Letzte Woche rief uns ein Kunde an. Sein Buchhalter hatte auf einen Link in einer DHL-Mail geklickt, Zugangsdaten eingegeben, und 20 Minuten später war das Geschäftskonto leer. 14.000 Euro. Die Mail sah aus wie jede andere Paketbenachrichtigung.
Das ist kein Einzelfall. 81 % aller deutschen Unternehmen waren 2024 von Cyberangriffen betroffen, jeder vierte Angriff startet mit Phishing (Bitkom). Das BSI zählt 309.000 neue Schadprogramme pro Tag. Und mit KI werden die Angriffe so gut, dass selbst erfahrene Mitarbeiter drauf reinfallen.
Aber: Wer die gängigsten Tricks kennt, erkennt sie auch. Hier sind die sieben Methoden die 2026 am häufigsten eingesetzt werden.
Die 7 häufigsten Phishing-Methoden im Überblick
1. E-Mail-Phishing - der Klassiker
E-Mail-Phishing ist nach wie vor die am weitesten verbreitete Methode. Angreifer versenden massenhaft E-Mails, die seriöse Absender wie Banken, Paketdienste oder Behörden imitieren. Die Nachrichten enthalten Links zu gefälschten Webseiten, auf denen Zugangsdaten abgegriffen werden.
Woran erkennen Sie klassisches E-Mail-Phishing?
- Unpersönliche Anrede ("Sehr geehrter Kunde")
- Dringlichkeit und Zeitdruck ("Ihr Konto wird in 24 Stunden gesperrt")
- Auffällige Absenderadresse (z. B. support@sparkasse-sicherheit.xyz statt einer offiziellen Domain)
- Rechtschreibfehler und unübliche Formulierungen
- Links, die beim Hovern eine andere URL zeigen als im Text angegeben
Laut BSI-Lagebericht 2024 sind gefälschte Bank- und Paketdienst-Mails die häufigsten Phishing-Köder in Deutschland.
2. Wie funktioniert Spear Phishing?
Im Gegensatz zum Massen-Phishing ist Spear Phishing gezielt auf eine bestimmte Person zugeschnitten. Die Angreifer recherchieren vorab über LinkedIn, Xing oder die Unternehmenswebseite und nutzen diese Informationen, um glaubwürdige Nachrichten zu verfassen.
Beispiel: Ein Mitarbeiter der Buchhaltung erhält eine E-Mail vom vermeintlichen Geschäftsführer mit der Bitte, eine Rechnung sofort zu begleichen. Der Name, die Signatur und sogar der Schreibstil stimmen - nur die Absenderadresse weicht minimal ab.
Bitkom beziffert den Schaden durch Spear Phishing und gezielte Angriffe auf deutsche Unternehmen 2024 auf über 200 Milliarden Euro jährlich. Diese Zahl umfasst den gesamten Bereich Cyberkriminalität, wobei Spear Phishing ein zentraler Angriffsvektor ist.
3. Was ist CEO Fraud und warum ist er so erfolgreich?
CEO Fraud (auch Business Email Compromise genannt) ist eine Sonderform des Spear Phishing. Hierbei geben sich Angreifer als Geschäftsführung oder Vorstand aus und fordern Mitarbeiter zu dringenden Überweisungen auf. Die E-Mails sind häufig mit Formulierungen wie "vertraulich" oder "bitte nicht mit Kollegen besprechen" versehen.
Typische Merkmale von CEO Fraud:
- Hohe Dringlichkeit und Geheimhaltung
- Ungewöhnliche Zahlungsanweisungen
- Kommunikation außerhalb der üblichen Kanäle
- Druck, die Standardprozesse zu umgehen
Laut einer BSI-Erhebung waren bereits 40 % der befragten Unternehmen Ziel von CEO-Fraud-Versuchen. Die durchschnittliche Schadenssumme pro erfolgreichem Angriff liegt im sechsstelligen Bereich.
4. Smishing - wenn die Gefahr per SMS kommt
Smishing (SMS-Phishing) hat in den letzten Jahren stark zugenommen. Typische Nachrichten tarnen sich als Paketbenachrichtigungen, Bankmitteilungen oder Nachrichten von Behörden. Ein Tipp-Fehler auf dem Smartphone genügt, und man landet auf einer gefälschten Seite.
So erkennen Sie Smishing:
- Unbekannte oder verkürzte Links in SMS
- Aufforderung, eine App zu installieren
- Nachrichten von unbekannten Nummern mit persönlicher Anrede
- Dringende Aufforderungen zur Datenbestätigung
Kaspersky verzeichnete 2024 einen Anstieg von Smishing-Angriffen um 35 % gegenüber dem Vorjahr. Besonders verbreitet sind gefälschte DHL- und Hermes-Benachrichtigungen.
5. Vishing - Phishing per Telefon
Vishing (Voice Phishing) nutzt Telefonanrufe statt E-Mails. Die Anrufer geben sich als Bankmitarbeiter, Microsoft-Support oder Polizeibeamte aus. Durch geschickte Gesprächsführung und künstlichen Zeitdruck werden Opfer zur Preisgabe sensibler Daten oder zur Installation von Fernwartungssoftware bewegt.
Warnsignale bei verdächtigen Anrufen:
- Unaufgeforderte Anrufe von vermeintlichen Autoritäten
- Forderung nach Passwörtern, PINs oder TANs
- Aufforderung, Software zu installieren oder Fernzugriff zu gewähren
- Drohungen mit Kontosperrung oder rechtlichen Konsequenzen
Seriöse Banken und Behörden fragen niemals telefonisch nach Passwörtern oder fordern zur Installation von Software auf. Legen Sie im Zweifel auf und rufen Sie die Institution über die offizielle Telefonnummer selbst an.
6. QR-Code-Phishing - die unterschätzte Gefahr
QR-Code-Phishing (auch "Quishing" genannt) ist eine relativ neue Methode, die viele Unternehmen noch nicht auf dem Radar haben. Angreifer platzieren manipulierte QR-Codes auf gefälschten Briefen, Parkautomaten oder sogar über echte QR-Codes in Restaurants und Geschäften. Das BSI warnte 2024 explizit vor einer Zunahme dieser Angriffsform.
Beispiel: Ein Unternehmen erhält einen offiziell aussehenden Brief von der vermeintlichen Hausbank mit einem QR-Code zur "Verifizierung der Kontodaten". Der QR-Code führt auf eine täuschend echte Nachbildung der Banking-Seite.
So schützen Sie sich:
- QR-Codes vor dem Scannen visuell prüfen (Aufkleber über Originalcode?)
- Die angezeigte URL vor dem Öffnen kontrollieren
- Keine Zugangsdaten auf Seiten eingeben, die über QR-Codes geöffnet wurden
- Im Zweifelsfall die gewünschte Webseite manuell im Browser aufrufen
- Bei Briefen mit QR-Codes den Absender telefonisch verifizieren
7. KI-generiertes Phishing - die neue Dimension
2026 erleben wir eine neue Qualität von Phishing-Angriffen. Mithilfe von KI-Sprachmodellen erstellen Angreifer E-Mails, die sprachlich einwandfrei sind, den Schreibstil des vermeintlichen Absenders imitieren und sogar kontextbezogene Details enthalten. Deepfake-Technologie ermöglicht zudem täuschend echte Video- und Sprachnachrichten.
Was macht KI-Phishing so gefährlich?
- Keine Rechtschreibfehler mehr als Erkennungsmerkmal
- Perfekte Imitation von Schreibstilen einzelner Personen
- Automatisierte Personalisierung in großem Maßstab
- Deepfake-Anrufe mit geklonten Stimmen von Vorgesetzten
Laut Bitkom sehen 62 % der deutschen IT-Sicherheitsverantwortlichen KI-gestützte Angriffe als die größte Bedrohung für 2026. Klassische Erkennungsmerkmale wie schlechte Grammatik greifen bei KI-generierten Mails nicht mehr. Umso wichtiger wird es, auf andere Indikatoren zu achten: ungewöhnliche Absenderadressen, verdächtige Links und vor allem unübliche Anfragen, die vom normalen Geschäftsprozess abweichen.
Was tun, wenn Sie auf einen Phishing-Link geklickt haben?
Keine Panik, aber schnelles Handeln ist entscheidend. Je schneller Sie reagieren, desto geringer der potenzielle Schaden. Wenn Sie auf einen verdächtigen Link geklickt oder Daten eingegeben haben, befolgen Sie diese Schritte:
- Gerät vom Netzwerk trennen - WLAN deaktivieren und LAN-Kabel ziehen
- Passwörter ändern - sofort alle Zugangsdaten ändern, die betroffen sein könnten
- IT-Abteilung informieren - oder Ihren externen IT-Dienstleister kontaktieren
- Konten überprüfen - Bank, E-Mail und andere sensible Konten auf verdächtige Aktivitäten prüfen
- Vorfall dokumentieren - Screenshots der Phishing-Nachricht sichern
- Anzeige erstatten - bei der Polizei oder über die Online-Wache Ihres Bundeslandes
Wichtig: Machen Sie betroffenen Mitarbeitern keinen Vorwurf. Eine offene Fehlerkultur sorgt dafür, dass Vorfälle schnell gemeldet werden, statt aus Angst vor Konsequenzen verschwiegen zu werden.
Wie schützt PhishGuard von IT-Meeder Ihr Unternehmen?
Technische Schutzmaßnahmen allein reichen nicht aus. Der Mensch bleibt der entscheidende Faktor - und genau hier setzt PhishGuard von IT-Meeder an.
PhishGuard umfasst drei Bausteine:
- Phishing-Simulationen: Wir versenden realistische, aber harmlose Phishing-Mails an Ihre Mitarbeiter. So erfahren Sie, wie anfällig Ihr Team tatsächlich ist - ohne echtes Risiko.
- Awareness-Training: Auf Basis der Simulationsergebnisse schulen wir Ihre Mitarbeiter gezielt. Kurze, praxisnahe Trainingseinheiten vermitteln, worauf es beim Erkennen von Phishing ankommt.
- Regelmäßige Auswertung: Sie erhalten einen detaillierten Bericht mit Klickraten, Schwachstellen und konkreten Handlungsempfehlungen.
Der Vorteil: Mitarbeiter, die einmal auf eine simulierte Phishing-Mail hereingefallen sind, erkennen echte Angriffe nachweislich besser. Studien zeigen, dass regelmäßige Phishing-Simulationen die Klickrate auf schädliche Links um bis zu 75 % senken können.
Der Vorteil gegenüber reinen Schulungen: Mitarbeiter erleben die Bedrohung hautnah und entwickeln ein Gespür für verdächtige Nachrichten, das kein Frontalunterricht ersetzen kann.
Sie möchten wissen, wie gut Ihr Team vorbereitet ist? Vereinbaren Sie eine kostenlose Erstberatung bei IT-Meeder und starten Sie mit einer Phishing-Simulation für Ihr Unternehmen.
Häufig gestellte Fragen (FAQ)
Kann ich Phishing-Mails allein am Absender erkennen?
Nicht immer. Angreifer nutzen Techniken wie E-Mail-Spoofing, um legitime Absenderadressen vorzutäuschen. Prüfen Sie daher immer auch den Inhalt, die Tonalität und vor allem die verlinkten URLs. Im Zweifelsfall kontaktieren Sie den Absender über einen separaten Kanal (z. B. Telefon), um die Echtheit zu bestätigen.
Sind kleine Unternehmen wirklich ein Ziel für Phishing?
Ja, sogar ein bevorzugtes. Laut Bitkom 2024 sind 81 % aller Unternehmen von Cyberangriffen betroffen - unabhängig von der Größe. KMU verfügen oft über weniger Sicherheitsressourcen, was sie für Angreifer besonders attraktiv macht. Gleichzeitig haben sie als Zulieferer Zugang zu Netzwerken größerer Unternehmen.
Was kostet ein erfolgreicher Phishing-Angriff?
Die Kosten variieren stark, können aber existenzbedrohend sein. Neben direkten finanziellen Verlusten durch Betrug kommen Kosten für Forensik, Systemwiederherstellung, Rechtsberatung und Reputationsschäden hinzu. Das BSI schätzt den durchschnittlichen Schaden eines erfolgreichen Angriffs auf KMU auf 40.000 bis 200.000 Euro.
Wie oft sollte man Phishing-Simulationen durchführen?
Experten empfehlen mindestens vier Simulationen pro Jahr, idealerweise monatlich. Der Grund: Gelerntes wird ohne regelmäßige Auffrischung schnell vergessen. Mit PhishGuard von IT-Meeder können Sie einen individuellen Simulationsplan erstellen, der zu Ihrem Unternehmen passt.
Schützt ein Spam-Filter zuverlässig vor Phishing?
Spam-Filter fangen einen Großteil der Phishing-Mails ab, bieten aber keinen vollständigen Schutz. Insbesondere gezielte Angriffe wie Spear Phishing und KI-generierte Mails umgehen technische Filter regelmäßig. Deshalb ist die Kombination aus technischen Maßnahmen und geschulten Mitarbeitern der wirksamste Schutz. Ein mehrstufiges Sicherheitskonzept mit Spam-Filter, Multi-Faktor-Authentifizierung und regelmäßigem Awareness-Training bietet den besten Schutz vor modernen Phishing-Angriffen.