E-Mail-Sicherheit und Cyberkriminalität : KI-Phishing: Was moderne E-Mail-Abwehr leisten muss

Eine bekannte Absenderadresse belegt noch keine berechtigte Zahlungsanweisung. Selbst ein echter Gesprächsverlauf kann zum Transportweg eines Angriffs werden, wenn ein beteiligtes Konto übernommen wurde. Sprachlich überzeugende Nachrichten verschärfen dieses Problem: Ihre Plausibilität lässt sich inzwischen mit geringem Aufwand herstellen.

KI erleichtert die individuelle Täuschung

Früher begrenzte der Aufwand für Recherche, Übersetzung und glaubwürdige Korrespondenz die Skalierung personalisierter Angriffe. Wiederverwendete Vorlagen hinterließen Muster, an denen Filter ansetzen konnten. Sprachmodelle erleichtern es, diese Wiederholungen zu vermeiden.

Vier Eigenschaften verändern die Gestaltung betrügerischer Nachrichten:

• Sprache: flüssige, lokalisierte Texte ohne typische Tippfehler oder Übersetzungsartefakte.
• Kontext: Antworten, die zum Gesprächsverlauf, zur Rolle des Empfängers und zum Zeitpunkt passen.
• Identität: nachgeahmter Schreibstil, passende Signaturen und vollständig erfundene Gesprächshistorien.
• Variation: individuelle Nachrichten für jeden Empfänger, innerhalb weniger Sekunden erzeugt.

Die Konsequenz für die Abwehr ist grundlegend: Sprachliche Qualität ist kein Vertrauensnachweis. Auch die Frage, ob ein Text von KI stammt, führt allein nicht weit. Eine legitim erstellte Kundenanfrage kann KI-generiert sein; eine gefährliche Zahlungsanweisung kann vollständig von einem Menschen stammen. Relevant bleibt die Berechtigung der verlangten Handlung.

Ein authentischer Absender kann betrügerische Anweisungen senden

Beim geschäftlichen E-Mail-Betrug, bezeichnet als Business Email Compromise (BEC), missbrauchen Angreifer geschäftliche Identitäten, um etwa Zahlungen umzuleiten. Dafür reicht mitunter eine ähnlich aussehende Adresse. Besonders schwer zu erkennen sind jedoch Nachrichten aus tatsächlich übernommenen Postfächern. In diesem Fall kann die E-Mail technisch korrekt authentifiziert sein. Der Versand erfolgt über die Infrastruktur des rechtmäßigen Unternehmens, möglicherweise innerhalb eines echten Gesprächs. Die Nachricht ist dann hinsichtlich ihres Transportwegs authentisch, ihre Anweisung aber unberechtigt.

Das Internet Crime Complaint Center (IC3) des Federal Bureau of Investigation (FBI) erfasste für 2025 insgesamt 24.768 BEC-Beschwerden mit rund 3,05 Milliarden US-Dollar gemeldeten Verlusten. Daneben verzeichnet der Internet Crime Report 2025 22.364 Beschwerden mit KI-Bezug und etwa 893 Millionen US-Dollar Schaden. Diese Zahlen belegen weder, dass sämtliche BEC-Fälle KI nutzten, noch dürfen die beiden Kategorien ohne Weiteres addiert werden.

Absichtsanalyse bedeutet, die verlangte Handlung zu prüfen

Eine kontextbezogene Erkennung fragt nicht nur, ob eine Nachricht ungewöhnlich aussieht. Sie untersucht, was der Empfänger tun soll und ob diese Handlung zur Geschäftsbeziehung und zum laufenden Vorgang passt. Bei einer Änderung von Zahlungsdaten könnten beispielsweise folgende Hinweise zusammentreffen:

• Erstmalige Änderung: Der Lieferant nennt nach Jahren eine neue Bankverbindung.
• Themenbruch: Die Aufforderung passt nicht zur beantworteten Rechnungsbestätigung.
• Gezielte Frist: Die Änderung soll vor einem bestimmten Zahlungslauf erfolgen.
• Abschirmung: Die Kommunikation soll außerhalb des bisherigen Verlaufs mit nur einer Person weitergehen.
• Blockierte Überprüfung: Das Finanzpostfach sei „gerade in einer Migration“.

Keiner dieser Punkte beweist für sich einen Betrug. Zusammen können sie aber auf einen Versuch hindeuten, einen Geschäftsprozess zu verändern und seine Kontrollmechanismen zu umgehen. „Absicht“ ist dabei eine technische Schlussfolgerung aus beobachtbaren Informationen. Ein Modell kennt die tatsächlichen Motive des Absenders nicht. Es bewertet beispielsweise, ob eine Aufforderung auf Geldtransfer, Zugangserteilung oder die Preisgabe vertraulicher Daten zielt und welche Indizien dafür sprechen. Eine nachvollziehbare Warnung müsste deshalb mehr liefern als einen Risikowert: Sie sollte die verlangte Handlung benennen, relevante Textstellen hervorheben und die widersprüchlichen Kontextinformationen offenlegen.

Warum eine echte Anmeldeseite Teil des Angriffs sein kann

Besonders anschaulich wird das Problem beim Device-Code-Phishing. Dabei missbrauchen Angreifer einen legitimen Anmeldeablauf, der beispielsweise für Geräte mit eingeschränkten Eingabemöglichkeiten vorgesehen ist. Der Angreifer startet einen solchen Vorgang und erhält einen Code. Diesen übermittelt er dem Opfer mit einem Vorwand, etwa zur Teilnahme an einer Besprechung oder zum Öffnen eines Dokuments. Das Opfer gibt den Code auf der echten Anmeldeseite ein und authentifiziert sich. Damit kann es unbeabsichtigt den vom Angreifer gestarteten Vorgang autorisieren. Der Angreifer erhält anschließend Zugriffstoken, abhängig vom Ablauf auch Erneuerungstoken. Diese können den Zugriff auf freigegebene Ressourcen ermöglichen. Microsoft hat entsprechende Device-Code-Phishing-Kampagnen technisch dokumentiert.

Die Prüfung der Internetadresse allein reicht hier nicht: Die Anmeldeseite kann echt sein. Auch eine erfolgreich absolvierte Mehrfaktor-Authentifizierung (MFA) belegt nicht, dass der Benutzer den richtigen Vorgang autorisiert hat. Als Schutzmaßnahme sollten Unternehmen zunächst feststellen, wo dieser Anmeldeablauf betrieblich benötigt wird. Nicht erforderliche Nutzung lässt sich, sofern der Identitätsdienst entsprechende Kontrollen unterstützt, einschränken. Microsoft beschreibt solche Richtlinien für Authentifizierungsabläufe. Eine pauschale Sperre ohne Bestandsaufnahme könnte dagegen legitime Geräte oder Arbeitsabläufe beeinträchtigen.

Kampagnen werden erst über mehrere Postfächer sichtbar

Die isolierte Bewertung einer Nachricht hat Grenzen. Ein neuer Interessent darf erstmals Kontakt aufnehmen. Eine Terminfrage ist für sich unverdächtig. Wenn jedoch zahlreiche Beschäftigte unterschiedliche Anfragen erhalten, die anschließend auf dasselbe Ziel führen, kann sich ein gemeinsames Angriffsmuster zeigen. Dafür müssen Systeme Beziehungen zwischen Ereignissen herstellen: Welche Empfänger werden angesprochen? Welche Zieladressen oder Anmeldeseiten tauchen auf? Welche Handlung wird verlangt? Folgen ähnliche Schritte in vergleichbaren Zeitabständen? Ein Organisationsgraph kann diese Zusammenhänge abbilden. Er verknüpft etwa Benutzer, Kommunikationspartner, Nachrichten, Ressourcen und Anmeldeereignisse. Dabei darf eine Verbindung nicht automatisch als Schuldzuweisung gelten. Sie liefert zunächst einen Untersuchungsansatz.

Auch Nachrichten ohne Schadsoftware oder Anmeldelink können sicherheitsrelevant sein. Koordinierte Belästigung oder massenhafte Störkommunikation lässt sich häufig erst anhand von Volumen, Empfängerkonzentration und zeitlicher Abstimmung erkennen. Die technische Analyse muss deshalb zwischen klassischem Phishing, Betrug und Kommunikationsmissbrauch unterscheiden.

Mehrstufige Prüfung verbindet Tempo mit Analysetiefe

Nicht jede E-Mail benötigt eine aufwendige Sprachmodellanalyse. Ein sinnvoller Aufbau verteilt die Prüfung nach Komplexität:

• Schnelle Erstprüfung: maschinelles Lernen, Bedrohungsinformationen, Bildanalyse und Sprachmodelle bewerten eingehende Nachrichten.
• Vertiefte Kontextprüfung: Sandbox-Untersuchungen, Themen- und Tonanalyse sowie ein Organisationsgraph ergänzen die Bewertung unklarer Fälle.
• Umfassende Untersuchung: mehrstufige Sprachmodellanalyse, gegebenenfalls Audio- und Videoinformationen sowie Kontext zu besonders berechtigten Personen unterstützen die Prüfung komplexer Vorgänge.

Eine Sandbox untersucht beispielsweise verdächtige Inhalte in einer abgeschotteten Umgebung. Ein Sprachmodell kann dagegen eine Zahlungsaufforderung oder einen Widerspruch im Gespräch erfassen. Beide Verfahren beantworten unterschiedliche Fragen und sollten ihre Ergebnisse gegenseitig ergänzen.

Herstellerspezifische Zeit- und Mengenangaben sind dabei keine allgemeingültigen Zielwerte. Für den Betrieb zählen die tatsächlich gemessene Verzögerung, die Erkennungsleistung und die Zahl legitimer Nachrichten, die fälschlich blockiert werden.

Ebenso wichtig ist der Umgang mit fehlendem Kontext. Wenn ein System keinen Zugriff auf Vertragsdaten oder frühere Kommunikation besitzt, sollte es diese Unsicherheit ausweisen, statt eine vermeintlich sichere Erklärung zu erzeugen. Die Beschreibung einer modellübergreifenden Erkennungsarchitektur veranschaulicht, wie unterschiedliche Signale zusammengeführt werden können; ihre Wirksamkeit muss sich im jeweiligen Einsatzumfeld zeigen.

Erkennung muss über den Posteingang hinausreichen

Ein Angriff endet nicht mit der Zustellung. Nach einem erfolgreichen Täuschungsversuch können neue Anmeldungen, veränderte Postfachregeln, zusätzliche Zugriffsrechte oder weitere versendete Nachrichten folgen. Für die Untersuchung müssen deshalb E-Mail-, Identitäts- und Browserereignisse zeitlich zusammengeführt werden.

Automatisierte Unterstützung kann dabei verschiedene Aufgaben übernehmen:

• Kontoübernahmen untersuchen und betroffene Benutzer sowie Ressourcen eingrenzen.
• Meldungen im Missbrauchspostfach priorisieren und zusammengehörige Hinweise bündeln.
• Komplexe Kampagnen rekonstruieren, auch über mehrere Empfänger hinweg.
• Fehlalarme und übersehene Angriffe auswerten, um Erkennungsregeln und Modelle zu verbessern.
• Untersuchungsanfragen Dritter bearbeiten, etwa Hinweise betroffener Geschäftspartner.

Für jede automatische Reaktion braucht es klare Grenzen. Eine Nachricht vorläufig zu isolieren hat andere Folgen als ein Konto zu sperren oder Zugangsdaten zurückzusetzen. Organisationen sollten festlegen, welche Aktionen selbstständig erfolgen dürfen und welche eine menschliche Freigabe benötigen. Zur Dokumentation gehören auch erfolglose Maßnahmen und offene Fragen. Ein nicht ausgeführter Quarantäneauftrag darf nicht als erfolgreiche Eindämmung erscheinen. Ebenso lässt sich ohne passende Telemetrie möglicherweise nicht feststellen, wer einen eingebetteten Link geöffnet hat.

Geschäftsprozesse bleiben eine eigenständige Schutzschicht

Technische Erkennung kann verdächtige Vorgänge markieren. Die Freigabe einer Zahlung sollte dennoch auf einem kontrollierten Prozess beruhen. Das IC3 empfiehlt, Änderungen von Kontoinformationen über einen zusätzlichen Kanal zu verifizieren. Praktisch bedeutet dies beispielsweise einen Rückruf über eine bereits hinterlegte Telefonnummer. Kontaktdaten aus derselben verdächtigen Nachricht eignen sich dafür nicht als unabhängige Bestätigung. Weitere Hinweise bietet die BEC-Präventionsseite des IC3.

Für Unternehmen ergeben sich daraus mehrere konkrete Ansatzpunkte:

• Bankdatenänderungen separat bestätigen, bevor Stammdaten oder Zahlungen angepasst werden.
• MFA und Anmelderichtlinien gemeinsam betrachten, einschließlich nicht benötigter Authentifizierungsabläufe.
• Postfachregeln und Zugriffsrechte überwachen, um Aktivitäten nach einer Kontoübernahme zu erkennen.
• Meldewege einfach gestalten, damit Beschäftigte auch plausible, aber unerwartete Aufforderungen prüfen lassen können.
• Automatisierte Eingriffe protokollieren und begrenzen, einschließlich Freigaben und Wiederherstellungsmöglichkeiten.
• Erkennungsverfahren mit realistischen Fällen testen, auch mit legitimen Erstkontakten und ungewöhnlichen, aber berechtigten Geschäftsprozessen.

 Auch die KI der Verteidiger muss überprüfbar bleiben

Sprachmodelle können Inhalte falsch einordnen oder überzeugend klingende Begründungen erzeugen, die nicht durch die Daten gedeckt sind. Zudem sind eingehende Nachrichten nicht vertrauenswürdige Eingaben. Anweisungen innerhalb einer E-Mail dürfen deshalb nicht zu Steuerbefehlen für einen analysierenden Agenten werden.

Das National Institute of Standards and Technology (NIST) behandelt im Risikoprofil für generative KI unter anderem gezielte Belastungstests gegen Prompt Injection und die Bewertung von Fehlklassifikationen. Für die E-Mail-Abwehr folgt daraus: Eine neue Erkennungsschicht benötigt selbst Schutzmaßnahmen, überprüfbare Ergebnisse und laufende Qualitätskontrolle.

Belastbare Abwehr entsteht durch das Zusammenspiel mehrerer Ebenen: technische Authentizität, Inhaltsprüfung, Verhaltensanalyse, Geschäftskontext und kontrollierte Reaktion. Keine davon ersetzt die anderen. Gemeinsam helfen sie zu beurteilen, ob eine glaubwürdig formulierte Nachricht auch zu einer berechtigten Handlung auffordert.

Automatisierung braucht überprüfbare Entscheidungen

Absichtsanalyse ergänzt bekannte Schutzverfahren. Signaturen erkennen bekannte Angriffsmuster; Reputationsprüfungen bewerten Infrastruktur; Verhaltensmodelle suchen Abweichungen. Kontextbezogene Modelle sollen zusätzlich plausible, bislang unbekannte Täuschungsversuche erfassen.

Für Sicherheitsverantwortliche ergibt sich daraus eine praktische Anforderung: Eine Warnung sollte die verdächtige Handlung und die tragenden Indizien benennen. Ebenso müssen automatisierte Reaktionen protokolliert, Fehler erkennbar und folgenreiche Eingriffe kontrollierbar bleiben. Andernfalls wird aus schneller Erkennung eine schwer überprüfbare Entscheidung.