KI-Phishing 2026: So schützen sich KMU jetzt

Stand: 10. August 2026

Kurzantwort: Anfang August 2026 warnt das BSI vor KI-gesteuerten Phishing- und Vishing-Wellen. KMU, Arztpraxen und Kanzleien brauchen Verifikationsprozesse, phishing-resistente MFA, E-Mail-Härtung und 24/7-Detektion – denn klassische Warnsignale wie Rechtschreibfehler funktionieren bei KI-generierten Mails nicht mehr.

KI-Phishing: Warum das BSI jetzt warnt – und was KMU dagegen tun können

Anfang August hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer deutlich verschärften Bedrohungslage durch KI-gesteuerte Cyberangriffe gewarnt. Die Kernaussage: Künstliche Intelligenz senkt die Einstiegshürden für Angreifer massiv – komplexe Attacken, die früher Spezialwissen erforderten, laufen heute weitgehend automatisiert ab (ad-hoc-news, 04.08.2026). Fast zeitgleich machte eine großangelegte Vishing-Kampagne Schlagzeilen, bei der Angreifer mit KI-generierten Stimmen mehr als 200 Unternehmen ins Visier nahmen (BornCity, 08.08.2026).

Für Geschäftsführer und IT-Verantwortliche in kleinen und mittleren Unternehmen stellt sich damit eine unbequeme Frage: Wenn selbst geschulte Mitarbeiter KI-generierte Mails und Anrufe kaum noch von echten unterscheiden können – wie schützt man sich dann? Dieser Beitrag ordnet die aktuelle Lage ein und zeigt, welche Maßnahmen jetzt wirklich helfen.

Was ist KI-Phishing – und was macht es so gefährlich?

KI-Phishing bezeichnet Phishing-Angriffe, bei denen generative KI eingesetzt wird, um Täuschungen zu erstellen und zu skalieren: fehlerfreie, individuell zugeschnittene E-Mails, geklonte Stimmen für Telefonanrufe (Vishing), täuschend echte Fake-Websites und automatisierte Zielauswahl.

Der entscheidende Unterschied zu klassischem Phishing liegt in Qualität und Menge zugleich. Früher galt: Wer Rechtschreibfehler und holprige Formulierungen erkennt, erkennt auch die Phishing-Mail. Diese Faustregel funktioniert nicht mehr. Nach den vom BSI und Sicherheitsforschern zitierten Zahlen sind inzwischen rund 86 Prozent der Phishing-Angriffe KI-gestützt; Angriffe über Cloud-Dienste legten um 171 Prozent zu, Angriffe über Microsoft Teams um 41 Prozent (ad-hoc-news, 04.08.2026).

Die aktuelle Kampagne: Vishing mit geklonten Stimmen

Wie professionell die Angreifer vorgehen, zeigt die von Google Threat Intelligence beobachtete Kampagne UNC6671. Die Täter kombinieren KI-Stimmenimitation am Telefon mit maßgeschneiderten Phishing-Mails und gefälschten Websites. Opfer werden auf Schadsoftware gelenkt, die über legitime Dienste wie Dropbox oder Discord verteilt wird – zum Einsatz kommt unter anderem der Infostealer Rhadamanthys. Allein in fünf Wochen registrierten die Forscher 72 bösartige Domains, im Schnitt ging alle 1,6 Tage eine neue online (BornCity, 08.08.2026).

Deutschland im Fokus: ELSTER, Bußgeldbescheide, QR-Codes

Auch der deutschsprachige Raum ist betroffen. Behörden und Sicherheitsanbieter warnen aktuell vor Maschen, die gezielt auf deutsche Empfänger zugeschnitten sind – etwa gefälschte ELSTER-Steuererstattungen und fingierte Bußgeldbescheide. Hinzu kommen QR-Code-Angriffe und der Missbrauch seriöser Cloud-Infrastrukturen wie Cloudflare, Vercel oder GitHub Pages, wodurch Phishing-Seiten für technische Filter kaum noch auffällig sind (ad-hoc-news, 09.08.2026). Mehr zur aktuellen ELSTER-Welle erfahren Sie in unserem Beitrag ELSTER-Phishing 2026: So schützen Sie Ihr Unternehmen.

Warum gerade KMU, Arztpraxen und Kanzleien im Visier stehen

Angreifer kalkulieren nüchtern: Wo ist der Aufwand gering und der Hebel groß? Kleine und mittlere Unternehmen erfüllen aus Täterperspektive gleich mehrere Kriterien.

Erstens fehlt in vielen KMU ein eigenes Security-Team, das verdächtige Mails, Anrufe oder Anmeldeversuche systematisch prüft. Zweitens arbeiten Arztpraxen und Kanzleien mit hochsensiblen Daten – Patientenakten und Mandantenunterlagen sind erpressungstaugliches Material, und schon ein einzelner kompromittierter Posteingang kann zum Datenschutzvorfall werden. Drittens sind die Prozesse oft informell: Wenn „der Chef“ anruft und eine dringende Überweisung anweist, wird seltener nachgefragt als im Konzern mit Vier-Augen-Prinzip. Genau diese Chef-Masche (CEO-Fraud) wird durch KI-Stimmklone dramatisch glaubwürdiger.

Dazu kommt der Faktor Geschwindigkeit: Nach den aktuell zitierten Analysen werden 88 Prozent neuer Exploits binnen 48 Stunden nach Veröffentlichung aktiv ausgenutzt (ad-hoc-news, 04.08.2026). Wer Sicherheitsvorfälle nur werktags zwischen 9 und 17 Uhr bemerkt, ist strukturell im Nachteil.

Phishing erkennen, wenn es keine Fehler mehr gibt: Was jetzt noch funktioniert

Wenn Sprachqualität kein Erkennungsmerkmal mehr ist, müssen Unternehmen auf Prozesse und Technik setzen statt allein auf das geschulte Auge.

Prozesse: Rückruf-Regel und Vier-Augen-Prinzip

Die wirksamste organisatorische Maßnahme gegen Vishing und CEO-Fraud ist banal und gerade deshalb robust: Jede ungewöhnliche Zahlungs- oder Datenfreigabe wird über einen zweiten, unabhängigen Kanal verifiziert – ein Rückruf auf der bekannten Nummer, nie auf der im Anruf oder in der Mail genannten. Legen Sie diese Regel schriftlich fest und nehmen Sie ausdrücklich auch die Geschäftsführung hinein. Ein Anrufer, der Druck aufbaut und Verifikation abwehren will, liefert damit selbst das stärkste Warnsignal.

Technik: Phishing-resistente Anmeldung und E-Mail-Härtung

Multi-Faktor-Authentifizierung gehört heute zur Grundausstattung – idealerweise in phishing-resistenter Form (FIDO2/Passkeys statt SMS-Codes). Ergänzend gehören DMARC, SPF und DKIM sauber konfiguriert, damit gefälschte Absenderdomains auffallen. Da aktuelle Kampagnen legitime Cloud-Dienste als Zwischenstation nutzen, reicht reines URL-Blocking allerdings nicht mehr aus – Verhaltensauffälligkeiten nach dem Klick müssen erkannt werden.

Detektion: Wer merkt es, wenn doch jemand klickt?

Kein Training und kein Filter verhindert jeden Klick. Entscheidend ist deshalb die Frage, wie schnell ein erfolgreicher Phishing-Versuch auffällt: die Anmeldung aus dem Ausland um 3 Uhr nachts, die plötzlich eingerichtete Weiterleitungsregel im Postfach, das ungewöhnliche Datenvolumen Richtung Cloud-Speicher. Genau hier setzt Managed Detection & Response (MDR) an – eine 24/7-Überwachung, die solche Signale erkennt und eingreift, bevor aus einem kompromittierten Konto ein Ransomware-Vorfall wird.

Awareness: Trainieren, aber richtig

Schulungen bleiben sinnvoll – aber als Dauerprozess, nicht als Jahrespflichttermin. Studien, die in der aktuellen Berichterstattung zitiert werden, gehen davon aus, dass Mitarbeitende rund 90 Prozent der Schulungsinhalte innerhalb von 30 Tagen vergessen (ad-hoc-news, 09.08.2026). Kurze, regelmäßige Impulse und realistische Phishing-Simulationen wirken besser als einmalige Präsenzschulungen. Awareness-Training und Phishing-Simulationen von Valyros sind auf KMU, Praxen und Kanzleien zugeschnitten. Ob Ihre technischen und organisatorischen Maßnahmen einem realistischen Angriff standhalten, lässt sich zudem gezielt mit einem Penetrationstest inklusive Phishing-Simulation prüfen.

Checkliste: 7 Maßnahmen gegen KI-Phishing

Für den schnellen Überblick – diese Punkte sollte jedes KMU in den nächsten Wochen abarbeiten:

• Rückruf-Regel für Zahlungs- und Datenfreigaben schriftlich einführen (Verifikation über bekannten Zweitkanal).
• Phishing-resistente MFA (FIDO2/Passkeys) für alle geschäftskritischen Konten aktivieren.
• DMARC, SPF und DKIM prüfen und durchsetzen.
• Postfach-Weiterleitungsregeln und OAuth-App-Freigaben regelmäßig auditieren.
• Kontinuierliche Awareness-Impulse statt Jahresschulung etablieren.
• 24/7-Detektion für Identitäten, Endpunkte und Cloud einrichten – intern oder über einen MDR-Dienstleister.
• Notfallplan für kompromittierte Konten definieren: Wer sperrt, wer meldet, wer kommuniziert? Valyros unterstützt Sie dabei mit Incident Response.

Fazit: Die Lage ist ernst, aber beherrschbar

Die BSI-Warnung ist kein Grund zur Panik, aber ein klarer Arbeitsauftrag: KI macht Phishing besser und billiger, also müssen Erkennung und Reaktion ebenfalls professioneller werden. Die gute Nachricht für KMU: Die wirksamsten Maßnahmen – Verifikationsprozesse, phishing-resistente MFA, kontinuierliche Überwachung – sind heute auch ohne eigenes Security-Team umsetzbar.

Wenn Sie wissen möchten, wo Ihr Unternehmen aktuell steht, unterstützen wir Sie gern mit einer unverbindlichen Ersteinschätzung Ihrer Erkennungs- und Reaktionsfähigkeit – pragmatisch, auf KMU-Niveau und ohne Produktverkauf im ersten Gespräch. Gespräch vereinbaren.

Quellen

• ad-hoc-news: BSI warnt vor KI-gesteuerten Cyberangriffen (04.08.2026)
• BornCity: Vishing-Kampagne UNC6671 mit KI-Stimmenimitation (08.08.2026)
• ad-hoc-news: Phishing-Trends Cloud, QR-Code, Microsoft Teams (09.08.2026)
• Google Threat Intelligence: Analyse der UNC6671-Kampagne