Künstliche Intelligenz verändert nicht nur unsere Arbeitswelt. Sie verändert auch die Art, wie Cyberangriffe vorbereitet, durchgeführt und skaliert werden. Phishing-Nachrichten wirken professioneller, betrügerische Anrufe glaubwürdiger und öffentlich erreichbare Systeme können schneller auf bekannte Schwachstellen geprüft werden.
Dabei ist eine wichtige Einordnung notwendig: Es sind in der Regel nicht „die künstlichen Intelligenzen“, die selbstständig Unternehmen angreifen. Es sind Menschen und kriminelle Gruppen, die KI sowie automatisierte Werkzeuge einsetzen. KI erleichtert ihnen die Recherche, verbessert Täuschungen und erhöht Geschwindigkeit und Reichweite ihrer Angriffe.
Für Unternehmen bedeutet das: Was gestern noch als ausreichender Basisschutz galt, muss heute überprüft werden. IT-Sicherheit, Datenschutz und die Sensibilisierung der Beschäftigten dürfen nicht länger getrennt betrachtet werden.
Früher ließen sich viele Phishing-E-Mails an schlechtem Deutsch, unpassenden Formulierungen oder auffälligen Übersetzungsfehlern erkennen. Dieses Warnsignal verliert an Bedeutung. Generative KI erstellt in Sekunden sprachlich saubere Nachrichten, passt Tonalität und Anrede an und kann öffentlich verfügbare Informationen über Unternehmen, Führungskräfte, Kunden oder Lieferanten in überzeugende Täuschungen einbauen.
Das britische National Cyber Security Centre kommt zu dem Ergebnis, dass KI insbesondere Aufklärung, Social Engineering und Phishing effizienter und schwerer erkennbar macht. Sie senkt außerdem die Einstiegshürde für weniger erfahrene Angreifer. Gleichzeitig bleibt für technisch anspruchsvolle Angriffe weiterhin menschliches Fachwissen erforderlich. KI ist also kein Zauberstab – aber ein erheblicher Beschleuniger. (NCSC: The near-term impact of AI on the cyber threat)
Auch die ENISA Threat Landscape 2025 zeigt die Größenordnung: In dem ausgewerteten Datensatz war Phishing bei rund 60 Prozent der beobachteten Fälle der erste Angriffsweg. Die Ausnutzung technischer Schwachstellen folgte mit 21,3 Prozent. Genau diese Kombination ist für Unternehmen gefährlich: Angreifer bearbeiten gleichzeitig den Menschen und die Technik.
Die gefälschte Rechnung, die angebliche Nachricht der IT-Abteilung oder die dringende Zahlungsanweisung der Geschäftsführung sind nicht neu. Neu sind Qualität und Skalierbarkeit.
Eine KI-gestützte Phishing-Mail kann sich auf reale Projekte, Namen oder Geschäftsbeziehungen beziehen. Ein vermeintlicher Geschäftsführer schreibt im vertrauten Stil. Eine nachgebaute Microsoft-Anmeldeseite sieht täuschend echt aus. Ergänzend können synthetische Stimmen oder Bilder bei Telefon- und Videobetrug die behauptete Identität glaubwürdiger erscheinen lassen.
Typische Warnzeichen bleiben dennoch bestehen:
Die wichtigste Regel lautet: Kritische Vorgänge werden über einen zweiten, bereits bekannten Kommunikationsweg verifiziert. Bei einer Zahlungsanweisung bedeutet das beispielsweise einen Rückruf unter einer bekannten Telefonnummer – nicht unter der Nummer aus der verdächtigen Nachricht.
Ein kompromittiertes E-Mail-Konto ist für Angreifer oft der Schlüssel zum Unternehmen. Sie können interne Kommunikation mitlesen, Passwortzurücksetzungen auslösen, Rechnungen manipulieren oder aus einem echten Postfach heraus weitere glaubwürdige Nachrichten versenden.
Deshalb reicht ein starkes Passwort allein nicht mehr aus. Jedes geschäftlich relevante Konto sollte mit Mehr-Faktor-Authentisierung (MFA) geschützt werden – insbesondere E-Mail-, Administrations-, Hosting-, Cloud- und Fernzugriffskonten. Das BSI empfiehlt MFA als wesentlichen Baustein eines angemessenen Sicherheitsniveaus. Wo möglich, sollten phishing-resistente Verfahren wie Passkeys oder Sicherheitsschlüssel bevorzugt werden.
Wichtig ist außerdem die Sensibilisierung für „MFA-Fatigue“: Angreifer lösen wiederholt Bestätigungsanfragen auf dem Smartphone aus und hoffen darauf, dass die betroffene Person irgendwann genervt zustimmt. Eine Freigabe, die man nicht selbst ausgelöst hat, wird immer abgelehnt und sofort intern gemeldet.
Ergänzend gehören ein Passwortmanager, ein einzigartiges Passwort pro Dienst und der Schutz der E-Mail-Domain durch SPF, DKIM und DMARC zu einem soliden Sicherheitskonzept.
WordPress ist weit verbreitet und deshalb ein attraktives Ziel. Das bedeutet nicht, dass WordPress grundsätzlich unsicher ist. Entscheidend ist der Zustand der gesamten Installation: WordPress-Core, Plugins, Themes, PHP-Version, Hosting-Umgebung, Benutzerkonten und Konfiguration greifen ineinander.
Jedes zusätzliche Plugin erweitert den Funktionsumfang – und zugleich die potenzielle Angriffsfläche. Kritisch wird es insbesondere, wenn Erweiterungen nicht mehr gepflegt, Updates verzögert oder unnötige Komponenten lediglich deaktiviert, aber nicht entfernt werden. WordPress selbst weist ausdrücklich auf Sicherheitslücken im Core sowie in Plugins und Themes hin und unterstützt einen koordinierten Prozess zur Behebung solcher Schwachstellen. (WordPress.org: Security)
KI und automatisierte Angriffswerkzeuge verschärfen das Problem: Veröffentlichte Schwachstellen können schneller ausgewertet, passende Systeme automatisiert gesucht und Angriffsversuche in großer Zahl gestartet werden. Die ENISA beobachtet, dass bekannte Schwachstellen teilweise bereits innerhalb weniger Tage nach ihrer Veröffentlichung für Angriffe nutzbar gemacht werden. Das Zeitfenster für Updates wird damit immer kleiner.
Für WordPress-Webseiten sollten deshalb mindestens folgende Maßnahmen umgesetzt werden:
Ein Backup, dessen Wiederherstellung nie getestet wurde, ist im Ernstfall eher eine Hoffnung als ein Sicherheitskonzept.
Technische Maßnahmen sind unverzichtbar. Sie können jedoch nicht jede gut vorbereitete Täuschung verhindern. Beschäftigte sind dabei nicht das „schwächste Glied“, sondern ein wichtiger Sensor im Sicherheitskonzept – vorausgesetzt, sie kennen die Warnzeichen und wissen, wie sie handeln sollen.
Gute Awareness-Schulungen arbeiten deshalb mit Situationen aus dem tatsächlichen Arbeitsalltag:
Auch das BSI zählt grundlegende Schulungen und Sensibilisierungsmaßnahmen zu den zentralen Bausteinen eines wirksamen Risikomanagements.
Entscheidend ist die Sicherheitskultur: Wer einen Verdacht meldet, macht etwas richtig. Angst vor Schuldzuweisungen kostet wertvolle Zeit. Bei einem möglichen Vorfall sollten Beschäftigte nicht selbst experimentieren, sondern den festgelegten Meldeweg nutzen und den Anweisungen der IT folgen.
Sobald ein Cyberangriff personenbezogene Daten betrifft, wird aus einem technischen Problem zugleich ein Datenschutzthema. Gestohlene Zugangsdaten, verschlüsselte Kundendaten, manipulierte Rechnungen, offengelegte Personalunterlagen oder ein übernommenes E-Mail-Postfach können die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten beeinträchtigen.
Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Dazu gehören – abhängig vom Einzelfall – unter anderem die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die Wiederherstellbarkeit von Daten sowie die regelmäßige Überprüfung der Schutzmaßnahmen.
Bei einer Verletzung des Schutzes personenbezogener Daten muss unverzüglich bewertet werden, ob eine Meldung an die zuständige Aufsichtsbehörde erforderlich ist. Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen, sieht Artikel 33 DSGVO grundsätzlich eine Meldung möglichst binnen 72 Stunden nach Bekanntwerden vor. Nicht jeder Vorfall ist automatisch meldepflichtig – aber jeder Verdacht gehört sofort in den internen Prüf- und Meldeprozess.
Die Unternehmensleitung bleibt für Organisation und Ressourcen verantwortlich. IT, Informationssicherheit, Datenschutzbeauftragter und gegebenenfalls externe Dienstleister sollten bereits vor einem Vorfall klären, wer welche Aufgaben übernimmt. Im Ernstfall ist keine Zeit, Zuständigkeiten erst auszuhandeln.
Hinzu kommt eine neue interne Regel: Vertrauliche, personenbezogene oder geschäftskritische Informationen dürfen nicht ungeprüft in frei verfügbare KI-Dienste eingegeben werden. Unternehmen benötigen klare Vorgaben dazu, welche KI-Werkzeuge freigegeben sind und welche Daten damit verarbeitet werden dürfen.
KI erfindet Cyberkriminalität nicht neu. Sie macht bestehende Methoden schneller, skalierbarer und überzeugender. Deshalb genügt es nicht, nur eine Firewall zu betreiben oder einmal jährlich über Phishing zu sprechen.
Wirksamer Schutz entsteht aus dem Zusammenspiel von aktueller Technik, klaren Verantwortlichkeiten, schnellen Updates, sicheren Konten, belastbaren Backups, geübten Meldewegen und aufmerksamen Beschäftigten. Datenschutz und IT-Sicherheit gehören dabei an einen Tisch.
Als externe Datenschutzbeauftragte unterstützen wir Unternehmen dabei, technische und organisatorische Maßnahmen risikoorientiert zu bewerten, Zuständigkeiten zu klären, Beschäftigte praxisnah zu sensibilisieren und Datenschutzvorfälle strukturiert vorzubereiten. Wer jetzt handelt, senkt nicht nur sein rechtliches Risiko – sondern schützt Betriebsfähigkeit, Vertrauen und Reputation.
Sie möchten wissen, wo in Ihrem Unternehmen derzeit die größten Risiken liegen? Dann lassen Sie uns Ihre bestehenden Schutzmaßnahmen, Meldewege und Schulungskonzepte gemeinsam auf den Prüfstand stellen.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche oder technische Einzelfallberatung.
Lassen Sie uns Ihre Schutzmaßnahmen, Meldewege und Schulungskonzepte gemeinsam auf den Prüfstand stellen – im kostenlosen Erstgespräch.
Erstgespräch buchen