KI-Phishing-Welle trifft deutsche Bankkunden und Steuerzahler

Eine neue Angriffswelle mit KI-generierten Phishing-Mails und SMS zielt gezielt auf deutsche Verbraucher ab. Besonders betroffen sind Kunden der Commerzbank und Investoren in Kryptowährungen.

Eine neue, hochprofessionelle Angriffswelle mit KI-generierten Phishing-Mails und SMS trifft derzeit deutsche Verbraucher. Sicherheitsbehörden und Verbraucherschützer schlagen Alarm, da die Betrugsversuche gezielt Kunden der Commerzbank und Krypto-Anleger ins Visier nehmen.

Besonders perfide: Die Angreifer nutzen aktuelle regulatorische Änderungen und künstliche Intelligenz, um herkömmliche Sicherheitsfilter zu umgehen. Die Qualität der gefälschten Nachrichten sei durch den Einsatz von Large Language Models (LLMs) so hoch, dass sie von offizieller Kommunikation kaum noch zu unterscheiden ist, warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Anzeige

Da Kriminelle immer häufiger KI nutzen, um täuschend echte Nachrichten direkt auf Ihr Handy zu schicken, ist ein spezieller Schutz für mobile Geräte unerlässlich. Dieser gratis PDF-Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihr Android-Smartphone in wenigen Minuten gegen Hacker absichern. 5 Schutzmaßnahmen jetzt entdecken

Commerzbank-Kunden und Krypto-Anleger im Fokus

Ein zentrales Ziel der aktuellen Angriffe sind Kunden der Commerzbank. Täuschend echte E-Mails mit dem Betreff „Aktualisieren Sie Ihre Daten – Sicherheit geht vor“ fordern eine dringende Datenaktualisierung. Die Betrüger setzen auf psychologischen Druck und suggerieren, der Vorgang sei für die Kontosicherheit unumgänglich.

Parallel dazu warnt das Bundeszentralamt für Steuern (BZSt) vor einer neuen Masche gegen Krypto-Anleger. Unter dem Vorwand eines „amtlichen Schreibens zum Datenabgleich“ werden Empfänger aufgefordert, ihre Kryptowährungs-Bestände zu verifizieren. Die Täter berufen sich dabei auf die EU-Richtlinie DAC8, setzen eine Frist von nur fünf Werktagen und drohen mit Bußgeldern. Die Links in den Mails führen zu gefälschten Portalen, die dem offiziellen ELSTER-Zugang täuschend ähnlich sehen.

Smishing und Quishing: Die gefährliche Evolution

Neben E-Mails gewinnt das sogenannte Smishing – Phishing per SMS – massiv an Bedeutung. Das BSI informierte kürzlich über eine neue Welle von KI-generierten Nachrichten für Smartphones. Ein besorgniserregender Trend ist dabei das „Quishing“. Dabei nutzen Angreifer QR-Codes als Einfallstor.

Die Opfer erhalten SMS oder E-Mails mit einem QR-Code, der angeblich zu einer sicheren Verifizierungsseite führt. Da viele Sicherheitslösungen QR-Codes nicht automatisch scannen, gelangen die Nutzer ungehindert auf manipulierte Webseiten. Branchenberichte zeigen das Ausmaß: KI-generierte Phishing-Angriffe stiegen zum Jahreswechsel um das 14-fache.

Anzeige

Ob Online-Banking, PayPal oder WhatsApp – herkömmliche Passwörter sind bei diesen professionellen Angriffen oft das schwächste Glied. Erfahren Sie in diesem kostenlosen Report, wie Sie die neue Passkey-Technologie nutzen, um Hackern keine Chance mehr zu lassen und sich stressfrei ohne Passwort anzumelden. Kostenlosen Passkey-Ratgeber herunterladen

Warum alte Schutzmechanismen versagen

Die Professionalisierung der Angriffe macht herkömmliche Warnsignale wirkungslos. Schlechte Grammatik oder fehlerhafte Logos sucht man heute vergeblich. Moderne Phishing-Seiten nutzen zu fast 80 Prozent verschlüsselte HTTPS-Verbindungen, was fälschlicherweise Sicherheit signalisiert.

Angreifer setzen zudem auf Multi-Channel-Strategien. Ein Opfer erhält erst eine E-Mail, dann eine SMS und manchmal sogar einen KI-generierten Anruf, um die Glaubwürdigkeit zu untermauern. Selbst die Zwei-Faktor-Authentifizierung (2FA) wird ausgehebelt. Durch Techniken wie „MFA-Fatigue“ bombardieren Kriminelle Nutzer so lange mit Bestätigungsanfragen, bis diese aus Unachtsamkeit zustimmen.

Was Betroffene jetzt tun müssen

Experten raten zu höchster Wachsamkeit bei unaufgeforderten Nachrichten. Das klassische Merkmal bleibt künstlich erzeugter Zeitdruck mit Androhung von Kontosperrungen oder Strafen. Banken oder das Finanzamt fordern niemals sensible Daten über einen Link in einer SMS oder E-Mail ein.

Wer bereits auf einen Link geklickt hat, sollte sofort handeln:
- Konto sperren: Kontaktieren Sie umgehend Ihre Bank oder nutzen Sie den Sperr-Notruf 116 116.
- Passwörter ändern: Ändern Sie die Zugangsdaten für das betroffene Konto und alle Dienste mit gleichen Log-ins.
- Gerät scannen: Prüfen Sie Smartphone oder Computer mit aktueller Sicherheitssoftware.
- Anzeige erstatten: Dokumentieren Sie den Vorfall mit Screenshots und wenden Sie sich an die Polizei.

Langfristig empfehlen Experten den Umstieg auf phishing-resistente Verfahren wie Hardware-Sicherheitsschlüssel (FIDO2) oder Passkeys. Diese erlauben eine Anmeldung nur auf verifizierten, echten Webseiten. Der aktuelle Angriff zeigt deutlich: Digitale Sicherheit ist kein einmaliger Akt, sondern ein fortlaufender Prozess.