Die Experten des Sophos Counter Threat Unit (CTU) analysierten in einer aktuellen Untersuchung, dass Cyberkriminelle der künstlichen Intelligenz (KI) nach wie vor ambivalent gegenüberstehen. In Untergrund-Foren und Darknet-Marktplätzen wird KI nicht nur zunehmend als potenzieller Game-Changer thematisiert, sondern auch als potenzieller Killer für kriminelle Geschäftsmodelle.
Ein zentraler Trend ist nach wie vor der Einsatz generativer KI für Social Engineering und Betrug. Bedrohungsakteure nutzen große Sprachmodelle (LLMs), um Phishing-E-Mails, SMS oder Chat-Nachrichten in Echtzeit zu personalisieren, Sprachbarrieren zu überwinden und sogar realistische Sprachbots für Vishing-Angriffe (Voice-Phishing) zu erstellen. Ein Bedrohungsakteur beispielsweise wirbt mit einem KI-gestützten Telegram-Bot, der Tonfall, Sprechrhythmus und Gesprächsverlauf natürlicher Personen imitieren kann, um Opfer in betrügerische Dialoge zu verwickeln. Noch einen Schritt weiter geht ein Dienst namens „AI OnlyFans Models“, der mithilfe von KI fiktive, aber glaubwürdige Profile für Romance-Scams generiert – inklusive synthetischer Bilder und individuell angepasster Konversationen. Solche Tools ermöglichen es Cyberkriminellen, ihre Angriffe skalierbarer, konsistenter und schwerer erkennbar zu gestalten.
Wenn Algorithmen die Angriffe übernehmen
Doch KI wird nicht nur für Täuschung, sondern auch für technische Angriffe eingesetzt. In den Foren werden zunehmend KI-gestützte Malware- und Hacking-Tools beworben, deren Fähigkeiten oft noch nicht validiert sind, die aber bereits jetzt eine neue Qualität der Bedrohung andeuten. Beispiele dafür sind:
- Leak Bazaar, eine Plattform für den Handel mit gestohlenen Unternehmensdaten, nutzt angeblich maschinelles Lernen, um große Datenmengen automatisch zu analysieren, irrelevante Inhalte herauszufiltern und gezielt wertvolle Informationen zu extrahieren – ein Service, der die Monetarisierung von Datendiebstahl beschleunigen soll.
- Apex AI wird als Allzweck-Tool für „Carding, Hacking und Malware-Erstellung“ beworben und soll unter anderem automatisch Schadcode generieren, Logs analysieren und Ausweichtechniken gegen Sicherheitssoftware optimieren.
- Metatron, ein KI-Assistent für Penetrationstests, nutzt Sprachmodelle, um Schwachstellen zu identifizieren, Exploits vorzuschlagen und sogar Gegenmaßnahmen zu empfehlen – ein Tool, das eigentlich für legitime Sicherheitsanalysen gedacht war, nun aber in kriminellen Kreisen diskutiert wird.
Viele dieser Tools basieren auf legitimen KI-Diensten wie ChatGPT, Claude oder Grok, deren API-Schlüssel in Untergrund-Foren gehandelt werden. Da kommerzielle KI-Angebote oft mit Sicherheitsvorkehrungen ausgestattet sind, experimentieren Cyberkriminelle mit „Jailbreaking“-Techniken, um diese Einschränkungen zu umgehen.
Skepsis in der Szene: Wird KI Cyberkriminelle überflüssig machen?
Gleichzeitig zeigt sich in der Szene eine gespaltene Haltung gegenüber KI. Neben der Begeisterung und Neugier existiert auch Skepsis: Viele fürchten, dass traditionelle Dienstleistungen wie Malware-Programmierung oder Social Engineering überflüssig werden könnten. In Foren wird diskutiert, ob KI langfristig „Arbeitsplätze“ in der Cybercrime-Branche vernichten wird. Die Analyse der Sophos-Forscher zeigt, dass KI bereits heute von Cyberkriminellen genutzt wird – wenn auch oft noch in experimenteller Form. Die Kombination aus Automatisierung, Skalierbarkeit und Anpassungsfähigkeit macht KI zu einem zunehmend mächtigen Werkzeug für Angreifer, das bestehende Bedrohungen verschärft und neue Angriffsszenarien ermöglicht. Gleichzeitig deutet die Skepsis in der Szene darauf hin, dass nicht alle Akteure sofort auf KI setzen werden – was Unternehmen etwas Zeit gibt, sich noch besser vorzubereiten.
Was Unternehmen jetzt tun sollten
Organisationen sollten jetzt handeln, um sich gegen KI-gestützte Angriffe zu wappnen. Die Sophos CTU empfiehlt:
- Strikte Cyber-Hygiene: Regelmäßige Updates, Multi-Faktor-Authentifizierung (MFA) und der Einsatz von Passkeys reduzieren das Risiko, Opfer von automatisierten Angriffen zu werden.
- Monitoring und Anomalie-Erkennung: Da KI die Angriffe schneller und unvorhersehbarer machen kann, ist eine Echtzeit-Überwachung der IT-Infrastruktur entscheidend.
- Aufklärung und Schulungen: Mitarbeiter müssen für neue Betrugsmethoden (z. B. KI-generierte Phishing-Mails oder Deepfake-Voice-Calls) sensibilisiert werden.
Über Sophos Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.
Passende Artikel zum Thema
Rationalisierung der Schattenwirtschaft: Sophos dokumentiert Existenzängste in Cybercrime-Foren durch KI-Automatisierung
Fachliche Einordnung Die Fachplattform B2BCS ordnet die jüngsten Analysen der Sophos Counter Threat Unit (CTU) als faszinierenden, aber hochriskanten Paradigmenwechsel innerhalb der globalen Cyberkriminalität ein. Im Sommer 2026 zeigt sich im Darknet ein Phänomen, das sonst nur aus der legalen Wirtschaft bekannt ist: die Angst vor technologischer Arbeitslosigkeit. Generative KI und automatisierte LLM-Tools drohen traditionelle kriminelle Berufsbilder – vom spezialisierten Malware-Coder bis zum Social-Engineering-Experten – zu rationalisieren. Für IT-Sicherheitsverantwortliche im DACH-Raum bedeutet diese Konsolidierung der organisierten Kriminalität jedoch keine Entwarnung, sondern eine beispiellose Industrialisierung von Cyberangriffen.
Key-Takeaways
- Existenzangst im Untergrund: In führenden Darknet-Foren wird KI zunehmend als Bedrohung für das eigene kriminelle Geschäftsmodell diskutiert. Weniger technologieaffine Akteure fürchten, durch vollautomatisierte Angriffsplattformen und KI-Dienste langfristig überflüssig zu werden.
- Hyper-Personalisierung von Betrug: Kriminelle nutzen LLMs für hochgradig skalierbare Romance-Scams und Vishing-Kampagnen (Voice-Phishing). Kommerzielle Dienste wie „AI OnlyFans Models“ oder KI-gestützte Telegram-Bots imitieren den Tonfall, Sprechrhythmus und das Verhalten realer Personen in Echtzeit, wodurch Sprachbarrieren und klassische Phishing-Indikatoren komplett entfallen.
- Automatisierte Daten-Monetarisierung: Die Plattform Leak Bazaar setzt maschinelles Lernen ein, um Terabytes an erbeuteten Unternehmensdaten autonom zu parsen. Das System filtert irrelevante Systemdateien heraus und extrahiert gezielt geistiges Eigentum, Finanzdaten und sensible Personaldaten, was den Erpressungszyklus massiv beschleunigt.
- Dual-Use-Tools und API-Jailbreaking: Allzweck-Hacking-Tools wie Apex AI oder der umfunktionierte Penetrationstest-Assistent Metatron generieren eigenständig Schadcode und optimieren Evasion-Techniken. Als technologische Basis dienen kompromittierte API-Schlüssel kommerzieller KI-Anbieter (wie OpenAI, Anthropic oder xAI), deren Sicherheitsbarrieren per Jailbreaking ausgehebelt werden.
Strategische Analyse Für CISOs und Risikomanager liefert der Sophos-Bericht den Beweis, dass Cybercrime-as-a-Service (CaaS) die nächste Evolutionsstufe erreicht hat. Wenn die Barriere für hochentwickelte, maßgeschneiderte Angriffe durch den Einsatz von KI-Tools so tief sinkt, dass selbst Amateure Angriffe auf Enterprise-Niveau fahren können, verschiebt sich die Bedrohungslage für Unternehmen fundamental. Die Tatsache, dass ein Großteil der Szene noch mit der Adaption kämpft und vor den Algorithmen zurückschreckt, eröffnet Verteidigungsabteilungen ein enges, aber kritisches Zeitfenster, um die eigenen Abwehrmuster auf ein KI-natives Fundament zu stellen.
Handlungsempfehlung: Unternehmen müssen die aktuelle Übergangsphase im Untergrund nutzen, um ihre Abwehrprozesse gegen hochfrequente, automatisierte Angriffe zu härten.
- Umstellung auf phishing-resistente Authentifizierung: Da KI-generierte Phishing-Mails und Deepfake-Anrufe visuell und akustisch nicht mehr von legitimer Kommunikation zu unterscheiden sind, greifen klassische Security-Awareness-Schulungen zu kurz. Unternehmen müssen zwingend auf phishing-resistente Multi-Faktor-Authentifizierung (MFA) wie FIDO2/Passkeys umstellen, die sich durch mathematische Bindung an die Domain nicht durch Social Engineering austricksen lassen.
- Implementierung KI-gestützter Datenstrom-Überwachung: Um dem beschleunigten Abfluss und der automatisierten Analyse durch Tools wie Leak Bazaar entgegenzuwirken, müssen Data-Loss-Prevention-Systeme (DLP) mit verhaltensbasierter Anomalieerkennung gekoppelt werden. Ein SOC muss sofort alarmiert werden, wenn unüblich große Datenmengen über verschlüsselte Kanäle exfiltriert werden.
- Echtzeit-Infrastruktur-Monitoring etablieren: Da KI-Tools wie Apex AI Schadcode-Varianten in Sekundenschnelle anpassen, um lokale Scanner zu täuschen, ist eine kontinuierliche Verhaltensüberwachung der Endpunkte (EDR/XDR) unabdingbar. Der Fokus muss auf der Erkennung böswilliger Systemaktivitäten liegen (z. B. unerwartete PowerShell-Aufrufe oder Rechteausweitungen), statt auf bekannten Datei-Signaturen.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200