Malte ZanderInhalt
Generative KI hat überzeugende Phishing-Seiten billig und schnell gemacht. 2025 beobachtete Okta, wie Angreifer funktionierende Kopien von Anmeldeseiten aus einem Textbefehl erzeugten. Unverändert ist: Jede Fälschung braucht weiterhin eine Domain, einen Hoster und einen Weg zu den Menschen. Die Abwehr sollte sich nicht mehr darauf verlassen, dass Menschen schlechte Kopien erkennen, sondern über Tempo gewinnen: früh erkennen, überall gleichzeitig melden und gestohlene Passwörter wertlos machen.
- Am 1. Juli 2025 berichtete Okta, dass Angreifer das KI-Werkzeug v0 von Vercel nutzten, um Anmeldeseiten mehrerer Marken nachzubauen, darunter die eines Okta-Kunden (Okta).
- Logos und weitere Dateien lagen auf derselben vertrauenswürdigen Plattform, und öffentliche GitHub-Repositories bieten Klone des Werkzeugs an (Okta).
- Die APWG beobachtete 2025 rund 3,8 Millionen Phishing-Angriffe (APWG).
Was können KI-Werkzeuge heute für Phisher leisten?
Sie nehmen den Tätern fast das ganze Handwerk ab, das eine überzeugende Fälschung früher brauchte:
Eine Seite per Textbefehl klonen. Okta dokumentierte funktionierende Nachbauten von Anmeldeseiten, erstellt mit einfachen Anweisungen (Okta).
Fehlerfreie Texte in jeder Sprache schreiben. Die Rechtschreibfehler, an denen man Phishing früher erkannte, sind verschwunden.
Endlose Varianten erzeugen. Neue Versionen derselben Seite helfen, an Sperrlisten vorbeizukommen, die bekannte Kopien erkennen.
Sich an vertrauenswürdigen Orten verstecken. Okta sah Phishing-Seiten und ihre Dateien bei einer seriösen Plattform gehostet, was die Erkennung erschweren kann.
Was hat sich wirklich geändert?
Vier Dinge, und alle treffen zuerst die menschliche Seite der Abwehr.
Qualität ist kein Warnsignal mehr. Eine Kopie mit Ihrem exakten Layout und fehlerfreien Texten sieht aus wie das Original. Okta folgert, dass sich Organisationen nicht mehr darauf verlassen können, Nutzern das Erkennen unvollkommener Nachahmungen beizubringen (Okta).
Die Zeit bis zum Start schrumpft. Der Bau der Seite ist nicht mehr der langsame Schritt.
Mehr Menschen können es. Geklonte Werkzeuge und Bauanleitungen auf GitHub bringen diese Fähigkeiten auch zu weniger versierten Tätern (Okta).
Plattformen werden Teil des Angriffs. Eine Fälschung auf einem bekannten Dienst erbt einen Teil seines guten Rufs.
Was hat sich nicht geändert?
Die Infrastruktur. Egal, wie die Seite entstanden ist, der Angriff braucht weiterhin dieselbe Kette:
Eine Adresse: eine Domain oder eine Subdomain auf einer Plattform. Neue Domains und ihre TLS-Zertifikate hinterlassen öffentliche Spuren, weil Chrome die Protokollierung öffentlich vertrauenswürdiger Zertifikate verlangt (Chrome).
Einen Hoster, der sich informieren lässt und Regeln gegen Phishing hat.
Verbreitung: eine Mail, eine SMS, eine Anzeige oder einen QR-Code, der Menschen zur Seite bringt.
Einen Ort, an dem die gestohlenen Daten landen.
Jedes Glied dieser Kette ist eine Stelle zum Erkennen und zum Melden. KI hat die Seite billig gemacht, nicht die Kette unsichtbar. Unser Artikel über die ganze Phishing-Kette geht jedes Glied durch.
Was sollte die Abwehr ändern?
Menschen für die neue Lage schulen. Bringen Sie ihnen bei, die Domain zu prüfen, über Lesezeichen oder die App einzusteigen und alles Ungewöhnliche zu melden. Tippfehler suchen ist keine Schulung mehr wert.
Gestohlene Passwörter wertlos machen. Die US-Cybersicherheitsbehörde CISA nennt FIDO/WebAuthn das einzige breit verfügbare phishingresistente Anmeldeverfahren (CISA). Okta empfiehlt phishingresistente Faktoren und den Zugang zu sensiblen Anwendungen nur von verwalteten Geräten (Okta). Mehr dazu in Warum Zwei-Faktor-Login nicht jede Phishing-Seite stoppt.
Auf Infrastrukturebene erkennen. Beobachten Sie neue Domains, Zertifikate und Hosting und gleichen Sie Funde automatisch mit Ihrer echten Seite ab. Siehe gefälschte Login-Seiten erkennen.
Am selben Tag parallel melden. Wenn eine Ersatzseite Minuten kostet, zählt jeder Tag, den eine Kopie online bleibt, mehr. Unser Notfallplan für die ersten 24 Stunden zeigt die Reihenfolge.
Missbrauch auch der Plattform melden. Läuft eine Fälschung auf einem Website-Baukasten oder einer Hosting-Plattform, kann deren Abuse-Team gegen das Konto vorgehen. Im Fall v0 beschränkte Vercel den Zugriff auf die identifizierten Seiten (Okta).
Hilft KI auch der Abwehr?
Ja, und der Vorteil ist echt. Dieselbe Art von Modell, die eine Seite kopiert, kann sie mit dem Original vergleichen, benennen, was kopiert wurde, und das Risiko in Sekunden bewerten. Unser Artikel zur visuellen Ähnlichkeitsprüfung erklärt, wie dieser Abgleich funktioniert.
Die Grenze ist das Urteil. Ein Werkzeug kann einen Händler, einen Partner oder eine Parodie für eine Fälschung halten. Deshalb läuft bei AI Fraud Protect die Erkennung automatisch, während ein Mensch jede Meldung prüft und sendet.
In einer Demo zeigen wir, wie AI Fraud Protect einen Fund mit Ihrer echten Seite vergleicht, die kopierten Elemente benennt und Meldungen an Hoster, Registrar und Google in einem Schritt vorbereitet.
Häufige Fragen
Lassen sich KI-Website-Baukästen für Phishing-Seiten nutzen?
Ja. Okta dokumentierte 2025, wie Angreifer das KI-Werkzeug v0 für Kopien von Anmeldeseiten nutzten. Die Plattform beschränkte nach den Hinweisen von Okta den Zugriff auf die identifizierten Seiten.
Sind KI-generierte Phishing-Seiten schwerer zu erkennen?
Für Menschen ja, weil die Qualität sie nicht mehr verrät. Für die Überwachung der Infrastruktur nicht unbedingt: Sie brauchen weiterhin Domains, Zertifikate und Hosting, und das hinterlässt Spuren.
Lohnen sich Awareness-Schulungen noch?
Ja, mit neuen Inhalten. Bringen Sie Menschen bei, die Adresse zu prüfen, über bekannte Einstiege zu gehen und verdächtige Links zu melden, statt nach Tippfehlern zu suchen.
Was schützt Logins am besten gegen KI-Phishing?
Phishingresistente Anmeldeverfahren wie FIDO/WebAuthn und Passkeys. Sie sind an die echte Domain gebunden und funktionieren deshalb auf keiner Kopie, egal wie perfekt sie aussieht.
Quellen
Okta Threat Intelligence: v0 als Werkzeug für Phishing-Seiten, 1. Juli 2025
APWG Phishing Activity Trends Report, Q4 2025, veröffentlicht am 18. Februar 2026
CISA: Implementing phishing-resistant MFA, Oktober 2022