Mobile Kriminalität 2026: Schäden von 442 Milliarden Euro erwartet

KI-gesteuerte Angriffe treiben mobile Kriminalität auf Rekordniveau. Banking-Trojaner und Hybrid-Attacken nehmen massiv zu.

Analysten prognostizieren für 2026 Gesamtschäden von rund 442 Milliarden Euro. Haupttreiber: immer professionellere Betrugsnachrichten über SMS und Messenger.

Weltweit werden täglich etwa 3,4 Milliarden schädliche Nachrichten versendet. Angreifer setzen zunehmend auf Künstliche Intelligenz. Rund 86 Prozent aller Phishing-Versuche laufen inzwischen KI-gesteuert ab. Das erschwert die Erkennung für Verbraucher und Filtersysteme massiv.

Anzeige

Banking, PayPal und WhatsApp – auf keinem Gerät speichern wir so viele sensible Daten wie auf dem Smartphone, was sie zum Hauptziel für KI-gesteuerte Angriffe macht. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schritt-für-Schritt-Maßnahmen, um Ihr Android-Gerät effektiv vor Hackern und Viren zu schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Banking-Trojaner auf dem Vormarsch

Die Bedrohungslage bei mobilen Endgeräten hat sich drastisch verschärft. Im ersten Quartal 2026 stiegen die Fälle von Banking-Trojanern um 196 Prozent auf 1,24 Millionen Vorfälle. Besonders Android-Nutzer sind betroffen.

Der Trojaner Mamont ist für über 70 Prozent der Angriffe auf dieses Betriebssystem verantwortlich. Die Schadsoftware zielt auf Finanzdaten ab und leitet unautorisierte Transaktionen ein.

Parallel dazu nehmen Hybrid-Attacken zu. Kriminelle kombinieren den Diebstahl von Smartphones mit gezieltem Phishing. Opfer erhalten nach dem Verlust gefälschte SMS, angeblich vom Hersteller-Support. Die Nachrichten fordern zur Eingabe von Zugangsdaten auf manipulierten Webseiten auf.

Ziel ist es, Gerätesperren zu umgehen und die komplette digitale Identität zu übernehmen. Auch „Quishing“ – Phishing über manipulierte QR-Codes – hat stark zugenommen. Rund 18 Millionen registrierte Fälle bedeuten eine Steigerung von 150 Prozent im Vergleich zum Vorjahr.

Tech-Giganten ziehen Konsequenzen

Microsoft hat im Mai 2026 weitreichende Konsequenzen gezogen. Der Konzern stellt die SMS-basierte Zwei-Faktor-Authentifizierung (2FA) für private Konten ein. Stattdessen setzt das Unternehmen auf biometrische Passkeys – über fünf Milliarden wurden bereits aktiviert.

Der Schritt zeigt: Das Vertrauen in SMS als Sicherheitsmedium schwindet rapide. Angreifer fangen Nachrichten ab oder nutzen sogenannte SMS-Blaster. Diese Geräte versenden massenhaft Nachrichten in einer Funkzelle. Die Polizei in Wien stellte kürzlich ein solches Gerät sicher – mit einer Kapazität von 100.000 Nachrichten pro Stunde.

Trotz technologischer Fortschritte klafft eine Lücke zwischen Wahrnehmung und Realität. Laut einer YouGov-Studie halten 74 Prozent der Deutschen ihre Passwörter für sicher. Doch nur 32 Prozent nutzen die deutlich sichereren Passkeys. Gerade ein Viertel verwendet konsequent die Zwei-Faktor-Authentifizierung.

Anzeige

Da pro Quartal Millionen von Online-Konten durch veraltete Sicherheitsmethoden kompromittiert werden, ist der Umstieg auf moderne Standards wie Passkeys unumgänglich. Erfahren Sie in diesem kostenlosen Report, wie Sie die passwortlose Anmeldung bei Amazon, WhatsApp und Co. in wenigen Minuten einrichten. Kostenlosen Passkey-Ratgeber jetzt herunterladen

Diese Nachlässigkeit bietet Kriminellen eine große Angriffsfläche. Hinzu kommt: 67 Prozent der Beschäftigten greifen im Beruf auf nicht autorisierte KI-Anwendungen zu – sogenannte „Shadow AI“.

Staatlicher Druck und Ermittlungserfolge

Auch die Politik reagiert. Die Bundesregierung verabschiedete im Mai 2026 das Digitale-Identitäts-Gesetz (Digital Identity Act). Es soll den rechtlichen Rahmen für sichere digitale Nachweise stärken.

Internationale Ermittlungen zeigen Erfolge. Bei der Interpol-Operation „FRONTIER+ III“ kam es weltweit zu über 3.000 Festnahmen. Vermögenswerte in Höhe von mehr als 752 Millionen US-Dollar wurden eingefroren. Im Mai nahmen Ermittler in Ottawa den mutmaßlichen Administrator des Kimwolf-Botnetzes fest. Das Netzwerk soll bis zu zwei Millionen Geräte für DDoS-Angriffe kontrolliert haben.

Gleichzeitig verschärfen sich die rechtlichen Auseinandersetzungen um Verschlüsselung. Der US-Bundesstaat Texas reichte im Mai Klage gegen Meta ein. Der Vorwurf: Das Unternehmen täusche Nutzer über die Sicherheit der Ende-zu-Ende-Verschlüsselung bei WhatsApp. Die Kläger fordern Strafzahlungen von bis zu 10.000 US-Dollar pro Verstoß.

Meta weist die Vorwürfe zurück. Experten verweisen auf die Komplexität von Sicherheitsgarantien bei Plattformen mit Milliarden Nutzern. In den Vereinigten Arabischen Emiraten verbot die Zentralbank WhatsApp bereits für Finanzdienstleistungen.

Hersteller im Update-Wettlauf

Apple veröffentlichte im Mai das Update iOS 26.5. Es schließt insgesamt 52 Sicherheitslücken, darunter die Schwachstelle CVE-2026-28950. Das neue PQ3-Protokoll implementiert eine Post-Quanten-Verschlüsselung. Sie soll Kommunikation gegen zukünftige Entschlüsselungsversuche durch Quantencomputer absichern.

Ein neuartiges „Hintergrundsicherheits-Update“ erlaubt es Apple zudem, kritische Lücken im WebKit-Browser-Modul zu schließen – ohne dass Nutzer einen vollständigen Neustart durchführen müssen.

Für Android-Nutzer bleibt die Situation schwieriger. Die Fragmentierung des Marktes erschwert umfassenden Schutz. Google implementiert zwar Verbesserungen wie den „Advanced Protection Mode“ und automatische Neustarts nach 72 Stunden Inaktivität. Doch nicht patchbare Hardware-Lücken wie CVE-2026-25262 im BootROM bestimmter Qualcomm-Chips bleiben ein Risiko.

Zudem wurden im Google Play Store hunderte manipulierte Apps identifiziert. Trotz Sicherheitsprüfungen wurden sie rund 24 Millionen Mal heruntergeladen.

Angriffsvektoren verschieben sich

Laut dem Verizon Data Breach Investigations Report (DBIR) 2026 hat sich die Lage grundlegend verändert. Das Ausnutzen spezifischer Software-Lücken hat den Diebstahl von Zugangsdaten als häufigste Einbruchsmethode überholt. Rund 31 Prozent der Vorfälle entfallen auf diesen vektor.

Kriminelle setzen vermehrt automatisierte Tools ein. Sie scannen systematisch nach bekannten Schwachstellen in Firmennetzwerken und privaten Geräten.

Besonders kritisch ist die Lage im Bildungs- und Finanzsektor. Der Dienstleister Instructure zahlte im Mai 2026 nach einem massiven Datenraub ein Lösegeld von 9,2 Millionen Euro. 275 Millionen Datensätze waren betroffen.

Die Verflechtung von KI-generiertem Phishing zur Initialinfektion und anschließender Erpressung bildet ein hybrides Ökosystem. Klassische Abwehrmechanismen stoßen an ihre Grenzen.

Ausblick: Neue Sicherheitsarchitekturen

Im Juni 2026 wird mit Spannung die Entwicklerkonferenz WWDC von Apple erwartet. Im Zentrum steht das neue Betriebssystem iOS 27. Eine verstärkte lokale KI-Verarbeitung (Private Cloud Compute) soll Sicherheitsvorteile gegenüber rein cloudbasierten Lösungen bieten.

Das Ziel: Generative Funktionen wie Bildbearbeitung oder Sprachassistenz direkt auf dem Endgerät ausführen. Die Angriffsfläche für Datenabflüsse soll so minimiert werden.

Parallel arbeiten Standardisierungsorganisationen wie das NIST an neuen Richtlinien für quantenresistente Systeme. Bis Ende des Jahres werden sie weitreichende Auswirkungen auf die Verschlüsselungsstandards im Mobilfunk haben.

Die Branche steht vor einer grundlegenden Entscheidung: SMS als veraltetes Kommunikationsmittel durch sichere, verschlüsselte Protokolle ersetzen – oder bestehende Netze durch KI-basierte Echtzeit-Filterung massiv aufrüsten. Angesichts der prognostizierten Schadenssummen bleibt der Schutz der mobilen Identität eines der zentralen Themen des Jahrzehnts.