IRONSCALES-Bericht: KI-Agenten werden zu einem neuen Ziel für Phishing

Eine Phishing-Nachricht muss nicht mehr den Mitarbeitenden überzeugen, dem ein Postfach gehört. Sie kann sich stattdessen an die Software richten, die das Postfach in seinem Auftrag liest. Das ist die zentrale Warnung des neuen Berichts von IRONSCALES Von Deepfakes zu Doppelagenten: Das neue Gesicht des KI-gestützten Cyberrisikos. Dem Bericht zufolge hat sich der Einsatz handlungsfähiger Tools in Unternehmen schneller verbreitet als die sie umgebenden Sicherheitskontrollen.

In der von dem Unternehmen in Auftrag gegebenen Umfrage von Censuswide gaben 77 % der Befragten an, dass ein KI-Agent oder -Tool in ihrer Organisation im vergangenen Jahr auf bösartige, irreführende oder nicht autorisierte Inhalte reagiert hatte. Ein geringerer, aber immer noch beträchtlicher Anteil von 57 % berichtete von mindestens einem bestätigten Fall. Diese Zahlen geben die von den Befragten gemeldeten Vorfälle wieder, darunter auch vermutete Ereignisse in der größeren Gesamtzahl; sie sind keine unabhängig verifizierte Zahl erfolgreicher Sicherheitsverletzungen.

Die Ergebnisse gehen mit einer erfreulicheren Entwicklung einher: Die Investitionen in Deepfake-Abwehrmaßnahmen stiegen, während die gemeldeten finanziellen Verluste weniger schwerwiegend ausfielen. Zusammengenommen verweisen die Ergebnisse auf eine praktische Herausforderung für Sicherheitsverantwortliche: den Schutz auf automatisierte Entscheidungssysteme auszuweiten, ohne die für Menschen entwickelten Abwehrmaßnahmen aufzugeben.

KI-Agenten haben Zugriff auf wichtige Systeme

Censuswide befragte 501 IT- und Cybersicherheitsexperten in den USA, die mindestens der mittleren Führungsebene angehörten und bei Unternehmen mit 1.000 bis 10.000 Beschäftigten arbeiteten. Die Teilnehmenden waren zwischen 25 und 55 Jahre alt; die Feldarbeit fand vom 9. bis 17. September 2026 statt. Die Ergebnisse beschreiben daher diese Unternehmensstichprobe und nicht alle Unternehmen, die KI einsetzen.

In dieser Stichprobe gaben 96 % an, dass ihre Organisationen KI-Agenten oder -Tools einsetzen, die im Auftrag von Mitarbeitenden handeln können; 52 % bezeichneten deren Einsatz als weitverbreitet. Der Bericht verwendet eine weit gefasste Definition, die Tools umfasst, die Nachrichten lesen und beantworten, auf Dateien zugreifen und Arbeitsabläufe auslösen.

Von den Organisationen, die solche Tools einsetzen, erlauben 67 % den Zugriff auf Ticket- oder Helpdesk-Systeme, 56 % auf Cloud-Speicher und 49 % auf E-Mail- oder Nachrichtensysteme. Weitere 30 % gestatten den Zugriff auf Finanz-, Abrechnungs-, Beschaffungs- oder Zahlungssysteme. Nur 19 % gaben an, ihre Tools auf das öffentliche Web ohne internen Zugriff zu beschränken.

Der Unterschied zwischen dem Beantworten einer Frage und dem Ausführen einer Handlung ist folgenreich. Eine fehlerhafte Zusammenfassung kann Leser in die Irre führen; ein mit Geschäftssystemen verbundenes Tool kann außerdem Informationen übertragen oder einen Arbeitsablauf auslösen. Die Berechtigungen des Tools bestimmen mit, wie weit sich ein Fehler auswirken kann.

Auch für Agenten ist der Posteingang ein Einfallstor

Von den Befragten, die einen Vorfall im Zusammenhang mit KI-Agenten meldeten, gaben 42 % an, ein KI-Tool habe eine bösartige E-Mail oder Nachricht zusammengefasst oder darauf reagiert. Weitere 41 % berichteten, ein Angreifer habe ein KI-Tool für Phishing oder Social Engineering eingesetzt. Diese Kategorien können sich überschneiden; die zweite umfasst den Einsatz von KI durch Angreifer und bedeutet nicht zwangsläufig, dass der eigene Agent des Opfers kompromittiert wurde.

Diese Nuance ist wichtig. Die Umfrage zeichnet ein Gesamtbild verschiedener Arten von KI-bezogenen Fehlern; sie belegt nicht, dass bei jedem Vorfall dieselbe Angriffsmethode zum Einsatz kam. Sie zeigt dennoch, warum Unternehmen sowohl die Inhalte prüfen müssen, die Agenten verarbeiten, als auch die Handlungen, die ihre Integrationen erlauben.

Ein hilfreicher Ansatz, um das Risiko zu verstehen, besteht darin, Informationen und Berechtigungen getrennt zu betrachten. Eine Nachricht kann Anweisungen enthalten, doch ihr Eingang in einem Postfach sollte diese Anweisungen nicht autorisieren. Wenn Software über verbundene Systeme hinweg handeln kann, gehört die Wahrung dieser Grenze zur Zugriffssteuerung und zur Gestaltung von Arbeitsabläufen.

Die E-Mail-Sicherheitsplattform von IRONSCALES spiegelt den Fokus des Unternehmens auf dieses Einfallstor wider. Das Unternehmen beschreibt einen API-basierten Ansatz, der KI-Analysen, automatisierte Untersuchungen und von Menschen gewonnene Bedrohungsinformationen kombiniert und durch Phishing-Simulationen sowie Deepfake-Schutz für Microsoft Teams ergänzt wird. Diese Funktionen geben Einblick in die Perspektive des Sponsors der Studie; die Umfrage bewertet die Wirksamkeit seiner Produkte nicht unabhängig.

Genehmigungsverfahren gibt es, doch die Sicherheit gibt selten den Ausschlag

Von den 479 Befragten, deren Organisationen handlungsfähige KI-Tools einsetzen, nannten 78 % die IT als primär zuständige Stelle für die Genehmigung von Agenten, Assistenten, Plug-ins und Konnektoren. Nur 6 % nannten die Sicherheitsabteilung, während 14 % angaben, dass die Genehmigung gemeinsam durch mehrere Bereiche erfolgt.

Primär für die Genehmigung zuständig zu sein, ist nicht dasselbe wie überhaupt beteiligt zu sein. Aus den Zahlen geht nicht hervor, dass die Sicherheitsabteilung bei allen übrigen Genehmigungsverfahren ausgeschlossen ist. Sie zeigen jedoch, dass Entscheidungen über Tools mit weitreichenden Zugriffsrechten in der Regel von anderen Bereichen geführt werden.

Von den Organisationen, die einen Vorfall meldeten, gaben 39 % an, dass ein Mitarbeitender einem KI-Tool Zugriff gewährt hatte, den die Sicherheitsabteilung nicht genehmigt hätte. Damit wird die Frage der Governance konkret: Wer prüft die Berechtigungen, bevor ein Konnektor aktiviert wird, und wer kann sie widerrufen, wenn sich das Tool unerwartet verhält?

Der Bericht stellt außerdem eine Lücke zwischen Zuversicht und Umsetzung fest. Zwar gaben 93 % an, dass ihre Pläne zur Reaktion auf Sicherheitsvorfälle KI-Agenten berücksichtigen, und 84 % waren zuversichtlich, einen KI-gesteuerten Vorfall erkennen zu können. Doch nur 52 % beschrieben formelle Richtlinien, Kontrollen und Verfahren zur Reaktion auf Sicherheitsvorfälle als vollständig umgesetzt. Weitere 35 % berichteten von Richtlinien mit begrenzten technischen Kontrollen.

Die Verluste durch Deepfakes gingen zurück, doch die Bedrohung blieb bestehen

Die Ergebnisse zu Deepfakes fallen im Vergleich zur Censuswide-Umfrage von 2025 unter 500 Befragten mit demselben Profil positiver aus. Die aktiven Investitionen in Abwehrmaßnahmen stiegen von 37 % auf 48 %. Unter den Organisationen, die finanzielle Verluste meldeten, sank der Anteil derjenigen mit Verlusten von mindestens 100.000 $ von 63 % auf 49 %. Der Anteil mit Verlusten von 1 Million $ oder mehr ging von 6 % auf 3 % zurück.

Die geschätzten durchschnittlichen Verluste der finanziell betroffenen Organisationen sanken von rund 280.000 $ auf 225.000 $. Diese Schätzungen beruhen auf den Mittelpunkten der angegebenen Verlustspannen. Da die Umfragen unterschiedlich nach Verlusten fragten, berücksichtigt der Vergleich keine Antworten, die keine Verluste, Unsicherheit oder den Wunsch, keine Angabe zu machen, ausdrückten.

Der Bericht weist ausdrücklich darauf hin, dass der gleichzeitige Anstieg der Investitionen und der Rückgang der Verluste nicht beweisen, dass das eine die Ursache des anderen war. Auch sind die Vorfälle nicht verschwunden: 84 % meldeten mindestens einen Vorfall im Zusammenhang mit Deepfakes, verglichen mit 85 % im Jahr 2025. Die Definition ist weit gefasst und reicht von manipulierten Bildern und gefälschten E-Mails bis hin zu Stimmen- und Videomanipulationen in Echtzeit.

Zudem besteht ein Problem konkurrierender Prioritäten. Der Anteil der Befragten, die den Schutz vor Deepfakes als oberste Priorität bezeichneten, sank von 71 % auf 60 %, obwohl handlungsfähige KI eine zusätzliche Belastung für Sicherheitsbudgets darstellt. Die geringeren Verluste sind ein Anlass, zu untersuchen, was funktioniert, statt davon auszugehen, dass die Bedrohung vorüber ist.

Nicht nur die Kommunikation schützen, sondern auch die Aktionen

IRONSCALES empfiehlt, die Sicherheitsabteilung in die Genehmigung von Agenten einzubeziehen, Berechtigungen einzuschränken, Aktionen zu überwachen und die Reaktion auf Sicherheitsvorfälle mit Angriffen zu testen, die sowohl auf Mitarbeitende als auch auf Agenten abzielen. Diese Empfehlungen verbinden die beiden Schwerpunkte des Berichts: Täuschende Inhalte bleiben gefährlich, doch Software mit Handlungsberechtigung verändert, welche Folgen solche Täuschungen haben können.

Für ein Unternehmensteam bedeutet das, zu wissen, welche Agenten existieren, auf welche Systeme jeder von ihnen zugreifen kann und für welche Aktionen eine menschliche Überprüfung erforderlich ist. Protokolle müssen eine Rekonstruktion dessen ermöglichen, was das Tool gelesen und getan hat. Bei Tests sollte untersucht werden, ob eine nicht vertrauenswürdige Nachricht einen autorisierten Arbeitsablauf beeinflussen kann, statt lediglich zu messen, ob Mitarbeitende eine verdächtige E-Mail erkennen.

Der wichtigste Beitrag des Berichts ist seine Darstellung der Lücke zwischen Einführung, Vertrauen und implementierten Kontrollen. Im vollständigen Bericht Von Deepfakes zu Doppelagenten: Das neue Gesicht KI-gestützter Cyberrisiken können Leserinnen und Leser die Umfragefragen, methodischen Einschränkungen und Empfehlungen nachlesen.