Phishing 2026: Warum technische Abwehr nicht mehr reicht

Das größte Einfallstor der Angreifer bleibt Phishing. Der Lagebericht des BSI zur IT-Sicherheit in Deutschland führt seit vielen Jahren Phishing als eines der häufigsten Einfallstore für Ransomware und Datenabfluss an.

Entscheidender Unterschied zu den Vorjahren ist nicht die Menge der Attacken, sondern ihre Qualität. Generative KI, Identitätsdaten aus früheren Leaks und automatisierte Aufklärung über die sozialen Netzwerke ändern das Bedrohungsbild und damit auch die bisherigen Schutzkonzepte.

Die neue Qualität von Phishing-Angriffen

Fehlerhafte Grammatik und unpersönliche Anreden verlieren ihre Aussagekraft. Große Sprachmodelle, die einwandfreie Texte in jeder Zielsprache absetzen können – und gleichzeitig deren Stil an die vermeintliche Absenderrolle angleichen –, machen dieses Einfallstor so gefährlich. Die Angreifer kombinieren diese Fähigkeit mit Daten aus LinkedIn, Handelsregistern und öffentlichen Ausschreibungen, um vermeintlich glaubwürdige Kontexte aufzubauen. Ein CFO erhält nicht mehr einfach eine generische Rechnung, sondern eine Nachricht zu einem echten Projekt, einem realen Vertragspartner und einem plausiblen Zeitpunkt. Voice-Phishing mit geklonten Stimmen hat 2024 sein Laborstadium verlassen. Ein brauchbares Stimmklonmodell reicht aus wenigen Sekunden Audiomaterial, das sich leicht auf Unternehmenswebseiten, in Podcasts oder Videokonferenzen abgreifen lässt, herzustellen. Investitionen in Security Awareness Trainings rechnen sich hier direkt, denn die Fähigkeit, ungewöhnliche Anfragen kanalübergreifend zu prüfen, ist technisch nicht ersetzbar.

Warum technische Filter nicht mehr reichen

Heutige E-Mail-Gateways arbeiten mit Reputationsdatenbanken, Sandboxanalysen und maschinellem Lernen. Diese Schichten fangen einen großen Teil bekannter Angriffe ab. Ihre Wirksamkeit sinkt rapide, sobald Angreifer legale Dienste missbrauchen. Phishing über Microsoft 365, Google Docs, Notion oder DocuSign umgeht allen Reputationsprüfungen, weil die Domains per se vertrauenswürdig sind. QR-Code-Phishing (kurz: Quishing) verbirgt sich vor URL-Scans, da der Link erst nach dem Kamera-Scan auf dem eigenen Gerät geöffnet wird.

Multi-Faktor-Authentifizierung galt lange Zeit als relativ sicherer Schutz. Angriffe mit Adversary-in-the-Middle-Kits wie Evilginx zeigen allerdings, dass Session-Cookies in Echtzeit abgegriffen werden können, sobald das Nutzerkonto mit Zugangsdaten auf einer täuschend echten Anmeldeseite gebraucht wird. Der zweite Faktor wird dabei im Hintergrund durchgereicht. Phishing-resistente Verfahren auf Basis des FIDO2-Standards schaffen hier Abhilfe, sind jedoch in vielen Unternehmen noch nicht flächendeckend ausgerollt.

Der Mensch als letzte Verteidigungslinie

Der Verizon Data Breach Investigations Report 2025 weist einen menschlichen Anteil an Sicherheitsvorfällen von etwa zwei Dritteln aus. Dies bedeutet nicht, dass Mitarbeitende ein Sicherheitsrisiko darstellen, sondern dass sie eine beherrschbare Verteidigungsschicht darstellen, wenn sie entsprechend vorbereitet sind. Einmalige Jahresschulungen schaffen das nicht. Lernen muss kurz, häufig, realistisch und mit einer Auswertung von Klick- und Meldequoten verbunden sein.

Auch ein klar definierter Meldeprozess für verdächtige Nachrichten ist unabdingbar. Steuerungsgröße in vielen Sicherheitskonzepten ist inzwischen die Reporting Rate, also der Anteil der gemeldeten Phishing-Versuche. Eine hohe Reporting Rate bedeutet, dass das Security Operations Center frühzeitig Informationen über neue Kampagnen erhält und blockierende Regeln in Gateways und Endpoint-Lösungen aktivieren kann. Die Klickrate verliert damit an Bedeutung.

Anforderungen an ein tragfähiges Schutzkonzept

Ein tragfähiges Schutzkonzept gegen Phishing 2026 muss technische, organisatorische und kulturelle Faktoren vereinen. Technisch gehören DMARC, DKIM und SPF mit strikter Reject-Policy, phishing-resistente Authentifizierung, Monitoring und schnelles Segmentation im Fall kompromittierter Konten zum obligatorischen Standard. Organisatorisch bedarf es dokumentierter Incident-Response-Prozesse, definierter Eskalationswege und regelmäßiger Übungen, die auch die Geschäftsleitung einbeziehen.

Die kulturelle Ebene ist ohne Frage der schwierigste Teil. Nur wenn in der unternehmenskulturellen DNA verankert ist, dass gemeldete Fehler nicht mit Sanktionen belegt werden, entscheidet sich, ob ein Angriff innerhalb von fünf Minuten oder erst nach fünf Tagen bemerkt wird. Unternehmen, die technische, organisatorische und kulturelle Aspekte zusammen führen, können ihr Restrisiko messbar reduzieren und die Voraussetzung schaffen, auch neuartige Angriffsformen früh zu bemerken und zu eindämmen.