So erkennen Sie von KI verfasste E-Mails und Phishing-Versuche

Generative KI hilft Betrügern dabei, ihre Phishing-Aktivitäten schnell und kostengünstig auszuweiten, was das Risiko für normale Bürger erhöht.

In einem Umfrage der „Harvard Business Review“ aus dem Jahr 2024, 60% der Teilnehmer fielen auf durch KI automatisiertes Phishing herein, das eine höhere Erfolgsquote aufwies als von Menschen verfasste Phishing-Versuche.

Lassen Sie uns eintauchen.

---

Wichtigste Erkenntnisse

• Generative KI macht es Angreifern einfacher und kostengünstiger, riesige Mengen an echt aussehenden Phishing-E-Mails zu erstellen.

• Sie können von KI verfasste Phishing-E-Mails erkennen, indem Sie den Schreibstil, den Tonfall, Unstimmigkeiten in den Details, die Absenderadressen, Abweichungen bei den Link-Domains, Authentifizierungsergebnisse und Anhänge untersuchen. Die KI-Erkennung kann die Untersuchung vereinfachen, indem sie den Schreibstil schneller analysiert. 

• Durch die Einrichtung eines KI-basierten Screening-Workflows wird sichergestellt, dass Ihr Team verdächtige E-Mails konsequenter identifizieren, Nachrichten mit höherem Risiko priorisieren und sensible Anfragen überprüfen kann, bevor Maßnahmen ergriffen werden.

---

Was sind von KI verfasste Phishing-E-Mails? 

Phishing-E-Mails täuschen die Empfänger, sodass diese den Angreifern Informationen, Geld, Zugangsdaten oder Zugriffsrechte preisgeben. Ein Angreifer kann sich als Kollege, Lieferant, Führungskraft, Bank oder eine andere vertrauenswürdige Organisation ausgeben, um die Anfrage glaubwürdig erscheinen zu lassen.

Von KI verfasste Phishing-E-Mails nutzen generative KI, um diese Täuschung zu erzeugen oder zu verfeinern. Ein Angreifer könnte ein KI-Tool beispielsweise dazu auffordern:

• Verfassen Sie eine E-Mail, in der Sie sich als Führungskraft ausgeben
• Eine Nachricht in einem professionelleren Ton umformulieren
• Eine Phishing-E-Mail in eine andere Sprache übersetzen
• Erstellen Sie eine individuelle Nachricht für einen bestimmten Mitarbeiter oder ein bestimmtes Unternehmen
• Erstelle mehrere Varianten desselben Betrugs
• Rechtschreib- und Grammatikfehler aus einem vorhandenen Entwurf entfernen

Zwar ändert die Technologie nichts am eigentlichen Ziel des Phishing, doch erleichtert und beschleunigt sie die Erstellung der Nachrichten in großem Umfang. Die „Harvard Business Review“ behauptet sogar, dass generative KI die Kosten für die Erstellung von Phishing-E-Mails um 95% senkt. 

Wie generative KI die Art und Weise verändert hat, wie alltägliche Geschäfts-E-Mails verfasst werden 

Generative KI hat auch die seriöse Geschäftskommunikation verändert. Seriöse Organisationen nutzen KI zum Verfassen von E-Mails, Gespräche zusammenzufassen, ihre Grammatik zu verbessern, Nachrichten zu übersetzen und ihren Ton anzupassen.

Das stellt ein Problem für alle dar, die versuchen, von KI verfasste Phishing-Versuche zu erkennen. Eine E-Mail kann ungewöhnlich professionell klingen, weil ein legitimer Mitarbeiter einen KI-Schreibassistenten genutzt hat. Ein Betrüger kann dieselbe Technologie nutzen, um eine ebenso professionell formulierte Nachricht zu verfassen.

Mithilfe von KI können Angreifer zudem in großem Umfang überzeugendere Varianten erstellen. Anstatt eine einzige allgemeine Nachricht an Hunderte von Personen zu versenden, kann ein Angreifer unterschiedliche Versionen für verschiedene Rollen, Unternehmen oder Situationen generieren.

Von KI verfasste E-Mails vs. Betrugsmaschen der alten Schule

Angreifer, die Phishing-Angriffe starten, verfügen oft nur über begrenzte Zeit und Ressourcen. Bevor generative KI allgemein zugänglich wurde, erstellten sie E-Mails anhand schnell erstellter Vorlagen und mangelhafter Übersetzungen, was zu Grammatikfehlern, holprigen Formulierungen, seltsamen Formatierungen und anderen offensichtlichen Mängeln führte. 

Generative KI macht es jedoch einfacher, diese Mängel zu beheben. Angreifer können generative KI nutzen, um fehlerfreie Nachrichten zu erstellen, die den gängigen Geschäftspraktiken entsprechen. 

Große Sprachmodelle (LLMs) können Informationen und sprachliche Muster zudem schneller und aus einer größeren Vielfalt an Quellen erlernen, was eine Personalisierung ermöglicht. Sie können Beiträge auf LinkedIn, Unternehmensnachrichten und Organigramme auswerten, um sich überzeugender als Einzelpersonen oder Unternehmen auszugeben. 

Von KI verfasste Phishing-E-Mails im Vergleich zu legitimen, KI-gestützten E-Mails

Der Einsatz von KI ist kein automatischer Beweis für böswillige Absichten. Zwar nutzen Betrüger KI, um Phishing-Angriffe in großem Stil durchzuführen, doch auch Unternehmen setzen dieselben Tools ein, um die alltägliche Kommunikation effizienter zu gestalten.

Der Einsatz von KI ist lediglich ein weiteres Anzeichen, das Prüfer bei der Bewertung verdächtiger E-Mails berücksichtigen sollten.

Um die Absicht zu überprüfen, kombinieren Sie die Informationen mit anderen Elementen, wie zum Beispiel:

• Absender: Gehört die Adresse tatsächlich der Person oder Organisation, für die sie angeblich steht?
• Kontext: Schließt sich die Nachricht an eine bereits bestehende Unterhaltung an?
• Wissen: Nennt der Absender Einzelheiten, die er vernünftigerweise wissen müsste?
• Anfrage: Entspricht die Maßnahme der Rolle des Absenders und dem üblichen Ablauf?
• Reiseziel: Führen Links und Anhänge dorthin, wo Sie es erwarten?
• Verifizierung: Können Sie die Anfrage über einen vertrauenswürdigen Kanal bestätigen?

Anhand dieser Überprüfungen können Sie zwischen E-Mails, die von einer KI zu betrügerischen Zwecken verfasst wurden, und legitimen E-Mails, bei deren Erstellung eine KI zum Einsatz kam, unterscheiden. 

Anzeichen dafür, dass eine E-Mail von einer KI verfasst wurde

Generative KI erzeugt Antworten, indem sie die statistisch wahrscheinlichste Fortsetzung einer Spracheinheit vorhersagt. Daher weisen die meisten von KI generierten E-Mails erkennbare stilistische Muster auf.

Auch wenn keines dieser Muster für sich genommen eindeutig beweist, dass eine E-Mail von einer KI verfasst wurde, können zwei oder drei davon in Kombination einen Verdacht begründen. 

Gleichmäßige Satzlänge und Rhythmus

In von Menschen verfassten Texten werden in der Regel Variationen in Satzlänge, Rhythmus und Formulierung genutzt, um den Tonfall oder Emotionen zu vermitteln. Im Gegensatz dazu weisen von KI generierte Nachrichten einen gleichbleibenden Rhythmus und eine einheitliche Satzstruktur auf. 

Gleichmäßig verteilte Anschlüsse und Absicherung

Von KI generierte Texte stützen sich möglicherweise stärker auf explizite Übergangswörter wie “außerdem”, “darüber hinaus” und “zudem”, um Gedanken miteinander zu verknüpfen und einen klaren Lesefluss zu gewährleisten.

Zwar kommen diese Verbindungswörter auch in menschlichen Texten vor, doch wecken sie Misstrauen, wenn sie sehr häufig verwendet werden oder wenn ihre Verwendung vom typischen Stil des Verfassers abweicht. 

Leere Zusammenfassungen

LLMs generieren Text abschnittsweise und verfügen über keinen zuverlässigen internen Mechanismus, um zu beurteilen, wann eine E-Mail genügend Informationen enthält. Infolgedessen fügen sie möglicherweise unnötige Zusammenfassungen, Schlussfolgerungen oder Erläuterungen hinzu.

Formatierungsfehler

Text, der direkt aus einem KI-Chat eingefügt wird, kann Formatierungen enthalten, die nicht zur üblichen E-Mail-Kommunikation passen, darunter unerwartete Markdown-Elemente, ungewöhnliche Abstände oder unnötige Überschriften.

Anzeichen dafür, dass es sich bei einer E-Mail um einen Phishing-Betrug handelt

Auch wenn Phishing-E-Mails selbst vorsichtige Empfänger täuschen können, hilft es Ihnen, verdächtige Nachrichten zu erkennen, bevor Sie darauf reagieren, wenn Sie wissen, worauf Sie achten müssen.

Die meisten Phishing-E-Mails weisen typische Anzeichen auf, anhand derer Sie einen möglichen Betrugsversuch erkennen können, wie beispielsweise ungewöhnliche Absenderadressen, verdächtige Links, unerwartete Aufforderungen und Versuche, ein Gefühl der Dringlichkeit zu erzeugen.

Generische Spezifität

Phishing-E-Mails beziehen sich möglicherweise auf vage aktuelle Themen wie ein “aktuelles Projekt”, einen “laufenden Arbeitsablauf” oder eine “bevorstehende Priorität”, ohne Details anzugeben, die der Empfänger überprüfen kann. Diese Formulierungen erwecken den Eindruck einer persönlichen Ansprache, um die Empfänger zu täuschen. 

Dringlichkeit und Vertraulichkeit

Angreifer nutzen häufig das Gefühl ihrer Opfer aus, dass viel auf dem Spiel steht oder Eile geboten ist. Sie setzen die Empfänger unter Druck, indem sie ihnen knappe Fristen setzen, Drohungen aussprechen oder sie auffordern, die Angelegenheit geheim zu halten. 

Achten Sie auf:

• Fristen, die noch am selben Tag oder sofort eingehalten werden müssen.
• Ersucht darum, die Angelegenheit geheim zu halten.
• Plötzliche Änderungen der Zahlungsdaten.
• Anfragen zu Geschenkgutscheinen.
• Drohungen bezüglich der Kontoschließung oder versäumter Zahlungen.

Widersprüchliche Angaben

Eine E-Mail kann korrekte, aber veraltete Informationen enthalten oder Einzelheiten erwähnen, von denen der vermeintliche Absender vernünftigerweise keine Kenntnis haben kann.

Anfragen, die die üblichen Abläufe umgehen

Angreifer fordern die Empfänger häufig dazu auf, etablierte Abläufe zu ignorieren. In einer E-Mail könnten Sie beispielsweise dazu aufgefordert werden:

• Umgehung der Beschaffung
• Ein Ticketingsystem überspringen
• Vermeiden Sie einen üblichen Genehmigungsprozess
• Zahlung ohne die üblichen Unterlagen überweisen
• Geld überweisen ohne Genehmigung durch zwei Personen

Sollten Sie eine vertrauliche oder ungewöhnliche Anfrage erhalten, überprüfen Sie den Absender über einen vertrauenswürdigen Kanal und nicht direkt über die E-Mail oder die darin enthaltenen Links.

Wenn Ihnen beispielsweise ein Lieferant per E-Mail mitteilt, dass seine Zahlungsdaten geändert werden sollen, rufen Sie den Lieferanten unter einer Telefonnummer aus Ihren vorhandenen Unterlagen an oder wenden Sie sich über einen vertrauenswürdigen Kanal an Ihren üblichen Kundenbetreuer.

Absenderadressen

Angreifer können den Anzeigenamen einer vertrauenswürdigen Organisation oder Person fälschen, um eine E-Mail als legitim erscheinen zu lassen. Oft verwenden sie dafür Domains, die der Originaldomain ähneln oder in keinem Zusammenhang mit ihr stehen, als Absenderadresse; manche Angreifer sind jedoch auch in der Lage, die sichtbare „Von“-Adresse zu fälschen.

Überprüfen Sie stets die vollständige Absenderadresse auf geringfügige Abweichungen von der legitimen Domain. Ein vertrauter Anzeigename allein ist kein Beweis dafür, dass eine E-Mail tatsächlich von der Person oder Organisation stammt, für die sie angeblich steht.

Abweichungen bei Link-Domains

Das Anklicken eines Links in einer betrügerischen E-Mail kann Sie verschiedenen Risiken aussetzen, darunter dem Diebstahl von Zugangsdaten, Malware und der Übernahme Ihres Kontos. 

Bevor Sie auf einen Link klicken, bewegen Sie den Mauszeiger auf dem Desktop darüber oder drücken Sie auf dem Smartphone lange darauf, um eine Vorschau der Ziel-URL anzuzeigen. In betrügerischen E-Mails stimmen die Domain-Links nicht mit der Website überein, die der Absender angeblich vertritt. Angreifer können diese Diskrepanz durch subtile Änderungen wie Rechtschreibfehler, zusätzliche Wörter oder ungewöhnliche Subdomains verschleiern. 

Sie sollten außerdem vorsichtig sein, wenn der Link einen URL-Kürzer verwendet oder Sie auf eine unerwartete Domain weiterleitet. Wenn Sie nicht überprüfen können, wohin ein Link führt, klicken Sie nicht darauf. Rufen Sie stattdessen direkt die offizielle Website der Organisation auf oder kontaktieren Sie den Absender über einen vertrauenswürdigen Kanal.

Authentifizierungsergebnisse

E-Mail-Header können Authentifizierungsergebnisse enthalten, die nützliche Hinweise liefern:

• SPF: Prüft, ob der sendende Server berechtigt ist, E-Mails für die Domain zu versenden.
• DKIM: Nutzt eine kryptografische Signatur, um zu überprüfen, ob die Nachricht von einem autorisierten System stammt und während der Übertragung nicht verändert wurde.
• DMARC: Baut auf SPF und DKIM auf und ermöglicht es Domain-Inhabern, festzulegen, wie empfangende Systeme mit Authentifizierungsfehlern umgehen sollen.

Ein Authentifizierungsfehler bedeutet nicht automatisch, dass jemand eine Phishing-E-Mail verschickt hat, stellt jedoch einen wichtigen Anhaltspunkt für weitere Untersuchungen dar.

Unerwartete Dateien, QR-Codes und Einladungen in Form von Dokumenten

Angreifer nutzen in der Regel Anhänge, um Empfänger auf bösartige Seiten zu leiten. Häufige Beispiele hierfür sind:

• Unerwartete Dateien, die Angreifer zum Einschleusen von Malware nutzen
• QR-Codes, die oft zu betrügerischen Websites führen
• Einladungslinks für freigegebene Dokumente, die in der Regel zu gefälschten Anmeldeseiten führen

Seien Sie vorsichtig bei E-Mails, die solche Anhänge enthalten, insbesondere wenn der Absender – dessen Identität der Angreifer vortäuschen möchte – diese Methoden normalerweise selten nutzt. Überprüfen Sie weitere Anzeichen, wie beispielsweise die Absenderadresse und Unstimmigkeiten bei der Domain, bevor Sie Maßnahmen ergreifen.  

So nutzen Sie die KI-Erkennung für Phishing-E-Mails

Eine Möglichkeit, Phishing-E-Mails effizient zu erkennen, besteht darin, sie durch einen KI-Textdetektor. Diese Tools nutzen forensische Analysen, um Texte auf Anzeichen zu überprüfen, die üblicherweise mit generativer KI in Verbindung gebracht werden. 

Anhand dieser Anhaltspunkte berechnen sie die Wahrscheinlichkeit, dass der Text von einer KI generiert oder bearbeitet wurde. Der daraus resultierende Erkennungswert kann als Triage-Indikator dienen, der weitere Untersuchungen auslöst. 

So erstellen Sie einen KI-basierten Screening-Workflow

Ein effektiver E-Mail-Prüfungsprozess kombiniert KI-basierte Erkennung mit menschlicher Überprüfung und bewährten Sicherheitsmaßnahmen. 

Schritt 1: Eine Triage-Regel festlegen

Der erste Schritt beim Aufbau eines E-Mail-Prüfungsverfahrens besteht darin, festzustellen, welche Arten von Nachrichten einer zusätzlichen Überprüfung bedürfen. Am besten konzentriert man sich dabei auf die Arten von E-Mails, mit denen Betrüger häufig die Identität anderer vortäuschen, wie zum Beispiel:

• Finanzen und Zahlungsaufforderungen, wie beispielsweise Rechnungen, Überweisungen oder Änderungen der Bankverbindung
• Kommunikation mit Lieferanten, insbesondere Nachrichten zu Zahlungen, Verträgen oder Kontoaktualisierungen
• Personal-Kommunikation, wie beispielsweise Anfragen nach Mitarbeiterdaten oder Unterlagen zu Sozialleistungen
• Anträge der Geschäftsleitung, insbesondere dringende Bitten um Geld, vertrauliche Informationen oder ungewöhnliche Gefälligkeiten
• IT- und Sicherheitswarnungen, wie z. B. das Zurücksetzen von Passwörtern, die Sperrung von Konten oder Software-Updates
• E-Mails zum ersten Kontakt mit externen Ansprechpartnern, insbesondere wenn zwischen dem Absender und dem Empfänger keine bestehende Beziehung besteht
• Einladungen zu gemeinsam genutzten Dokumenten, insbesondere unerwartete Anfragen zum Anzeigen oder Bearbeiten einer Datei

Die Einrichtung eines Triage-Systems hilft Ihrem Team dabei, sich auf Nachrichten mit höherem Risiko zu konzentrieren. Es stellt sicher, dass die Mitarbeiter wissen, wie sie mit typischen Fällen umgehen müssen, was die Effizienz steigert. 

Schritt 2: Den Eskalationspfad festlegen

Der nächste Schritt besteht darin, festzulegen, wie mit markierten Nachrichten umgegangen werden soll. Dazu gehört, zu bestimmen, wohin Mitarbeiter verdächtige E-Mails weiterleiten sollen, und festzulegen, wer ungewöhnliche Anfragen genehmigen darf. 

Schritt 3: Out-of-Band-Verifizierung hinzufügen

Wenn in einer als verdächtig markierten Nachricht nach vertraulichen Informationen gefragt wird oder eine wichtige Handlung verlangt wird, sollten Sie vor einer Antwort zunächst die Legitimität des Absenders überprüfen.

Dies können Sie erreichen, indem Sie von den Mitarbeitern verlangen, dass sie sensible oder ungewöhnliche Anfragen über eine bekannte Telefonnummer oder einen internen Kommunikationskanal bestätigen, anstatt direkt über die E-Mail oder einen der in der E-Mail genannten Kanäle.

Wenn Sie beispielsweise eine E-Mail von einem Lieferanten erhalten, in der dieser Sie bittet, seine Zahlungsdaten zu ändern, können Sie die Anfrage wie folgt überprüfen:

• Den Anbieter unter einer Telefonnummer anrufen, die Sie bereits gespeichert haben.
• Wenden Sie sich über eine andere E-Mail-Adresse oder Telefonnummer an Ihren üblichen Kundenbetreuer.
• Sprechen Sie mit Ihrem Beschaffungs- oder Finanzteam, um die Änderung zu bestätigen.
• Überprüfung der vorhandenen Daten des Anbieters, um sicherzustellen, dass die neuen Angaben mit einer verifizierten Anfrage übereinstimmen.

Dieser zusätzliche Schritt verhindert, dass Sie auf potenziell betrügerische Nachrichten reagieren, und verringert so das Risiko finanzieller Verluste oder eines Datenlecks. 

Schritt 4: Trainieren Sie mit echten Beispielen

Außerdem ist es unerlässlich, die Mitarbeiter in Bezug auf typische Fälle zu schulen. Planen Sie regelmäßige Schulungsprogramme ein, in denen den Mitarbeitern als verdächtig markierte E-Mails aus der Vergangenheit gezeigt werden. Erläutern Sie, was jede einzelne Nachricht verdächtig machte, und beschreiben Sie, wie das Unternehmen darauf reagiert hat. 

Auf diese Weise können sich die Mitarbeiter in einer risikofreien Umgebung mit konkreten Vorgehensweisen vertraut machen. So wird verhindert, dass sie Fehler begehen, wenn echtes Geld, Informationen oder andere Vermögenswerte auf dem Spiel stehen. 

Schritt 5: Ergebnisse protokollieren

Um zukünftige Arbeitsabläufe und Schulungsmaßnahmen zu verbessern, sollten Sie ein Protokoll über bisherige Reaktionen führen. Erfassen Sie, welche Nachrichten sich als legitim herausgestellt haben und welche tatsächliche Bedrohungen darstellten. Anhand dieser Ergebnisse können Sie Ihre Regeln verfeinern und erkennen, an welchen Stellen Ihr Überprüfungsprozess zu Fehlalarmen oder versäumten Erkennungen führt.

Wo ein KI-Detektor zum Einsatz kommt

KI-Detektoren können als zusätzliche Filterebene innerhalb eines E-Mail-Workflows dienen. Zwar beweisen Erkennungswerte nicht, dass eine E-Mail bösartig ist, doch bieten sie den menschlichen Prüfern ein weiteres Indiz, das sie neben dem Absender, dem Kontext der Nachricht, den Authentifizierungsergebnissen, den Links, den Anhängen und der angeforderten Aktion berücksichtigen können.

Zusammen bieten diese Hinweise eine klarere Grundlage für die Entscheidung, wie mit der E-Mail umgegangen werden soll.

Häufig gestellte Fragen

Schlussgedanken

Auch wenn KI die Erstellung von Phishing-E-Mails erleichtert, können Unternehmen dennoch viele dieser Versuche erkennen, indem sie einen klaren KI-Prüfungsworkflow einrichten, der KI-Erkennungstechnologie mit menschlichem Urteilsvermögen kombiniert.

Setzen Sie KI-Detektoren bei E-Mail-Typen mit hohem Risiko ein, um diese schneller zu kennzeichnen, und bewerten Sie anschließend den Erkennungswert unter Berücksichtigung von Faktoren wie Absenderadressen, Schreibstil, Nachrichtenkontext, Links und Anhängen. 

Nicht nachweisbare AI kann Ihnen dabei helfen, KI-generierte Phishing-Angriffe schnell zu erkennen. Unsere Erkennungswerte können als zusätzliches Filterkriterium dienen und Ihre bestehenden E-Mail-Sicherheitsprüfungen unterstützen, damit Sie fundierte Entscheidungen treffen können.