LONDON (IT BOLTWISE) – KI-gestützte Angriffe treiben Phishing auf ein neues Tempo: Quishing und Device-Code-Phishing nehmen deutlich zu, während Angreifer Sicherheitslücken in Stunden ausnutzen. Gleichzeitig setzen große Anbieter wie Microsoft und Google auf phishing-resistente Authentifizierung mit Passkeys, um Wiederherstellungs- und Konto-Übernahmen zu erschweren. Für Unternehmen und Verbraucher wird damit vor allem „Vertrauen statt Authentifizierung“ durch „stärkere Identitätsprüfung“ ersetzt. Der Beitrag zeigt, warum diese Trendwende technisch notwendig ist und wie sich Risiken kurzfristig reduzieren lassen.
Eilik – Der KI-Roboter als Schlüsselanhänger! ˗ˋˏ🧠ˎˊ˗
Die neue Angriffslogik wirkt auf den ersten Blick paradox: Während E-Mail-Filter, Erkennungsmodelle und Endpoint-Schutzsysteme immer leistungsfähiger werden, verlagert sich der Angriffsweg dorthin, wo diese Abwehrmechanismen strukturell schwerer greifen. Branchenbeobachter berichten, dass KI-gestützte Betrugsabläufe heute t3chend echte Nachrichten, Audio- und Videoimitationen sowie gezielte Social-Engineering-Ketten schneller als je zuvor zusammenstellen. Besonders problematisch ist dabei die verkirzte Zeitspanne zwischen der Entdeckung einer Schwachstelle und der aktiven Ausnutzung. Wer Prozesse und Authentifizierung weiterhin stark auf passwortlastige Muster stzt, erhlt Angreifern einen Vorteil, der sich nicht mehr allein mit klassischen Blacklists ausgleichen lsst.
Technisch wird das Schadenspotenzial durch „KI am Frontend“ verstrkt: Angreifer nutzen KI-Tools, um aus gesammelten Personendaten glaubwrdige Skripte, personalisierte Inhalte und multimodale Imitationen zu generieren. Damit wird Phishing nicht nur automatisiert, sondern auch prer zielsicher. Hinzu kommt, dass viele dieser Kampagnen auf legitimen Vertrauenswegen operieren: Wenn sich eine Botschaft technisch echt ausgibt, passieren sie oft regulre Authentifizierungs- und Abgleichmechanismen auf Mail-Ebene. Genau hier rickt Quishing in den Fokus, also Phishing cber QR-Codes, weil die Nutzeroberflche den Kontextwechsel unterschtzt. Auch Banking-Trojaner profitieren von dieser Entwicklung, weil die initiale Nutzeraktion schneller in eine kompromittierende Interaktion umschaltet.
Marktseitig zeichnet sich ein deutliches Muster ab: Angreifer testen nicht nur neue Lcken, sondern optimieren kontinuierlich ganze Angriffsablufe. In einzelnen Auswertungen wird von Millionen dokumentierter Quishing-Felle allein in einem Quartal gesprochen, parallel mit stark steigenden Raten bei Banking-bezogenen Eintragungen. Gleichzeitig berichten Experten von einem Anstieg bei Device-Code-Phishing, bei dem sich die Angreifer an den Authentifizierungsphasen orientieren und eine klassische, „erfolgreiche Anmeldung“ vortuschen. Als Beispiel wird beschrieben, dass Phishing-Kits weiterentwickelt wurden und damit die Abprallfhigkeit in bestimmten Microsoft-Umgebungen erhlich verbessern. In der Praxis bedeutet das: Es reicht nicht, nur die Anmeldeseite zu sichern, wenn der Angriffsweg in der Identitts- und Wiederherstellungslogik ansetzt.
Genau deshalb verschiebt sich der Wettbewerb zwischen Angreifern und Verteidigern zunehmend hin zu phishing-resistenter Authentifizierung. Microsoft kcndigte an, Passkeys in einem Entra-External-Identity-Kontext zu integrieren, mit einem zeitnahen Rollout, whrend Google Workspace eine Option „Passwrter berspringen“ anstubt, um Biometrie und Hardware-Schlssel in den Nutzerfluss zu bringen. Auch andere Plattformen experimentieren mit zustzlichen Absicherungen bei der Kontoregistrierung. Der technische Vergleich liegt auf der Hand: Passwrter lassen sich durch Social Engineering ersetzen, whrend Passkeys auf kryptografische Bindungen setzen, die das blo Weiterleiten von Codes deutlich unattraktiver machen. Das ist weniger ein „Feature-Update“ als eine strukturelle Verschiebung der Bedrohungsannahme.
Historisch betrachtet ist der Weg von 2FA-Methoden hin zu strkeren Identittsmechanismen nachvollziehbar. SMS-basierte Zweifaktorfaktoren gelten in vielen Umgebungen als zunehmend angreifbar, unter anderem durch SIM-Swapping und Umgehungen von Mobilfunk-abhngigen Kontrollketten. Gleichzeitig haben Unternehmen zwar die Patch- und Behebungszeiten verkirzen k6nnen, aber die kritischen Lcken bleiben hufig zu frh im Zielpfad. Dadurch verlagert sich die Prioritt in Security-Programmen: Neben Vulnerability-Management rcken Identittsrisiken und Kontocbernahme in den Mittelpunkt. Experten empfehlen deshalb eine Kombination aus „sicheren Standardprozessen“ (Passkeys) und operativer Kontrolle (z. B. Zugriffs- und Wiederherstellungsregeln) statt einer ausschlielichen Fokussierung auf Awareness.
Fr Verbraucher und Mitarbeiter ist die Konsequenz ebenfalls klar, aber nicht trivial umzusetzen. KI-gest6tzte Stimmimitationen machen es schwieriger, rein akustische Signale fr die Authentizitt zu nutzen; zustndige Stellen melden dabei steigende Fallzahlen, was die Verlagerung von Risiko in den Alltag unterstreicht. Wer nur auf „wie es sich anf hlt“ reagiert, wird bei schneller und personalisierter Kommunikation leicht getuscht. Fachleute raten daher zu einer „Zero-Trust-nahen“ Alltagsroutine: Identitt pren ber unabhngige Kanle, bei sensiblen Anfragen nicht nur auf den Kontaktweg schauen, und die Authentifizierung bevorzugt auf App- oder hardwarebasierte Verfahren stzen. So reduziert sich die Angriffsflche, die durch einen einzigen erfolgreichen Social-Engineering-Schritt entsteht.
Im Unternehmen ist diese Entwicklung auch ein Compliance- und Datenschutzthema. K6nftige Kontomodelle m6ssen so designt werden, dass personenbezogene Daten nicht unkontrolliert in betrugsanfllige Prozesse flien. Dazu geh6ren klare Policy-Grenzen fr Wiederherstellungsinformationen, eine Minimierung sensibler Daten im Kommunikationspfad und eine saubere Protokollierung, die fr Incident Response nutzbar bleibt. Gleichzeitig sollten Security-Teams die Umstellung auf Passkeys als Teil einer Sicherheitsarchitektur verstehen, nicht als „kampagnenartige Schulung“. Besonders wichtig ist die Absicherung von Admin-Konten, weil Angriffe bei Identittskomponenten typischerweise hohe Eskalationspfade mit sich bringen.
Der Blick nach vorn verbindet die aktuelle Welle mit langfristigen Sicherheitszielen. Post-Quanten-Kryptografie wurde bereits finalisiert, und die Verkirzung von TLS-Zertifikatslaufzeiten soll die Angriffsflche weiter verkleinern und die Erneuerungszyklen fr relevante Sicherheitsartefakte straffen. Diese Trends sind zwar nicht identisch mit Passkeys, aber sie zeigen dieselbe Richtung: Sicherheitskontrollen sollen weniger „punktuell“ und mehr „laufend verifizierbar“ werden. Daraus ergibt sich fr Entwickler und Unternehmen eine praktische Roadmap: Passkeys pilotieren, Authentifizierungs-Workflows vereinheitlichen, Wiederherstellungslogiken auditieren und die Logging-/Monitoring-Fhigkeit fr Identittsereignisse strken. Wer diese Schritte bis zur nchsten Angreiferwelle nicht durchsetzt, riskiert, dass die schnellere Ausnutzung neuer Lcken den Nutzen der letzten Sicherheitsinvestitionen berholt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 6 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 7 ᵃ⤻ᶻ «KI Gadgets»
Bestseller Nr. 8 ᵃ⤻ᶻ «KI Gadgets»
KI beschleunigt Phishing: Passkeys als Antwort auf Quishing & Device-Code-Angriffe (Foto: DALL-E, IT BOLTWISE)
Ergänzungen und Infos bitte an die Redaktion per eMail an de-info[at]it-boltwise.de. Da wir bei KI-erzeugten News und Inhalten selten auftretende KI-Halluzinationen nicht ausschließen können, bitten wir Sie bei Falschangaben und Fehlinformationen uns via eMail zu kontaktieren und zu informieren. Bitte vergessen Sie nicht in der eMail die Artikel-Headline zu nennen: «KI beschleunigt Phishing: Passkeys als Antwort auf Quishing & Device-Code-Angriffe».