Warum AIs neue Spear-Phishing-Teams brauchen

AegisAI bekommt Geld fuer den Kampf gegen KI-Phishing

AegisAI hat am 23. Juli 2026 eine Series A ueber 36 Millionen Dollar bekannt gemacht; laut TechCrunch steigt die Gesamtfinanzierung damit auf 49 Millionen Dollar. Das Unternehmen wird von frueheren Google-Sicherheitskraeften aufgebaut und positioniert sich gegen KI-getriebenes Spear Phishing. Das ist als Meldung interessant, aber die eigentliche B2B-Frage liegt tiefer: Warum entsteht gerade jetzt eine neue Sicherheitskategorie rund um glaubwuerdigere, personalisierte Mail-Taeschung?

Spear Phishing ist nicht einfach nur Massen-Spam mit besserer Grammatik. CISA beschreibt es als gezielte Variante von Phishing, bei der Angreifer Personen oder Organisationen mit personalisierten Inhalten taeuschen. Wenn generative KI dabei Recherche, Sprachstil, Rollenbezug und Variantenbildung beschleunigt, verschiebt sich das Problem von der reinen Erkennung verdaechtiger Mails hin zur Absicherung von Entscheidungen, Freigaben und Identitaeten.

Genau deshalb sollte man den AegisAI-Deal nicht als weitere VC-Meldung lesen. Er ist vor allem ein Signal dafuer, dass die Angriffsseite wirtschaftlicher wird. Wer heute mit KI in Minuten Hintergrundinformationen sammelt, Mails im Tonfall eines Vorgesetzten formuliert und fuer verschiedene Zielpersonen neue Varianten erzeugt, braucht weniger Aufwand fuer glaubhafte Angriffe als noch vor wenigen Jahren. Das macht nicht jede einzelne Mail unsichtbar. Aber es erhoeht die Zahl der Nachrichten, die plausibel genug wirken, um einen Menschen in Zeitdruck, Routine oder Autoritaetsglauben zu erwischen.

Warum KI-Phishing schwerer zu erkennen ist

Der qualitative Sprung liegt nicht nur in besserem Text. KI verbessert vor allem die Arbeitsoekonomie des Angriffs: schnellere Recherche, mehr Personalisierung, mehr sprachliche Varianten und kuerzere Iterationen. Aus Unternehmenssicht bedeutet das, dass klassische Warnzeichen wie schlechte Uebersetzung, schiefe Formulierungen oder unpassender Tonfall an Aussagekraft verlieren.

Hinzu kommt ein praktischer Punkt, den der TechCrunch-Bericht aufgreift: Moderne Angriffe koennen legitime wirkende Anhaenge, PDFs oder Zwischenschritte nutzen, die fuer starre Regelwerke schwerer zu greifen sind. Der Hersteller AegisAI beschreibt zusaetzlich automatisierte Spear-Phishing-Tests und KI-erzeugte BEC-Szenarien. Selbst wenn man diese Aussagen vorsichtig lesen muss, zeigen sie, wohin sich der Markt bewegt: Weg von einfachen Spam-Filtern, hin zu kontextbezogener Taeschung, die echte Geschaeftsablaeufe nachahmt.

Fuer Unternehmen wird das besonders gefaehrlich, wenn Mail nicht isoliert betrachtet wird. Eine glaubhafte Nachricht ist oft nur der erste Schritt. Der eigentliche Schaden entsteht bei Kontowechseln, Rechnungsfreigaben, Passwort-Resets, MFA-Umgehungen, Datei-Freigaben oder Admin-Handlungen. Darum passt hier auch Googles Sicherheitslogik zu Prompt-Injection- und GenAI-Risiken: Einzelschutz reicht selten; belastbarer wird Abwehr erst, wenn mehrere Schichten zusammenspielen.

Welche Teams den Druck zuerst spueren

Am staerksten betroffen sind nicht zwingend nur Security-Teams, sondern Rollen mit Entscheidungs- oder Freigabemacht. Dazu gehoeren Finance-Teams, HR, Executive Assistants, Procurement, RevOps, Helpdesks und Admin-Teams. Sie bearbeiten Anfragen, bei denen Zeitdruck, Vertraulichkeit und Hierarchie besonders wirksam sind.

Ein typisches Muster ist nicht die perfekt gefaelschte Mega-Attacke, sondern die ausreichend glaubhafte Routine-Unterbrechung: eine dringende Lieferantenfrage, ein angeblicher Freigabewunsch aus dem Management, ein Konto- oder Bankdatenwechsel, ein Bewerberdokument mit Schadlink oder eine Passwort-/MFA-bezogene Bitte an den Support. Je naeher eine Mail am echten Prozess liegt, desto weniger hilft die Frage: "Sieht das verdaechtig aus?" Wichtiger wird dann: Darf dieser Vorgang ueberhaupt allein per Mail angestossen oder bestaetigt werden?

Genau hier beruehrt das Thema auch angrenzende Risiken, die ueber E-Mail hinausgehen. Wer mehr zu Rechten, Connectoren und Schadensradius agentischer Systeme verstehen will, findet die gleiche Logik in Warum KI-Agenten nicht am Modell scheitern, sondern an ihren Verbindungen.

Wo klassische Abwehr an Grenzen stoesst

Mail-Gateways, Anti-Spam, Awareness-Trainings und MFA bleiben wichtig. Aber sie loesen das Problem allein immer weniger vollstaendig. Das ist keine Absage an bestehende Security-Stacks, sondern eine Verschiebung der Prioritaeten.

Erstens: Sprachliche Auffaelligkeit ist ein schwaecheres Signal als frueher. Wenn KI Tonfall, Grammatik und Unternehmensjargon gut trifft, sinkt der Nutzen rein oberflaechlicher Erkennung.

Zweitens: Awareness bleibt notwendig, darf aber nicht nur auf "boese Mail erkennen" beruhen. Mitarbeitende brauchen klare Regeln, wann ein Vorgang trotz plausibler Nachricht zwingend ueber einen zweiten Kanal bestaetigt werden muss.

Drittens: MFA schuetzt Konten, aber nicht jede Fehlentscheidung. Wenn ein legitimer Nutzer selbst eine falsche Freigabe erteilt oder Geld an den falschen Empfaenger schickt, greift MFA zu kurz.

Viertens: Die wichtigste Kontrollschicht rutscht naeher an Prozesse und Identitaet. Googles Sicherheitsblog betont mehrschichtige Abwehr, und OWASP fuehrt fuer LLM- und agentische Systeme Risiken wie Prompt Injection und uebermaessige Handlungsfreiheit auf. Uebersetzt in den Mail-Kontext heisst das: Unternehmen muessen nicht nur eingehende Nachrichten filtern, sondern auch begrenzen, welche Aktionen nach welcher Art von Anfrage ueberhaupt moeglich sind.

Das ist derselbe Denkfehler, der auch andere GenAI-Risiken verschaerft: Nicht das Modell allein richtet Schaden an, sondern die Kombination aus Vertrauen, Rechten und schwachen Kontrollpunkten. In diese Richtung argumentiert auch Warum Enterprise-GenAI das Ransomware-Risiko vergroessert.

Warum der Markt gerade solche Produkte belohnt

Der AegisAI-Deal ist deshalb interessant, weil er zwei Marktbewegungen zusammenzieht. Auf der Angriffsseite sinken die Kosten fuer glaubhafte Taeschung. Auf der Verteidigungsseite steigt der Wert von Systemen, die Kontext, Verhalten und Prozessrisiko statt nur starre Regeln auswerten.

Das heisst nicht automatisch, dass jedes neue Security-Startup gewinnt. Aber es erklaert, warum Investoren und Unternehmen gerade nach Produkten suchen, die E-Mail nicht mehr nur als Nachrichtenkanal, sondern als Identitaets- und Workflow-Risiko behandeln. Wenn Angriffe menschlicher wirken, muss Abwehr ebenfalls naeher an menschliche Arbeitsablaeufe ruecken.

Dabei sollte man nicht in die Falle tappen, neue KI-Abwehr als magischen Ersatz fuer bestehende Controls zu sehen. Wahrscheinlicher ist ein Markt, in dem klassische Mail-Security, Identity-Schutz, Verhaltenssignale, Logging und prozessgebundene Freigaben enger zusammenwachsen. Wer diese Verschiebung in agentischen Umgebungen weiterdenken will, findet eine passende Perspektive in Wenn KI aus der Sandbox will, reicht klassisches Monitoring nicht mehr.

Unterm Strich lautet die wichtigste Folgerung nicht: "Wir brauchen sofort ein neues Produkt." Sie lautet: Wir muessen pruefen, welche kritischen Entscheidungen in unserem Unternehmen noch zu leicht per glaubhafter Mail angestossen werden koennen.