Phishing ist eine Form des Social Engineering, bei der Angreifer über gefälschte E-Mails, Nachrichten, Websites oder Anrufe an Zugangsdaten, Zahlungen oder Systemzugriffe gelangen. Phishing nutzt keine technische Schwachstelle aus, sondern Vertrauen, Zeitdruck und Routine. Phishing-Angriffe gelten als einer der häufigsten Einstiegsvektoren für Ransomware und Datenschutzvorfälle und sind über die NIS2-Richtlinie, die DSGVO und ISO/IEC 27001 auch regulatorisch relevant.

Was ist Phishing?

Phishing bezeichnet den Versuch, Menschen durch eine glaubwürdig gefälschte Kommunikation zu einer Handlung zu bewegen, die dem Angreifer nützt: die Eingabe von Zugangsdaten auf einer nachgebauten Anmeldeseite, das Öffnen eines präparierten Anhangs, die Freigabe einer Zahlung oder die Bestätigung einer Push-Benachrichtigung. Der Begriff ist ein Kunstwort aus dem englischen fishing und verweist auf das Prinzip: Es wird ein Köder ausgeworfen, der nur bei einem Teil der Empfänger anschlagen muss.

Entscheidend für das Verständnis ist, dass Phishing keine einzelne Technik ist, sondern eine Angriffskategorie mit sehr unterschiedlichen Ausprägungen. Am einen Ende steht das breit gestreute Massen-Phishing mit Hunderttausenden identischer Nachrichten und niedriger Erfolgsquote. Am anderen Ende steht das individuell recherchierte Spear-Phishing, das auf eine einzelne Person zugeschnitten ist, echte Vorgänge aufgreift und deshalb kaum von legitimer Kommunikation zu unterscheiden ist. Zwischen beiden Polen liegt der überwiegende Teil der Angriffe, die Organisationen tatsächlich treffen.

Phishing unterscheidet sich damit grundlegend von Angriffen auf Software-Schwachstellen. Ein Exploit setzt einen Fehler in einem System voraus, der sich patchen lässt. Phishing setzt eine funktionierende Organisation voraus, in der Menschen auf Anfragen reagieren, Fristen einhalten und Vorgesetzten antworten. Genau diese Eigenschaften lassen sich nicht abschalten – weshalb Phishing seit über zwei Jahrzehnten wirksam bleibt, während technische Angriffswege kommen und gehen.

Wie läuft ein Phishing-Angriff ab?

Ein Phishing-Angriff folgt in der Regel fünf Phasen, unabhängig davon, ob er automatisiert oder gezielt erfolgt.

Aufklärung und Zielauswahl: Angreifer sammeln öffentlich verfügbare Informationen: Namen und Funktionen aus beruflichen Netzwerken, Adressschemata aus Impressumsangaben und Pressemitteilungen, Lieferanten- und Dienstleisterbeziehungen aus Ausschreibungen oder Referenzlisten. Bei gezielten Angriffen entsteht daraus ein Profil, das den späteren Vorwand plausibel macht.
Aufbau der Infrastruktur: Dazu gehören eine registrierte Domain mit hoher Ähnlichkeit zum Original, ein TLS-Zertifikat, eine nachgebaute Anmeldeseite und häufig ein vorgefertigtes Phishing-Kit. Das Schloss-Symbol im Browser ist deshalb kein Echtheitsmerkmal mehr: Es bestätigt die verschlüsselte Verbindung, nicht die Identität des Betreibers.
Zustellung: Der Köder erreicht das Ziel per E-Mail, SMS, Messenger, Anruf, QR-Code oder über Kommentare und Direktnachrichten in sozialen Netzwerken. Angreifer nutzen dabei zunehmend legitime Cloud-Dienste als Absender oder Hoster, weil deren Domains bei Reputationsfiltern nicht auffallen.
Täuschung und Handlung: Die Nachricht erzeugt einen Handlungsdruck, der Nachfragen unwahrscheinlich macht: eine ablaufende Frist, eine angebliche Sicherheitswarnung, eine offene Rechnung, eine Bitte der Geschäftsführung um Diskretion. Das Ziel ist immer eine konkrete Aktion – Eingabe, Klick, Freigabe oder Überweisung.
Verwertung: Erbeutete Zugangsdaten werden meist innerhalb von Minuten verwendet oder weiterverkauft. Aus dem übernommenen Konto folgen Postfachregeln zur Verschleierung, Zugriff auf Dateiablagen, Weiterversand an Kollegen und Geschäftspartner, Zahlungsbetrug oder die Vorbereitung eines Ransomware-Angriffs.

Bemerkenswert ist die Zeitachse: Zwischen dem Klick und dem ersten Zugriff auf das Konto vergehen häufig nur Minuten, während die Entdeckung Tage oder Wochen dauert. Diese Lücke bestimmt den Schaden mehr als die Frage, ob überhaupt jemand geklickt hat.

Welche Arten von Phishing gibt es?

Phishing-Arten unterscheiden sich nach Kanal, Zielgruppe und Grad der Personalisierung. Die folgenden Varianten sind in der Praxis am relevantesten.

Variante	Kanal und Merkmal	Typisches Ziel
Massen-Phishing	Breit gestreute, generische E-Mails an große Empfängerlisten	Zugangsdaten zu Banking, Paketdiensten, Cloud-Konten
Spear-Phishing	Individuell recherchierte Nachricht mit echtem Vorgangsbezug	Zugang zu Fach- oder Administrationskonten
Whaling	Spear-Phishing gegen Vorstand, Geschäftsführung, Amtsleitung	Strategische Informationen, hohe Berechtigungen
CEO-Fraud / BEC	Vorgetäuschte Anweisung der Leitung, oft mit Diskretionsauftrag	Eilüberweisungen, geänderte Bankverbindungen
Smishing	Phishing per SMS oder Messenger-Nachricht	Zugangsdaten, Installation von Schadsoftware
Vishing	Telefonanruf, häufig als IT-Support oder Bank	Einmalcodes, Fernwartungszugriff
Quishing	QR-Code in E-Mail, Aushang, Brief oder auf Parkautomaten	Umgehung von E-Mail-Filtern über das Privatgerät
Clone-Phishing	Kopie einer echten, bereits erhaltenen Nachricht mit ausgetauschtem Link	Ausnutzung bestehenden Vertrauens
Adversary-in-the-Middle (AiTM)	Angreifer schaltet sich als Proxy zwischen Nutzer und echten Dienst	Session-Token trotz Multi-Faktor-Authentifizierung
Pharming	Manipulation von DNS oder Hosts-Datei ohne Köder-Nachricht	Umleitung auf gefälschte Seite trotz korrekter Eingabe

Für die Abwehr ist vor allem die Kanalverschiebung relevant. Smishing, Vishing und Quishing zielen darauf, die kontrollierte Unternehmensumgebung zu verlassen: Wer einen QR-Code aus einer E-Mail mit dem Privattelefon scannt, umgeht den E-Mail-Filter, das Web-Gateway und die Endpoint-Überwachung in einem Schritt. Schutzkonzepte, die nur auf den E-Mail-Eingang wirken, verlieren dadurch systematisch an Reichweite.

Wie unterscheidet sich Phishing von Social Engineering, Spam und Pharming?

Phishing ist eine Untermenge des Social Engineering und wird in der Praxis häufig mit benachbarten Begriffen vermischt, was zu Lücken in der Abwehr führt. Der Unterschied liegt in Methode und Absicht.

Begriff	Fokus	Verhältnis zu Phishing
Social Engineering	Manipulation von Menschen zur Preisgabe von Informationen oder Handlungen, auch physisch vor Ort	Oberbegriff; Phishing ist die digital vermittelte Ausprägung
Spam	Unerwünschte Massennachrichten, meist werblich	Kann harmlos sein; Phishing verfolgt immer eine Schädigungsabsicht
Pharming	Technische Umleitung über DNS- oder Hosts-Manipulation	Erreicht dasselbe Ziel ohne Köder-Nachricht
Malware-Verbreitung	Ausführung von Schadcode auf dem Zielsystem	Phishing ist ein häufiger Transportweg, nicht die Schadwirkung selbst
Identitätsdiebstahl	Missbrauch erbeuteter Identitätsdaten	Typische Folge eines erfolgreichen Phishing-Angriffs

Praktisch bedeutet die Abgrenzung: Ein Spamfilter reduziert Phishing, verhindert es aber nicht, weil gezielte Nachrichten weder Massencharakter noch verdächtige Muster aufweisen. Und eine Awareness-Schulung, die nur E-Mails behandelt, deckt den telefonischen und den mobilen Angriffsweg nicht ab.

Woran lässt sich Phishing erkennen?

Phishing lässt sich an einer Kombination aus inhaltlichen, technischen und kontextuellen Auffälligkeiten erkennen – nicht an einem einzelnen Merkmal. Zu den belastbarsten Indikatoren zählen:

Handlungsdruck: kurze Fristen, angedrohte Sperrungen, Bitte um Diskretion oder Umgehung des üblichen Wegs
Abweichung vom Prozess: Zahlungsanweisung außerhalb des Freigabewegs, Änderung einer Bankverbindung per E-Mail, Anfrage über einen ungewöhnlichen Kanal
Absender- und Domainabweichungen: vertauschte Zeichen, zusätzliche Bindestriche, fremde Top-Level-Domain, abweichende Antwortadresse im Reply-To-Feld
Linkziel ungleich Linktext: die tatsächliche Zieladresse zeigt auf eine unbekannte Domain oder einen Weiterleitungsdienst
Unerwartete Anhänge und Dateitypen: Archive mit Passwortschutz, Makro-Dokumente, HTML-Anhänge mit lokal geladenem Anmeldeformular
Unaufgeforderte Authentifizierungsanfragen: Push-Bestätigungen oder Einmalcodes ohne eigene Anmeldung

Wichtig ist die Einschränkung dieser Merkmalsliste. Klassische Erkennungshinweise wie fehlerhafte Rechtschreibung, unpersönliche Anrede oder unsauberes Layout verlieren an Aussagekraft, weil Phishing-Kits echte Vorlagen kopieren und Sprachmodelle fehlerfreie deutsche Texte erzeugen. In der Praxis scheitert eine reine Merkmalsschulung deshalb genau bei den Angriffen, die den größten Schaden anrichten. Verlässlicher ist der Abgleich mit dem Prozess: Nicht „sieht die Nachricht echt aus?“, sondern „ist dieser Vorgang auf diesem Weg vorgesehen?“.

Warum ist Phishing trotz Spamfiltern und Schulungen so erfolgreich?

Phishing ist so erfolgreich, weil es an normalen Arbeitsverhalten ansetzt und nicht an Fehlverhalten. Wer Rechnungen prüft, Bewerbungen öffnet, Support-Tickets bearbeitet oder auf Anfragen der Leitung reagiert, tut genau das, wofür die Stelle eingerichtet wurde. Ein Angriff, der sich in diesen Ablauf einfügt, verlangt vom Empfänger, gegen die eigene Rollenerwartung zu handeln – eine deutlich höhere Hürde als das Erkennen einer schlecht gemachten Fälschung.

Hinzu kommen bewährte psychologische Hebel: Autorität, Dringlichkeit, Knappheit, Hilfsbereitschaft und Angst vor negativen Folgen. Diese Prinzipien wirken unabhängig von Bildungsgrad und IT-Kenntnis, und sie wirken besonders zuverlässig unter Zeitdruck, bei hoher Nachrichtenlast und am Ende eines Arbeitstages.

Strukturell entscheidend ist die Asymmetrie. Die Organisation muss jede Nachricht richtig einordnen, der Angreifer braucht einen einzigen Treffer. Bei tausend Empfängern und einer Erfolgsquote von einem Prozent ist der Angriff aus Sicht des Angreifers erfolgreich, aus Sicht der Organisation aber ein Vorfall. Jedes Konzept, das ausschließlich auf die Erkennungsleistung der Belegschaft setzt, rechnet daher mit einer Quote, die es nicht geben kann.

Welchen Schaden richtet Phishing in Organisationen an?

Der unmittelbare Schaden eines Phishing-Angriffs ist meist gering – ein kompromittiertes Konto, ein abgeflossener Zugangsdatensatz. Die eigentlichen Kosten entstehen in den Folgewirkungen, und sie entstehen in mehreren Dimensionen gleichzeitig.

Als Erstzugang dient Phishing regelmäßig der Vorbereitung von Ransomware: Aus einem einzelnen Nutzerkonto folgen Rechteausweitung, seitliche Bewegung im Netzwerk und schließlich die Verschlüsselung produktiver Systeme. Der Vorfall, der als E-Mail begann, endet als Betriebsunterbrechung mit Wiederanlaufzeiten von Tagen bis Wochen. Beim Business E-Mail Compromise steht dagegen der direkte finanzielle Abfluss im Vordergrund: geänderte Bankverbindungen in laufenden Rechnungsprozessen, Eilüberweisungen auf angebliche Anweisung der Leitung, abgefangene Zahlungsavise.

Datenschutzrechtlich löst ein kompromittiertes Postfach in der Regel eine Prüfpflicht aus, häufig auch eine Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO. Der Aufwand entsteht dabei nicht durch die Meldung selbst, sondern durch die Rekonstruktion: Welche personenbezogenen Daten lagen in diesem Postfach, über welchen Zeitraum, wer war betroffen? Organisationen ohne saubere Protokollierung verbringen hier erfahrungsgemäß mehr Zeit als mit der technischen Bereinigung.

Nicht zu unterschätzen ist schließlich der Schaden in der Lieferkette. Aus einem übernommenen Konto versendete Nachrichten tragen eine echte Absenderadresse, eine echte Signatur und einen echten Verlauf und treffen Kunden, Partner und Behörden, die dieser Adresse bislang vertraut haben. Der Reputationsschaden reicht damit über die eigene Organisation hinaus und wirkt länger als der technische Vorfall.

Wie verändert künstliche Intelligenz Phishing?

Künstliche Intelligenz verändert Phishing vor allem quantitativ: Sprachlich einwandfreie, kontextbezogene und individualisierte Nachrichten lassen sich in großer Zahl erzeugen, ohne dass ein Angreifer die Zielsprache beherrscht. Damit verschiebt sich das Verhältnis von Massen- zu Spear-Phishing – der Aufwand, der bislang gezielte Angriffe auf wenige Personen beschränkte, sinkt deutlich.

Hinzu kommen synthetische Stimmen und Videobilder. Beim Vishing lassen sich Stimmen von Führungskräften aus öffentlich verfügbarem Material nachbilden, was den Rückruf beim vermeintlichen Absender als alleinige Kontrolle entwertet, wenn er über eine in der Nachricht genannte Nummer erfolgt. Für Organisationen folgt daraus eine klare Konsequenz: Prüfungen müssen an Prozessen und unabhängig verifizierbaren Kontaktwegen ansetzen, nicht an der wahrgenommenen Echtheit einer Nachricht oder Stimme.

Wie schützen sich Organisationen vor Phishing?

Wirksamer Phishing-Schutz beruht auf drei Ebenen, die sich gegenseitig absichern: technische Filterung, organisatorische Kontrollen und die Meldefähigkeit der Belegschaft. Keine Ebene für sich genügt.

Auf der technischen Ebene stehen die E-Mail-Authentifizierungsverfahren SPF, DKIM und DMARC im Zentrum. Erst eine durchgesetzte DMARC-Richtlinie verhindert, dass Angreifer die eigene Domain als Absender missbrauchen; eine bloße Überwachungsrichtlinie meldet den Missbrauch, unterbindet ihn aber nicht. Ergänzend wirken Secure E-Mail Gateways mit Anhang-Sandboxing, das Umschreiben und die Prüfung von Links zum Klickzeitpunkt, DNS- und Web-Filter, restriktive Anhangsrichtlinien, deaktivierte Makros aus dem Internet sowie eine Endpoint-Erkennung, die den zweiten Schritt nach dem Klick abfängt. Auf mobilen Geräten übernimmt ein Mobile Device Management die Durchsetzung entsprechender Richtlinien.

Auf der organisatorischen Ebene entscheidet die Prozessgestaltung. Zahlungsfreigaben und Änderungen von Bankverbindungen gehören verbindlich in ein Vier-Augen-Prinzip mit Rückbestätigung über einen unabhängig hinterlegten Kontaktweg, nicht über die in der Nachricht genannte Nummer. Berechtigungen sollten nach dem Prinzip der minimalen Rechte vergeben werden, damit ein kompromittiertes Konto möglichst wenig Reichweite hat – ein Grundgedanke, den auch Zero Trust verfolgt. Ebenso wichtig ist ein niedrigschwelliger Meldeweg mit klar benannter Ansprechstelle und definierter Reaktionszeit.

Auf der menschlichen Ebene zählt weniger die Erkennungsquote als die Meldegeschwindigkeit. Regelmäßige Schulungen und realistische Phishing-Simulationen sind sinnvoll, wenn sie auf Melden statt auf Ertappen ausgerichtet sind. Eine Fehlerkultur, in der ein gemeldeter Klick keine Sanktion nach sich zieht, verkürzt die Zeit bis zur Reaktion erheblich – und genau diese Zeit bestimmt den Schaden.

Warum schützt Multi-Faktor-Authentifizierung allein nicht vor Phishing?

Multi-Faktor-Authentifizierung erhöht die Hürde für Phishing deutlich, verhindert es aber nicht vollständig, weil moderne Angriffe den zweiten Faktor umgehen statt ihn zu brechen. Beim Adversary-in-the-Middle-Phishing leitet der Angreifer die Anmeldung über einen eigenen Proxy an den echten Dienst weiter: Nutzername, Passwort und Einmalcode werden korrekt eingegeben, der Angreifer greift jedoch das anschließend ausgestellte Session-Token ab und nutzt die bereits authentifizierte Sitzung.

Zwei weitere Angriffsmuster sind verbreitet. Beim MFA-Fatigue-Angriff löst der Angreifer mit bereits erbeuteten Zugangsdaten wiederholt Push-Anfragen aus, bis eine davon aus Genervtheit oder Versehen bestätigt wird. Und Einmalcodes per SMS gelten seit Längerem als schwacher Faktor, weil sie über SIM-Swapping oder Weiterleitung abgefangen werden können.

Als phishing-resistent gelten deshalb Verfahren nach dem FIDO2/WebAuthn-Standard, also Hardware-Sicherheitsschlüssel und Passkeys. Ihr entscheidendes Merkmal ist die Bindung des kryptografischen Schlüssels an die Ursprungsdomain: Eine nachgebaute Anmeldeseite erhält schlicht keine gültige Signatur, unabhängig davon, wie überzeugend sie aussieht. Ergänzend wirken bedingte Zugriffsrichtlinien mit Geräte- und Standortprüfung sowie kurze Sitzungslaufzeiten, die den Wert eines gestohlenen Tokens begrenzen.

Was ist nach einem erfolgreichen Phishing-Angriff zu tun?

Nach einem erfolgreichen Phishing-Angriff zählt die Reihenfolge: zuerst den Zugriff beenden, dann den Umfang bestimmen, dann melden. Konkret bedeutet das, das betroffene Konto zu sperren, Passwörter zurückzusetzen und – häufig vergessen – alle aktiven Sitzungen und ausgestellten Token zu invalidieren, da ein Passwortwechsel allein eine laufende Sitzung nicht beendet. Anschließend werden Postfachregeln, Weiterleitungen, delegierte Zugriffe, registrierte Authentifizierungsmethoden und angebundene Anwendungen geprüft, weil Angreifer dort Persistenz einrichten.

Erst danach folgt die Umfangsbestimmung: Welche Daten waren zugänglich, welche Systeme wurden von diesem Konto aus erreicht, wurden Nachrichten weiterversendet? Protokolldaten sollten vor Aufräumarbeiten gesichert werden, da sie sowohl für die Aufarbeitung als auch für Nachweispflichten benötigt werden. Parallel laufen die Meldewege an – intern zur Leitung, extern gegenüber Aufsichtsbehörden und, wo Kunden oder Partner betroffen sind, gegenüber diesen.

Ein in der Praxis unterschätzter Punkt betrifft den Kommunikationsweg der Bewältigung selbst. Ist das Mailsystem kompromittiert oder wird es vorsorglich abgeschaltet, liest ein Angreifer im ungünstigsten Fall die eigene Vorfallskommunikation mit – oder die Beteiligten erreichen einander gar nicht mehr. Organisationen halten deshalb vorab freigegebene Kommunikationskanäle bereit, die unabhängig von der potenziell betroffenen Infrastruktur funktionieren und in Übungen zur Krisenkommunikation mitgeprüft werden. Ohne einen solchen Kanal weichen Beteiligte erfahrungsgemäß auf private Consumer-Messenger aus – mit Folgen für Vertraulichkeit, DSGVO-Konformität und Nachweisfähigkeit.

Wie sich ein vom Mailsystem unabhängiger Kanal für Alarmierung und Krisenstabsarbeit einrichten lässt, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Welche rechtlichen Anforderungen gelten im Umgang mit Phishing?

Rechtlich ist Phishing in Deutschland und der EU über mehrere Regelwerke erfasst, die Prävention, Meldung und Nachweis verlangen. Die DSGVO fordert in Art. 32 angemessene technische und organisatorische Maßnahmen; führt ein Phishing-Angriff zu einer Verletzung des Schutzes personenbezogener Daten, greifen die Meldepflicht an die Aufsichtsbehörde binnen 72 Stunden nach Art. 33 und – bei hohem Risiko für die Betroffenen – die Benachrichtigungspflicht nach Art. 34.

Die NIS2-Richtlinie (EU) 2022/2555 verpflichtet wesentliche und wichtige Einrichtungen unter anderem zu grundlegender Cyberhygiene, Schulungen im Bereich Cybersicherheit und zum Einsatz von Multi-Faktor-Authentifizierung. Hinzu kommt ein gestuftes Meldeverfahren mit Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Die Umsetzung in nationales Recht erfolgt über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz; der jeweils aktuelle Stand von Inkrafttreten und Fristen sollte vor der Anwendung geprüft werden.

Auf Standardebene adressiert ISO/IEC 27001:2022 das Thema unter anderem über die Maßnahme A 6.3 zu Bewusstsein, Ausbildung und Schulung sowie über die Maßnahmen zum Umgang mit Informationssicherheitsvorfällen. Der BSI IT-Grundschutz behandelt Sensibilisierung und Schulung im Baustein ORP.3 und ergänzt sie um technische Bausteine für E-Mail-Dienste. Für den Finanzsektor gelten zusätzlich die Anforderungen der DORA-Verordnung, im Automobilumfeld die Prüfkriterien nach TISAX.

Welche Kennzahlen messen die Phishing-Resistenz einer Organisation?

Die Phishing-Resistenz einer Organisation lässt sich über wenige, klar definierte Kennzahlen steuern – wobei die Klickrate allein die am wenigsten aussagekräftige ist.

Kennzahl	Bedeutung
Klickrate	Anteil der Empfänger, die in einer Simulation den Link geöffnet haben; zeigt Exposition, nicht Reaktionsfähigkeit
Meldequote	Anteil der Empfänger, die die Nachricht gemeldet haben; zentrale Steuerungsgröße
Time-to-Report	Zeit von der Zustellung bis zur ersten Meldung; bestimmt, wie früh die Abwehr beginnen kann
Time-to-Contain	Zeit von der Meldung bis zur Sperrung des betroffenen Kontos
Anteil phishing-resistenter MFA	Anteil der Konten mit FIDO2 oder Passkeys, insbesondere bei privilegierten Konten
DMARC-Durchsetzungsgrad	Anteil der eigenen Domains mit durchgesetzter Richtlinie statt reiner Überwachung

Aussagekräftig wird das Kennzahlenset erst im Zusammenspiel. Eine sinkende Klickrate bei gleichzeitig sinkender Meldequote ist ein Warnsignal, kein Erfolg: Sie deutet darauf hin, dass Mitarbeitende Simulationen erkennen und ignorieren, statt Verdachtsfälle zu melden. Steuerungsziel ist eine hohe Meldequote bei kurzer Time-to-Report – denn dass irgendwann jemand klickt, ist statistisch gesetzt; dass es innerhalb von Minuten gemeldet wird, ist gestaltbar.

Zusammenfassung: Wichtige Punkte zu Phishing

Phishing ist eine Form des Social Engineering, bei der Angreifer über gefälschte Nachrichten, Websites oder Anrufe an Zugangsdaten, Zahlungen oder Systemzugriffe gelangen.
Phishing greift keine technische Schwachstelle an, sondern normales Arbeitsverhalten – Fristen, Freigaben, Hilfsbereitschaft und Reaktion auf Autorität.
Die wichtigsten Varianten sind Massen-Phishing, Spear-Phishing, Whaling, CEO-Fraud/BEC, Smishing, Vishing, Quishing und Adversary-in-the-Middle-Phishing.
Klassische Erkennungsmerkmale wie Rechtschreibfehler verlieren an Wert; KI-generierte Nachrichten sind sprachlich einwandfrei und kontextbezogen.
Der eigentliche Schaden entsteht in den Folgewirkungen: Ransomware-Erstzugang, Zahlungsbetrug, meldepflichtige Datenschutzvorfälle und Vertrauensverlust in der Lieferkette.
Multi-Faktor-Authentifizierung allein genügt nicht: AiTM-Angriffe stehlen Session-Token, MFA-Fatigue erzwingt Bestätigungen, SMS-Codes sind abfangbar.
Als phishing-resistent gelten FIDO2/WebAuthn-Verfahren und Passkeys, weil der Schlüssel an die Ursprungsdomain gebunden ist.
Technisch tragen SPF, DKIM und eine durchgesetzte DMARC-Richtlinie, Sandboxing, Link- und DNS-Filter sowie minimale Berechtigungen den Schutz.
Nach einem Vorfall gilt die Reihenfolge Zugriff beenden – Sitzungen und Token invalidieren – Persistenz prüfen – Umfang bestimmen – melden; die Meldepflichten ergeben sich aus Art. 33 DSGVO und der NIS2-Richtlinie.
Steuerungsgröße ist nicht die Klickrate, sondern Meldequote und Time-to-Report: Dass geklickt wird, ist statistisch gesetzt; wie schnell gemeldet wird, ist gestaltbar.