Phishing-Angriffe waren lange Zeit leicht erkennbar, doch durch den Einsatz von Künstlicher Intelligenz sind die Präzision und Qualität, mit der gefälschte E-Mails an Mitarbeiter verschickt werden, in beängstigender Art und Weise gestiegen.
Die Phishing-Techniken werden immer raffinierter, denn Cyberkriminelle passen ihre Strategien stetig an die neuesten Trends an.
MuseColor / stock.adobe.com / Generated with AI
In der zunehmend digitalisierten Welt wird die Verschmelzung von Künstlicher Intelligenz (KI) und Phishing zu einer immer alltäglicheren Gefahr für Unternehmen und Individuen. Phishing-Versuche waren lange Zeit leicht zu erkennen. Geprägt von Schreibfehlern, gewagten Wortkombinationen und minderwertigen Grafiken sind sie auch unbedarften Anwendern schnell aufgefallen. Doch diese Zeiten sind vorbei. Leicht erkennbare Scam-Versuche sind zu hochraffinierten KI-gesteuerten Phishing-Angriffen geworden.
Phishing – gestern und heute
Traditionelle Phishing-Methoden umfassen gefälschte E-Mails, die vorgeben, von bekannten Unternehmen, Regierungsbehörden oder Finanzinstituten zu stammen. Sie enthalten oft Links zu gefälschten Websites, auf denen Opfer aufgefordert werden, vertrauliche Informationen wie Passwörter, Kreditkartennummern oder persönliche Identifikationsdaten einzugeben. Alternativ werden auch gerne infizierte Anhänge versendet, die beim Öffnen Schadsoftware auf dem Computer des potenziellen Opfers installieren können.
Mit dem technologischen Fortschritt haben sich auch Phishing-Angriffe weiterentwickelt. Social-Engineering-Techniken werden immer raffinierter und Phisher passen ihre Strategien an die neuesten Trends an. Eine beunruhigende Entwicklung ist das verstärkte Targeting von Unternehmen durch sogenanntes Spear-Phishing, bei dem die Angreifer ihre Nachrichten gezielt auf bestimmte Mitarbeiter oder Abteilungen abstimmen. Statt massentauglichen Anschreiben werden hier personalisierte und auf den Empfänger zugeschnittene E-Mails generiert, um die Opfer zu täuschen.
Herausforderungen und Risiken
Viele Unternehmen setzen folgerichtig auf Awareness-Trainings, um ihre Mitarbeiter für die Gefahren von Phishing zu sensibilisieren. Die Wahrscheinlichkeit, dass selbst die aufmerksamsten Mitarbeiter in einem schwachen Moment zum Opfer einer gut getarnten Falle werden, ist allerdings sehr hoch. Deshalb ist es für jede Unternehmung ratsam, die Verantwortung nicht nur auf das Personal zu legen, sondern die eigene Sicherheit mit technologischen Abwehrmechanismen zu erweitern.
Technologie ist in diesem Zusammenhang allerdings kein Selbstläufer, denn es besteht eine enge Wechselbeziehung zwischen Anwendern und den eingesetzten technologischen Hilfsmitteln. Umso wichtiger ist es, deren Nutzung und Umsetzung im Alltag intuitiv und unkompliziert zu gestalten. Eine einfache, intuitive Sicherheitsinfrastruktur trägt dazu bei, dass Mitarbeiter nicht überfordert werden und gleichzeitig effektiv vor Phishing-Angriffen geschützt sind. So wird der menschliche Fehlerfaktor, der darin besteht, dass Mitarbeiter die Zugangsdaten auf Phishing-Seiten eingeben, minimiert.
Passwort-Manager entlarven bösartige Webseiten
Passwort-Manager als eine von mehreren technischen Sicherheitslösungen administrieren den Zugriff auf die Login-Möglichkeiten und Passwörter der Unternehmensmitarbeiter. Dazu stehen dem Administratorenteam unterschiedliche Einstellungen zur Verfügung. Sämtliche Passwörter werden von der App generiert und in Lösungen wie der von Heylogin hinterlegt. Da sich die Nutzer über Multifaktorauthentifizierung statt einem Masterpasswort anmelden, bleiben die Zugangsdaten verschlüsselt und unsichtbar. So wird der menschliche Fehlerfaktor bei der Accountverwaltung minimiert.
Verläuft der erste Schritt eines Phishing-Versuches erfolgreich und klickt ein Mitarbeiter auf einen bösartigen Link, wird er auf die manipulierte Webseite weitergeleitet. Diese unterscheidet sich schon optisch vom gelernten „Look and Feel“ und darüber hinaus wird der Nutzer aufgefordert, Zugangsdaten einzugeben, über die er nicht verfügt. Spätestens an dieser Stelle sollten die Alarmglocken schrillen, und die Kollegen aus der IT-Abteilung informiert werden.
Abwehrmaßnahmen gegen KI-Phishing
Phishing-Attacken stellen einen von mehreren Angriffsvektoren auf IT-Infrastrukturen dar. Die beschriebenen Maßnahmen beziehen sich auf Gefahren, die darauf abzielen, Mitarbeiter zu manipulieren und zu unbedachten Aktionen zu verleiten. Cyberattacken wie DDoS-Angriffe greifen Unternehmen an anderen Stellen an, um Schaden zu verursachen. Spamfilter beispielsweise bieten angesichts der Raffinesse aktueller Attacken keinen umfassenden Schutz mehr gegen bösartige elektronische Post. Und selbst aktuelle Passwort-Manager sind nicht in der Lage, gegen jede Art von Phishing zu schützen. Bei E-Mail-Anhängen und Links, die Schadsoftware installieren, hilft auch dieser Ansatz nicht.
Die Realität ist, dass trotz fortschrittlicher Technologien, die den Einstieg von Angreifern verhindern können, menschliche Interaktion oft der entscheidende Faktor ist. Umso wichtiger sind Lösungen, die eine Absicherung garantieren, nachdem der erste Schritt einer Phishing-Attacke ausgelöst worden ist. Und genau hier leisten Passwort-Manager zusätzlich zu ihrem originären Einsatzbereich einen großen Beitrag zur Unternehmenssicherheit und Schadensverhinderung.
