Das erste Halbjahr 2026 zeigt, wie Angreifer die Effizienz und Skalierbarkeit ihrer Operationen kontinuierlich verbessern. Anstatt auf völlig neue Methoden und Werkzeuge zurückzugreifen, passen sie bewährte Techniken zügig an neue Plattformen, Technologien und Nutzerverhalten an.

Künstliche Intelligenz spielt bei dieser Entwicklung eine immer größere Rolle. Im ersten Halbjahr 2026 analysierte ESET fast 900.000 KI-Skills (kleine Funktionskomponenten, die von KI-Agenten genutzt werden) und identifizierte Zehntausende verdächtige sowie Tausende eindeutig bösartige Instanzen. Die Anzahl der KI-Skills innerhalb dieses neuen Ökosystems wächst „gerade in diesem Moment“ rasant und vergrößert damit die Angriffsfläche weiter.

KI taucht mittlerweile auch in der Malware selbst auf. Kurz nach dem Auftauchen der ersten KI-gestützten Ransomware in 2025 identifizierten ESET-Forscher „PromptSpy“, die erste bekannte Android-Malware, die generative KI in ihrem Ausführungsablauf nutzt. Die Malware nutzt Googles „Gemini“ KI, um Elemente der Benutzeroberfläche zu interpretieren und sich an verschiedene Geräte und Umgebungen anzupassen. Dies geschieht, ohne auf fest programmiertes Verhalten angewiesen zu sein. Auch wenn dies noch selten vorkommt, verdeutlicht PromptSpy das Potenzial für eine erhöhte Flexibilität zukünftiger Bedrohungen. Man geht aber davon aus, dass die in LLMs integrierte Schutzmechanismen gegen Missbrauch die Verbreitung wahrscheinlich verlangsamen.

Social-Engineering-Technik "ClickFix" ist seit längerem berüchtigt für den Einsatz von gefälschten Fehlermeldungen nutzt. Nun hat sie sich über gefälschte CAPTCHA-Aufforderungen hinaus auf KI-bezogene Hilfeseiten, Browser-Erweiterungen und Cloud-Authentifizierungsszenarien ausgeweitet. Die von ESET erfassten Vorfälle dieses Vektors haben sich zwischen dem zweiten Halbjahr 2025 und dem ersten Halbjahr 2026 mehr als verdoppelt. Das deutet auf eine anhaltende Aktivität und Anpassung hin.

Auch Phishing-Kampagnen entwickeln sich als Reaktion auf das Nutzerverhalten weiter. QR-Code-Phishing (auch als „Quishing“ bekannt) hat in der ESET-Telemetrie Rekordwerte erreicht: Angreifer betten bösartige Links in QR-Codes ein, um eine oberflächliche Überprüfung zu umgehen und die Nutzerinteraktion auf mobile Geräte zu verlagern. Dabei nutzen sie das implizite Vertrauen aus, das viele Menschen in die schwarz-weißen Quadrate setzen.

Nicht zuletzt zeigten die Ransomware-Aktivitäten keine Anzeichen einer Abschwächung.  Weiterhin kamen EDR-Killer zum Einsatz: also Tools, die darauf ausgelegt sind, Sicherheitssoftware während Angriffen zu deaktivieren. ESET Research hat über 100 in der Praxis eingesetzte EDR-Killer dokumentiert, die regelmäßig neue Varianten auftauchen. Gleichzeitig zeigen Daten aus verschiedenen Quellen, dass sich ein rückläufiger Anteil der Opfer für die Zahlung von Lösegeld entscheidet. Dies scheint ein Indiz dafür zu sein, dass gewisse Fortschritte bei den Abwehr- und Reaktionsmaßnahmen gemacht werden.