BSI warnt vor KI-gestützter Smishing-Welle

Das BSI warnt vor einer dramatischen Zunahme von Betrugs-SMS, die durch KI kaum von echten Nachrichten zu unterscheiden sind und selbst die Zwei-Faktor-Authentifizierung aushebeln.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt eindringlich vor einer massiven Welle von Betrugs-SMS. Sogenannte Smishing-Angriffe haben in den vergangenen Monaten dramatisch zugenommen und zielen gezielt auf Smartphones ab. Laut Sicherheitsberichten haben Mobiltelefone den Desktop-PC als Hauptziel für Cyberkriminelle abgelöst.

Anzeige

Da Mobiltelefone zunehmend ins Visier von Cyberkriminellen geraten, ist ein grundlegender Schutz für das eigene Gerät wichtiger denn je. Dieser kostenlose Ratgeber zeigt Ihnen in einfachen Schritten, wie Sie Ihr Android-Smartphone effektiv gegen Datendiebe absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Fast 70 Prozent aller mobilen Phishing-Attacken erfolgen inzwischen über Kurznachrichten. Angetrieben durch Künstliche Intelligenz sind die betrügerischen Nachrichten kaum noch von echter Kommunikation zu unterscheiden. Die Täter umgehen nicht nur Spam-Filter, sondern heben auch Sicherheitsbarrieren wie die Zwei-Faktor-Authentifizierung in Echtzeit aus.

KI beseitigt alle Fehler

Die Qualität der betrügerischen Textnachrichten hat ein beispielloses Niveau erreicht. Moderne KI-Modelle beseitigen Grammatikfehler und holprige Übersetzungen vollständig. Die Täter generieren in Sekundenschnelle fehlerfreie und extrem personalisierte Nachrichten.

Diese Texte enthalten häufig spezifische Details aus früheren Datenlecks, wie den Namen des Arbeitgebers oder Infos zu kürzlichen Einkäufen. Auf dem kompakten Smartphone-Display fallen manipulierte Links zudem weniger auf. Die Absenderkennung wird so manipuliert, dass die SMS im selben Nachrichtenverlauf wie legitime Mitteilungen erscheinen.

Diese Betrugsmaschen kursieren aktuell

Die Verbraucherzentrale Nordrhein-Westfalen hat in ihrem Phishing-Radar mehrere akute Warnungen veröffentlicht. Im Zentrum stehen gefälschte Nachrichten im Namen von Banken, Behörden und Bonusprogrammen.

Aktuell kursieren massenhaft SMS, die vorgeben, von der Sparkasse zu stammen und über ein angebliches Sicherheitsupdate informieren. Ein weiteres Beispiel betrifft das Bonusprogramm Miles & More: Hier suggerieren Kriminelle, dass ungenutzte Punkte kurz vor dem Verfall stehen.

Auch die Bundesnetzagentur verzeichnete neue Höchststände beim Smishing im FinTech-Sektor. Nutzer werden mit Warnungen vor angeblichen Auslandsanmeldungen in Panik versetzt. Das Ziel ist stets, ein falsches Gefühl der Dringlichkeit zu erzeugen.

Selbst die Zwei-Faktor-Authentifizierung fällt aus

Besonders alarmierend ist die technische Raffinesse der Angreifer. Selbst die Zwei-Faktor-Authentifizierung (2FA), lange ein verlässlicher Schutz, wird zunehmend kompromittiert.

Klicken Nutzer auf einen bösartigen Link, landen sie auf täuschend echten Kopien von Login-Seiten. Geben sie dort ihre Daten ein, leiten die Angreifer diese in Echtzeit an die legitime Plattform weiter. Den daraufhin generierten 2FA-Code greifen sie auf der gefälschten Seite ebenfalls ab.

Anzeige

Um sich vor solch raffinierten Angriffen auf das Online-Banking oder WhatsApp zu schützen, reichen herkömmliche Updates oft nicht mehr aus. Welche spezifischen Einstellungen Ihr Smartphone wirklich sicher machen, erfahren Sie in diesem kompakten Sicherheits-Leitfaden. Kostenlosen Android-Sicherheits-Ratgeber herunterladen

Somit verlieren SMS-basierte Authentifizierungsverfahren ihre Schutzwirkung. Da Smartphones häufig weniger restriktive Sicherheitsrichtlinien aufweisen als Desktop-Rechner, haben Angreifer auf mobilen Endgeräten leichtes Spiel.

Die neue Angriffs-Triade

Die Verlagerung der Cyberkriminalität vom PC auf das Smartphone markiert einen strategischen Wendepunkt. Analysen belegen das dramatische Ausmaß: Im vergangenen Jahr wurden durchschnittlich über 1,17 Millionen mobile Angriffe pro Monat blockiert.

Smishing ist oft Teil einer größeren Angriffs-Triade, die durch KI befeuert wird. Neben betrügerischen Kurznachrichten setzen Kriminelle verstärkt auf "Quishing" (Phishing per manipuliertem QR-Code) und "Voice Cloning". Dabei reichen wenige Sekunden Audiomaterial, um Stimmen täuschend echt nachzuahmen.

Die manipulierten Links dienen zudem häufig der Installation von mobilen Banking-Trojanern. Für Unternehmen bedeutet dies ein massives Risiko, wenn Mitarbeiter über private Smartphones auf geschäftliche Daten zugreifen.