Onlinebetrug
KI-gestützter Onlinebetrug nimmt massiv zu: KI treibt Betrugsmaschen auf Rekordniveau
Akamai-Report zeigt: Onlinebetrug verdoppelt sich
Cyberkriminelle verändern ihre Strategie: Statt ausschließlich Zugangsdaten abzugreifen, setzen sie zunehmend auf KI-gestützte Betrugsmaschen, gefälschte digitale Identitäten und automatisierte Angriffe auf Kundenkonten. Die Zahl der registrierten Onlinebetrugsfälle hat sich innerhalb weniger Monate nahezu verdoppelt und übertraf erstmals das klassische Phishing. Gleichzeitig schrumpft die Lebensdauer von Phishing-Angriffen drastisch – eine Entwicklung, die herkömmliche Sicherheitskonzepte zunehmend an ihre Grenzen bringt.
Das zeigt der aktuelle State of the Internet (SOTI)-Bericht 2026 von Akamai mit dem Titel „KI-gestützte digitale Täuschung: Bericht zu Betrug und Missbrauch 2026“. Die Untersuchung verdeutlicht, wie künstliche Intelligenz und automatisierte Angriffsinfrastrukturen die Cyberkriminalität verändern und warum Unternehmen ihre Betrugsprävention neu ausrichten müssen.
Besonders auffällig ist die Verschiebung von klassischen Phishing-Kampagnen hin zu komplexeren Betrugsmodellen. Dazu gehören gefälschte Onlineshops, manipulierte Recruiting-Angebote, betrügerische Social-Media-Aktivitäten und täuschend echte Eventportale.
Onlinebetrug überholt erstmals klassisches Phishing
Die Zahlen verdeutlichen das Ausmaß der Entwicklung: Laut Akamai stieg die Zahl der erkannten Onlinebetrugsfälle von rund 3,2 Millionen auf 6,4 Millionen. Damit hat sich das registrierte Betrugsvolumen nahezu verdoppelt. Bereits im ersten Quartal 2026 übertraf die Zahl der Onlinebetrugsfälle erstmals die der klassischen Phishing-Angriffe.
Hinter diesem Wandel steht auch die zunehmende wirtschaftliche Attraktivität der Betrugsmodelle. Während traditionelles Phishing häufig auf den Diebstahl von Zugangsdaten abzielt, können komplexere Betrugsmaschen unmittelbar finanzielle Schäden verursachen oder ganze Geschäftsprozesse manipulieren.
KI erleichtert es Angreifern, überzeugende digitale Identitäten, betrügerische Webseiten und personalisierte Kommunikationsinhalte zu erstellen. Automatisierte Werkzeuge ermöglichen zudem eine schnelle Skalierung entsprechender Kampagnen. Besonders häufig missbrauchen Cyberkriminelle dabei die Identität etablierter Unternehmen. Fast 70 Prozent der untersuchten Phishing-Bedrohungen imitierten bekannte Marken aus drei Wirtschaftsbereichen:
- Hightech-Unternehmen: 41,6 Prozent
- Finanzdienstleister: 18,9 Prozent
- Handelsunternehmen: 8,4 Prozent
Die Zahlen zeigen, welche Bedeutung das Vertrauen in bekannte Marken für moderne Betrugsstrategien besitzt. Je glaubwürdiger die digitale Fälschung erscheint, desto größer ist die Wahrscheinlichkeit, dass Nutzer auf betrügerische Angebote hereinfallen.
Phishing-Infrastrukturen verschwinden immer schneller
Neben dem steigenden Betrugsvolumen beobachtet Akamai eine erhebliche Beschleunigung der Angriffszyklen. Zwischen dem vierten Quartal 2025 und dem zweiten Quartal 2026 sank die durchschnittliche Lebensdauer von Phishing-Angriffen von 48 auf nur noch 22 Tage. Das entspricht einem Rückgang um rund 54 Prozent.
Für Sicherheitsverantwortliche hat diese Entwicklung weitreichende Konsequenzen. Klassische Schutzmaßnahmen, die auf bekannten schädlichen Domains, statischen Sperrlisten oder zeitverzögerten Bedrohungsinformationen basieren, geraten zunehmend unter Druck.
Angreifer nutzen verstärkt Phishing-as-a-Service-Plattformen (PhaaS), automatisierte Domainregistrierungen und flexibel austauschbare Infrastrukturen. Dadurch können sie betrügerische Angebote schnell aufbauen, betreiben und anschließend auf neue Domains verlagern.
Das Problem liegt nicht ausschließlich in der technischen Raffinesse der Angriffe. Entscheidend ist die Geschwindigkeit, mit der Cyberkriminelle ihre Infrastruktur verändern. Sicherheitslösungen müssen verdächtige Aktivitäten deshalb möglichst frühzeitig anhand ihres Verhaltens erkennen, statt ausschließlich auf bereits bekannte Bedrohungsindikatoren zu reagieren.
Jeder vierte Login-Versuch weist ein erhöhtes Risiko auf
Ein weiterer Schwerpunkt des Berichts ist der Missbrauch digitaler Kundenkonten. Nach Angaben von Akamai wurden 26,6 Prozent aller erfassten Anmeldeversuche als Aktivitäten mit hohem oder kritischem Risiko eingestuft.
Besonders interessant ist dabei die Verteilung dieser Aktivitäten: Rund 40 Prozent des risikobehafteten Anmeldeverkehrs entfielen auf Anfragen zur Kontoverifizierung. Das deutet darauf hin, dass Angreifer zunächst systematisch überprüfen, welche E-Mail-Adressen und Benutzerkonten tatsächlich existieren. Erst anschließend folgen möglicherweise umfangreichere Angriffe, etwa durch Credential Stuffing oder gezielte Kontoübernahmen.
Credential Stuffing bezeichnet den automatisierten Versuch, zuvor kompromittierte Kombinationen aus Benutzernamen und Passwörtern bei weiteren Onlinediensten einzusetzen.
Die Ergebnisse machen deutlich, dass Cyberkriminelle nicht erst beim eigentlichen Login ansetzen. Vielmehr versuchen sie, unterschiedliche Phasen des gesamten Kontolebenszyklus auszunutzen – von der Registrierung und Verifizierung bis zur Anmeldung und späteren Kontonutzung.
Die Handelsbranche steht besonders stark im Fokus automatisierter Anmeldeaktivitäten. Laut Akamai entfielen 41,1 Prozent aller registrierten Anmeldeversuche auf Unternehmen aus dem Handel.
Die Kombination aus zahlreichen Kundenkonten, gespeicherten Zahlungsinformationen und digitalen Bonusprogrammen macht diese Branche zu einem attraktiven Angriffsziel. Neben klassischen Kontoübernahmen können Cyberkriminelle beispielsweise Treuepunkte missbrauchen, Kundendaten ausspähen oder betrügerische Transaktionen auslösen. Regional zeigen sich ebenfalls deutliche Unterschiede.
In Lateinamerika wurden 37,8 Prozent der erfassten Anmeldeversuche als hochriskant oder kritisch eingestuft. Im asiatisch-pazifischen Raum lag dieser Anteil bei 36,4 Prozent. Die Zahlen unterstreichen, dass automatisierter Kontomissbrauch ein globales Problem darstellt, dessen Intensität je nach Region und digitalem Geschäftsmodell erheblich variiert.
KI und synthetische Identitäten verändern die Betrugsbekämpfung
Für Patrick Sullivan, Chief Technology Officer, Security Strategy bei Akamai, geht die Entwicklung weit über klassische Cyberangriffe hinaus. „Die Betrugsbekämpfung liegt längst nicht mehr allein in der Verantwortung des CFOs, sondern ist eine kritische, funktionsübergreifende Notwendigkeit für die Cybersicherheit“, erklärt Sullivan. Insbesondere autonome KI-Agenten und synthetische Identitäten verändern nach seiner Einschätzung die Art und Weise, wie Kunden mit digitalen Marken und Dienstleistungen interagieren.
Angreifer könnten diese Technologien nutzen, um Geschäftslogiken gezielt zu missbrauchen oder Daten ohne klassische Nutzerinteraktion zu extrahieren. Damit verschwimmen zunehmend die Grenzen zwischen Cybersecurity, Betrugsprävention, Identitätsmanagement und dem Schutz digitaler Geschäftsprozesse.
Für Unternehmen bedeutet das, dass isolierte Sicherheitsmaßnahmen immer weniger ausreichen. Gefragt ist eine übergreifende Betrachtung von Nutzeridentitäten, Verhaltensmustern, Transaktionen und automatisierten Zugriffen.
Ransomware: Vom Malware-Angriff zum industrialisierten Erpressungsmodell
Auch die Entwicklung von Ransomware greift der Akamai-Bericht auf.
Ofer Wolf, Senior Vice President und General Manager of Enterprise Security bei Akamai, beschreibt Ransomware als ein inzwischen hoch entwickeltes kriminelles Geschäftsmodell, bei dem die Erpressung der Opfer im Mittelpunkt steht.
Um solche Angriffe frühzeitig zu unterbrechen, empfiehlt Wolf einen konsequenten Zero-Trust-Ansatz. Dazu gehören die Minimierung von Zugriffsrechten, die Unterbindung lateraler Bewegungen durch Mikrosegmentierung sowie die frühzeitige Erkennung persistenter Command-and-Control-Infrastrukturen. Der entscheidende Ansatz besteht darin, Angreifern möglichst wenige Möglichkeiten zu bieten, sich nach einer ersten Kompromittierung innerhalb der Unternehmensinfrastruktur auszubreiten.
Warum klassische Bot-Abwehr nicht mehr ausreicht
Aus den Untersuchungsergebnissen leitet Akamai konkrete Empfehlungen für die Sicherheitsstrategie von Unternehmen ab. Im Mittelpunkt steht eine Weiterentwicklung der Bot-Abwehr. Anstatt ausschließlich automatisierte Zugriffe zu identifizieren, sollten Sicherheitslösungen zunehmend die Absicht hinter einer Interaktion bewerten.
Eine solche absichtsbasierte Verhaltensanalyse kann beispielsweise auffällige Anmeldemuster, automatisierte Kontoverifizierungen oder ungewöhnliche Transaktionsabläufe erkennen.
Besonders wichtig ist dies bei sogenannten Low-and-Slow-Angriffen. Dabei verteilen Cyberkriminelle ihre Aktivitäten über längere Zeiträume und reduzieren die Anzahl einzelner Anfragen, um herkömmliche Erkennungsschwellen zu umgehen. Auch automatisierte Kreditkartentests und Credential-Stuffing-Angriffe lassen sich mit einer kontinuierlichen Analyse des Nutzerverhaltens besser erkennen. Ergänzend empfiehlt Akamai, Mikrosegmentierung und Zero-Trust-Prinzipien stärker in die Ransomware-Abwehr einzubinden.
Fazit: Die Geschwindigkeit wird zum entscheidenden Sicherheitsfaktor
Der aktuelle SOTI-Bericht verdeutlicht einen grundlegenden Wandel der digitalen Bedrohungslandschaft. Cyberkriminelle setzen zunehmend auf skalierbare Betrugsmodelle, automatisierte Angriffsinfrastrukturen und den Missbrauch vertrauenswürdiger digitaler Identitäten.
Besonders kritisch ist dabei die Kombination aus wachsendem Betrugsvolumen und immer kürzeren Angriffszyklen. Während Unternehmen ihre Sicherheitsmaßnahmen anpassen, können Angreifer neue Domains, Identitäten und Betrugsszenarien innerhalb kurzer Zeit bereitstellen. Die zentrale Herausforderung besteht deshalb nicht mehr allein darin, bekannte Angriffe zu blockieren. Unternehmen müssen betrügerische Absichten möglichst früh erkennen – unabhängig davon, über welche Identität, Anwendung oder Infrastruktur ein Angriff erfolgt.
