutzer darauf trainieren, verdächtige Websites anhand von solchen Mängeln zu erkennen, laufen damit ins Leere.

Phishing-as-a-Service: industrialisierte Kriminalität

Parallel hat sich ein ganzes Ökosystem krimineller Dienstleistungen etabliert. Phishing-as-a-Service-Plattformen (PhaaS) ermöglichen es auch technisch wenig versierten Hackern, hochentwickelte Kampagnen durchzuführen. Sie stellen vollständige Infrastrukturen bereit, inklusive Hosting, URL-Verschleierung, Versand und Dashboards für die Bewertung.

Besonders wirkungsvoll sind Adversary-in-the-Middle -Angriffe (AitM). Hierbei wird ein Reverse-Proxy zwischen Zielperson und legitimer Plattform geschaltet. Die gefälschte Login-Seite fungiert als transparente Zwischeninstanz: Eingegebene Zugangsdaten werden in Echtzeit an den legitimen Dienst weitergeleitet. Die Antwort des legitimen Servers, der daraufhin Zugang gewährt, wird ebenfalls über den Proxy übertragen und abgegriffen – einschließlich Session-Cookies und Authentifizierungsfaktoren.

Cyberabwehr der Zukunft

Wenn KI-Agenten die Regie im SOC übernehmen

Für die betroffene Person erscheint der Anmeldevorgang regulär. Tatsächlich verfügen Angreifer im Hintergrund über gültige Sitzungsinformationen, die einen unmittelbaren Zugriff ermöglichen – sogar ohne Kenntnis des Passworts nach Abschluss der Anmeldung.

Diese Technik unterläuft zahlreiche etablierte Multi-Faktor-Authentifizierungs-Methoden (MFA):

• Zeitbasierte Einmalpasswörter (TOTP), per SMS oder Authenticator-App, werden abgefangen und weitergereicht.

• Sicherheitsfragen stellen keinen zusätzlichen Schutz dar.

• Single-sign-on-Lösungen bleiben angreifbar, wenn Session-Tokens kompromittiert werden.

• Push-Benachrichtigungen sind anfällig für wiederholte Bestätigungsanfragen („Push-Bombing“), die zu ungewollten Freigaben führen können, wenn Opfer aus Frustration zustimmen.

Die Verfügbarkeit solcher Angriffswerkzeuge als kostengünstige Dienstleistung führt zu einer Entkopplung von Motivation und Kompetenz. Industrialisierte Angriffstechniken sind daher nicht mehr spezialisierten Gruppen vorbehalten, sondern breit verfügbar.

So kompromittierte Identitäten dienen anschließend als Ausgangspunkt für zahlreiche weitere kriminelle Aktivitäten: Business-E-Mail Compromise, Finanzbetrug, Datendiebstahl oder laterale Bewegungen innerhalb von Unternehmensnetzwerken.

WebAuthn: der kryptografische Schutzschild

Die einzige zuverlässige Verteidigung gegen diese hochentwickelten Angriffe ist eine gegen Phishing resistente Authentifizierung auf Basis des WebAuthn-Protokolls. Der entscheidende Unterschied liegt in der kryptografischen Bindung: Die Authentifizierung erfolgt nur, wenn das Gerät des Nutzers mit einem spezifischen, vorher registrierten Webserver kommuniziert. Eine nachgebildete Login-Seite auf einer fremden Domain kann diese kryptografische Prüfung nicht bestehen.

WebAuthn-gestützte Lösungen umfassen:

• Passkeys, die lokal auf Geräten gespeichert oder geräteübergreifend synchronisiert werden und häufig mit biometrischen Merkmalen oder gerätegebundenen PINs kombiniert sind.

• Hardware-Sicherheitsschlüssel auf USB- oder NFC-Basis, die physische Besitzfaktoren darstellen.

• Enterprise-Lösungen, die WebAuthn in bestehende Identitäts- und Access-Management-Systeme integrieren und zentral verwaltbar machen.

In dokumentierten Angriffsszenarien scheiterten Adversary-in-the-Middle-Versuche, sobald eine derartige Authentifizierung aktiviert war. Zudem wurden die Nutzer explizit gewarnt, dass ihr Account unter Feuer stand. Die kryptografische Bindung verhindert, dass Anmeldeinformationen oder Tokens über zwischengeschaltete Systeme nutzbar werden.

Psychologische Hebel bleiben wirksam

Trotz technischer Gegenmaßnahmen und Sicherheitsschulungen bleibt die soziale Komponente zentral. Moderne Phishing-Kampagnen operieren gezielt mit Zeitdruck, Verknappung oder existenziellen Bedrohungsszenarien. Sie sind speziell darauf ausgelegt, rationale Entscheidungsprozesse zu umgehen.

Kommentar von Francisco Mateo-Sidron, Cloudera

Warum Private AI zur strategischen Notwendigkeit wird

Ein Szenario verdeutlicht die Problematik: Eine Nachricht informiert über eine verdächtige Überweisung oder kündigt die sofortige Sperrung des Online-Bankings an. Diese Kombination aus finanzieller Bedrohung und Zeitdruck setzt Betroffene unter erheblichen Handlungsdruck. In solchen Stresssituationen handeln selbst sicherheitsbewusste Personen gegen ihr besseres Wissen.

Diese Aufmerksamkeit aber kann die Wahrscheinlichkeit einer erfolgreichen Täuschung reduzieren – jedoch nicht eliminieren. In einer Umgebung visuell perfekter Nachbildungen verliert der Mensch als primäre Verteidigungslinie an Zuverlässigkeit, denn hochwertige Schulungen können die Erkennungsrate verbessern und Reaktionszeiten verlängern – professionelle Angriffe aufhalten können sie jedoch nicht.

Handlungsempfehlungen für die Praxis

Die veränderte Bedrohungslage erfordert eine Anpassung der Identitätsstrategie. Organisationen und Nutzer benötigen einen mehrschichtigen Ansatz, der technische Maßnahmen in den Mittelpunkt stellt. Dazu gehören insbesondere:

• Priorität der WebAuthn-Authentifizierung einräumen: Die Migration zu gegen Phishing resistenten Authentifizierungsmethoden sollte strategisch priorisiert werden. WebAuthn ist auf gängigen Betriebssystemen und Browsern breit implementiert und ermöglicht eine schrittweise Ablösung traditioneller MFA, zum Beispiel durch Passkeys.

• Gestaffelte MFA-Strategie: Bei Diensten, die noch kein WebAuthn unterstützen, gilt eine klare Hierarchie: Push-Benachrichtigungen sind Authenticator-Apps vorzuziehen, diese wiederum sind sicherer als SMS-basierte Codes. Die schwächste Option sollte stets nur als letzter Ausweg dienen.

• Passwort-Reduktion: Die Abhängigkeit von Passwörtern sollte systematisch reduziert werden. Jedes gesparte Passwort verkleinert die Angriffsfläche.

• Browser-Hygiene: Sogar WebAuthn kann nicht vor kompromittierten Browser-Erweiterungen schützen. Es sollten daher ausschließlich vertrauenswürdige, bekannte Extensions installiert werden.

• Session-Management: Regelmäßiges Ab- und Anmelden bei häufig genutzten Diensten – E-Mail, Social Media, Cloud-Anwendungen – aktualisiert Session-Cookies und begrenzt das Zeitfenster für deren Missbrauch.

• Bewusstsein für Drücker-Methoden schulen: Schulungen sollten weniger auf das Erkennen technischer Details abzielen, sondern auf typische Manipulationsmuster: künstliche Dringlichkeit, Zeitdruck, emotionale Überwältigung. Das Innehalten und Hinterfragen in stressigen Momenten kann kritische Sekunden verschaffen, die für eine rationale Entscheidung nötig sind.

Fazit: Phishing-Resistenz als strategische Priorität

Die Welle von KI-gestützten Phishing-Angriffen markiert einen Wendepunkt in der Cyber-Sicherheit. Perfekte Imitationen, automatisierte Personalisierung und die Kommerzialisierung komplexer Angriffstechniken verschieben das Kräfteverhältnis zugunsten der Angreifer.

Die gute Nachricht: Wirksame Schutzmaßnahmen existieren bereits und werden zunehmend zugänglicher. WebAuthn-basierte Authentifizierung ist keine Zukunftsvision mehr, sondern auf Milliarden von Geräten verfügbar. Die Herausforderung liegt also in der konsequenten Implementierung und der Überwindung organisatorischer Trägheit.

Kommentar von Mathias Widler, Netskope

Agentic AI – warum Netzwerksicherheit neu gedacht werden muss

Sicherheitsverantwortliche sollten die Implementierung einer gegen Phishing resistenten Authentifizierung jetzt als strategische Priorität behandeln. Angesichts einer Bedrohungslandschaft, in der Hacker ihre KI-Werkzeuge nutzen, um in Minuten hochprofessionelle Angriffe zu entwickeln, entscheidet die Qualität der Identitätssicherheit über die Resilienz aller Organisationen.

(ID:50779634)