Schutz gegen moderne Hackangriffe: KI, Passkeys und Zero Trust

Russische Staatsgehackte griffen 2025 Microsoft an, iranische Gruppen attackierten deutsche Energieversorger, und Ransomware-Gangs legen täglich Unternehmen lahm. Das kann grundsätzlich jedem drohen. Auch Politikern, Institutionen, Unternehmen – und natürlich auch Privatleuten. Denn Hacker kennen keinen Schlaf: Sie sind rund um die Uhr im Einsatz, in allen Zeitzonen, mit KI-Tools bewaffnet und immer raffinierteren Methoden. Aber wie groß ist das Risiko, kann man Hackangriffe erkennen und wie sich dagegen schützen?

Wie groß ist eigentlich das Risiko, als Privatmensch von Hackern angegriffen zu werden?

Da muss man differenzieren. Wenn ihr zum Beispiel in einem Unternehmen arbeitet, das für Industriespionage in Frage kommt, etwa weil ganz besonders interessante Produkte entwickelt und hergestellt werden, dann seid ihr auch als Privatmann gefährdet – also wenn ihr nicht am Arbeitsplatz seid. Dasselbe gilt für Geheimnisträger ganz allgemein: Erfinder, Journalisten, Politiker, Juristen, Beamte, aber auch Influencer mit größerer Reichweite…

 

Wenn Hacker gezielt angreifen, dann werden sie es nicht nur im Büro probieren, sondern auch – und vielleicht sogar ganz gezielt – im Privatbereich. Solche gezielten Angriffe, die auf ganz bestimmte Personen abzielen und zugeschnitten sind, sind allerdings eher selten. Viel häufiger sind sogenannte Supply-Chain-Angriffe, bei denen Hacker Software-Updates oder Cloud-Dienste kompromittieren, um massenhaft Opfer zu erreichen.

Üblicher sind Hackangriffe, die im großen Stil durchgeführt werden: Da werden die Opfer nicht gezielt ausgewählt, weil man weiß, dass sie etwas zu bieten haben, sondern zufällig. Nach dem Motto: Mal sehen, was es da zu holen gibt. KI-Tools machen es Hackern heute leichter, personalisierte Angriffe zu skalieren.

Wie laufen gezielte Angriffe grob ab?

Wenn ich zum Beispiel Zugriff auf die Mails eines Vorstands kommen möchte, kann ich als Hacker versuchen, mir Zugang zu den Rechnern oder Mobilgeräten des Vorstands zu besorgen – oder gehe über die Assistenz, die in der Regel auch Zugang hat. Dann wird teilweise genau recherchiert: Wer ist das? Welche Interessen hat er oder sie? Moderne Hacker nutzen dafür Social Media, LinkedIn-Profile und sogar KI-generierte Deep-Fake-Anrufe.

So etwas nennt man „Social Engineering“. Liebt die Assistentin des Vorstands zum Beispiel Radtouren in Frankreich, dann bekommt sie eine Mail, die auf genau dieses Themengebiet abzielt – mit einem Link auf eine Webseite, die speziell dafür gemacht ist. Und in der Mail ist eine Phishing-Attacke versteckt oder auf der Webseite ein Trojaner.

 

Durch Ausnutzen von Zero-Day-Lücken oder bekannten Schwachstellen werden dann Zugangsdaten abgefischt – oder Trojaner eingespielt. Software, die spioniert und womöglich die Tastatur abhört. So kommt man an Zugangsdaten. Der Aufwand ist allerdings sehr groß. Der wird nur betrieben, wenn es sich richtig lohnt – oder wenn es den Auftrag gibt, etwa von Geheimdiensten oder Ransomware-as-a-Service-Gruppen.

Sind wir dann also sicher – oder gibt es trotzdem Hackangriffe?

Der Begriff „Hackangriff“ ist ja weit gefasst. Wenn ein Hacker versucht, in den Server eines Onlinedienstes einzudringen, wo ihr ein Onlinekonto habt, dann könnt ihr betroffen sein, ohne dass eure Rechner oder Mobilgeräte angegriffen, untersucht oder manipuliert werden. Denn ist der Server schlecht abgesichert, das Passwort vielleicht unzureichend gesichert gespeichert, müsst ihr erleben, dass eure Zugangsdaten abgegriffen werden.

Das kommt leider vergleichsweise häufig vor. Allein 2025 gab es mehrere Mega-Breaches mit Millionen betroffener Accounts. Dann gehen die Zugangsdaten im Darknet herum – und können missbraucht werden. Dritte können eure Identität einnehmen, in eurem Namen Mails schreiben, einkaufen, andere traktieren. Oder aber, eure Geräte werden angegriffen, wie die von Millionen anderen auch, um zu sehen, welches Betriebssystem ihr nutzt, ob es Sicherheitslecks gibt – und ob man euch Software unterjubeln kann, die Schaden anrichtet.

Manche Programme spionieren Daten aus, etwa Zugangsdaten oder Kontodaten, andere Programme versuchen euch zu erpressen oder sie nutzen euren Rechner, um Kryptowährungen zu schürfen. Besonders perfide sind Infostealer, die alle gespeicherten Passwörter, Cookies und Browserdaten abgreifen.

 

Moderne Phishing-Methoden

Phishing ist längst nicht tot – im Gegenteil. Moderne Phishing-Angriffe sind deutlich raffinierter geworden. KI hilft dabei, täuschend echte E-Mails zu verfassen, die kaum noch von echten zu unterscheiden sind. Ihr bekommt eine Mail, die perfekt aussieht, als wäre sie von Amazon, PayPal, eurer Bank – oder eurer Firma.

Besonders tückisch sind Vishing (Voice Phishing) und Smishing (SMS Phishing). Beim Vishing rufen euch Betrüger an und geben sich als Support-Mitarbeiter aus. Beim Smishing kommen die Phishing-Links per SMS, oft getarnt als Paketbenachrichtigung oder Banking-Alert.

Ihr werdet aufgefordert, euch einzuloggen, etwa, weil das Passwort sonst ausläuft oder euer Account gesperrt wird. Ihr landet auf einer Webseite, die ebenfalls täuschend echt aussieht – manchmal sogar mit gültigen SSL-Zertifikaten.

Dagegen könnt ihr euch wehren, indem ihr moderne Browser nutzt. Chrome, Firefox und Safari kennen die populärsten Phishing-Seiten und warnen euch, wenn ihr dort landet. Außerdem solltet ihr nie aus Mails oder SMS heraus wichtige Seiten aufrufen, sondern immer Lesezeichen verwenden oder die URL direkt eintippen. Prüft die Adressen im Browser genau – oft sind es winzige Tippfehler wie „arnazon.de“ statt „amazon.de“.

Passkeys und Multi-Faktor-Authentifizierung

Wir schützen unsere Onlinekonten ja in der Regel durch Passwörter – es sollen sichere sein, das wissen wir mittlerweile. Aber reicht das, ein sicheres Passwort zu wählen?

Nein, das reicht längst nicht mehr. 2026 sind Passkeys der neue Gold-Standard. Diese funktionieren komplett ohne Passwörter und nutzen biometrische Daten oder PINs auf euren Geräten. Apple, Google und Microsoft pushen Passkeys massiv, weil sie deutlich sicherer sind als herkömmliche Passwörter.

Bis Passkeys flächendeckend verfügbar sind, solltet ihr mindestens Multi-Faktor-Authentifizierung (MFA) nutzen. Da müsst ihr beim Einloggen neben Benutzername und Passwort auch noch einen Code eingeben, der in einer Authenticator-App wie Google Authenticator, Microsoft Authenticator oder Authy erzeugt wird.

Das bedeutet: Ich kann euch mein Passwort für Facebook, Instagram oder meine E-Mail verraten. Kein Problem. Ihr habt keine Chance, weil ihr den zusätzlichen Sicherheitscode nicht kennen könnt. Der wird beim Einloggen in meinem Handy erzeugt. Man braucht also zwingend physischen Zugriff auf das Smartphone. MFA macht Onlinekonten deutlich sicherer, ohne großen Aufwand.

Wichtig: SMS-basierte Zwei-Faktor-Authentifizierung ist nicht mehr empfehlenswert, da SIM-Swapping-Angriffe zunehmen. Nutzt lieber Authenticator-Apps oder Hardware-Tokens wie YubiKeys.

Wer mehr dazu wissen will: In meinem eBook Das sichere Login beschreibe ich alles ausführlich.

KI-basierte Sicherheitslösungen und Zero Trust

Eine klassische „Firewall“ reicht 2026 nicht mehr aus. Moderne Bedrohungen erfordern intelligentere Lösungen. KI-basierte Security-Tools können verdächtige Verhaltensmuster erkennen, bevor Schaden entsteht. Sie analysieren Netzwerkverkehr, E-Mail-Anhänge und Dateizugriffe in Echtzeit.

Besser sind integrierte Endpoint Detection and Response (EDR) Lösungen, die darauf achten, dass ihr nicht auf Phishing-Seiten landet, die verdächtige Aktivitäten wie ungewöhnliche Datenübertragungen im Hintergrund erkennen und auf moderne Malware achten. Microsoft Defender, CrowdStrike oder SentinelOne bieten solche Lösungen auch für Privatnutzer.

Das Prinzip „Zero Trust“ setzt sich auch im Privatbereich durch: Vertraut niemals, überprüft immer. Jeder Zugriff wird authentifiziert und autorisiert, egal ob von intern oder extern.

Ansonsten gilt weiterhin: Immer Updates für Betriebssystem, Browser und Standard-Software einspielen – am besten automatisch. Das ist nach wie vor die beste Absicherung, denn die meisten Angriffe nutzen bekannte Sicherheitslecks. Windows 11, macOS Sequoia und aktuelle Linux-Distributionen haben deutlich bessere Sicherheitsfeatures als ihre Vorgänger.

Zuletzt aktualisiert am 08.03.2026