Künstliche Intelligenz treibt das nun einen Schritt weiter und macht aus Social Engineering eine Operation im industriellen Maßstab. Mit weniger mehr zu erreichen, war nie zutreffender.
Trotz all der schicken Fachbegriffe rund um moderne Cyberkriminalität setzen die meisten Social-Engineering-Angriffe weiterhin auf einige sehr vertraute psychologische Auslöser:
Keiner dieser Ansätze ist neu, aber sie funktionieren, weil Menschen von Natur aus dazu neigen, vertrauten Namen zu trauen, auf Autorität zu reagieren, Kollegen zu helfen und schnell zu handeln, wenn etwas dringend erscheint. Das sind Verhaltensweisen, die Organisationen effektiv arbeiten lassen, doch Social Engineers wissen sie gegen uns zu wenden.
Der Erfolg der Angreifer hat nichts damit zu tun, dass Mitarbeitende nicht intelligent wären. Jeder kann auf einen Social-Engineering-Angriff hereinfallen, besonders wenn er jemanden trifft, der beschäftigt, stark gestresst, abgelenkt oder hilfsbereit ist oder Angst hat, eine wichtige Anfrage zu verzögern. Und das beschreibt so ziemlich jeden an irgendeinem Punkt des Arbeitstags.
Weil die meisten Organisationen ihren Ruf schützen wollen, bleiben viele Social-Engineering-Vorfälle ungemeldet, etwa versuchter Betrug, erfolgreiche Angriffe oder peinliche Fehler. Deshalb lässt sich das Ausmaß des Problems schwer genau beziffern, doch Schätzungen zufolge beginnen 70 bis 90 Prozent aller Sicherheitsverletzungen mit einem Social-Engineering-Angriff.
Social Engineering hat sich parallel zu unseren Kommunikationswegen entwickelt. Frühe Betrugsmaschen erforderten meist, dass der Kriminelle direkt mit dem Opfer interagierte. Der Angreifer brauchte Zeit, Charisma, Recherche und oft räumliche Nähe. Dann nahm das Telefon die Notwendigkeit der Nähe, und Kriminelle konnten plötzlich Bankmitarbeiter, Behördenvertreter, Support-Kräfte oder Familienmitglieder imitieren, ohne je im selben Raum wie das Ziel zu sein.
Dann machte die E-Mail Social Engineering zum Zahlenspiel. Ein Angreifer konnte nun Tausende Nachrichten zu nahezu keinen Kosten versenden. Die E-Mails mussten nicht einmal besonders überzeugend sein. Bei ausreichend hohem Volumen brauchte der Kriminelle nur einen sehr kleinen Prozentsatz der Empfänger, der reagierte. Schon 2018 berichtete Dark Reading von rund 6,4 Milliarden gefälschten E-Mails pro Tag. Ich glaube kaum, dass diese Zahl gesunken ist.
Als Nächstes gaben soziale Medien den Angreifern etwas noch Wertvolleres: eine riesige Aufklärungsdatenbank. Berufsbezeichnungen, Arbeitgeber, Kollegen, Konferenzen, Lieferanten, Familienmitglieder, politische Zugehörigkeiten, Reisepläne und persönliche Interessen wurden im Handumdrehen auffindbar. Kriminelle konnten damit weit überzeugendere Geschichten stricken. Statt allen dieselbe generische E-Mail zu schicken, konnten sie nun einen Vorwand um reale Personen, reale Beziehungen und reale Ereignisse herum bauen.
Jetzt hat die Künstliche Intelligenz (KI) diese Entwicklung einen weiteren Schritt vorangetrieben.
KI muss keine neue psychologische Schwäche entdecken. Davon bringen Menschen ohnehin reichlich vorinstalliert mit. Was KI verändert, sind die Kosten, sie auszunutzen.
Ein Krimineller kann generative KI nutzen, um:
Wir wissen, dass Angreifer generative KI einsetzen, um Phishing- und Business-Email-Compromise-Kampagnen zu verbessern, synthetische Social-Media-Personas zu erstellen und Deepfake-Inhalte zu produzieren. Forscher stellten zudem fest, dass große Sprachmodelle Phishing-Nachrichten und Seiten zum Abgreifen von Zugangsdaten mindestens ebenso wirksam wie menschliche Akteure und weit effizienter erzeugen können. Die Folgen sind erheblich.
Klassisches Spear-Phishing erforderte einen beträchtlichen Zeitaufwand. Ein Angreifer musste das Ziel recherchieren, die Organisation verstehen, eine glaubwürdige Nachricht schreiben und überzeugend kommunizieren, falls das Opfer antwortete. Doch nun kann KI bei jedem dieser Schritte helfen. Das heißt nicht, dass jede Phishing-Mail von einem vollautonomen, kriminell gesinnten Supercomputer erstellt und versendet wird, aber es heißt, dass ein einzelner Krimineller heute eine Arbeit bewältigt, die früher ein größeres Team oder deutlich mehr Zeit erforderte.
Das Ergebnis ist nicht einfach besseres Phishing, es ist glaubwürdigeres Phishing, an mehr Menschen ausgeliefert, über mehr Kanäle und zu weit geringeren Kosten. Das ist Industrialisierung in Reinform.
Jahrelang wurde Mitarbeitenden gesagt, sie sollten auf Rechtschreibfehler, holprige Formulierungen und schlechte Formatierung achten. Dieser Rat war nie völlig verlässlich, half aber gelegentlich. Generative KI kann nun in Sekunden ausgefeilte und grammatikalisch korrekte Nachrichten erzeugen. Sie kann den Wortschatz an einen Anwalt, Buchhalter, Vertriebler, Entwickler oder eine Führungskraft anpassen und die Kommunikation sogar regionalisieren. Sie kann die Nachricht formell, locker, gereizt, entschuldigend oder gehetzt klingen lassen, ganz wie der Angreifer es möchte.
Der alte Rat „Achte auf Tippfehler" wird rasch zum Sicherheitsäquivalent, einen Hacker allein daran zu erkennen, dass er einen schwarzen Kapuzenpulli trägt. Mitarbeitende sollten weniger darauf achten, wie ausgefeilt eine Nachricht aussieht, und mehr darauf, wozu der Absender sie auffordert.
Eine perfekt geschriebene E-Mail kann trotzdem eine absurde Anfrage enthalten. Braucht das Finanzamt wirklich iTunes-Gutscheine, oder lässt sich das Bußgeld bei der Polizei mit Amazon-Gutscheinen begleichen? Wohl kaum.
KI-generierter Text ist nur ein Teil des Problems. Stimmenklonen und Deepfake-Videos untergraben Annahmen, auf die sich Organisationen jahrelang verlassen haben. Eine vertraute Stimme zu hören, genügt nicht mehr als Identitätsnachweis. Und jemanden in einem Videocall auftreten zu sehen, reicht möglicherweise ebenfalls nicht. Das ist besonders beunruhigend, weil Angreifer oft mehrere Kommunikationskanäle nutzen, um ihre Geschichte glaubwürdiger zu machen.
Auf eine verdächtige E-Mail kann ein Anruf folgen. Eine Nachricht, die scheinbar von einer Führungskraft stammt, kann in einem Videomeeting bekräftigt werden. Ein gefälschter Mitarbeiter kann ein glaubwürdiges LinkedIn-Profil anlegen, bevor er den Helpdesk kontaktiert. Jede Interaktion lässt die anderen legitimer erscheinen. Leider muss der Angreifer nicht immer ein fehlerfreies digitales Abbild schaffen. Es muss nur für ein paar Minuten glaubwürdig sein, gerade wenn das Opfer unter Druck steht, die Verbindung schlecht ist und die Anfrage dringend wirkt.
KI erlaubt Kriminellen, mehr als eine gefälschte Nachricht zu fabrizieren, sie erlaubt ihnen, eine ganze Umgebung synthetischen Vertrauens zu fabrizieren.
Organisationen lösen dieses Problem nicht, indem sie von Mitarbeitenden verlangen, hauptberufliche forensische Linguisten und Deepfake-Analysten zu werden. Schulung bleibt wichtig, doch die Verteidigungsstrategie muss über das bloße „Erkenne die Fälschung" hinausgehen. Mitarbeitende sollten lernen, riskante Anfragen zu erkennen und über vertrauenswürdige Wege zu verifizieren. Anfragen, die Geld, Zugangsdaten, sensible Informationen, Softwareinstallation, Zugriffsänderungen oder MFA-Resets betreffen, sollten zusätzlich geprüft werden, so überzeugend der Absender auch wirken mag.
Zu den wichtigsten Schutzmaßnahmen zählen:
Ziel ist nicht, Vertrauen aus dem Arbeitsalltag zu verbannen. Organisationen kämen zum Erliegen, wenn jede Interaktion eine kriminalistische Untersuchung erforderte. Ziel ist vielmehr, Vertrauen von Autorisierung zu trennen. Sie mögen der Person vertrauen, die scheinbar anruft, sollten aber dennoch den Verifizierungsprozess einhalten, bevor Sie Geld überweisen, Zugangsdaten zurücksetzen oder sensible Informationen herausgeben.
KI hat nicht grundlegend verändert, warum Social Engineering funktioniert. Angreifer nutzen weiterhin Autorität, Angst, Dringlichkeit, Neugier und Hilfsbereitschaft aus. Sie stricken weiterhin Geschichten, die Menschen zum Handeln bringen sollen, bevor diese Zeit zum Nachdenken haben. Sie verlassen sich weiterhin darauf, dass Mitarbeitende etablierte Abläufe ignorieren, weil eine Situation wie eine Ausnahme wirkt. Was KI wirklich verändert, ist das neue Maß an Geschwindigkeit.
Es erlaubt Kriminellen, Ziele schneller zu recherchieren, überzeugender zu schreiben, über Sprachgrenzen hinweg zu kommunizieren, synthetische Identitäten zu erstellen und in einem Maßstab zu operieren, der für viele Angreifer zuvor zu schwierig oder zu teuer war. Die Lehre ist, dass sich Vertrauen leichter fabrizieren lässt und dass unsere Schulungen, Sicherheitskontrollen und Geschäftsprozesse sich entsprechend weiterentwickeln müssen.
Die Belegschaft zu schulen ist ein entscheidender Teil der Abwehr von Social-Engineering-Angriffen, doch die Bedrohung endet nicht mit dem Arbeitstag und betrifft auch Familien. Deshalb bietet KnowBe4 die beste verfügbare Mitarbeiterschulung mit über 15 Jahren Verhaltensdaten, 70.000 Kunden weltweit und Millionen geschulter Menschen, und wir haben unsere Expertise über unser CAPY-Programm (The Cyber Awareness Program for You) auf Familien ausgeweitet, das für alle kostenlos ist und speziell zugeschnittene Schulungen für Kinder und Jugendliche, Erwachsene und Senioren bietet. Social Engineering verschwindet nicht, also müssen wir uns darauf vorbereiten, uns bei der Arbeit und in der Freizeit zu verteidigen.