Smartphone-Sicherheit: KI treibt Cyberkriminalität auf 442 Mrd. Euro

KI treibt 86 Prozent aller Phishing-Attacken an. Neue Maschen wie Quishing und Device-Code-Phishing nehmen rasant zu.

Haupttreiber: Künstliche Intelligenz.

KI ist mittlerweile für 86 Prozent aller Phishing-Kampagnen im ersten Quartal verantwortlich. Angreifer umgehen gezielt Multi-Faktor-Authentifizierung (MFA) und setzen auf automatisierte Plattformen.

Anzeige

Angesichts der rasant steigenden Schäden durch mobile Cyberkriminalität ist der Schutz des eigenen Smartphones wichtiger denn je. Ein kostenloser PDF-Ratgeber zeigt Ihnen 5 einfache Schritt-für-Schritt-Maßnahmen, um Ihr Gerät effektiv vor Hackern und Viren abzusichern. Gratis-Sicherheitspaket für Ihr Android-Smartphone anfordern

Phishing-as-a-Service: Kali365 im Fokus

Das FBI warnt seit Monaten vor der Plattform Kali365. Seit April 2026 wird der Dienst über verschlüsselte Messenger wie Telegram vertrieben. Das Modell „Phishing-as-a-Service“ ermöglicht auch technisch Laien komplexe Angriffe.

Die Kosten: 230 Euro für 30 Tage, 1.850 Euro für ein Jahr. Kali365 zielt auf Microsoft 365-Konten ab. Die Methode heißt Device-Code-Phishing – Angreifer stehlen gültige Sitzungstokens über den OAuth 2.0-Gerätecode-Flow. MFA wird damit effektiv ausgehebelt.

Analysten von Arctic Wolf beobachteten weltweite Kampagnen. Nach dem Eindringen erstellten Angreifer bösartige Postfachregeln und registrierten neue Geräte. Betroffen: hunderte Organisationen aus Fertigung, Bildung und Gesundheitswesen in Nordamerika und Europa.

Die Microsoft Digital Crimes Unit zerschlug das Signierungsnetzwerk Fox Tempest. Über 1.000 Zertifikate wurden widerrufen. Dennoch bleibt das Risiko hoch – Gruppen wie Storm-2949 missbrauchen weiterhin Azure-Berechtigungen.

KI-gesteuerte Angriffe: Quishing auf dem Vormarsch

Die Zahlen sprechen eine deutliche Sprache: Banking-Trojaner-Fälle stiegen um 196 Prozent auf 1,24 Millionen Vorfälle. Quishing – Phishing via QR-Code – legte um 150 Prozent auf 18 Millionen Fälle zu. Täglich werden rund 3,4 Milliarden schädliche Nachrichten versendet.

KI spielt eine Doppelrolle: Sie erstellt täuschend echte Ködertexte und entwickelt Zero-Day-Exploits. Die Google Threat Intelligence Group meldete im Mai 2026 den ersten dokumentierten KI-entwickelten Zero-Day-Angriff. Er nutzte eine Logikschwachstelle in einem Open-Source-Server-Tool aus.

Auch Social Engineering wird KI-gestützt. In Leipzig entstand ein fünfstelliger Schaden durch KI-gesteuerte Stimmenklone bei Schockanrufen.

Neue Maschen nutzen reale Datenlecks aus. Gefälschte Hotel-Abbuchungsbestätigungen über WhatsApp enthalten korrekte Buchungsdetails der Opfer. Die Weltmeisterschaft 2026 dient ebenfalls als Einfallstor – Sicherheitsforscher identifizierten über 222 gefälschte Webseiten.

Alltagstäuschung und Behörden-Imitation

Privatpersonen geraten zunehmend durch manipulative Alltagsszenarien ins Visier. Die Polizei Köln warnte vor Betrugsmaschen auf Second-Hand-Plattformen. Ein Fall in Kopenhagen: Eine gefälschte Park-App verursachte finanzielle Einbußen. Die Abbuchungen fielen erst Wochen später auf. Viele Banken verweigerten eine Erstattung – die TAN war autorisiert.

Anzeige

Da herkömmliche Passwörter und einfache MFA-Verfahren laut aktuellen Sicherheitsberichten immer öfter versagen, rücken moderne Alternativen wie Passkeys in den Fokus. Dieser kostenlose Report erklärt, wie Sie die neue Technologie nutzen, um sich ohne Passwort-Stress und Phishing-Risiko bei Diensten wie Amazon oder WhatsApp anzumelden. Kostenlosen Passkey-Leitfaden jetzt herunterladen

Staatliche Institutionen dienen als Deckmantel. Die Bundesnetzagentur warnte vor gefälschten Schreiben an PV-Anlagen-Besitzer. Gefordert werden angebliche Sanktionen wegen fehlender Registrierungen. Die Täter nutzen gefälschte Briefköpfe einer nicht existierenden Außenstelle in Sömmerda und setzen mit kurzen Zahlungsfristen unter Druck.

PayPal bleibt ein beliebtes Ziel. Die Verbraucherzentrale wies im Mai auf E-Mails mit dem Betreff „Kontozugriff eingeschränkt“ hin. Unpersönliche Ansprache und unseriöse Absenderadressen sind typisch. Ziel: Login-Daten über manipulierte Links abgreifen. Banken wie DKB und ING raten zur Skepsis – seriöse Unternehmen fragen niemals Passwörter oder TANs per E-Mail ab.

Softwarelücken lösen Passwortdiebstahl ab

Der Verizon Data Breach Investigations Report 2026 zeigt eine Verschiebung: Softwarelücken sind mit 31 Prozent der häufigste Angriffsvektor – Passwortdiebstahl liegt bei 13 Prozent. Fast die Hälfte aller Vorfälle betrifft Drittanbieter, ein Plus von 30 Prozent.

Der menschliche Faktor spielt bei 62 Prozent aller Datenlecks eine entscheidende Rolle. Ransomware ist in 48 Prozent der Fälle präsent. Positive Tendenz: 69 Prozent der Unternehmen weigern sich, Lösegelder zu zahlen.

KI-Tools beschleunigen die Entdeckung und Ausnutzung von Schwachstellen massiv. Spezialisierte Sprachmodelle identifizierten über 1.700 echte Lücken – darunter CVE-2026-5194 in der wolfSSL-Bibliothek. Die Ghost-Lücke (CVE-2026-26980) kompromittierte über 700 Websites. Eine Drupal-Lücke (CVE-2026-9082) zog 15.000 Angriffsversuche nach sich. Selbst Hardware ist betroffen: Eine nicht patchbare Lücke im BootROM von Qualcomm-Chips (CVE-2026-25262).

Politik und Prävention reagieren

Die Schadenssummen könnten bis 2031 auf 12,2 Billionen Dollar steigen. Deutschland verabschiedete im Mai 2026 das Digital-Identitäts-Gesetz. Apple plant für iOS 27 die Integration von Post-Quanten-Kryptographie.

Sicherheitsbehörden erzielen Teilerfolge: Bei der Operation FRONTIER+ III unter Interpol gab es rund 3,000 Festnahmen.

Das BSI empfiehlt die Blockade risikoreicher Authentifizierungsverfahren wie Device-Code-Flow, verkürzte Token-Lebensdauer und physische Sicherheitsschlüssel nach FIDO2. Bei Betrug: Konten über 116 116 sperren und Anzeige erstatten.