KnowBe4-Stellungnahme zur Phishing-Erkennung trotz KI-basierter Raffinesse

Laut aktuellem „Phishing Trends Report“ von KnowBe4 enthalten bereits 86 Prozent ein gewisses Maß an KI-Unterstützung

[datensicherheit.de, 22.06.2026] Auf Künstlicher Intelligenz (KI) basierende Phishing-Angriffe wirken offenkundig professioneller denn je – laut einer aktuellen KnowBe4-Stellungnahme indes hinterlassen diese jedoch erkennbare Spuren in E-Mails, auf Phishing-Webseiten und sogar in versteckten Inhalten. Das „KnowBe4 Threat Lab-Team“ hat nun neue Erkenntnisse zu KI-gestützten Phishing-Kampagnen veröffentlicht: Laut dem aktuellen „Phishing Trends Report“ von KnowBe4 enthielten 86 Prozent der in den vergangenen sechs Monaten beobachteten Phishing-Angriffe ein gewisses Maß an KI-Unterstützung. In der Folge seien Phishing-Mails heute häufig grammatikalisch fehlerfrei, korrekt gebrandet, hochpersonalisiert und deutlich schwerer über klassische Warnsignale wie Tippfehler oder holprige Formulierungen zu erkennen. Die vorliegende Analyse zeige jedoch auch, dass KI-generierte Angriffe nicht unsichtbar seien: Sie hinterlassen demnach wiederkehrende Spuren – von typischen LLM-Formulierungen über auffällige Design- und Code-Muster bis hin zu versteckten Fülltexten, welche dazu dienten, Sicherheitsscanner zu täuschen.

Abbildung: KnowBe4

Beispiel einer Phishing-Attacke: Fälschung „Walmart GIFT-CARD“

KI hat „Qualität“ des Phishings verändert

Lange sei Phishing ein „Spiel der kleinen Fehler“ gewesen, so dass sich „Awareness“-Schulungen darauf konzentrieren konnten, schlechte Grammatik, unpassende Formulierungen oder fehlerhafte Logos zu erkennen.

• Dieses Modell reiche jedoch nun nicht mehr aus: KI-generierte Phishing-Kampagnen erzielten den im Bericht genannten Daten zufolge Klickraten von rund 54 Prozent, während es bei traditionell erstellten Kampagnen nur zwölf Prozent seien. Gleichzeitig sei Phishing wieder zum wichtigsten Vektor für „Initial Access“ geworden.

Untersucht wurden laut KnowBe4 E-Mail-Phishing-Kampagnen mit KI-gestützter Content-Erstellung, No-Code-Phishing-Infrastruktur und Anti-Analyse-Techniken. Dabei seien SEG-Erkennungen (d.h. klassische sichere E-Mail-Gateways) umgangen und Organisationen weltweit über mehrere Branchen hinweg ins Visier genommen worden.

Abbildung: KnowBe4

Beispiel einer Phishing-Attacke: Fälschung Google-Rechnung

KI hinterlässt trotzdem Spuren

Ein besonders deutliches Beispiel sei eine Phishing-Mail gewesen, welche mit einer typischen KI-Ausgabeformulierung begonnen habe: „Hier ist die Nachricht formatiert und in Abschnitte unterteilt.“ Offensichtlich habe der Angreifer die automatisch erzeugte Einleitung nicht entfernt. In derselben Kampagne hätten sich außerdem versteckte Anti-Fingerprinting-Elemente sowie Unicode-Homoglyphen befunden, welche optisch wie normale Zeichen wirkten, aber die technische Erkennung erschweren sollten.

• Sogar die Phishing-Infrastruktur habe KI-Spuren gezeigt: Die Angreifer hätten No-Code-Plattformen wie „Base44“, „Beacons.ai“ und „Retool“ genutzt, um täuschend echte „Credential Harvesting“-Seiten zu erstellen, darunter Imitationen von „Microsoft 365“, „Meta Business“ und „SharePoint“. Weil diese Seiten auf legitimen Plattformen gehostet würden, profitierten sie von deren Reputation. URL-Scanner und automatisierte Vertrauenssignale könnten dadurch ins Leere laufen.

Zusätzlich fanden Analysten auf Phishing-Seiten ausführliche, teils mehrsprachige Kommentare, welche die eigene Anti-Bot-Logik erklärt hätten, sowie typische KI-Artefakte wie eine „emoji“-lastige Gestaltung und überkonstruierte CSS-Strukturen. In einer Walmart-Reward-Kampagne seien außerdem unsichtbare, KI-generierte Büro-Konversationen eingebettet worden, um Scanner mit scheinbar harmloser Sprache zu täuschen.

KnowBe4-Tipps für IT-Sicherheitsteams

Visuelle Qualität dürfe nicht mit Legitimität verwechselt werden. Eine fehlerfreie, korrekt gebrandete E-Mail sei kein Beweis für Echtheit. Deshalb sollten „Awareness“-Trainings den Fokus von Tippfehlern auf belastbare Vertrauenssignale wie korrekte URLs, die Prüfung der Adressleiste auf Login-Seiten und Out-of-Band-Bestätigungen sensibler Anfragen verlagern.

• Zudem sollten Unternehmen reputationsbasierte Filter neu bewerten. „Wenn Phishing-Seiten auf legitimen No-Code-Plattformen gehostet werden, reichen Domain-Reputation und klassische URL-Bewertungen nicht aus.“ Die Detection-Logik sollte gezielt um LLM-Artefakte, ungewöhnliche Inhaltsstrukturen und versteckte Textmuster erweitert werden.

Das „KnowBe4 Threat Lab-Team“ gibt abschließend zu bedenken: „KI macht Phishing professioneller, skalierbarer und schwerer erkennbar. Doch auch KI-generierte Angriffe hinterlassen Spuren.“ Sie hinterließen typische Formulierungen, strukturelle Muster, auffällige Design- und Code-Merkmale sowie versteckte Fülltexte. Für Unternehmen bedeutet das: „,Security Awareness’ und technische Erkennung müssen sich weiterentwickeln – weg vom reinen Blick auf schlechte Grammatik, hin zur Prüfung von URLs, zur Bewertung des Kontexts und zur Erkennung von KI-Artefakten!“

Weitere Informationen zum Thema:

knowbe4
KnowBe4 News und Wissenswertes

knowbe4, KnowBe4 Blog, KnowBe4 Threat Lab
KnowBe4 Threat Lab is a research and analysis endeavor by seasoned cybersecurity professionals that discovers and investigates the latest phishing techniques and develops strategies to preemptively combat these threats. KnowBe4 Threat Lab specializes in researching and mitigating email threats and phishing attacks, using a combination of expert analysis and crowdsourced intelligence.

knowbe4, KnowBe4 Threat Lab, Jeewan Singh Jalal & Prabhakaran Ravichandhiran & Shikhar Dalela, 18.06.2026
What AI Can’t Hide When It Writes a Phishing Email

datensicherheit.de, 05.03.2026
Kratos: Neues Phishing-as-a-Service-Kit ermöglicht selbst Anfängern Ausführung hochkomplexer Angriffe / Vor Kurzem haben Sicherheitsanalysten der „KnowBe4 Threat Labs“ einen ersten Bericht zum Anfang 2026 aufgespürten Phishing-as-a-Service-Kit „Kratos“ vorgestellt

datensicherheit.de, 23.02.2025
Phishing-Saison 2025: IT-Entscheider sollten sich auf KI-gesteuerte Kampagnen vorbereiten / Agentenbasierte KI-Modelle sind eine spezielle Form Künstlicher Intelligenz (KI), bei der diese in Form vieler autonomer Einheiten operieren

datensicherheit.de, 23.04.2024
Zscaler-Report 2024: 60 Prozent Anstieg bei KI-gesteuerten Phishing-Angriffen / Der diesjährige Report enthält Trends zu Phishing-Aktivitäten und -Taktiken sowie Best Practices zur Steigerung der Sicherheit von Unternehmen