Cisco ist nicht das einzige Unternehmen, das einen Anstieg KI-gestützter Phishing-Angriffe beobachtet. Die Plattform für Human-Risk-Management Hoxhunt verzeichnete laut einem eigenen Bericht im Dezember 2025 einen Sprung des KI-generierten Anteils an Phishing-Angriffen von 4 auf 56 Prozent während der Feiertage; im Januar sank der Wert nur leicht auf 40 Prozent.
KI führe zu natürlicher klingenden Ködern, mehr Personalisierung und sauberer Formatierung, was sowohl die Filterung als auch das Erkennen durch Menschen erschwere, sagt Mika Aalto, Mitgründer und Geschäftsführer des in Helsinki ansässigen Unternehmens. „Es steht außer Frage, dass sich die Bedrohungslage verschoben hat", so Aalto.
Auch die Vielfalt der Köder hat zugenommen. Vor einem Jahr verschickten Angreifer dieselbe E-Mail an zehn verschiedene Personen, bevor sie den Inhalt – meist nur geringfügig – änderten. Inzwischen liege dieser Wert bei 1,8 E-Mails pro Kampagne, sagt Erich Kron, CISO-Berater beim Human-Risk-Management-Unternehmen KnowBe4. Solche rasch wechselnden Mails, bekannt als polymorphes Phishing, hätten durch den verstärkten Einsatz von KI-Werkzeugen massiv an Fahrt gewonnen. „Wir führen das ganz klar auf KI zurück", sagt Kron. „Niemand sitzt mehr an der Tastatur und ändert manuell die Schadlast in jeder einzelnen verschickten Nachricht."
Daten von Microsoft zeigen ebenfalls, dass KI zu überzeugenderen Angriffen führt: Die Klickraten bei KI-gestütztem Phishing seien auf 54 Prozent gestiegen, gegenüber durchschnittlich zuvor 12 Prozent.
Häufig zielen Phishing-Angriffe auf die legitimen Zugangsdaten privilegierter Nutzer. Sowohl Cisco Talos als auch KnowBe4 beobachten mehr Nachrichten, die gezielt Systemadministratoren, Führungskräfte und Buchhaltungsteams ins Visier nehmen. „Identität ist ein riesiges Ziel", sagt Biasini. „Als Angreifer will ich keinen Exploit nutzen. Ich kompromittiere viel lieber Ihr E-Mail-Konto oder Ihre Zugangsdaten, dringe in Ihre Umgebung ein und kann dort verdeckter agieren – in der Hoffnung auf finanziellen Gewinn." Untersuchungen von Google Mandiant ergaben, dass 83 Prozent der Erstzugriffswege in irgendeiner Form Identitäten ausnutzten, darunter ein Drittel mit Phishing-Techniken.
Erschwerend kommt der Missbrauch legitimer Dienste hinzu – von Gmail-Konten über Docusign und Outlook bis zu Salesforce. Phishing-Mails stammten häufig von Domains, die E-Mail-Authentifizierung wie DMARC (Domain-based Message Authentication, Reporting and Conformance) implementiert hätten, was den Nachrichten einen Anstrich von Seriosität verleihe und erste Schutzmechanismen umgehe, so Aalto. „Wenn Phishing-Links zu vertrauenswürdigen Cloud-Werkzeugen, Kollaborationsplattformen oder No-Code-Diensten führen, wirkt die Aktivität oberflächlich normal", erklärt er. Nutzer achteten dann nicht mehr auf verräterische Grammatikfehler oder unstimmige URLs.
Multifaktor-Authentifizierung (MFA) sei zwar zentral für den Schutz von Identitäten, dürfe aber nicht als alleinige Maßnahme dienen: Laut Cisco Talos waren bei mehr als einem Drittel der untersuchten Angriffe (35 Prozent) Schwächen in der MFA beteiligt. Biasini empfiehlt Unternehmen, selbst verstärkt auf KI zu setzen: „Wenn Ihre Angreifer sich stark auf KI stützen, sollten Sie das wahrscheinlich auch tun." Wenn ein KI-Agent eine Schwachstelle finden könne, dann theoretisch auch mehrere.