Praxishandbuch für AI-basierte Fischerei-E-Mail-Detektion 2026: Auswahl und Implementierung von Unternehmensanwendungen
Von SPF/DKIM/DMARC bis hin zu großen Modellsemantikanalyse: Eine tiefe Auflösung der AI-basierten Fischerei-Engine, wie sie im realen Bedrohungslandungsfall landet
Daniel Nikulshyn
Editor
Bedrohungsperspektive
Warum Phishing noch immer 2026 das Hauptziel ist
Obwohl die E-Mail-Sicherheitsbranche jetzt schon zwei Jahrzehnte alt ist, ist Phishing immer noch der Hauptweg, durch den Unternehmen Datenlecks erleiden. Laut der Datenlecksuntersuchung des Verizon aus den letzten Jahren nehmen soziale Ingenieureinwirkung und Angriffe auf Zertifikate ständig den ersten Platz bei Verletzungen ein, und der E-Mail-Service ist hierbei der am häufigsten verwendeten Versandweg. Bei dem Eintrag zur Phishing-Erklärung auf der Wikipedia-Seite wird erwähnt, dass der Kern dieser Angriffe darin besteht, dass Angreifer sich als vertrauenswürdige Entitäten verkleiden und die Opfer dazu bringen, Zertifikate oder Überschreibungen vorzunehmen oder schädliche Softwares zu installieren. Die Popularität von generativen AIs seit 2022 hat es wesentlich erleichtert, Phishing-Inhalte zu erstellen. In der Vergangenheit wurden Phishing-E-Mails mittels der Erfahrungsratschläge von Rechtschreib- und Grammatikfehlern identifiziert, was heute nicht mehr funktioniert – große Sprachmodelle können E-Mails mit perfekter Grammatik und Geschäftskultur abstimmen, und sie können auf der Grundlage von öffentlichem sozialem Datenmaterial von der Zielgruppe zugeschnittene Inhalte erstellen. Dazu gehören sowohl die sogenannten 'Fischstachel-Angriffe' (spear phishing) als auch die Geschäftsschreiben-Betrüge (Business Email Compromise, BEC). BEC ist besonders bedrohlich. Das FBI Internetschutzbehörde hat in ihren jährlichen Berichten über Jahre den Geschäftsschreiben-Betrug als eine der größten wirtschaftlichen Verluste zugeordnet, die auf das Netz herabgezogen wurden. Diese Angriffe beinhalten in der Regel keinerlei schädliche Links oder Anhänge, sondern setzen ausschließlich soziale Ingenieureinwirkung auf Finanzpersonal zur Durchführung von Überschreibungen, sodass traditionell auf dem Zeichnung und die URL-Blocklisten basierende Erkennungsverfahren vollkommen untauglich sind. Die Entwicklung dieser 'Lastenlose' Angriffstrategie hat zum Aufstieg der auf künstliche Intelligenz basierenden Detektiver veranlasst, die nicht mehr nur auf Links und Anhänge achten, sondern den Zweck, Beziehungsabweichungen und Sprachmuster analysieren. Das Konzept bildet den technischen Kern dieses Leitfadens.
- Phishing - Wikipedia — Wikipedia-Seite über die Phishing-Attacken, ihre Definition, Arten und Geschichte
- FBI IC3 Jahresbericht — Jährliche Veröffentlichung des FBI Internetkriminalitätsbehörden, die BEC und andere Schäden auflistet
Technische Grundlagen
Authentifizierungsprotokolle sind der Grundstein, aber das ist noch lange nicht alles
Jedes seriose Phishing-Präventionskonzept basiert auf drei großen E-Mail-Authentifizierungsprotokollen: SPF, DKIM und DMARC. Durch SPF (Sender Policy Framework) wird via DNS-Angaben definiert, welche Server ein bestimmtes Domän berechtigt, E-Mails zu versenden; DKIM ( DomainKeys Identified Mail) überprüft die Authentifizierung mittels Signieregistratur, um sicherzustellen, dass die E-Mail während der Weiterleitung nicht manipuliert wurde; DMARC (Domain-based Message Authentication, Reporting and Conformance) definiert drittens, was bei einer Authentifizierungs-Fehler-Hinweisfolge (none/quarantine/reject) passieren soll und stellt auch zusätzliche Berichterstattung zur Verfügung. Der Wikipedia-Eintrag zu DMARC beschreibt dessen Kernverdienste in der 'Vereinheitlichung' (alignment) —, indem SPFDkim-Validierung sicherstellt, dass der Domainname im 'From'-Header übereinstimmt, was dazu führt, dass Domain-Imitation verhindert wird. Ab 2024 zwangen Google und Yahoo großen Teile von Sendern zur Verwendung von DMARC, was den Bereich des offensichtlich direkten Domänenumgeangs erheblich vergrößerte. Diese Protokolle können nur das Problem von 'Wem das Recht, dieses Domän zu verwenden gibt?' lösen. Sie sind jedoch keine Lösung für zwei hochgefährliche Angriffe: die Verwendung von ähnlichen, mit dem Ziel der Identitätskloning gemachten Domän wie 'rn' zum Platzhalten von 'm'; diese Nachrichten werden durch DMARC-authentifizierung übernommen und keine Probleme darstellen. Die Eindringlinge können dann auch eine authentifizierte Nachricht aus dem Konto eines vertrauenswürdigen Unternehmens übermitteln. Das ist dann, wo AI-Präventivagenten in den Spiel eintreten. Sie verwenden die Validierungsergebnisse als eine von vielen, viele Faktoren in der Entscheidung darüber, wer in einem Angriff involviert sein könnte. Um alle möglichen Schwächen zu erkennen. Es ist wichtig, sich über das Komplexe der Technologie mit dem Komplexe der Phishing-Prävention bewusst zu sein. Die falsche Interpretation von AI-Präventivtechnologien führt dazu, dass der Fokus zu viel auf dem Protokoll DMARC liegt. Beispielsweise ist es oft falsch, die Aussage zu hören, dass ein System 'DMARC unterstützt'.
- DMARC - Wikipedia — Der Funktionsweise der DMARC-Protokolle, ihre Strategie und ihre Abmessungen zur Eindämmung von Angreifern
- DKIM - Wikipedia — Technische Details zum DKIM-Digital-Sigentifikationsprozess
Interne Funktionen
Handbuch zur Implementierung eines AI-Schutzprozesses für Phishing-E-Mails: 2026-Unternehmen, Auswahl und Implementierung, vollständig erklärt
Moderne AI-basierte Phishing-Schutzprozesse bestehen typischerweise aus vier Schichten von Funktionen. Die erste Ebene ist die traditionelle Sicherheitskontrolle: URL-Zuverlässigkeitskataloge, Anhänge im Quarantäne-Modus explodieren, Anhänge-Hash-Übereinstimmungen, Diese Teil der Technologie ist reif und dient hauptsächlich dazu, bekannte Bedrohungen abzufangen. Die zweite Ebene sind statische und maschinelle Lernfunktionen, die mit Feature-Engineering hunderte von Signalen extrahieren, wie z.B. die Anmeldedauer des Absenderdomains, die erste Kommunikationsflagge, den Unterschied zwischen der Antwortadresse und der Absenderadresse, versteckte Unicode-Synonyme etc. Die dritte Ebene ist ein jüngster Durchbruch: Natürliche Sprachverarbeitung und semantische Absichtsanalyse mittels Großer Sprachmodelle. Das System fragt nicht mehr nur 'Ist dieser Link sicher?', sondern 'Versucht diese E-Mail, mich dazu zu bringen, etwas zu tun?'. Es ist in der Lage, Druck von oben (z. B. 'Sie müssen innerhalb von 30 Minuten eine Überweisung abschließen') zu erkennen, Behörden-Imitation (Fälschung von Chefs) sowie ungewöhnliche Strukturen der Ansprache. OpenAI, Anthropic usw. haben durch ihre großen Modell-APIs die Genauigkeit semantischer Analysen erheblich verbessert, haben jedoch auch neue Abwägungen im Hinblick auf Kosten, Verzögerung und Privatsphäre beigetragen. Die vierte Ebene ist ein Netzwerk von Beziehungen und Verhaltensprofile. Der Schutzprozess analysiert Kommunikation innerhalb und außerhalb der Organisation, um jeden Absender eine 'typische Verhaltensbilanz' zu erstellen: In welchen Zeiträumen schickt er normalerweise Nachrichten, mit welchen Geräten spricht er, mit wem kommuniziert er und welchem Stil seiner Äußerungen entspricht. Wenn eine E-Mail von der Norm abweicht (z. B. der CFO fordert auf ungewöhnlichen IPs in der Nacht eine dringende Überweisung), gibt das System eine hohe Risikobewertung. Diese basierende on Anomalie-erkennung-Methode ist besonders effektiv für Zeros-Day-BEC-Angriffe, da sie keine bekannten Signale benötigt. Indem Beurteiler den Lieferanten nachfragen, können sie die Antworten auf folgende Fragen erhalten: 'Ist die semantische Analyse auf Grundregeln oder auf echte Modellrationalität basiert? Worauf ist die Zeitdauer basiert? Wie können falsche Anfragen in das Modell eingeführt werden?' Die Antworten zu diesen Fragen liefern ein tieferes Verständnis für den echten Wert des Produkts. Beurteiler sollten nicht nur nachfragen: 'Wir nutzen AI' sondern die wahren Details erfahren.
- Dokumentation zu OpenAI-Plattformen — Die offizielle Dokumentation zur Verwendung der großen Modell-APIs für semantische Absichtsanalysen
- Technische Kategorien und -Methoden zum Nachweis von Phishing-Software - Wikipedia — Überblick über Software zur Phishing-Erkennung
Architekturentscheidung
Netzwerk-Gateway-Sicherheitsdienst vs API-Level-Integration: Eine Entscheidung für die Deployment-Architektur
Bei der Auswahl der Anlagenarchitektur ist die Hauptunterscheidung der Präventionspunkt. Herkömmliche Sicherheits-E-Mail-Gateway-Sicherheitsdienste (SEG) werden in den Eintrittspunkt des E-Mail-Fluss eingesetzt. Durch Ändern der MX-Einträge wird alle E-Mails an der Eingangsseite vor dem Liefer an dem Empfänger gesendet werden. Diese Methode fängt komplett ab, ist nicht von der E-Mail-Plattform-API abhängig, aber ihre Nachteile sind die Unfähigkeit, die nachfolgenden Veränderungen an bereits beförderten E-Mails zu sehen (z.B. Verzögerungsaktivierte Links) und die Schwierigkeit, internen Horizontal-Katfi-Fischen zu analysieren. Vor kurzem aufgekommen ist die Integration auf API-Level (oft als ICES, integrierte Cloud-E-Mail-Sicherheit bezeichnet). Es liest direkt mit Microsoft Graph oder Google Workspace API die E-Mail-Post. Anschließend wird nach der Lieferung eine Echtzeit- oder Nachtragsüberprüfung durchgeführt. Vorteile sind: Bereitstellung in Minuten, kein Bedarf Ändern der MX-Einträge und die Möglichkeit, den internen E-Mail-Fluss zu sehen sowie die Möglichkeit einer automatischen Rückzahlung (claw-back) nach der Lieferung. Beispiele für diese Idee sind Microsofts Defender for Office 365 und die native Sicherheitsfunktion von Google Workspace. Die beiden Architekturen sind nicht miteinander konkurrierend. Viele reife Organisationen haben eine 'Netzwerk-Gateway-Rücksichtnahme + API-Level-Einzelüberprüfung' als vertiefte Verteidigung eingeführt. Hersteller müssen die Vor- und Nachteile abwägen: 1. Das Netzwerk-Gateway-Modell ist bei Atempause-betonten Umgebungen besser einstellbar, erfordert jedoch einen höheren Aufwand für den Betrieb. 2. Das API-Modell ist leichter zu betreiben. Er bietet eine bessere Sichtbarkeit, ist jedoch auf die Geschwindigkeit und Berechtigungen der Plattform-API eingeschränkt. Es bedeutet auch, bei einer Aktion nach der Überprüfung eine mögliche Anzahl der bösen Briefe haben die Benutzer-Briefkasten verweilt. Ein wichtiges nicht berücksichtigte Bewertungspunkt ist die Datenverwaltung und -Privatsphäre. Das API-Schichtenmodell erfordert die Genehmigung für den dritten Leser, um die E-Mail-Inhalte zu lesend, dies ist ein schwerwiegender Entscheidungs-hersteller für Unternehmen, die von der Datenschutz-Grundverordnung (DSGVO) oder Branchen-Regelungen eingeschränkt werden. Vergewissern Sie sich, dass der Anbieter von Ihnen die Verarbeitungsorte des Dienstes, den Aufbewahrungszeitraums und ob die E-Mail-Inhalte zur Ausbildung von allgemeinen Modellen verwendet werden.
- Microsoft Defender for Office 365 — Zusammenfassendes Dokument von der Firma Microsoft zur E-Mail-Bedrohungssicherung
- E-Mail-Filterung - Wikipedia — Technische Hintergründe für die E-Mail-Filterung und -Schutz-Sicherheitsgate
Optionierungsmethodologie
Bewertungsrahmen: Was und wie man messen sollte
Fast jede Anbieter behauptet, ein Detektionsrate von über 99 % erreichen zu können, aber diese Zahl verliert an Bedeutung, sobald sie von der Testmenge abgelöst wird. Ich empfehle Sicherheitsteams, einen Bewertungsrahmen zu erstellen, der aus vier Quadranten besteht: Detektionseffizienz, Fehlalarmbelastung, Betriebs- und Nutzungserfahrung sowie Gesamtkosten. Wenn man sich auf die Detektionseffizienz konzentriert, geht es nicht nur darum, eine Gesamtausbeute zu erzielen. Vielmehr sollte man die Leistung bei verschiedenen Typen testen: bei Phishing mit verknüpften Links, bei Malware durch eingeschlossene Anhänge, bei BEC über reine Textnachrichten sowie bei internen vertikal gerichteten Phishing-Versuchen. Der größte Nutzen entsteht durch die Rückmeldung über die eigenen Fehlalarme aus der Vergangenheit (durch Datenanonymisierung). Anstatt sich auf die Demonstrationsmuster der Anbieter zu verlassen, sollte man mindestens 30 Tage ein paralleles Testlaufen ermöglichen (shadow mode), damit das neue Engine ohne Einfluss auf das Produktionsumfeld bewertet wird und die wahren Ergebnisse verglichen werden können. Fehlalarme sind das leichtest versteckte Problem. Ein System, das mit einem Fehlalarm-Rate von 0,1 % angegeben ist, bedeutet in der Praxis, dass in einem Unternehmen mit Millionen Mail-Einschüssen täglich 1.000 normale Mails isoliert werden. So wird der SOC beeinträchtigt und die Nutzer des Systems verlieren ihr Vertrauen in die Sicherheit. Wenn Sie sich auf den Betriebs- und Kostensektor konzentrieren, beinhalten Sie dabei Strategie-Konfigurationen mit feiner Granularität und guter Lesbarkeit, die Verbindungstiefe mit SIEM/SOAR sowie die Verfügbarmachung der Echtzeit-Überwachungsbildschirme sowie schließlich das Preismodell (Nach Mail-Anzahl, Nach Sendungsnachzahl, nach Sitzplatz). Die verborgenen Kosten finden sich häufig in exklusiven Service, in Optimierungszyklen sowie in zusätzlichen Wiederholen-Käufen von Bedrohungleitungen. Wenn Sie alle diese Faktoren in die Entscheidung einbeziehen, können Sie nach der Umsetzung die tatsächlichen Gesamtkosten vermeiden, die weit über den Kostenvorstellungen liegen.
- Precision and recall - Wikipedia — Verständnis der Detektionssysteme in Bezug auf Genauigkeit und Rückrufquote
Wettbewerb mit Verteidigung
Kampf gegen die Realität: Wenn Angreifer mit AI arbeiten
Phishing-Systeme basieren auf einem ständig andauernden Wettbewerbsspiel. Angreifer beginnen, ihre Angriffsansätze auf die AI-Sicherheitssysteme abzustimmen, indem sie in die Mails 'Tipps' (prompt injection) einfügen, um mit der künstlichen Intelligenz zu interagieren zu können; mit Hilfe von Abbildungen versuchen sie, Textanalyse zu umgehen; oder verwenden sie legitime Cloud-Dokumentversand-Links (Google Docs, SharePoint) als Sprungbrett, damit schädliches Material nur nach mehrmaligen Zwischenstopps zu Tage kommt. Laut der Wikipedia-Seite zu ähnlichen maschinellem Lernen (adversarial machine learning) lauern dem Sicherheitspersonal Gefahr und Kostenträchtigkeit. Wenn ein System auf eine einzige große Maschine verlässt, kann es anfällig sein für konstruktionsweise angefertigte Angriffsversuche. Daher sollten stabile Ansätze mit der Integration von mehreren KI-Modellen zusammenlaufen: Einzelne signale sollten nicht zu endgültigen Entscheidun-gen alleine führen. Ein oft übersehenes Problem ist das 'Detektionserschöpfung' (fatigue) von Benutzern. So schnell ein System mit Risikobildschirmen aus der Welt der Risiken herauskommt, gewöhnen sich die Nutzer allmählich daran und ignorieren sie, wodurch sich die Gefahr erhöht. Es ist wichtig, dass KI-Sicherheitssysteme mit regelmäßigen Phishing-Simulationen und Sicherheitsbewusstseinsbildung für die Mitarbeiter kombiniert werden. KI-Sicherheitssysteme sind nicht in der Lage, alle Fälle abzudecken, weshalb sie in der Lage sein sollten, nur die gefährlichsten E-Mails stärker zu kontrollieren und Benutzern leicht zu signalisieren. So können Benutzer ihre Aufmerksamkeit und Budget für die wichtigsten Angriffe anwenden. Ein weiteres Problem ist, dass technische KI-Systeme nie die menschlichen Fähigkeiten in der Fähigkeit, Angriffe zu erkennen, ablösen werden und daher stets als Komplementär-Angebote eingesetzt werden müssen. Sie werden in der Lage sein, die Menge an schädlichen Angriffen verringern und Benutzern das Entscheidungshilfesystem zur Verfügung stellen, aber die menschliche Intelligenz sollte in der ersten Stelle nicht abgelöst werden, sondern eher als Ergänzung genutzt werden. Ein KI-Sicherheitssystem, das allein funktionieren kann, aber auf menschliche Sicherheits-Team-Mitarbeiter angewiesen ist, ist kein guter Ansatz und sollte vermieden werden.
- Adversarial machine learning - Wikipedia — Die Bedrohung durch Maschinelles Lernen gegenüber KI-Sicherheitssystemen
- Anthropic Sicherheitsforschungen — Informationen zu Einfügen und Modell-Sicherheit aus der Anthropic Sicherheitsorganisation
Umsetzungshandbuch
Implementierungsroute: 90-Tage-Betriebsplan
Basierend auf mehrfachen Implementierungserfahrungen empfehle ich Ihnen, die AI-gestützte Phishing-Detektions-Agentur in drei 30-Tage-Schritte zu unterteilen. Der erste 30 Tage ist die Basis und das parallele Testlaufen: Sie ändern die bestehende E-Mail-Fluss nicht, indem Sie den neuen Engine in dem Schatten-Modus verbinden, das System sammelt Bewertungen für echte E-Mails, vergleicht das mit dem Status quo, wertet die Add-ons an Fehlalarmen und -entdeckungen. Gleichzeitig absolvieren Sie Gesundheitschecks von SPF / DKIM / DMARC, um sicherzustellen, dass die Bestätigungsbasis stabil ist — viele Organisationen entdecken in diesem Schritt nur, dass ihre DMARC in P=none steht. Der zweite 30 Tage ist der graue Schalter und die Strategie-Anpassung. Wählen Sie ein Team aus (oft handelt es sich dabei um das Finanz- oder das Leitungsstabsteam für den BEC-Hochrisikogruppen), das zuerst ein starkes Hindernis aktiviert, Fehlalarme engmaschig überwacht und einen schnellen Durchlaß schafft. Der Kerneinsatz des zweiten 30-Tage-Schrittes ist eine Strategie-Grundlinie und ein aktualisierter Handlungsleitfaden (Playbook), der klärt, was der automatischen Handhabung des Systems zur Verfügung steht, was dem SOC-Mitarbeiter zur manuellen Bewertung übergeben wird. Der dritte 30 Tage besteht aus der vollständigen Ausweitung und Betriebsfestschreibung. Verbinden Sie die Detektions-Agentur mit SIEM / SOAR, realisieren Sie die automatischen Entfernung, Isolation und Ereignis-Einbindung; etablieren Sie Standard-Feedback-Prozesse für Fehlalarme, um sicherzustellen, dass jeder falsch abgefangene Nachricht schnell zur Einarbeitung in das Modell zurückgegeben wird; gleichzeitig starten Sie die erste Runde der Phishing-Test-Führung, um die echten, menschenunabdingbaren Schutzwirkungen zu überprüfen. Pflegen Sie einen Rückruf-Plan. Jeder System, der auf APIs und Modelle von Drittanbietern angewiesen ist, kann vorübergehend verlustig gehen, wenn es um Versorgungsunterbrechungen, Modell-Updates oder Ratenbeschränkungen geht. Ein im Voraus vereinbarter Herunterfahrtsplan — wie zum Beispiel ein automatischer Rückschritt in Richtung eines konservativen deterministischen Regelsatzes — kann eine Einmalunterbrechung der Lieferkette von einem Totalausfall der gesamten E-Mail-Funktionalität verhindern. Schreiben Sie sich diese Regel in das SLA des Vertrags ein, um Ihre Interessen vor der Unternehmensleitung zu schützen.
- Security information and event management - Wikipedia — Hintergrundwissen zu SIEM / SOAR und E-Mail-Detektionssystemen
Ressourcen
- Fishing - Wikipedia
Die Definition, Typen und der historische Wandel der Phishing-Attacken auf Wikipedia
- DMARC - Wikipedia
Die Funktionsweise und Prinzipien des E-Mail-Zertifizierungs- und Fälschungsschutzprotokolls DMARC
- Microsoft Defender for Office 365-Dokumentation
Das offizielle Dokumentationsmaterial für Microsofts E-Mail-Zertifizierungs- und Schutzprotokoll
- OpenAI Dokumentation
Die offiziellen Anweisungen für die Verwendung von OpenAIs großer Modell-API, die für semantische Analyse zuständig ist
- Anthropic Forschungs-Homepage
Einzelheiten zu führender Forschung über die Integration von Anweisung und Modell-Sicherheit
Häufig gestellte Fragen
Kann ein AI-basiertes Fischerei-E-Mail-Detektions-Agent die konventionelle Sicherheits-E-Mail-Gateway vollständig ersetzen?
Es kann es nicht immer komplett ersetzen, sondern ergänzt. API-basierte AI-Detektion ist bei BEC- und internen horizontalen Fischerei-Attacken besser. Das Gateway hingegen hat immer noch seinen Wert hinsichtlich der Einrichtung von Filtern und dem Schalter der Verzögerung. Die meisten professionellen Einrichtungen bevorzugen eine vertiefte Verteidigung, in der beide Komponenten zusammenspielen.
Gibt es bei der Implementierung von API-basierten Lösungen, die die Zugriffsrechte für die ganze Post-Box erfordern, einen Datenschutzrisiko-Aspekt?
Hauptsächlich geht es dabei um die Daten-Abtretung, die Aufbewahrungsdauer und die Frage, ob diese gegebenen Daten zum Modell-Schulungsprozess genutzt werden. Unternehmen, die von der EU-Datenschutz-Verordnung (GDPR) oder branchenindividuellen Vorschriften beeinflusst werden, müssen sich über die Datenverarbeitung in den Server-Farmen der Anbieter informieren, ein Daten-Schutzabkommen verhandeln und sicherstellen, dass die Inhalte der E-Mails nicht für die Trainierung allgemeiner Modelle verwendet werden.
Warum wird auch mit DMARC, das nur vor Namensfälschungen schützt, von Falschern erwischt?
Die DMARC-Politik kann nur vor Fälschungen schützen, die ein realer Domänennamen verwenden (d.h. dass die Attacker von einem anderen Domänennamen eines vertrauenswürdigen Senders ausgehen), und kann nicht vor dem Phishing-Angriff aus einem vermeintlichen Domänennamen des Opfers schützen. Das sind genau die Attacken, gegen die AI-basierte semantische Analyse und die Verhaltensanalyse gefeit sind.
Kann ich mir die 99% vom Anbieter vertrauen?
Nein, solche Zahlen sind meistens von Testsets abgezogen und haben keine wahrheitsgetreue Aussagekraft. Es ist wichtig, die einzelnen Typen des Angriffs durchgehen und die erzielte Recall Rate, sowie die Historie der falsch abgekennsten Nachrichten und ein eigenes historisches Datensample dazu machen, um die Anzahl der falschen Positiven zu messen. Außerdem sollte man während mindestens 30 Tagen ein Paralleltest laufen, um sicherstelle, dass die Lösung tatsächlich auf die verschiedenen Angriffe reagiert.
Wie groß ist der Fehlertoleranz-Wirkung bei Falsch-Positiv-Raten?
Es ist meistens unterschätzt. Jeder 0,1% einer Fehlkennung in hunderttausend E-Mails führt zu etwa tausend täglichen falschen Positiven, was die SOC-Abteilung überfordert und die Vertrauheit bei der Zielgruppe einschneidet. Beim Evaluieren sollte man sich daher auf die Auswirkungen einer Fehlerrate konzentrieren, nicht nur die eigene Rate.
Was gilt für Falsch-Positiv-Raten bei einem AI-basierten Fischerei-Detektions-System?
Wegfallende Grammatik-/-Rechtschreibfehler-Detektion hat sich veraltet, aber Baseline-analyse und Beziehung-Graphen basierende Anomalieerkennung funktionieren weiter, weil sie keinen Textqualitätsfehler benötigen. Eine stabilere Implementierung sollte mehrere Engine-Integrationsmöglichkeiten haben und so nicht von einer bestimmte Zielgruppe abhängig sein.
Wird ein AI-basiertes Fischerei-E-Mail-Detektionssystem bei einem Angriff mit AI-basierten E-Mails noch wirksam?
Wenn Sie Microsoft 365 oder Google Workspace verwenden, sollten Sie die integrierten Sicherheitsfunktionen vollständig aktivieren und DMARC als "Erforderlich" setzen. Wenn Sie jedoch häufig von BEC-Attacken betroffen sind oder andere verpflichtende Richtlinien haben, sollten Sie das spezifische ICES-Szenario, eine Angriffserkennung auf der Ebene von E-Mail-Gateways und aufgrund von Angriffsverläufen, für jeden einzelnen E-Mail-Konto abbuchen bezahlen können, aber der Preisstieg ist in letzter Zeit sehr stark rückläufig und ist heute viel leichter in die Budgetierung einzuordnen.
Während welchem Zeitrahmen kann ein solches System erwartet werden?
API-basierte Anbindung kann in Minuten, aber in der Regel in einigen Tagen vollzogen werden, die Umsetzung hingegen kann mit einem 90-Tages-Zeitraum gestartet werden. Der erste Schritt beträgt 30 Tage parallele Evaluierung, gefolgt von 30 Tagen grauer Fähigkeit zur Optimierung und schließlich 30 Tage zur umfassenden Umsetzung und Implementierung.
