Wie nutzen Kriminelle KI für Phishing, Vishing und Social Engineering?
Kurz gesagt
Das FBI beschreibt fünf Effekte generativer KI auf Betrug — schnellere Texterstellung, Skalierung, fehlerfreie Übersetzung, massenhafte synthetische Profile sowie glaubwürdigere gefälschte Webseiten und Chatbots. Europol und INTERPOL bestätigen, dass KI Social Engineering personalisiert und Betrug beschleunigt und verschleiert. Phishing funktioniert aber auch ohne KI: kompromittierte Konten, gestohlene Daten und SIM-Infrastruktur bleiben klassische Enabler. Schutz braucht deshalb belastbare Verifikationsprozesse, nicht nur Wachsamkeit gegenüber fehlerhafter Sprache.
Fünf Wege, wie KI Betrug verändert
Das FBI nennt fünf konkrete Beschleuniger, mit denen generative KI klassische Betrugsmaschen verstärkt:
- Schnellere Erstellung überzeugender Texte für Phishing-Mails und Nachrichten
- Skalierung: dieselbe Kampagne lässt sich mit geringem Zusatzaufwand auf deutlich mehr Ziele ausweiten
- Übersetzungen ohne die sprachlichen Fehler, die Phishing bislang oft verrieten
- Massenhaft erzeugte, personalisierte Profile für Fake-Kontakte und synthetische Identitäten
- Glaubwürdigere gefälschte Ausweise, Bilder, Audio, Videos, Websites und Chatbots
Europol berichtet im aktuellen Lagebild, dass generative KI zunehmend zur Anpassung von Social Engineering eingesetzt wird und Online-Betrug beschleunigt und verschleiert. INTERPOL bewertet KI 2026 als Verstärker für Finanzbetrug, insbesondere über Personalisierung, synthetische Identitäten und Voice- oder Face-Cloning. Gleichzeitig betonen beide Behörden: Klassische Enabler wie Caller-ID-Spoofing, kompromittierte Konten, gestohlene Daten und SIM-Infrastruktur bleiben ebenso relevant wie bisher.
Vishing: Voice-Phishing mit und ohne KI
Vishing bezeichnet Betrug per Telefon, unabhängig davon, ob eine echte oder eine geklonte Stimme genutzt wird. Voice Cloning senkt zwar den Aufwand für eine überzeugende Fälschung, doch klassisches Vishing über Social Engineering — Druck aufbauen, Autorität vortäuschen, Dringlichkeit erzeugen — funktioniert auch ganz ohne synthetische Stimme. Wer nur auf „klingt das wie mein Ansprechpartner“ prüft, übersieht damit die eigentliche Angriffsmethode: die psychologische Manipulation, nicht die technische Fälschung.
Was sich für Mitarbeitende ändert
Über Jahre galten holpriges Deutsch, offensichtliche Übersetzungsfehler und generische Anreden als verlässliche Warnzeichen für Phishing. Diese Signale verlieren an Aussagekraft, weil generative KI fehlerfreie, stilistisch passende und personalisierte Texte in großer Zahl erzeugen kann. Gleichzeitig liefern öffentlich zugängliche Register- und Unternehmensdaten Kontext für eine glaubwürdige, individuell zugeschnittene Ansprache — auch das ist kein reines KI-Phänomen, wird durch KI aber leichter skalierbar.
Für Mitarbeitende bedeutet das: Sprachqualität und Personalisierung taugen nicht mehr als Haupterkennungsmerkmal. Entscheidend werden Kontext-Plausibilität, unerwartete Handlungsaufforderungen und eine Kultur, in der Rückfragen ausdrücklich erwünscht sind.
Was wirklich hilft
Wirksamer Schutz kombiniert organisatorische und technische Maßnahmen:
- Verifikation kritischer Anfragen (Zahlungen, Zugangsdaten, Sonderfreigaben) immer über einen zweiten, unabhängigen Kanal
- Keine Entscheidung allein wegen Zeitdruck oder behaupteter Vertraulichkeit
- Klare, niedrigschwellige Meldewege für verdächtige Nachrichten, ohne Angst vor Fehlalarmen
- Technische Kontrollen wie Spam-/Phishing-Filter, Allowlisting und Data-Loss-Prevention ergänzend zur Schulung
- Regelmäßige, praxisnahe Sensibilisierung statt einmaliger Unterweisung