Email & Collaboration Threat Protection

Die 20-Milliarden-Dollar-Warnung des FBI

Auf der menschlichen Ebene hat die Cyberkriminalität die Oberhand – und das mit maschineller Geschwindigkeit

by Alexander Decarne

Aug. 03, 2026

Wichtige Punkte

Der „IC3 2025 Internet Crime Report“ des FBI verzeichnete Verluste in Höhe von 20,9 Milliarden US-Dollar – ein Anstieg von 26 % gegenüber dem Vorjahr –, wobei fast 85 Cent von jedem verlorenen Dollar auf cybergestützten Betrug entfielen, bei dem jemand eine überzeugende Nachricht erhielt und darauf reagierte, und nicht auf Malware oder Zero-Day-Exploits.
business email compromise entwickelt sich zu einem 3-Milliarden-Dollar-Problem, das jeden technischen Filter umgeht: keine bösartigen Links, keine Schadcodes, keine zu blockierenden Domains – lediglich harmlos wirkende E-Mails, die im Moment der menschlichen Entscheidung das Vertrauen und die Dringlichkeit ausnutzen.
Das FBI hat künstliche Intelligenz im vergangenen Jahr erstmals offiziell als eigenständigen Bedrohungsvektor eingestuft. Fast 900 Millionen US-Dollar an bestätigten Verlusten im Zusammenhang mit KI. Und selbst das FBI wird Ihnen bestätigen, dass diese Zahl die tatsächliche Situation unterschätzt – nicht, weil es keine Angriffe gäbe, sondern weil die Opfer die Beteiligung von KI nicht erkennen. KI ist bereits in weitaus mehr Systemen integriert, als derzeit überhaupt erfasst werden kann.

Der Bericht des Internet Crime Complaint Center (IC3) des FBI über Internetkriminalität aus dem Jahr 2025 zeigt in allen wesentlichen Schadenskategorien ein einheitliches Bild: Geld und Daten gehen verloren, weil eine Person eine Entscheidung getroffen hat, die sie nicht hätte treffen sollen. Durch die KI wird es schwieriger, bei diesen Entscheidungen die richtigen Entscheidungen zu treffen.

20,877 Milliarden Dollar

Die gemeldeten Verluste durch Cyberkriminalität sind im Jahr 2025 im Vergleich zum Vorjahr um 26 % gestiegen und betragen fast das Dreifache des Wertes von 2021.

Fast 85 Cent von jedem verlorenen Dollar waren auf durch Cyberkriminalität ermöglichten Betrugsfälle zurückzuführen. Keine Schadsoftware. Keine Zero-Day-Schwachstellen. Dies sind erfolgreiche Angriffe, bei denen jemand eine überzeugende Botschaft erhalten und entsprechend gehandelt hat.

3 Milliarden Dollar, die alle technischen Filter und alle menschlichen Prüfungen bestanden haben

Angriffe im Rahmen von „Business Email Compromise“ (BEC) enthalten häufig keine Schadcodes – keine Links, die gescannt werden müssten, und keine bösartigen Domains, die blockiert werden müssten. Sie nutzen Vertrauen und Dringlichkeit aus, um eine Person davon zu überzeugen, eine Überweisung zu autorisieren. Der Verlust tritt in dem Moment ein, in dem diese Entscheidung getroffen wird.

Seit das FBI im Jahr 2015 damit begonnen hat, BEC-Fälle zu erfassen, hat das IC3 gemeldete Verluste in Höhe von über 20 Milliarden US-Dollar verzeichnet. Allein im Jahr 2025 beliefen sich die durch BEC verursachten Schäden bei 24.768 Vorfällen auf 3,047 Milliarden US-Dollar – das entspricht einem Durchschnitt von 123.000 US-Dollar pro Fall. Ganze 86 % dieser betrügerischen Zahlungen wurden per Überweisung oder ACH abgewickelt und durchliefen dabei alle vorgelagerten Kontrollmechanismen, ohne auch nur einen single Alarm auszulösen.

Die signaturbasierte Erkennung setzt voraus, dass es etwas gibt, mit dem ein Abgleich erfolgen kann. BEC bietet Ihnen keinerlei Vorteile. Die E-Mail ist fehlerfrei. Der Absender wirkt glaubwürdig. Die Anweisung sieht genauso aus wie Dutzende vor ihr.

Um solche Angriffe zu erkennen, muss man verstehen, wie die normale Kommunikation bei einer bestimmten Person in einer bestimmten Organisation aussieht, und Abweichungen davon melden. Das ist ein Verhaltensproblem und kein Problem des Musterabgleichs.

KI findet erstmals Eingang in den IC3-Bericht

Seit 25 Jahren veröffentlicht IC3 Berichte, und der diesjährige Bericht ist der erste, der einen eigenen Abschnitt zum Thema KI enthält. 22.364 Beschwerden. 893 Millionen Dollar an bestätigten Verlusten. Beide wurden ausdrücklich als Untererfassungen gekennzeichnet.

Der Gesamtbetrag der Anlagebetrugsfälle belief sich auf 8,6 Milliarden US-Dollar. Lediglich 632 Millionen Dollar wurden als KI-bezogen ausgewiesen. KI ist keine eigenständige Kategorie. Es handelt sich um einen Beschleuniger, der bereits in den Bereichen BEC, Phishing, Anlagebetrug und Liebesbetrug weit verbreitet ist. Stimmklonierung. Durch Chat-Funktionen generierte E-Mails, in denen sich der Absender als eine andere Person ausgibt. Anrufe zur Überprüfung von Deepfakes. Die Summe von 893 Millionen Dollar entspricht den Angaben der Opfer selbst. Die tatsächliche Zahl ist über den gesamten Bericht verteilt.

Welche Anforderungen werden im Jahr 2026 an die IC3-Daten gestellt?

Das Muster ist eindeutig. Sagen wir es noch einmal. Es kommt zu finanziellen Verlusten und Datenverlusten, weil jemand eine überzeugende Nachricht erhalten und darauf reagiert hat. Künstliche Intelligenz erschwert die Erkennung dieser Angriffe und ermöglicht es den Kriminellen, mit maschineller Geschwindigkeit zu agieren. Das Volumen geht nicht zurück. Die Kluft zwischen dem, was herkömmliche Kontrollmechanismen erkennen, und dem, was Angreifer versenden, war noch nie so groß wie heute.

Um diese Lücke zu schließen, ist eine Verhaltenserkennung erforderlich, die Kommunikationsnormen abbildet und sich nicht nur auf bekanntermaßen schädliche Muster beschränkt. Mehrstufige Kontrollmechanismen, die Informationen entlang der gesamten E-Mail-Pipeline austauschen. Eine Domänenauthentifizierung, die auch Vorgänge außerhalb Ihrer Netzwerkgrenzen abdeckt. Einblick in die Kompromittierung von Zugangsdaten und Datenbewegungen, bevor Ransomware zu Ransomware wird. Maßnahmen zur Risikokontrolle durch Menschen, die zum Zeitpunkt der Entscheidung greifen und nicht erst danach. Und dies gilt für alle Tools zur Zusammenarbeit, nicht nur für E-Mails.

Das ist die Architektur, auf der Mimecast basiert. Verhaltensbasierte KI für „saubere“ Angriffe. DMARC Analyzer und Brand Exploit Protect für den externen Perimeter. Schutz vor Kontoübernahmen sowie Incydr zum Schutz vor Risiken im Zusammenhang mit Zugangsdaten und Datenübertragungen. Und das „Human Risk Command Center“, um herauszufinden, wer derzeit gefährdet ist, und einzugreifen, bevor diese Personen eine falsche Entscheidung treffen.

Das FBI kann den Verlust beziffern. Es lässt sich gar nicht zählen, wie viele Vorfälle sich innerhalb eines Sicherheitsprogramms ereignet haben, das auf das Falsche geachtet hat. Die Frage für das Jahr 2026 lautet: Können Sie Risiken durch Menschen und KI erkennen, bevor sie Ihnen Schaden zufügen?

Erfahren Sie, welche Lücken Ihre derzeitigen Kontrollmaßnahmen aufweisen. Testen Sie den kostenlosen „Proof of Value“ von Mimecast. Lassen Sie uns Ihre Umgebung vernetzen und Ihnen zeigen, was dabei durchkommt.

Starten Sie Ihre kostenlose Testphase →