Cyberkriminelle nutzen künstliche Intelligenz für eine perfide neue Betrugsmasche: Fake-CAPTCHAs wiegen Nutzer in falscher Sicherheit, bevor ihre Zugangsdaten gestohlen werden. Die raffinierte Methode umgeht sowohl menschliche Aufmerksamkeit als auch automatische Sicherheitsfilter.

Sicherheitsforscher von Trend Micro warnen vor einem dramatischen Anstieg dieser KI-gestützten Angriffe. Seit Januar 2025 missbrauchen Betrüger verstärkt Entwicklungsplattformen wie Vercel, Netlify und Lovable, um täuschend echte Phishing-Seiten zu erstellen. Besonders zwischen Februar und April sowie im August explodierten die Angriffszahlen förmlich.

Das Perfide: Die Täter senken die Einstiegshürde für Cyberkriminalität drastisch. Selbst Laien können ohne technische Kenntnisse über kostenlose Dienste binnen Sekunden professionelle Betrugsseiten erstellen.

Täuschung mit System: So funktioniert der KI-Betrug

Der Angriff folgt einem durchdachten Schema. Zunächst landet eine harmlos wirkende E-Mail im Postfach – oft mit dringend klingenden Betreffzeilen wie "Passwort-Reset erforderlich". Wer den Link anklickt, gelangt jedoch nicht direkt zur gefälschten Login-Seite, sondern zu einem scheinbar harmlosen CAPTCHA-Test.

Dieser Zwischenschritt ist der Schlüssel zum Erfolg. CAPTCHAs gelten als vertrauenswürdiges Sicherheitsmerkmal – wer sie sieht, denkt an Schutz, nicht an Betrug. Nach dem "Lösen" des Tests folgt die Weiterleitung zur echten Phishing-Seite, wo Passwörter und Nutzerdaten abgegriffen werden.

Die Erstellung solcher Seiten ist erschreckend einfach geworden. Ein simpler Textbefehl wie "Erstelle eine Kopie von login.okta.com" genügt KI-Tools wie Vercels v0, um binnen Sekunden überzeugende Fälschungen zu produzieren. Laut Trend Micro hostet Vercel die meisten gefälschten CAPTCHA-Seiten, gefolgt von Lovable und Netlify.

Doch damit nicht genug: Die KI personalisiert auch die Köder-E-Mails. Sie analysiert öffentliche Social-Media-Profile und Unternehmenskommunikation, um den Schreibstil der Zielperson perfekt zu imitieren. Solche maßgeschneiderten Nachrichten durchbrechen herkömmliche Spam-Filter mühelos.

Anzeige: Phishing landet heute oft zuerst auf dem Smartphone – genau dort greifen Fake-CAPTCHAs und KI-Mails besonders häufig. Ein kostenloser Ratgeber zeigt die 5 wichtigsten Schutzmaßnahmen für Android – ohne teure Zusatz-Apps und mit klaren Schritt-für-Schritt-Anleitungen für WhatsApp, Browser, Banking & Co. So senken Sie das Risiko von Datenklau und Schadsoftware spürbar. Jetzt das kostenlose Android‑Sicherheitspaket sichern

Doppelangriff auf Mensch und Maschine

Die Fake-CAPTCHA-Strategie ist deshalb so erfolgreich, weil sie gleichzeitig menschliche Psychologie und automatische Sicherheitssysteme überlistet. Nutzer assoziieren CAPTCHAs mit Seriosität und senken ihre Wachsamkeit. Gleichzeitig scheitern viele Scanner an der scheinbaren Sicherheitsbarriere und analysieren die dahinterliegende Betrugsseite gar nicht erst.

Die Täter verstärken ihre Tarnung zusätzlich: Dynamisch generierter HTML-Code mit zufälligen Elementen und ständig wechselnde Domain-Namen machen signaturbasierte Erkennungssysteme wirkungslos. Das FBI warnt bereits vor dieser neuen Generation KI-gestützter Angriffe, die traditionelle Sicherheitsfilter systematisch umgehen.

Was früher Experten vorbehalten war, können heute auch Laien: Dank Phishing-as-a-Service-Plattformen wie dem kürzlich zerschlagenen RaccoonO365 mieten Kriminelle fertige KI-Betrugstools im Abo-Modell.

Wettrüsten zwischen Angreifern und Verteidigern

Die Entwicklung zeigt das Dilemma der KI-Revolution: Dieselben Tools, die Innovation fördern, bewaffnen auch Kriminelle. Sicherheitsexperten reagieren mit einer Neuausrichtung ihrer Strategien – weg von reaktiven Maßnahmen hin zu proaktiven, KI-gestützten Abwehrsystemen.

Moderne Sicherheitslösungen analysieren bereits komplette Weiterleitungsketten und erkennen bösartige Absichten am Verhalten statt an Signaturen. Unternehmen setzen verstärkt auf passwortlose Authentifizierung und intensive Mitarbeiterschulungen für diese neuen, subtilen Bedrohungen.

Der Cybersecurity-Sektor befindet sich in einem neuen Wettrüsten. Während Angreifer KI zur Automatisierung nutzen, müssen Verteidiger mit gleichwertigen KI-Tools kontern. Diese analysieren Sprachmuster in verdächtigen E-Mails, erkennen Anomalien im Web-Traffic und sagten Bedrohungen voraus, bevor sie flächendeckend eingesetzt werden.

Ausblick: Die nächste Stufe der digitalen Täuschung

Experten rechnen mit einer weiteren Eskalation: Bald könnten Deepfake-Audio und -Video für noch gezieltere Telefonbetrug und Business-E-Mail-Kompromittierungen zum Einsatz kommen. Die sinkenden Kosten und Hürden werden zu einer Flut glaubwürdiger Angriffe führen.

Die Gegenmaßnahmen sind vielschichtig: Robuste Zwei-Faktor-Authentifizierung schwächt gestohlene Passwörter ab, Passwort-Manager erkennen gefälschte Seiten automatisch. Kontinuierliche Mitarbeiterschulungen bleiben unverzichtbar – mit Fokus auf die neuen CAPTCHA-basierten Tricks.

Anzeige: Passend zum Thema Phishing-Abwehr: In wenigen Minuten machen Sie Ihr Android‑Smartphone deutlich sicherer. Der Gratis‑Guide erklärt die 5 wichtigsten Einstellungen, prüft Apps, stärkt Ihre Online‑Konten und reduziert das Risiko, auf gefälschte Login‑Seiten hereinzufallen. Ideal für alle, die WhatsApp, Online‑Shopping oder Banking nutzen. Kostenlosen Sicherheits‑Guide herunterladen

Letztendlich erfordert der Kampf gegen KI-Cyberkriminalität koordinierte Anstrengungen von Technologieunternehmen, Sicherheitsfirmen und Strafverfolgern. Nur durch proaktive, mehrschichtige Sicherheitskonzepte lässt sich die nächste Generation digitaler Täuschung erfolgreich abwehren.