KI macht Ransomware-Angriffe gefährlicher

Künstliche Intelligenz verändert die Vorgehensweise von Cyberkriminellen und erhöht die Erfolgsquote von Ransomware-Angriffen deutlich.

Vor allem Phishing, Identitätsdiebstahl und der Missbrauch gestohlener Zugangsdaten werden durch KI effizienter, wodurch Angreifer leichter in Unternehmensnetzwerke eindringen können. Zu diesem Ergebnis kommt der aktuelle „AI-Era Ransomware Report 2026“ des Cybersicherheitsunternehmens Proofpoint.

Für den Bericht wurden 953 Cybersicherheitsexperten aus zwölf Ländern befragt. Die Ergebnisse zeigen, dass Ransomware längst nicht mehr nur auf die Verschlüsselung von Daten abzielt. Stattdessen setzen Angreifer zunehmend auf langfristige Erpressungsstrategien, bei denen sensible Informationen gestohlen und Unternehmen mehrfach unter Druck gesetzt werden.

(Bildquelle: Proofpoint)

KI verbessert bestehende Angriffsmethoden

Nach Angaben von Proofpoint sehen 66 Prozent der betroffenen Unternehmen in Deutschland einen direkten Zusammenhang zwischen dem Einsatz von KI und einer höheren Wirksamkeit von Ransomware-Angriffen. Davon sprechen 26 Prozent von einer deutlichen Steigerung der Effektivität, weitere 40 Prozent beobachten einen moderaten Einfluss. Lediglich fünf Prozent fanden keine Hinweise darauf, dass künstliche Intelligenz bei den Angriffen eingesetzt wurde.

Die Studie macht deutlich, dass KI den Ablauf von Ransomware-Kampagnen nicht grundlegend verändert, Angreifern aber hilft, Phishing-Nachrichten glaubwürdiger zu formulieren, Identitäten überzeugender zu imitieren und gestohlene Zugangsdaten gezielter auszunutzen.

Der Mensch bleibt die wichtigste Schwachstelle

Die Untersuchung zeigt, dass erfolgreiche Angriffe in den meisten Fällen mit menschlicher Interaktion beginnen. Phishing-E-Mails und andere Social-Engineering-Angriffe bildeten bei 37 Prozent der Vorfälle den Einstieg. Besonders häufig kamen schädliche Links und infizierte Anhänge zum Einsatz, die jeweils in 45 Prozent der Fälle eine Rolle spielten. Hinzu kamen der Diebstahl von Anmeldedaten (37 Prozent) sowie Business Email Compromise (26 Prozent).

Angreifer setzen zunehmend auf vertrauenswürdige Kommunikation und umgehen Sicherheitsmechanismen, indem sie Mitarbeiter gezielt täuschen.

Datendiebstahl rückt stärker in den Mittelpunkt

Während Ransomware früher vor allem Systeme verschlüsselte, verfolgen Täter heute umfassendere Ziele. Laut der Studie wurden bei 67 Prozent der betroffenen deutschen Unternehmen sensible Daten entwendet. Die gestohlenen Informationen dienen anschließend als zusätzliches Druckmittel für weitere Erpressungsversuche oder werden auf kriminellen Marktplätzen verkauft beziehungsweise für Folgeangriffe genutzt.

Damit entwickelt sich Ransomware immer stärker zu einer Kombination aus Datendiebstahl, Identitätsmissbrauch und finanzieller Erpressung.

Lösegeldzahlungen lösen das Problem oft nicht

Obwohl Sicherheitsbehörden seit Jahren davon abraten, Lösegeldforderungen nachzukommen, zahlten 41 Prozent der betroffenen Unternehmen in Deutschland. Für viele endete die Zahlung jedoch nicht mit dem Angriff: 29 Prozent der Unternehmen, die Lösegeld überwiesen hatten, wurden anschließend erneut erpresst.

Die Ergebnisse zeigen, dass Cyberkriminelle ihre Opfer zunehmend über einen längeren Zeitraum unter Druck setzen und mehrere Erpressungshebel gleichzeitig nutzen – von verschlüsselten Systemen über gestohlene Daten bis hin zur Androhung ihrer Veröffentlichung.

Als Ursache für erfolgreiche Angriffe nannten viele Unternehmen nicht technische Schwächen, sondern die hohe Glaubwürdigkeit der Angriffe. 36 Prozent der Befragten gaben an, dass Mitarbeiter die Angriffe für legitim hielten. Weitere 35 Prozent führten den Vorfall darauf zurück, dass Beschäftigte direkt mit schädlichen Inhalten interagierten.

Nach Einschätzung von Proofpoint erschwert der Einsatz von KI zunehmend die Unterscheidung zwischen echter Geschäftskommunikation und professionell gestalteten Betrugsversuchen.

Schutz muss früher ansetzen

Die Studienergebnisse verdeutlichen, dass Unternehmen Ransomware nicht mehr ausschließlich als Malware- oder Endgeräterisiko betrachten sollten. Erfolgreiche Angriffe beginnen heute häufig mit der Manipulation von Menschen und dem Missbrauch digitaler Identitäten.

Proofpoint empfiehlt deshalb, Sicherheitsstrategien stärker auf den Schutz von Mitarbeitern, Benutzerkonten und vertrauenswürdigen Kommunikationswegen auszurichten. Nur wenn Phishing, Identitätsmissbrauch und der Diebstahl von Zugangsdaten frühzeitig erkannt werden, lässt sich verhindern, dass Angreifer überhaupt die Grundlage für eine Ransomware-Kampagne schaffen.

(red/Proofpoint)