KI-Waffen und Handy-Angriffe: So schlagkräftig sind Hacker 2026

Im Internet findet ein Wettrüsten zwischen Hackern und ihren Zielen statt. Und Künstliche Intelligenz ist die Waffe, die jeder in seinem Arsenal haben möchte. Denn KI-Werkzeuge verhelfen Hackern gleich aus mehreren Gründen zu neuartiger Schlagkraft, wie ein Bericht des US-Cybersicherheitsunternehmens CrowdStrike zeigt.

KI-basierte feindliche Aktivitäten hätten im vergangenen Jahr um 89 Prozent zugenommen, schreibt CrowdStrike in seinem am Montag veröffentlichten "Thread Hunting Report 2026". Angreifer nutzten die Technologie, um den Umfang von Angriffen auszuweiten und ihr Tempo zu beschleunigen.

Mehr denn je gilt: bei Hackerangriffen kann jede Minute zählen.

Am Anfang vieler Cyberangriffe steht eine frisch entdeckte Verwundbarkeit in einer Software. Solche Sicherheitslücken haben einen enormen Wert für Cyberkriminelle. Sollten sie die Verwundbarkeit noch vor den eigentlichen Anwendern der Software gefunden haben, dann sprechen Experten von einem sogenannten "Zero-Day-Exploit" - denn das Opfer hatte keine Zeit, sich vorzubereiten.

KI-Werkzeuge ermöglichen das Suchen und Finden solcher Sicherheitslücken in einem viel größeren, quasi industriellen Maßstab. Gleichzeitig können Hacker ihre Angriffswerkzeuge auch schneller an neue Lücken anpassen. In der ersten Jahreshälfte 2026 seien 88 Prozent aller von CrowdStrike festgestellten erfolgreichen Hackerangriffe in einem Zeitfenster von 48 Stunden nach Bekanntwerden der Sicherheitslücke erfolgt.

CrowdStrike verweist auf Fälle, in denen IT-Mitarbeitern kaum Zeit blieb, auf die Bedrohung zu reagieren: Am 29. April 2026 wurde eine Schwachstelle im Linux-Betriebssystem öffentlich, mit der Angreifer weitreichenden Zugriff bekommen konnten. Innerhalb von 14 Stunden nach Bekanntwerden hätte der erste Kunde einen Cyberangriff gemeldet. Nach 20 Stunden hätte eine belarussische Hackergruppe die Schwachstelle gezielt gegen eine ukrainische Behörde eingesetzt.

In einem anderen Fall hätten Kriminelle ab dem 3. Dezember 2025 innerhalb von vier Tagen mehr als 80 verschiedene Ziele mit einem als "React2Shell" bekannt gewordenen Exploit angegriffen. Innerhalb von 24 Stunden nach Bekanntwerden hätten gleich mehrere chinesische Hackergruppen die Sicherheitslücke ausgenutzt, ein Hinweis auf Vernetzung und Koordination der Gruppen untereinander. Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) verwies auf "China-nahe, staatliche Akteure" und sprach eine Warnung aus.

Immer häufiger erfolgen Hackerangriffe nicht direkt bei den Zielen selbst, sondern bei externen Dienstleistern. Dieser Trend hält schon seit mehreren Jahren an - Gründe sind die zunehmende Auslagerung an externe Cloud-Dienste oder Software-Schnittstellen, die im Hintergrund bei ganz verschiedenen Anwendungen und Unternehmen zum Einsatz kommen. So war das etwa bei einer schwerwiegenden Microsoft-Sicherheitslücke im Juli 2025.

Neue Trends sind hingegen eine massive Zunahme bei sogenannten "Vishing"-Angriffen, also "Video Phishing". Dabei kontaktieren Angreifer ihre Opfer per Videoanruf auf dem Handy, um ihnen Informationen zu entlocken, oder sie auf gefälschte Login-Seiten zu schleusen. In der ersten Jahreshälfte 2026 habe man eine Verdopplung der Vishing-Angriffe gegenüber dem Vorjahr festgestellt, so der CrowdStrike-Bericht.

Angriffe verlagerten sich zunehmend von klassischen Wegen wie E-Mails auf das Handy von Zielpersonen. "Geräte-Phishing ist viel einfacher als per E-Mail. Es gibt eine ganze Reihe an Werkzeugen, um E-Mails zu scannen, auf Handys deutlich weniger", erklärt Adam Myers, Leiter der Bedrohungsanalyse bei CrowdStrike.

Bei vielen Nutzern laufen auf dem Handy ganz unterschiedliche Apps und Informationsströme zusammen - von privater Kommunikation mit WhatsApp über einen Zugang zum Cloud-Server des Arbeitgebers, ein Adressbuch oder Token-Generatoren, mit denen alle möglichen Dienste abgesichert werden. Ein kompromittiertes Handy ist ein Traum für Angreifer.

Eine massive, 15-fache Zunahme im letzten halben Jahr gab es beim sogenannten "device code phishing". Dabei genehmigen Nutzer versehentlich eine manipulierte Nutzeranfrage für einen Hacker, etwa eine Freigabe-Anfrage für ein Office-Dokument.

Der Angreifer erfährt nie das Passwort, sondern erhält den Zugriff über ein sogenanntes Token, das ihn als legitimen Nutzer ausweist. Sie sind eigentlich dafür gedacht, dass man sich auch über externe Geräte wie Smart TVs einloggen kann, oder sie verhindern, dass man sich bei jeder Nutzung erneut anmelden muss. Gelangen Angreifer an legitime Session Tokens, können sie unbemerkt im Hintergrund eingeloggt bleiben. Für Nutzer wie für IT-Sicherheitsabteilungen sind solche Angriffe oft schwer zu erkennen.

Microsoft verfolgte bereits mehrere großangelegte Kampagnen mit "device code phishing" zu russischen Staatshackern zurück. Im April 2026 wurde bekannt, dass mehrere deutsche Politiker mutmaßlich russischen Hackern Zugriff auf ihre Konten beim Messenger-Dienst Signal gegeben haben.

Im April 2026 hat eine seit Jahren als "Cozy Bear" bekannte russische staatsnahe Hackergruppe mit "device code phishing" ein hochrangiges Ziel bei einem Thinktank in Großbritannien angegriffen, schreibt CrowdStrike in seinem Bericht.

Dabei hätten sich die Angreifer über WhatsApp als Mitarbeiter der deutschen Botschaft ausgegeben, einen digitalen Termin mit der Zielperson vereinbart und einen manipulierten Einladungslink für Microsoft Teams verschickt. Darüber sei ein Session Token abgegriffen worden, über das noch am gleichen Tag das mobile E-Mailpostfach des Ziels angezapft wurde. "Dieser Angriff ist stellvertretend für die ausgefeilten, zielgerichteten (…) Operationen, die Cozy Bear im vergangenen Jahr entwickelt hat", schreibt CrowdStrike dazu.