KI-Betrug: Millionenschwere Schäden durch gefälschte Stimmen
Kriminelle nutzen KI-gestützte Stimmen-Klone und manipulierte QR-Codes, um selbst die Zwei-Faktor-Authentifizierung zu umgehen. Experten fordern Zero-Trust-Modelle als Schutz vor den ausgefeilten Angriffen.
Die neueste Welle von KI-gestützten Cyberattacken versetzt Unternehmen und Verbraucher in Alarmbereitschaft. Kriminelle nutzen täuschend echte Stimmen-Klone, manipulierte QR-Codes und ausgefeilte Phishing-Tools, um selbst die Zwei-Faktor-Authentifizierung zu umgehen. Ein besonders spektakulärer Fall zeigt das Ausmaß der Bedrohung: Betrüger erbeuteten 23 Millionen Euro, indem sie die Stimme eines Finanzvorstands perfekt nachahmten.
Die Angriffe markieren eine neue Dimension des digitalen Betrugs. Was einst als nahezu unknackbar galt – die Mehrfaktor-Authentifizierung –, wird nun systematisch ausgehebelt.
Deepfake-Stimmen täuschen selbst Kollegen
“Vishing” – eine Kombination aus Voice und Phishing – entwickelt sich zur Königsdisziplin der Cyberkriminellen. Die Täter trainieren ihre KI-Modelle mit öffentlich verfügbaren Audiodateien: Reden, Interviews oder Social-Media-Posts reichen aus, um eine perfekte Stimmen-Kopie zu erstellen.
Das Perfide: Die Betrüger erzeugen künstlich Zeitdruck. Angeblich dringende Überweisungen oder die sofortige Preisgabe von Zugangsdaten sollen Opfer davon abhalten, den vermeintlichen Anrufer zu überprüfen.
“Vishing-as-a-Service”-Plattformen democratisieren diese Angriffsmethoden. Technische Hürden fallen weg – jeder Kriminelle kann nun hochsophistizierte Stimmen-Angriffe starten, ohne selbst Programmier-Kenntnisse zu besitzen.
QR-Codes werden zur digitalen Falle
Parallel explodieren die “Quishing”-Attacken – Phishing über QR-Codes. Mehr als 4,2 Millionen solcher Angriffe registrierte der Sicherheitsexperte Proofpoint allein in der ersten Jahreshälfte 2025.
Die Strategie ist raffiniert: Betrüger verstecken schädliche QR-Codes in E-Mail-Anhängen, oft als PDF oder Bild getarnt. Herkömmliche Sicherheits-Scanner erkennen die Gefahr nicht, weil sie die Codes nicht interpretieren können.
Beim Scannen mit dem Smartphone landen Nutzer auf gefälschten Websites, die Microsoft oder andere vertrauenswürdige Marken imitieren. Der psychologische Trick: Angebliche Sicherheitswarnungen fordern zur erneuten Anmeldung auf einer betrügerischen Seite auf.
Anzeige: Apropos QR-Codes und gefälschte Login-Seiten – viele Angriffe zielen direkt auf Ihr Smartphone. Ein kostenloses Sicherheitspaket zeigt die 5 wichtigsten Maßnahmen, mit denen Sie Ihr Android ohne teure Zusatz-Apps gegen Quishing, Datendiebstahl und Banking‑Betrug absichern. Mit leicht verständlichen Schritt‑für‑Schritt-Anleitungen für WhatsApp, Online‑Shopping, PayPal und Online‑Banking. Jetzt kostenloses Android‑Sicherheitspaket sichern
Zwei-Faktor-Schutz systematisch geknackt
Die beunruhigendste Entwicklung: Spezialisierte Phishing-Tools hebeln gezielt die Zwei-Faktor-Authentifizierung aus. Das Programm “Whisper 2FA” verzeichnete seit Juli bereits eine Million Attacken.
Die Technik funktioniert als “Adversary-in-the-Middle”-Angriff. Ein Proxy-Server schaltet sich zwischen Opfer und echte Website. Nutzer geben ihre Daten scheinbar auf der originalen Seite ein – tatsächlich landen alle Informationen bei den Betrügern.
Besonders perfide: Die Kriminellen nutzen “MFA-Fatigue” aus. Sie bombardieren ihre Opfer so lange mit Push-Nachrichten, bis diese aus Frustration eine Freigabe erteilen.
Zero-Trust wird zum Standard
Die Industrialisierung des Cybercrime zwingt zum Umdenken. Australien hat bereits reagiert und schreibt in seinem “Essential 8”-Rahmenwerk phishing-resistente Authentifizierung vor – etwa FIDO2-Sicherheitsschlüssel, die nicht abgefangen werden können.
Experten fordern einen Paradigmenwechsel hin zum “Zero-Trust”-Modell. Dabei gilt: Vertrauen ist gut, kontinuierliche Überprüfung ist besser. Jeder Nutzer und jedes Gerät muss sich permanent neu legitimieren.
Für Unternehmen bedeutet das: Sicherheitsschulungen müssen diese neuen KI-gestützten Bedrohungen berücksichtigen. Kritisch wird die Einführung von Verifikations-Protokollen – bei Finanz-Transaktionen sollten Mitarbeiter jeden Auftrag über einen separaten, verifizierten Kanal bestätigen.
Verbraucher sollten grundsätzlich misstrauisch bei unaufgeforderten Anrufen, Sprachnachrichten oder QR-Codes reagieren, die Dringlichkeit suggerieren. Unerwartete MFA-Anfragen niemals bestätigen – und wo möglich auf phishing-resistente Authentifizierung umstellen.
