Der aktuelle BSI-Lagebericht zeigt eine weiter wachsende Bedrohungslage in Deutschland – gleichzeitig belegt eine neue Studie von BSI und Polizeilicher Kriminalprävention, dass Bürgerinnen, Bürger und damit auch Mitarbeitende ihre Fähigkeit, KI-generierte Fälschungen zu erkennen, deutlich überschätzen. Für Unternehmen, Kommunen und Kliniken bedeutet das: Klassische Awareness-Schulungen reichen nicht mehr aus – es braucht verbindliche Verifikationsprozesse.
Die Lage: Mehr Schwachstellen, mehr KI-gestützte Täuschung
Der BSI-Lagebericht „Die Lage der IT-Sicherheit in Deutschland“ verzeichnet im Schnitt 119 neu entdeckte Sicherheitslücken pro Tag – ein Anstieg von rund 24 Prozent gegenüber dem Vorjahreszeitraum, bei gleichzeitig rund 280.000 neuen Schadprogrammvarianten täglich. Die tatsächliche Ausnutzung bekannter Schwachstellen ist dabei um etwa 38 Prozent gestiegen. Diese Zahlen sind kein Randphänomen für Großkonzerne, sondern beschreiben eine Angriffsfläche, die schneller wächst, als viele Organisationen sie absichern können – insbesondere im Mittelstand und in öffentlichen Einrichtungen mit begrenzten IT-Ressourcen.
Ergänzend dazu hat eine im April 2026 veröffentlichte Sonderauswertung des „Cybersecurity Monitor“, eine gemeinsame Erhebung von BSI und Programm Polizeiliche Kriminalprävention (ProPK) unter mehr als 3.000 Personen, ein bedenkliches Muster offengelegt: Sieben von zehn Befragten sind bereits mit KI-generierten Inhalten in Kontakt gekommen, unter den unter 30-Jährigen sogar neun von zehn. Fast die Hälfte hält sich für fähig, solche Fälschungen zu erkennen – tatsächlich prüft aber nur etwa jede vierte Person gezielt auf visuelle Unstimmigkeiten, und nur etwa jede fünfte Person verifiziert die Quelle eines Inhalts. Ein Drittel wendet überhaupt keine Prüfmethode an. Die BSI-Präsidentin mahnt entsprechend, Medienkompetenz im Umgang mit generativer KI müsse dringend gestärkt werden.
Was das für Ihre Organisation bedeutet
Diese Lücke zwischen gefühlter und tatsächlicher Erkennungsfähigkeit trifft in der Praxis genau die Angriffsmuster, die Unternehmen, Kommunen und Krankenhäuser aktuell am stärksten treffen: gefälschte Zahlungsanweisungen per Telefon oder Video-Call mit geklonter Stimme der Geschäftsführung, angebliche dringende Anweisungen an Verwaltungsmitarbeitende oder Pflegepersonal, oder täuschend echte Video-Anrufe vermeintlicher Vorgesetzter. Aus unserer Beratungspraxis heraus lässt sich festhalten: Technische Erkennungstools allein sind hier keine verlässliche Lösung, weil sich die Qualität von Sprach- und Videofälschungen schneller weiterentwickelt, als Erkennungssoftware nachziehen kann. Der wirksamere Hebel liegt in organisatorischen Prozessen, die unabhängig davon funktionieren, ob eine Fälschung erkannt wird oder nicht.
Für mittelständische Unternehmen heißt das konkret: Zahlungsfreigaben und Änderungen von Bankverbindungen sollten grundsätzlich einem Vier-Augen-Prinzip mit Rückruf über eine bekannte, unabhängig verifizierte Telefonnummer unterliegen – niemals über die im verdächtigen Anruf oder in der E-Mail genannte Nummer. Für Kommunen empfiehlt sich, sensible Verwaltungsvorgänge wie Auszahlungsanordnungen oder vertrauliche Personalentscheidungen ebenfalls an feste Verifikationsschritte zu binden und dies in Dienstanweisungen zu verankern. Krankenhäuser sollten insbesondere telefonische oder video-basierte Anfragen zu Patientendaten oder eilige Beschaffungsvorgänge kritisch prüfen, da hier sowohl Datenschutz- als auch Patientensicherheitsrisiken zusammentreffen.
Im Rahmen eines bestehenden ISMS sollten diese Verifikationsprozesse nicht als informelle Empfehlung, sondern als dokumentierte technische und organisatorische Maßnahme in die Risikoanalyse und in Notfallpläne aufgenommen werden. Auch die Schulungsinhalte für Mitarbeitende sollten aktualisiert werden: Es geht nicht mehr nur darum, verdächtige E-Mails zu erkennen, sondern auch darum, bei ungewöhnlichen telefonischen oder videobasierten Anweisungen konsequent Rückfrageprozesse einzuhalten.
Fazit und Handlungsempfehlung
Die aktuelle Bedrohungslage zeigt: Klassische Sensibilisierung reicht nicht mehr aus, wenn KI-gestützte Täuschungen kaum noch von echten Inhalten zu unterscheiden sind. Überprüfen Sie deshalb zeitnah, ob Ihre bestehenden Prozesse für Zahlungsfreigaben, vertrauliche Anweisungen und Datenweitergaben feste, technikunabhängige Verifikationsschritte enthalten – und aktualisieren Sie Ihre ISMS-Risikobewertung entsprechend.
Stand: April 2026. Die zitierten Zahlen stammen aus dem BSI-Lagebericht 2025 sowie aus einer im April 2026 veröffentlichten Sonderauswertung von BSI und ProPK; künftige Erhebungen können die Zahlen weiter verändern.
Jetzt handeln
Sie möchten prüfen, ob Ihre Organisation für KI-gestützte Betrugsversuche ausreichend abgesichert ist? Wir unterstützen Sie als externer Informationssicherheitsbeauftragter oder im Rahmen eines ISMS-Check-ups dabei, Ihre Prozesse und Schulungskonzepte auf den aktuellen Stand zu bringen. Sprechen Sie uns gerne für ein unverbindliches Erstgespräch an.