Wenn der CEO anruft und es nicht der CEO ist:  Wie KI Social Engineering auf ein neues Level hebt

Künstliche Intelligenz verändert nicht nur Geschäftsprozesse, sondern auch die Methoden von Cyberkriminellen. Besonders deutlich zeigt sich das beim Social Engineering, der gezielten Manipulation von Menschen. Was lange als einfache Betrugsmasche galt, entwickelt sich durch KI zu einer hochpräzisen, schwer erkennbaren und skalierbaren Angriffsform.

Die Frage lautet: Warum reichen klassische Security-Konzepte heute nicht mehr aus?

Vom simplen Trick zur hochpräzisen Angriffsmethode

Social Engineering ist kein neues Phänomen. Angreifer nutzen psychologische Mechanismen wie Autorität, Vertrauen oder Zeitdruck, um Menschen zu manipulieren. Anders als bei klassischen Cyberangriffen steht der Mensch im Fokus, nicht die Technik. Genau das macht diese Angriffe effektiv und schwer zu verhindern.

Neu ist die Qualität, mit der diese Manipulation stattfindet. Moderne KI-Systeme können Sprache, Texte und sogar visuelle Inhalte nahezu perfekt imitieren. Was früher an schlechten Formulierungen scheiterte, wirkt heute täuschend echt. Phishing-Mails greifen den Tonfall und Kontext realer Kommunikation auf. Sie sind sogar erfolgreicher als von Menschen verfasste Nachrichten.

Wenn Realität nicht mehr verlässlich ist

Noch drastischer wird diese Entwicklung im Bereich der Deepfakes. Stimmen lassen sich mit minimalem Audiomaterial klonen, sodass ein Anruf eines Vorgesetzten kaum noch von einem echten zu unterscheiden ist.

Die Angriffsfläche verschiebt sich erheblich. Es entstehen komplexe Angriffsszenarien, die mehrere Kommunikationskanäle gleichzeitig einbeziehen.

Diese neue Qualität ist keine theoretische Gefahr. In dokumentierten Fällen internationaler Unternehmen wurde ein Mitarbeiter während einer Videokonferenz von angeblichen Führungskräften zu einer Überweisung aufgefordert. Erst später stellte sich heraus, dass alle anderen Teilnehmer KI-generierte Deepfakes waren. Der Schaden lag im zweistelligen Millionenbereich.

Solche Beispiele zeigen, dass sich ein grundlegender Wandel vollzieht: Vertrauen basiert nicht mehr automatisch auf dem, was wir sehen oder hören.

Angriffe werden skalierbar und personalisiert

Ein zentraler Faktor ist die Geschwindigkeit und Skalierbarkeit. KI ermöglicht es Angreifern, ihre Methoden auszuweiten. Wo früher einzelne Phishing-Mails verschickt wurden, können heute tausende personalisierte Nachrichten schnell generiert werden.

Die notwendigen Informationen stammen oft aus öffentlich zugänglichen Quellen wie sozialen Netzwerken oder Unternehmenswebseiten. Es entstehen täuschend echte Szenarien, die individuell auf die Zielperson zugeschnitten sind.

Immer mehr verwertbares Material ist frei im Netz verfügbar – etwa durch Interviews, Vorträge oder Videoformate auf Plattformen wie YouTube. Stimmen und Sprachmuster von Führungskräften lassen sich daraus extrahieren und für Deepfakes oder gezielte Täuschungsversuche nutzen. Eine vollständige Vermeidung digitaler Präsenz ist für Unternehmen weder realistisch noch wünschenswert, da Sichtbarkeit zentral für moderne Geschäftsmodelle ist.

Gerade diese Kombination aus Personalisierung und Masse hebt Social Engineering auf ein neues Level und macht es für Unternehmen deutlich schwerer kontrollierbar.

Warum klassische Security hier an ihre Grenzen stößt

Viele Sicherheitsstrategien basieren auf einem überholten Angriffsbild und gehen davon aus, dass Bedrohungen durch technische Anomalien oder offensichtliche Fehler erkennbar sind. Diese Annahme ist nicht mehr haltbar.

Wenn jede Nachricht individuell generiert wird und keinerlei Auffälligkeiten mehr aufweist, verlieren klassische Filtermechanismen an Wirksamkeit. Awareness-Trainings stoßen an ihre Grenzen, wenn sie sich auf Beispiele konzentrieren, die wenig mit modernen Angriffen zu tun haben.

Gleichzeitig bleibt der menschliche Faktor zentral. Ein Großteil der Sicherheitsvorfälle ist nicht auf technische Schwachstellen zurückzuführen, sondern auf menschliche Entscheidungen. KI verstärkt dieses Problem, indem sie gezielt genau diese Schwachstelle adressiert.

Die eigentliche Gefahr: der Verlust von Vertrauen

Die tiefgreifendste Veränderung ist strukturell. Mit der zunehmenden Verbreitung von KI-gestütztem Social Engineering gerät das Fundament digitaler Kommunikation ins Wanken: Vertrauen.

Wenn nicht mehr klar ist, ob eine Nachricht, ein Anruf oder ein Video authentisch ist, wird jede Interaktion potenziell hinterfragt. Für Unternehmen bedeutet das ein erhöhtes Sicherheitsrisiko und eine wachsende Unsicherheit in Entscheidungsprozessen.

Damit verschiebt sich die Herausforderung von der reinen IT-Sicherheit hin zu einer grundlegenden Frage der digitalen Zusammenarbeit.

Was sich jetzt ändern muss

Um dieser Entwicklung zu begegnen, reicht es nicht aus, bestehende Maßnahmen einfach zu verstärken. Vielmehr braucht es ein Umdenken. Sicherheit muss als kontinuierlicher Prozess verstanden werden, der technische, organisatorische und menschliche Aspekte miteinander verbindet.

In der Praxis bedeutet das, Vertrauen neu zu definieren. Entscheidungen dürfen nicht mehr auf einzelnen Kommunikationskanälen basieren, auch wenn sie plausibel erscheinen. Kritische Anfragen sollten überprüft werden, etwa durch einen Rückruf über bekannte Kontaktdaten statt über die im Gespräch oder in der E-Mail genannten Informationen.

Auch sogenannte „Out-of-band“-Bestätigungen werden wichtig. Sensible Vorgänge werden dabei über einen zweiten, unabhängigen Kommunikationsweg verifiziert. Was früher zusätzlicher Aufwand war, wird damit zur grundlegenden Sicherheitsmaßnahme.

Gleichzeitig braucht es klare Prozesse für kritische Entscheidungen, die nicht durch eine einzelne Interaktion ausgelöst werden. Unternehmen, die solche Mechanismen frühzeitig etablieren, erhöhen ihre Sicherheit und stärken ihre Resilienz gegenüber einer Bedrohung, die sich kontinuierlich weiterentwickelt.

Fazit: Social Engineering 2.0 braucht Security 2.0

Die Kombination aus KI und Social Engineering markiert einen Wendepunkt in der Cybersicherheit. Angriffe werden effizienter und verändern ihre Struktur.

Unternehmen stehen vor einer neuen Realität: Nicht mehr die Technik allein entscheidet über Sicherheit, sondern das Zusammenspiel aus Technologie, Prozessen und menschlichem Verhalten.

Wer weiterhin auf klassische Konzepte setzt, reagiert auf eine Bedrohung von gestern. Wer jedoch versteht, wie KI Angriffe verändert, kann auch die richtigen Antworten entwickeln. Social Engineering 2.0 ist längst Realität und erfordert eine Sicherheitsstrategie, die dieser neuen Qualität gerecht wird.

Über den Autor

Nils Dohmen ist Cyber Defense Consultant bei SECUINFRA mit Fokus auf die Erkennung und Analyse moderner Cyberangriffe. Nach seinem Informatikstudium in Bonn sammelte er praktische Erfahrung in verschiedenen Bereichen der IT-Sicherheit – von ISMS-Governance über CERT-Strukturen bis hin zur Arbeit als SIEM-Consultant. Neben technischen Fragestellungen beschäftigt er sich intensiv mit dem menschlichen Faktor in der Cybersicherheit und der Frage, warum Social-Engineering-Angriffe so häufig erfolgreich sind.