KI-gestütztes Phishing trifft 86 Prozent der Fortune-100-Unternehmen

Martin J. Krämer, CISO Advisor bei KnowBe4, erläutert in seinem Gastbeitrag, warum KI-gestütztes Phishing und Phishing-as-a-Service die Bedrohungslage für Unternehmen weiter verschärfen. Aktuelle Studien zeigen, dass selbst die größten Konzerne der Welt zunehmend erfolgreich angegriffen werden. Weshalb klassische Schutzmaßnahmen allein nicht mehr ausreichen und welche Rolle Mitarbeitende künftig in der Cyberabwehr spielen, erklärt der Sicherheitsexperte.

Foto: KnowBe4

Phishing gehört nach wie vor zu den gefährlichsten Bedrohungen für Unternehmen, und auch die weltweit führenden Konzerne sind davor nicht sicher. In den vergangenen zwölf Monaten wurden bei 86 Prozent der Fortune-100-Unternehmen Mitarbeiterdaten durch Phishing-Angriffe offengelegt. Besonders stark betroffen waren der Technologie-, Luftfahrt- und Automobilsektor. Zugleich berichten 78 Prozent der befragten Organisationen, dass das Phishing-Aufkommen im vergangenen Jahr zugenommen hat.

Diese Ergebnisse fügen sich in eine auch hierzulande angespannte Sicherheitslage ein. Laut dem Cybersicherheitsmonitor 2026 waren im vergangenen Jahr elf Prozent der Internetnutzer in Deutschland von Cyberkriminalität betroffen, zwölf Prozent dieser Fälle entfielen auf Phishing. Auf Unternehmensseite unterstreicht der Bitkom Wirtschaftsschutz 2025, wie relevant Social Engineering bleibt: 49 Prozent der Unternehmen berichten von entsprechenden Versuchen, 21 Prozent erleben sie sogar häufig. Gleichzeitig stufen 72 Prozent der Unternehmen die Bedrohungslage als hoch ein. Vor diesem Hintergrund wirken die Zahlen zu den Fortune-100-Unternehmen weniger wie ein Ausreißer, sondern wie ein weiterer Beleg dafür, dass Phishing durch KI und Phishing-as-a-Service zunehmend skalierbar wird.

KI macht Phishing effizienter und schwerer erkennbar

Besonders alarmiert zeigen sich die Sicherheitsverantwortlichen der Erhebung von SpyCloud zufolge beim Thema KI: 84 Prozent der Befragten sehen in KI-generiertem Phishing die Angriffsform, die am weitesten verbreitet und am schwersten abzuwehren ist. Dahinter folgen Business Email Compromise mit 58 Prozent und Vendor Impersonation, also das Vortäuschen einer Lieferanten- oder Dienstleisteridentität, mit 52 Prozent. Zudem rücken Angriffswege wie Collaboration-Tool-Phishing und Session Hijacking stärker in den Fokus. Diese Entwicklung setzt die klassische E-Mail-Sicherheit zunehmend unter Druck: Wenn Maschinen Phishing-Nachrichten automatisch personalisieren, werden Angriffe überzeugender, lassen sich schneller skalieren und sind schwerer zu erkennen.

Phishing-as-a-Service senkt die Einstiegshürden

Ein wesentlicher Treiber dieser Entwicklung sind immer ausgereiftere Phishing-as-a-Service-Plattformen. Sie senken die Einstiegshürde für Angreifer erheblich, denn fertige Phishing-Kits sind bereits zu vergleichsweise niedrigen monatlichen Preisen erhältlich. Für 50 bis 250 US-Dollar erhalten Bedrohungsakteure Zugang zu vollständig verwalteten Kits mit vorgefertigten Phishing-Seiten, One-Click-Bereitstellung und Admin-Panels mit mehreren Exfiltrationsoptionen. Vom Kauf bis zur laufenden Kampagne vergehen mitunter nur wenige Minuten, Programmierkenntnisse oder technische Expertise sind dafür nicht erforderlich.

Prävention allein reicht nicht mehr

Phishing entwickelt sich zu einem industriell skalierbaren Angriffsmodell. KI verbessert die Qualität der Täuschung, Phishing-as-a-Service senkt die Einstiegshürde und neue Angriffswege erweitern das Spielfeld über den klassischen Posteingang hinaus.

Unternehmen sollten deshalb davon ausgehen, dass einzelne Angriffe trotz aller technischen Filter erfolgreich sein werden, und das Risiko dort senken, wo es entsteht: beim Klick. Wenn KI-generierte Nachrichten kaum noch von legitimer Kommunikation zu unterscheiden sind, kommt es entscheidend auf die Mitarbeitenden an. Gefragt ist ein kontinuierliches Human Risk Management mit praxisnahen Trainings, simulierten Phishing-Angriffen und einer Sicherheitskultur, in der verdächtige Nachrichten ohne Zögern gemeldet werden. So entsteht eine Belegschaft, die Social-Engineering-Risiken im Arbeitsalltag erkennt und bessere Sicherheitsentscheidungen trifft. Ein KI-gestütztes Security-Awareness-Training kann hier eine wichtige zusätzliche Verteidigungsebene schaffen.

Gastbeitrag von Martin J. Krämer