Zusammenfassung: Das IC3 des FBI verzeichnete 2025 über eine Million Beschwerden und Verluste in Höhe von 20,8 Milliarden US-Dollar. Über drei Kriminalitätskategorien hinweg, die das Vertrauen in E-Mail ausnutzen (BEC, Phishing und Behördenimitation), überstiegen die Verluste 4 Milliarden US-Dollar – ein Anstieg von 46 % gegenüber 2024. KI macht jeden Angriff schwerer erkennbar, und Red Sifts eigene regionale Untersuchung zeigt, dass die meisten US-Organisationen noch immer nicht geschützt sind.
Die wichtigsten Erkenntnisse:
- BEC-Verluste erreichten 3,04 Milliarden US-Dollar, Phishing-Verluste stiegen im Jahresvergleich um 208 %, und Behördenimitation verdoppelte sich auf 797,9 Millionen US-Dollar
- Zusammengenommen macht Betrug mit Ursprung in E-Mails etwa 19 % aller gemeldeten Cyberkriminalitätsverluste aus
- KI-bezogene Beschwerden überschritten 22.000, mit damit verbundenen Verlusten von 893 Millionen US-Dollar
- Red Sifts Untersuchung zur DMARC-Konformität ergab, dass nur 35–44 % der führenden Organisationen im US-Nordosten, Mid-Atlantic und Südwesten die volle Durchsetzung erreicht haben
Das Internet Crime Complaint Center des FBI veröffentlichte letzte Woche seinen Jahresbericht 2025 und markiert damit 25 Jahre Datenerfassung zu Cyberkriminalität. Die Schlagzeile: über eine Million Beschwerden, 20,8 Milliarden US-Dollar an Verlusten und ein Anstieg von 26 % im Jahresvergleich.
Die meiste Berichterstattung wird sich auf Investmentbetrug (8,6 Milliarden US-Dollar) oder Kryptowährungen (11,3 Milliarden US-Dollar) konzentrieren. Diese Zahlen sind real. Aber sie können von einem Muster ablenken, das direkt auf die E-Mail-Infrastruktur zurückzuführen ist.
4 Milliarden US-Dollar an Betrug mit Ursprung in E-Mails
Addiert man BEC (3,04 Milliarden US-Dollar), Phishing und Spoofing (215,8 Millionen US-Dollar) sowie Behördenimitation (797,9 Millionen US-Dollar), kommt man auf über 4 Milliarden US-Dollar an Verlusten, die mit Straftaten verbunden sind, die das Vertrauen in E-Mail ausnutzen. Das sind rund 19 % aller vom IC3 gemeldeten Verluste – verursacht durch Angriffsarten, die E-Mail-Authentifizierungsprotokolle wie DMARC (Domain-based Message Authentication, Reporting and Conformance) verhindern sollen.
BEC überschritt erneut die 3-Milliarden-Dollar-Marke. Der Dreijahrestrend erzählt die Geschichte: 2,94 Mrd. USD (2023), 2,77 Mrd. USD (2024), 3,04 Mrd. USD (2025). Der Rückgang 2024 war nur von kurzer Dauer. Die durchschnittlichen Verluste pro Beschwerde liegen bei über 122.000 US-Dollar, und 86 % der BEC-Gelder werden per Überweisung oder ACH transferiert – das bedeutet, diese Angriffe schlagen in echten Finanzabläufen zu.
Phishing-Verluste stiegen um 208 %, während das Volumen konstant blieb. Die Anzahl der Beschwerden veränderte sich kaum (von 193.000 auf 191.000), aber die Verluste sprangen von 70 Millionen auf 215,8 Millionen US-Dollar. Betrachtet man zwei Jahre zurück, ist das ein 11-facher Anstieg von 18,7 Millionen US-Dollar. Jeder Phishing-Angriff richtet mehr Schaden an. Die Annahme, dass Phishing hochvolumig, aber niedrigwertig ist, gilt nicht mehr.
Behördenimitation hat sich nahezu verdoppelt. Die Beschwerden stiegen von 17.367 auf 32.424, und die Verluste sprangen von 405,6 Millionen auf 797,9 Millionen US-Dollar. Diese Betrugsmaschen fälschen Domains und Absenderidentitäten von Behörden. Fehlt einer Domain die DMARC-Durchsetzung bei p=reject, können Angreifer E-Mails versenden, die für den Empfänger legitim aussehen.
KI macht jeden Angriff effektiver
Das IC3 erfasste KI erstmals in bedeutendem Umfang als Beschwerdemerkmal. Das Ergebnis: 22.364 Beschwerden und 893 Millionen US-Dollar an Verlusten. Über die E-Mail-spezifischen Kategorien hinweg wächst der KI-Anteil:
- BEC mit KI-Beteiligung: 30,2 Millionen US-Dollar
- Vertrauens- und Romance-Scams: 19 Millionen US-Dollar
- Phishing: 10,2 Millionen US-Dollar
- Behördenimitation: 7 Millionen US-Dollar
Der Bericht beschreibt konkrete Techniken: KI-Chat-Generatoren, die E-Mails im Schreibstil eines CEOs verfassen, sowie Voice Cloning, das eine telefonische Bestätigung liefert, die zu einem gefälschten Absender passt. Wenn die E-Mail richtig aussieht und die Stimme am Telefon übereinstimmt, versagt die menschliche Erkennung.
Genau darum geht es. Mitarbeiter darin zu schulen, unbeholfene Formulierungen zu erkennen, war nie ein vollständiger Schutz. Wenn KI diese Anzeichen beseitigt, werden technische Kontrollen zur letzten verlässlichen Verteidigungslinie. DMARC, SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) überprüfen, ob ein Absender berechtigt ist, eine Domain zu verwenden. Ihnen ist egal, wie überzeugend die E-Mail klingt.
Red Sift-Untersuchung zeigt: Die meisten US-Organisationen sind noch immer nicht geschützt
Die IC3-Daten zeigen das Ausmaß des Problems. Red Sifts eigene Untersuchung zeigt die Lücke in den Verteidigungsmaßnahmen.
In den letzten zwei Monaten analysierte Red Sift knapp 2.000 Domains führender Organisationen in drei US-Regionen. Die Ergebnisse:
- Nur 35 % der Organisationen im Nordosten haben in sieben Bundesstaaten die vollständige DMARC-Durchsetzung erreicht
- Nur 44 % der Organisationen in der Mid-Atlantic-Region blockieren gefälschte E-Mails auf Domain-Ebene
- Nur 40 % der Organisationen im Südwesten haben p=reject implementiert
Das bedeutet, dass die Mehrheit der großen US-Organisationen weiterhin genau den Angriffsarten ausgesetzt ist, die 4 Milliarden US-Dollar an vom IC3 gemeldeten Verlusten verursachen.
Was ist zu tun
Das Recovery Asset Team des IC3 fror 2025 bei 3.900 Vorfällen 679 Millionen US-Dollar ein, mit einer Erfolgsquote von 58 %. Das ist bedeutsam, aber es handelt sich um nachträgliche Wiederherstellung. Der kostengünstigere Eingriff erfolgt, bevor die betrügerische E-Mail ankommt.
Überprüfen Sie den E-Mail-Authentifizierungsstatus Ihrer Domain kostenlos mit Red Sift Investigate, um zu sehen, wo Sie stehen. Wenn Sie noch keine DMARC-Durchsetzung haben, bringt Red Sift OnDMARC Organisationen in 6–8 Wochen zu p=reject – mit automatisierter SPF- und DKIM-Konfiguration, dynamischer Absendererkennung und laufender Überwachung.
Ein 4-Milliarden-Dollar-Problem, das jährlich um 46 % wächst und durch KI beschleunigt wird, wird durch Abwarten nicht kleiner.
Jack leads content, PR, GEO, and email security research at Red Sift.