Cyberkriminalität: 442 Milliarden Euro Schaden durch Quishing und KI-Phishing

Neue Rekordmarke bei mobiler Cyberkriminalität: 442 Milliarden Euro Schaden durch Quishing und KI-Phishing-Angriffe im ersten Quartal 2026.

Aktuelle Analysen beziffern den Gesamtschaden auf rund 442 Milliarden Euro. Besonders besorgniserregend ist die technologische Weiterentwicklung beim sogenannten Quishing – dem Phishing mittels QR-Codes. Branchenexperten beobachten eine Zunahme der Fälle um 150 Prozent auf etwa 18 Millionen registrierte Vorfälle.

Kriminelle tricksen Sicherheitsfilter aus

Kriminelle nutzen zunehmend raffinierte Methoden, um Schutzmechanismen und Virenscanner zu umgehen. Ein häufig beobachtetes Muster: QR-Codes werden in zwei separate Bilddateien zerschnitten, die erst auf dem Endgerät des Nutzers optisch wieder zusammengefügt werden. Auch verschachtelte QR-Codes kommen zum Einsatz, um die Erkennungsalgorithmen von Sicherheits-Apps zu täuschen.

Anzeige: Quishing-Fälle um 150% gestiegen – und KI-Phishing auf Android explodiert. Mit diesem kostenlosen Guide lernen Sie in 3 Schritten, wie Sie QR-Codes sicher scannen und Phishing sofort erkennen. Jetzt Schutz-Guide anfordern

Diese manipulierten Codes führen die Opfer auf gefälschte Portale. Im Finanzsektor dienen vermeintliche Änderungen der Allgemeinen Geschäftsbedingungen oder notwendige Revalidierungen von TAN-Verfahren als Vorwand. Die Angreifer setzen vermehrt auf Screen-Overlay-Trojaner, die sich über Banking-Apps legen und Zugangsdaten in Echtzeit abgreifen.

KI-gestütztes Phishing auf Android explodiert

Die Sicherheitslage für Android-Nutzer hat sich drastisch verschärft. KI-gestützte Phishing-Angriffe stiegen in den letzten zwei Jahren um 1.200 Prozent. Die Täter nutzen große Sprachmodelle (LLMs), um fehlerfreie und personalisierte Nachrichten zu generieren.

Grundlage sind oft Datenabflüsse bei großen Dienstleistern – etwa ein Vorfall bei Booking.com im Frühjahr 2026. Die entwendeten Informationen dienen als Basis für Betrugswellen über WhatsApp. Aktuelle Kampagnen wie die Malware „Cockroach Janta Party“ oder manipulierte Minecraft-Mods („WeedHack“) zielen darauf ab, Kurznachrichten, Kontaktlisten und Einmal-Passwörter auszulesen.

Behörden als Köder: ELSTER-Kampagne aktiv

Auch staatliche Institutionen werden missbraucht. Eine aktuelle Kampagne nutzt das Vertrauen in das Steuerportal ELSTER. Unter dem Betreff eines angeblichen elektronischen Steuerbescheids für 2026 werden Empfänger auf gefälschte Webseiten gelockt – angeblich zur Verifizierung für eine Steuererstattung.

Die Industrie reagiert mit neuen Technologien. Google führt für Pixel-Smartphones ab Android 12 eine Funktion zur Erkennung betrügerischer Anrufe ein. Die „Fake Call Detection“ prüft mittels eines digitalen Handshakes über den RCS-Standard, ob eine Verbindung legitim ist oder KI-generierte Stimmenklonung vorliegt. Sicherheitsforscher der Universität Toronto warnen bereits vor der nächsten Generation: Sie entwickelten einen KI-Wurm-Prototyp, der für jedes Ziel individuell Angriffsstrategien generiert – in Tests mit 50 Prozent Erfolgsquote.

Anzeige: BGH-Urteil: Bei grober Fahrlässigkeit haften Bankkunden selbst – bis zu 40.000 Euro Schaden. Schützen Sie sich mit unserer Schritt-für-Schritt-Anleitung zur Zwei-Faktor-Authentifizierung. 2FA-Anleitung jetzt sichern

BGH-Urteil: Bankkunden haften bei Fahrlässigkeit

Die rechtliche Verantwortung bei Betrugsfällen wurde durch ein BGH-Urteil Anfang März präzisiert. Bei grober Fahrlässigkeit können Bankkunden für entstandene Schäden haftbar gemacht werden. In einem konkreten Fall bestätigte das Gericht die Haftung eines Kunden bei einem Schaden von 40.000 Euro.

Sicherheitsexperten raten: QR-Codes nur bei tatsächlichem Bedarf scannen und Schutz-Apps verwenden. Die Ziel-URL sollte vor jeder Eingabe sensibler Daten manuell geprüft werden. Die Diskrepanz zwischen gefühlter und tatsächlicher Sicherheit ist groß: Laut Umfragen halten 74 Prozent der Nutzer ihre Passwörter für sicher – doch nur 39 Prozent nutzen eine Zwei-Faktor-Authentifizierung.