Cyberkriminelle entdecken KI-Nutzer als neues Ziel

KI-Plattformen werden zum neuen Köder für Cyberkriminelle. Erstmals schafft es ChatGPT in die Top 10 der weltweit am häufigsten imitierten Marken. Das zeigt: Wo digitale Gewohnheiten, Zahlungsdaten und Vertrauen zusammenkommen, entsteht eine neue Angriffsfläche.

Microsoft bleibt die mit Abstand am häufigsten für Phishing-Angriffe missbrauchte Marke. Nach dem aktuellen Brand Phishing Ranking von Check Point Research entfielen im zweiten Quartal 2026 rund 23 Prozent aller beobachteten Marken-Phishing-Versuche auf den Technologiekonzern.

Damit wurde Microsoft beinahe doppelt so häufig imitiert wie die zweitplatzierte Marke LinkedIn. Das berufliche Netzwerk erreichte einen Anteil von 11,6 Prozent, gefolgt von Google mit 6,7 Prozent, Apple mit 5,8 Prozent und Amazon mit 5,2 Prozent.

Zusammen stehen die fünf führenden Marken für mehr als die Hälfte aller von Check Point Research erfassten Brand-Phishing-Aktivitäten . Cyberkriminelle konzentrieren sich damit nicht wahllos auf Tausende Unternehmen. Sie nutzen gezielt eine kleine Gruppe weltweit bekannter Plattformen, mit denen Anwender täglich arbeiten, kommunizieren oder bezahlen.

ChatGPT wird zum Phishing-Köder

Erstmals erscheint mit ChatGPT eine der führenden KI-Plattformen unter den zehn am häufigsten imitierten Marken. Nach Angaben von Check Point entfielen 1,1 Prozent aller beobachteten Brand-Phishing-Fälle im zweiten Quartal auf den Dienst von OpenAI.

Der Einstieg von ChatGPT in das Ranking markiert eine neue Phase des Markenmissbrauchs. Generative KI ist für viele Nutzer längst keine experimentelle Technologie mehr.

Abonnements werden abgeschlossen, Zahlungsinformationen hinterlegt und berufliche Aufgaben über KI-Plattformen bearbeitet.

Damit entstehen genau jene Voraussetzungen, die auch Banken, Cloud-Anbieter und große Onlineshops für Angreifer attraktiv machen: Vertrauen, regelmäßige Nutzung und wertvolle Zugangsdaten.

Ein im Juni beobachteter Angriff setzte beispielsweise auf eine gefälschte Rechnung für ChatGPT Plus. Die E-Mail war wie eine offizielle Benachrichtigung von OpenAI gestaltet und informierte über einen angeblichen Fehler bei der Zahlungsmethode.

Über einen eingebetteten Link gelangten die Empfänger auf eine gefälschte Zahlungsseite, die darauf ausgelegt war, Kreditkartendaten abzugreifen. Check Point erwartet, dass KI-Plattformen in den kommenden Quartalen weiter an Bedeutung für Brand-Phishing-Kampagnen gewinnen werden.

Die zehn meistimitierten Marken im zweiten Quartal 2026

An der Spitze des Rankings steht weiterhin Microsoft:

1. Microsoft: 23 Prozent
2. LinkedIn: 11,6 Prozent
3. Google: 6,7 Prozent
4. Apple: 5,8 Prozent
5. Amazon: 5,2 Prozent
6. Marken auf den weiteren Plätzen vereinen jeweils deutlich geringere Anteile
7. ChatGPT erreicht erstmals die Top 10
8. Der Anteil von ChatGPT liegt bei 1,1 Prozent
9. Technologieunternehmen dominieren das Ranking
10. Soziale Netzwerke und Finanzdienstleister bleiben bevorzugte Ziele

Die Verteilung zeigt, dass Cyberkriminelle vor allem Marken imitieren, die Zugang zu digitalen Identitäten, Unternehmensdaten, Kommunikationskanälen oder Zahlungsinformationen ermöglichen.

Technologiebranche bleibt bevorzugtes Ziel

Der Technologiesektor war im zweiten Quartal 2026 insgesamt der am häufigsten imitierte Wirtschaftsbereich. Es folgten soziale Netzwerke und das Bankwesen.

Diese Branchen besitzen aus Sicht der Angreifer einen besonderen Wert. Ein kompromittiertes Microsoft-, Google- oder Apple-Konto kann nicht nur persönliche Informationen offenlegen, sondern auch den Zugriff auf E-Mails, Cloud-Speicher, Unternehmenssysteme und weitere verbundene Dienste ermöglichen.

Gestohlene Anmeldedaten dienen deshalb häufig als Ausgangspunkt für weiterführende Angriffe. Dazu gehören Kontoübernahmen, Business Email Compromise, Identitätsdiebstahl, Finanzbetrug und die Verbreitung von Schadsoftware.

Gefälschte Onlineshops greifen Zahlungsdaten ab

Die von Check Point dokumentierten Kampagnen zeigen, wie unterschiedlich Brand Phishing inzwischen umgesetzt wird.

Bei einer gefälschten Website des Modeanbieters Michael Kors bildeten die Angreifer den gesamten Einkaufsprozess nach. Vom Durchsuchen des vermeintlichen Sortiments über den Warenkorb bis zur Kasse wirkte die Seite wie ein regulärer Onlineshop.

Das eigentliche Ziel bestand jedoch darin, Zahlungs- und Kreditkartendaten der Besucher abzugreifen.

Auch die Modemarke UNIQLO wurde für eine gefälschte regionale Verkaufsplattform missbraucht. Die Seite richtete sich an einen Markt, in dem das Unternehmen offiziell gar nicht vertreten war. Ein Warnsignal waren unter anderem Social-Media-Symbole, die nicht auf die offiziellen Profile des Herstellers verwiesen.

Gefälschte iCloud- und PayPal-Seiten imitieren bekannte Logins

Bei einer weiteren Kampagne verwendeten die Angreifer eine russischsprachige Nachbildung der iCloud-Anmeldeseite. Logo, Gestaltung und Markenauftritt orientierten sich eng am Original von Apple.

Die Login-Schaltfläche funktionierte jedoch noch nicht. Nach Einschätzung der Forscher könnte es sich um eine Seite gehandelt haben, die sich zum Zeitpunkt der Entdeckung noch in einer Testphase befand.

Eine gefälschte PayPal-Anmeldeseite imitierte das Original ebenfalls nahezu vollständig. Auffällig war allerdings ein sichtbar verzerrtes Logo. Check Point hält es für möglich, dass die Grafik mithilfe eines KI-Bildbearbeitungstools erstellt wurde, anstatt das originale Markenmaterial zu übernehmen.

Solche kleinen visuellen Abweichungen könnten künftig zu einem wichtigen Indikator für KI-generierte Phishing-Seiten werden.

Angebliches Microsoft-Update installiert Malware

Besonders gefährlich war eine gefälschte Support-Seite, die ein dringendes Sicherheitsupdate für Microsoft Office bewarb.

Wer den angebotenen Download startete, erhielt jedoch kein legitimes Microsoft-Update. Stattdessen wurde eine getarnte ausführbare Datei bereitgestellt, die den ersten Schritt einer Malware-Infektion darstellte.

Der Fall verdeutlicht, dass Brand Phishing nicht ausschließlich dem Diebstahl von Passwörtern oder Zahlungsinformationen dient. Gefälschte Markenauftritte werden zunehmend auch genutzt, um Schadsoftware zu verteilen und den Zugriff auf Endgeräte oder Unternehmensnetzwerke vorzubereiten.

Dringlichkeit bleibt das wichtigste Druckmittel

Trotz immer professionellerer Gestaltung folgen viele Phishing-Kampagnen bekannten psychologischen Mustern. Besonders häufig erzeugen die Angreifer künstlichen Zeitdruck.

Angeblich fehlgeschlagene Zahlungen, gesperrte Konten, verdächtige Anmeldungen oder zwingend erforderliche Sicherheitsupdates sollen dazu führen, dass Empfänger sofort handeln. Das Ziel besteht darin, eine rationale Prüfung der Nachricht zu verhindern.

Wer unter Zeitdruck auf einen Link klickt, achtet seltener auf die Absenderadresse, die Ziel-Domain oder kleine Unstimmigkeiten im Design.

Woran sich Brand Phishing erkennen lässt

Neben ungewöhnlicher Dringlichkeit gibt es weitere typische Warnsignale. Dazu gehören verzerrte Logos, unscharfe Bilder, nicht funktionierende Schaltflächen oder Social-Media-Symbole, die ins Leere führen.

Besondere Aufmerksamkeit verdient die verwendete Internetadresse. Phishing-Domains unterscheiden sich häufig nur durch einzelne Buchstaben, zusätzliche Begriffe oder ungewöhnliche Domain-Endungen vom Original.

Auch Domains, die keinerlei erkennbare Verbindung zur dargestellten Marke besitzen, sind ein deutliches Warnsignal.

Mit der zunehmenden Nutzung generativer KI entstehen zudem neue visuelle Auffälligkeiten. Automatisch erstellte Logos, Bilder oder Webseiten können subtile Fehler, unlogische Elemente oder inkonsistente Schriftarten enthalten.

So schützen sich Nutzer vor Marken-Phishing

Webadressen sensibler Dienste sollten möglichst direkt in den Browser eingegeben werden. Links in unerwarteten Rechnungs-, Zahlungs- oder Sicherheitsnachrichten sollten Nutzer dagegen nicht ungeprüft öffnen.

Vor einem Klick empfiehlt es sich, den Mauszeiger über einen Link oder eine Schaltfläche zu bewegen. Dadurch wird sichtbar, auf welche Adresse der Link tatsächlich verweist.

Besondere Vorsicht ist bei Nachrichten geboten, die bekannte Marken wie Microsoft, Google, Apple, Amazon oder LinkedIn verwenden. Das gilt zunehmend auch für KI-Plattformen wie ChatGPT.

Multi-Faktor-Authentifizierung bietet eine zusätzliche Schutzschicht. Selbst wenn ein Passwort über eine Phishing-Seite gestohlen wird, kann sie eine direkte Kontoübernahme erschweren.

Bei verdächtigen Nachrichten sollten Nutzer das betroffene Unternehmen ausschließlich über bekannte und vertrauenswürdige Kontaktwege ansprechen. Telefonnummern, Links oder E-Mail-Adressen aus der verdächtigen Nachricht selbst sind dafür nicht geeignet.

Unternehmen müssen Phishing vor dem Posteingang stoppen

Für Unternehmen reicht es nicht aus, ausschließlich auf die Aufmerksamkeit der Beschäftigten zu setzen. Brand-Phishing-Nachrichten sollten möglichst erkannt und blockiert werden, bevor sie den Posteingang erreichen.

KI-gestützte Sicherheitssysteme können dabei helfen, gefälschte Markenauftritte, Business Email Compromise, Credential Phishing, QR-Code-Phishing und automatisiert erstellte Angriffsinhalte zu identifizieren.

Gleichzeitig sollten Unternehmen den Schutz von Microsoft 365, Google Workspace, E-Mail-Systemen und Kollaborationsplattformen zusammenführen. Eine konsolidierte Sicherheitsarchitektur reduziert die Komplexität und erleichtert die Untersuchung verdächtiger Aktivitäten.

Automatisierte Analyse- und Reaktionsprozesse können Sicherheitsteams zusätzlich entlasten und dazu beitragen, reale Bedrohungen schneller aus den Systemen zu entfernen.

Generative KI professionalisiert den Markenmissbrauch

„Brand Phishing hat eine neue Stufe erreicht“, erklärt Omer Dembinsky, Data Research Manager bei Check Point Research.

Angreifer missbrauchten inzwischen nicht mehr nur das Vertrauen in bekannte Technologieunternehmen, sondern imitierten zunehmend auch KI-Chatbots, die sich im privaten und beruflichen Alltag etablierten.

Generative KI ermögliche es Cyberkriminellen, glaubwürdige E-Mails, geklonte Websites und gefälschte digitale Erlebnisse in großem Umfang zu produzieren. Unternehmen müssten ihren Schwerpunkt deshalb von der nachträglichen Reaktion auf die Prävention verlagern.

Das Ziel müsse darin bestehen, Phishing-Angriffe zu blockieren, bevor Nutzer überhaupt mit den gefälschten Inhalten in Kontakt kommen.

Fazit

Der erstmalige Einstieg von ChatGPT in die Top 10 des Brand Phishing Rankings ist mehr als eine statistische Randnotiz. Er zeigt, dass KI-Plattformen inzwischen über genügend Reichweite, Vertrauen und kommerzielle Relevanz verfügen, um für Cyberkriminelle zu bevorzugten Ködern zu werden.

Gleichzeitig bleibt Microsoft das mit Abstand wichtigste Ziel für Markenimitationen. Für Nutzer und Unternehmen bedeutet das: Bekannte Logos und professionell gestaltete Nachrichten sind längst kein Vertrauensbeweis mehr.

Je überzeugender Phishing-Kampagnen werden, desto wichtiger sind technische Prävention, Multi-Faktor-Authentifizierung und ein kritischer Blick auf Domains, Zahlungsaufforderungen und angeblich dringende Sicherheitsmeldungen.

Über die Datengrundlage

Die Erkenntnisse stammen aus Check Points KI-Plattform ThreatCloud, die täglich Millionen von Indikatoren für Kompromittierungen (IoCs) analysiert. ThreatCloud wird von über 50 KI-gesteuerten Engines angetrieben und mit Informationen aus mehr als 150 000 Netzwerken und Millionen von Endpunkten gespeist. Damit bietet ThreatCloud einen der umfassendsten Echtzeit-Überblicke der globalen Bedrohungslage, die derzeit verfügbar sind.