Auf den Punkt: Phishing wird durch generative KI und Identitätsdaten glaubwürdiger, während technische Filter zunehmend unwirksam werden – eine strategische Kombination aus FIDO2-Authentifizierung, häufigen Schulungen und einer hohen Report-Quote wird notwendig.
Generative KI und Identitätsdaten aus Leaks machen Phishing-Angriffe deutlich überzeugender und gleichzeitig schwächer für technische Abwehrmechanismen. Das BSI stuft Phishing weiterhin als Haupteinfallstor für Ransomware und Datenabfluss ein.
Das zentrale Problem hat sich qualitativ verschärft: Phishing-E-Mails werden durch große Sprachmodelle grammatikalisch einwandfrei formuliert, sprachlich an die vermeintliche Absenderrolle angepasst und mit echten Kontext-Details angereichert. Ein CFO erhält nicht mehr eine generische Rechnung, sondern eine Nachricht zu einem tatsächlichen Projekt, realen Vertragspartnern und plausiblem Zeitpunkt – kombiniert aus Daten aus LinkedIn, Handelsregistern und öffentlichen Ausschreibungen. Voice-Phishing mit geklonten Stimmen hat 2024 sein experimentelles Stadium verlassen und benötigt dafür nur wenige Sekunden Audiomaterial von Unternehmenswebseiten, Podcasts oder Videokonferenzen.
Die technischen Schutzschichten – E-Mail-Gateways mit Reputationsdatenbanken, Sandbox-Analysen und maschinellem Lernen – verlieren ihre Wirksamkeit zunehmend. Der Grund liegt in der Umgehung durch legitime Dienste: Phishing über Microsoft 365, Google Docs, Notion oder DocuSign passiert Reputationsprüfungen, weil diese Domains per se vertrauenswürdig sind. QR-Code-Phishing entzieht sich URL-Scans, da der Link erst nach dem Scan auf dem Nutzer-Gerät geöffnet wird. Selbst Multi-Faktor-Authentifizierung bietet keinen zuverlässigen Schutz mehr: Tools wie Evilginx ermöglichen es Angreifern, Session-Cookies in Echtzeit abzugreifen, während der zweite Authentifizierungsfaktor im Hintergrund weitergeleitet wird. Phishing-resistente Verfahren auf Basis des FIDO2-Standards beheben diesen Mangel, sind in vielen Unternehmen aber noch nicht flächendeckend eingeführt.
Der Verizon Data Breach Investigations Report 2025 zeigt, dass etwa zwei Drittel der Sicherheitsvorfälle einen menschlichen Faktor beinhalten – nicht weil Mitarbeitende ein unkontrollierbares Risiko sind, sondern weil sie eine beherrschbare Verteidigungslinie darstellen, sofern angemessen geschult. Einmalige Jahresschulungen genügen dafür nicht. Effektive Sicherheitsschulung muss kurz, häufig und realistisch gestaltet werden und Klick- sowie Meldequoten auswerten. Ein klarer, etablierter Meldeprozess für verdächtige Nachrichten ist essentiell. Viele Sicherheitskonzepte nutzen inzwischen die Reporting Rate – also den Anteil gemeldeter Phishing-Versuche – als zentrale Steuerungsgröße. Eine hohe Reporting Rate ermöglicht es dem Security Operations Center, frühzeitig über neue Kampagnen informiert zu werden und blockierende Regeln in Gateways und Endpoint-Lösungen zu aktivieren.
Ein belastbares Schutzkonzept muss technische, organisatorische und kulturelle Faktoren vereinen. Technisch gehören dazu DMARC, DKIM und SPF mit strikter Reject-Policy, phishing-resistente Authentifizierung, Monitoring und schnelle Netzwerk-Segmentierung im Angriffsfall. Organisatorisch bedarf es regelmäßiger, hochfrequenter Trainings und einer etablierten Meldekultur. Kulturell ist eine Unternehmenskultur erforderlich, die verdächtige Aktivitäten nicht ahndet, sondern als wertvolle Frühindikatoren für Sicherheitsteams behandelt.
Quelle: www.it-daily.net · Erschienen 31. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.