Cyberangriffe: 442 Milliarden Euro Schaden durch KI-gesteuerte Attacken

KI-gesteuerte Angriffe und neue Protokolle treiben die Schäden durch mobile Cyberkriminalität auf 442 Milliarden Euro.

Allein in diesem Jahr werden Schäden von 442 Milliarden Euro erwartet – angetrieben durch KI-gesteuerte Attacken und professionelle Dienstleistungen aus dem Untergrund. Besonders alarmierend: Kriminelle nutzen zunehmend moderne Nachrichtenprotokolle wie RCS und iMessage, um traditionelle Sicherheitsfilter zu umgehen.

Anzeige

Banking, PayPal und WhatsApp – auf keinem anderen Gerät speichern wir so viele sensible Daten wie auf dem Android-Smartphone. Dieser kostenlose Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Gerät wirksam gegen Hacker und Viren absichern. 5 Schutzmaßnahmen für Android-Smartphones jetzt entdecken

Der neue Angriffsvektor: Smishing 2.0

Die Umstellung auf RCS und iMessage ist kein Zufall. Mobilfunkanbieter haben ihre Filtersysteme für klassische SMS in den letzten Jahren deutlich verbessert. Die Täter reagieren darauf mit einem strategischen Schwenk. „Moderne Protokolle ermöglichen es, schädliche Inhalte direkt in die Messaging-Apps der Nutzer zu liefern – oft getarnt als legitime Geschäftskommunikation", so die Analyse der Google Threat Intelligence Group vom 25. Mai 2026.

Ein besonders aktiver Anbieter ist YY Lai Yu, der seit August 2024 mehr als 400 einzigartige Phishing-Vorlagen anbietet. Der Fokus liegt auf japanischen Diensten wie PayPay und Apple. Die Täter nutzen RCS und iMessage, um SMS-basierte Sicherheitsebenen zu umgehen, Einmalpasswörter (OTPs) in Echtzeit abzufangen und digitale Geldbörsen für die sofortige Nutzung gestohlener Daten einzurichten.

KI als Brandbeschleuniger

Die Integration künstlicher Intelligenz hat die Entwicklung massiv beschleunigt. 86 Prozent aller Phishing-Kampagnen sind heute KI-gesteuert. Tools wie Darcula und Puppeteer erstellen automatisch einzigartige, personalisierte Phishing-Seiten. Weltweit werden täglich 3,4 Milliarden schädliche Nachrichten versendet.

Die Klickraten bei Smishing (SMS-Phishing) liegen neunmal höher als bei E-Mail-Phishing. Das Volumen ist in den letzten vier Jahren um 300 Prozent gestiegen. Quishing – Phishing über QR-Codes – legte um 150 Prozent zu und erreichte 18 Millionen Fälle.

Banking-Trojaner auf dem Vormarsch

Das erste Quartal 2026 war geprägt von einem dramatischen Anstieg der Banking-Trojaner-Aktivitäten. Die Fallzahlen stiegen um 196 Prozent auf insgesamt 1,24 Millionen Vorfälle. Der Mamont-Trojaner ist dabei die größte Bedrohung: Er ist für mehr als 70 Prozent aller Angriffe auf Android-Geräte verantwortlich.

Neue, spezialisierte Schadsoftwarevarianten kommen hinzu. Ende Mai 2026 warnten die Polizeibehörden in Punjab und Ludhiana vor einer Phishing-Kampagne, die Links zu einer satirischen Gruppe namens Cockroach Janta Party (CJP) nutzt. Die als Android-Paket (APK) getarnte Malware fungiert sowohl als Remote Access Trojan (RAT) als auch als Banking-Trojaner. Einmal installiert, kann sie SMS-Nachrichten und Bankdaten stehlen – und sogar Kredite im Namen des Opfers aufnehmen. Der BeatBanker-Trojaner tarnt sich derweil als Starlink-Anwendung.

App-Stores unter Druck

Auch die offiziellen App-Stores sind nicht sicher. Analysten entdeckten die Kampagne „Trapdoor", die 455 getarnte Anwendungen im Google Play Store platzierte. Diese Apps wurden 24 Millionen Mal heruntergeladen und für bis zu 480 Millionen betrügerische Werbeauktionen pro Tag genutzt.

Hinzu kommen hardwarenahe Schwachstellen. Forscher identifizierten einen nicht patchbaren BootROM-Fehler in bestimmten Qualcomm-Chipsätzen (CVE-2026-25262), der Angreifern dauerhaften Zugriff auf betroffene Geräte ermöglicht. Die Linux-Kernel-Lücke „DirtyDecrypt" (CVE-2026-31635) gilt als weiteres erhebliches Risiko für die mobile Infrastruktur.

Apple und Microsoft ziehen Konsequenzen

Die Technologiekonzerne reagieren mit verschärften Sicherheitsmaßnahmen. Apple veröffentlichte am 20. Mai 2026 iOS 26.5, das 52 Sicherheitslücken schließt – darunter den kritischen Exploit CVE-2026-28950. Kernstück des Updates ist die Einführung des PQ3-Post-Quanten-Kryptografie-Protokolls für systemweite Dienste wie TLS, VPN und SSH.

Erstmals bietet iOS 26.5 auch eine Ende-zu-Ende-Verschlüsselung für RCS-Nachrichten zwischen iPhone und Android – basierend auf Universal Profile 3.0 und dem Messaging Layer Security (MLS)-Protokoll. Allerdings ist dieser Schutz nicht überall verfügbar: In Kenia wurde RCS auf den großen heimischen Netzen seit August 2025 deaktiviert – weil die Betreiber lieber an den Gebühren für klassische SMS verdienen.

Microsoft kündigte Ende Mai 2026 das Ende der SMS-basierten Zwei-Faktor-Authentifizierung (2FA) an. Das Unternehmen setzt künftig auf biometrische Passkeys, von denen bereits über 5 Milliarden im Einsatz sind. Googles Android 17 Beta führt neue Funktionen wie eine Diebstahlerkennungssperre und KI-gesteuerte Betrugserkennung ein.

Anzeige

Angesichts von Millionen gehackter Konten pro Quartal ist das klassische Passwort oft ein Sicherheitsrisiko. Wie Sie die neue, passwortlose Anmeldung mit Passkeys bei Diensten wie WhatsApp oder Amazon einrichten, erfahren Sie in diesem kostenlosen Report. Gratis-Report: Passwortlos und sicher mit Passkeys

Regulierungsdruck wächst

Die rechtlichen Rahmenbedingungen für Messaging-Dienste werden komplexer. Am 21. Mai 2026 reichte der US-Bundesstaat Texas Klage gegen Meta, den Mutterkonzern von WhatsApp, ein. Der Vorwurf: Das Unternehmen habe Nutzer hinsichtlich der Ende-zu-Ende-Verschlüsselung getäuscht – interner Zugriff für Mitarbeiter sei weiterhin möglich gewesen. Meta bestreitet die Vorwürfe, und Kryptografie-Experten der ETH Zürich sehen keine technischen Belege für die behaupteten Hintertüren.

Die Zentralbank der Vereinigten Arabischen Emirate verbot am 22. Mai 2026 die Nutzung von WhatsApp für Finanzdienstleistungen.

Deutschland zieht nach

Auch die Bundesregierung handelt. Am 21. Mai 2026 verabschiedete der Bundestag das Digitale-Identitäts-Gesetz. Ziel ist ein sichererer und standardisierter Rahmen für die elektronische Identifizierung. Angesichts von 25 Milliarden Euro jährlichem Schaden durch Identitätsbetrug gilt das Gesetz als überfälliger Schritt.

Ausblick: Post-Quanten-Kryptografie und passwortlose Authentifizierung

Die zweite Jahreshälfte 2026 wird voraussichtlich von der Integration der Post-Quanten-Kryptografie und der flächendeckenden Einführung passwortloser Authentifizierung geprägt sein. Apple wird voraussichtlich auf der Worldwide Developers Conference (WWDC) am 8. Juni 2026 iOS 27 vorstellen – Gerüchten zufolge mit starkem Fokus auf KI-gesteuerte Privatsphäre- und Datenschutzmodi.

Für Unternehmen und Verbraucher bleibt die größte Herausforderung die Geschwindigkeit KI-generierter Bedrohungen. Mit zunehmender Verbreitung von Smishing und Quishing wird die Bedeutung von „Secure-by-Design"-Messaging und robuster biometrischer Verifizierung weiter wachsen. Während technische Updates wie iOS 26.5.1, das für Ende Mai erwartet wird, akute Lücken schließen, liegt die langfristige Lösung in einer Kombination aus globaler regulatorischer Abstimmung, Kooperation der Netzbetreiber bei der Protokollsicherheit und der vollständigen Abschaffung von Legacy-Systemen wie SMS-basierter 2FA.