Phishing Leitfaden für Unternehmen 2026: Erkennen, verhindern und abwehren

Phishing ist 2026 die mit Abstand wichtigste Cyberbedrohung für Unternehmen. Microsoft hat allein im ersten Quartal 2026 rund 8,3 Milliarden E-Mail-basierte Phishing-Versuche identifiziert, ein Großteil davon KI-generiert. Laut KnowBe4 sind 86 Prozent aller Phishing-Angriffe inzwischen KI-gesteuert, was klassische Erkennungsmerkmale wie Tippfehler oder schlechte Grammatik weitgehend verschwinden lässt. Gleichzeitig verlagern sich Angriffe stark auf neue Kanäle, etwa QR-Codes (+146 Prozent allein im Q1 2026), Microsoft Teams (+40 Prozent) und Reverse-Proxy-Angriffe zur Umgehung von Multi-Faktor-Authentifizierung (+139 Prozent). Was Unternehmen 2026 wissen müssen, fasst dieser Leitfaden zusammen.

Was ist Phishing?

Phishing ist eine Form des Cyberbetrugs, bei der Angreifer versuchen, vertrauliche Informationen oder Zugangsdaten zu stehlen. Sie geben sich als vertrauenswürdige Quelle aus, etwa als Bank, Online-Dienst, Geschäftspartner oder interne IT-Abteilung. Ziel ist es, Empfänger mit täuschend echt gestalteten Nachrichten, Websites oder Anrufen zur Preisgabe sensibler Daten oder zum Anklicken schädlicher Links zu bewegen. Klassische Kanäle sind E-Mail und Webseiten, zunehmend auch SMS, Messenger, Telefonanrufe, QR-Codes und Kollaborationstools wie Microsoft Teams.

Phishing gehört zu den häufigsten Erstzugangsvektoren in der IT-Sicherheit. Studien zeigen, dass ein erheblicher Teil aller erfolgreichen Cyberangriffe mit einer Phishing-Mail beginnt. Phishing ist 2026 deshalb keine Randerscheinung, sondern der zentrale Türöffner für nachgelagerte Bedrohungen wie Ransomware, Datendiebstahl oder Betrug.

Phishing-Bedrohungslage 2026 in Zahlen

Wer das Risiko 2026 einordnen will, braucht aktuelle Zahlen. Sie zeigen, dass Phishing weder rückläufig ist noch sich auf bestimmte Branchen beschränkt. Vielmehr hat sich die Angriffslage in mehreren Dimensionen gleichzeitig verschärft.

Was diese Zahlen in der Praxis bedeuten, ist klar. Phishing ist keine seltene Bedrohung mehr, sondern dauerhaft präsent. Die Angreifer arbeiten arbeitsteilig, nutzen kommerzielle Phishing-as-a-Service-Plattformen wie Tycoon2FA und passen ihre Methoden in Wochen an, sobald ein Kanal stärker abgesichert wird. Verteidiger müssen entsprechend mehrschichtig denken.

Wie funktioniert ein moderner Phishing-Angriff?

Phishing-Angriffe folgen einem wiederkehrenden Muster, das sich über die Jahre nur in Details verändert hat. Was sich grundlegend gewandelt hat, sind die technische Qualität und die psychologische Präzision.

Schritt 1: Köder mit Druck oder Vertrauen

Am Anfang steht eine Nachricht, die das Opfer zum Handeln bewegen soll. Klassische psychologische Hebel sind Dringlichkeit („Ihr Konto wird in 24 Stunden gesperrt"), Autorität („Anfrage der Geschäftsführung") und Knappheit oder Neugier („Ihre Bestellung wartet auf Bestätigung"). Moderne Phishing-Mails wirken professionell, enthalten korrekte Logos, plausible Anreden und nehmen oft Bezug auf reale Vorgänge im Unternehmen.

Schritt 2: Weiterleitung auf gefälschte Login-Seite oder Schadcode

Ein Link führt typischerweise auf eine Website, die der echten Login-Seite täuschend ähnlich sieht. Dort werden Zugangsdaten abgefangen. Alternativ enthält die Mail einen Anhang, der beim Öffnen Schadsoftware nachlädt oder einen QR-Code, der auf einem zweiten Gerät aufgerufen wird. Microsoft beobachtet 2026 einen klaren Trend. 94 Prozent aller Phishing-Mails zielen auf Credential-Diebstahl, klassische Malware-Auslieferung ist auf 5 bis 6 Prozent gefallen.

Schritt 3: Übernahme und Ausbreitung

Mit den erbeuteten Zugangsdaten loggen sich Angreifer in Unternehmenskonten ein. Von dort werden interne Mails analysiert, weitere Phishing-Mails an Kollegen oder Geschäftspartner versendet, sensible Daten exfiltriert oder Zugänge an spezialisierte Initial Access Broker im Untergrundmarkt verkauft. Bei Ransomware-Kampagnen folgt nach Wochen oder Monaten die eigentliche Verschlüsselungsphase.

Phishing-Arten im Überblick

Phishing tritt in vielen Ausprägungen auf, die sich in Kanal, Zielgruppe und technischem Aufwand unterscheiden.

Wie KI Phishing 2026 verändert

Die wichtigste Veränderung der letzten zwei Jahre ist der Einsatz generativer KI auf Angreiferseite. Was bis 2023 die zuverlässigsten Indikatoren waren, etwa schlechte Grammatik oder ungelenke Übersetzungen, ist 2026 nahezu verschwunden.

Perfekte Sprache durch große Sprachmodelle

Tools wie ChatGPT, Claude und spezialisierte Cybercrime-Modelle wie WormGPT oder FraudGPT erstellen Phishing-Mails in Sekundenschnelle, fehlerfrei und im Tonfall der jeweiligen Branche. Eine Mail, die sich als Steuerberater ausgibt, klingt wie ein Steuerberater. Eine Mail von einer Behörde nutzt korrekte Verwaltungssprache.

Skalierung und Personalisierung

KI ermöglicht die gleichzeitige Personalisierung tausender Mails, jeweils zugeschnitten auf den jeweiligen Empfänger. Was früher Wochen Recherche kostete, dauert heute Minuten. Damit kombiniert moderne Phishing-Industrie das Volumen klassischer Spam-Kampagnen mit der Erfolgsquote gezielter Spear-Phishing-Angriffe.

Voice Cloning und Deepfakes

Mit wenigen Sekunden Audiomaterial aus Podcasts, Interviews oder LinkedIn-Videos lassen sich Stimmen täuschend echt nachbauen. In bekannten DACH-Fällen 2024 und 2025 haben Angreifer Buchhaltungs-Mitarbeitende per gefälschtem Anruf der „Geschäftsführung" zu Eilüberweisungen bewegt. Deepfake-Videos in Microsoft Teams ergänzen das Repertoire.

Phishing-as-a-Service als Industrialisierung

Plattformen wie Tycoon2FA, EvilProxy oder Caffeine bieten Cyberkriminellen fertige Phishing-Infrastruktur als Mietmodell. Sie umfassen vorgefertigte Templates für Microsoft 365, Reverse-Proxy-Server zur MFA-Umgehung und automatische Domain-Rotation. Microsoft und Europol haben Tycoon2FA im März 2026 teilweise zerschlagen, doch die Plattform hat sich auf .RU-Domains umgezogen und bleibt aktiv.

AiTM und MFA-Umgehung: die neue Realität

Die wichtigste technische Entwicklung 2026 ist der breite Einsatz von Adversary-in-the-Middle-Angriffen, kurz AiTM. Reverse-Proxy-basierte Phishing-Angriffe haben laut Microsoft 2026 um 139 Prozent zugenommen und sind die Antwort der Angreifer auf die zunehmende Verbreitung von Multi-Faktor-Authentifizierung.

Wie AiTM funktioniert

Der Angreifer schaltet einen kontrollierten Proxy-Server zwischen Opfer und echte Login-Seite. Wenn das Opfer Benutzername, Passwort und MFA-Code eingibt, leitet der Proxy alle Eingaben in Echtzeit an die echte Microsoft- oder Google-Login-Seite weiter. Im Gegenzug fängt er das Session-Token ab, das nach erfolgreicher Authentifizierung erzeugt wird. Mit diesem Session-Token kann der Angreifer sich anmelden, ohne die MFA erneut auszulösen.

Warum klassische MFA nicht mehr ausreicht

SMS-Codes, TOTP-Apps wie Google Authenticator und Push-Bestätigungen schützen nicht gegen AiTM. Der Angreifer fängt schlicht den abgelaufenen Code ab und nutzt das stationäre Session-Token weiter. In der Beratung sehen wir 2026 immer häufiger Vorfälle, in denen Unternehmen mit aktiver MFA trotzdem kompromittiert wurden, weil die Mitarbeitenden der Phishing-Seite den Code „ordnungsgemäß" eingegeben haben.

Was wirksam ist: FIDO2 und Passkeys

Der einzige zuverlässige Schutz gegen AiTM sind FIDO2-basierte Verfahren wie Hardware-Sicherheitsschlüssel (YubiKey, Google Titan) oder Passkeys. Diese prüfen kryptografisch, mit welcher Domain sie sich verbinden. Ein Reverse-Proxy auf einer abweichenden Domain wird automatisch abgelehnt, weil die kryptografische Bindung nicht passt. Die EU treibt mit eIDAS 2.0 und PSD3 zusätzlich die Einführung phishing-resistenter Authentifizierung voran. Wer 2026 ernsthaften Phishing-Schutz aufbauen will, sollte den Umstieg auf Passkeys priorisieren, mindestens für privilegierte Konten.

Phishing erkennen: was 2026 noch funktioniert

Klassische Indikatoren wie schlechte Rechtschreibung oder unscharfe Logos sind 2026 weitgehend wirkungslos. Wer Phishing erkennen will, muss auf andere Signale achten.

Inhaltliche Indikatoren, die noch tragen

• Auffälliger Handlungsdruck. Dringende Zahlungsaufforderungen, drohende Konsequenzen oder die Betonung besonderer Vertraulichkeit.
• Unerwartete Änderungen. Neue Bankverbindungen, abweichende Ansprechpartner oder veränderte Freigabeprozesse ohne nachvollziehbare Erklärung.
• Ungewohnte Kommunikationswege. Anweisungen zu sensiblen Themen über Kanäle, die dafür unüblich sind, etwa private E-Mail statt etablierter Systeme.
• Inkongruente Absender. Anzeigename und tatsächliche Absenderadresse passen nicht zusammen, oder die Domain ist leicht verändert (etwa „rn" statt „m" oder eine zusätzliche Subdomain).
• Stilbruch. Eine Mail, die angeblich von einem bekannten Kontakt stammt, klingt im Tonfall fremd.

Technische Indikatoren im Mail-System

Neben der inhaltlichen Prüfung liefern Mail-Header und Sicherheitslösungen wertvolle Hinweise. Authentifizierungsfehler bei SPF, DKIM oder DMARC sind starke Signale, ebenso wie ungewöhnliche Versender-IPs, neu registrierte Domains oder Übereinstimmungen mit bekannten Phishing-Wellen aus Threat Intelligence Feeds. Moderne E-Mail-Security-Lösungen werten diese Faktoren automatisiert aus.

Was 2026 nicht mehr verlässlich funktioniert

Wer in Awareness-Schulungen noch immer mit Beispielen aus 2018 arbeitet, vermittelt ein falsches Sicherheitsgefühl. Die folgenden Indikatoren waren früher zuverlässig, sind heute aber kaum noch hilfreich. Schlechte Grammatik und Rechtschreibfehler sind durch KI verschwunden. Generische Anreden wie „Sehr geehrter Kunde" sind selten geworden, da KI personalisiert. Auffällig schlechte Logos sind durch automatisierte Bildgenerierung verschwunden. Aktuelle Schulungen müssen mit KI-generierten Beispielen, Voice-Cloning-Demonstrationen und realistischen Multi-Channel-Szenarien arbeiten.

Sofortreaktion: was tun nach einem Phishing-Klick?

Was die meisten Unternehmen unterschätzen, ist die Frage, was nach einem erfolgten Klick passiert. Wenn ein Mitarbeiter auf einen Phishing-Link geklickt oder Zugangsdaten eingegeben hat, zählt jede Minute. In der Beratung sehen wir, dass die ersten 30 Minuten oft entscheiden, ob aus einem Klick ein Vorfall wird oder nicht. Folgende Schritte gehören in jeden Notfallplan.

Sofortmaßnahmen innerhalb der ersten 30 Minuten

1. Passwort sofort zurücksetzen. Wenn Zugangsdaten eingegeben wurden, Passwort des betroffenen Kontos und aller Konten mit gleichem Passwort umgehend ändern.
2. Aktive Sessions beenden. In Microsoft 365 oder Google Workspace alle aktiven Sitzungen des Kontos sofort widerrufen, um abgefangene Session-Tokens unbrauchbar zu machen.
3. MFA neu konfigurieren. Bestehende MFA-Tokens entfernen und neue ausgeben, idealerweise auf Passkey- oder FIDO2-Basis umsteigen.
4. IT informieren und Vorfall dokumentieren. Zeitpunkt, betroffenes Konto, Inhalt der Mail und vorgenommene Schritte protokollieren.
5. Endgerät isolieren und prüfen. Wenn ein Anhang geöffnet wurde, das Gerät vom Netzwerk trennen und durch Endpoint Protection prüfen lassen.

Folgemaßnahmen innerhalb der ersten 24 Stunden

Im weiteren Verlauf sollte geprüft werden, ob bereits Aktivitäten im kompromittierten Konto stattgefunden haben, etwa neu eingerichtete Mail-Weiterleitungen, gelesene oder gelöschte Mails, ungewöhnliche Login-Standorte oder Änderungen an Berechtigungen. Funktionen wie Sophos Email Contact Trace and Recall helfen dabei, schädliche Mails nachträglich aus allen Postfächern zu entfernen, an die sie weitergeleitet wurden.

Eine Sicherheitskultur ohne Schuldzuweisung

Der wichtigste Punkt zum Schluss. Mitarbeitende, die einen Phishing-Klick melden, sollten gelobt und nicht bestraft werden. Wer Angst vor Konsequenzen hat, schweigt. Schweigen ist 2026 das größte Risiko, weil ein nicht gemeldeter Klick aus dem Routinevorfall einen ausgewachsenen Sicherheitsvorfall macht. In Audits sehen wir regelmäßig, dass Unternehmen mit offener Fehlerkultur die kürzesten Reaktionszeiten haben.

Sechs Schutzmaßnahmen gegen Phishing für Unternehmen

Wirksamer Phishing-Schutz erfordert das Zusammenspiel aus Technik, Prozessen und Awareness. Die folgenden Maßnahmen bilden das Rückgrat eines praxistauglichen Konzepts.

1. Awareness mit aktuellen Beispielen

Regelmäßige Schulungen mit kurzen Einheiten und KI-generierten Beispielen sind effektiver als jährliche Pflichtveranstaltungen. Phishing-Simulationen sollten alle Kanäle abdecken, also E-Mail, SMS, Teams und QR-Codes. Eine offene Fehlerkultur ist Pflicht, denn nur gemeldete Vorfälle lassen sich abwehren.

2. Phishing-resistente Multi-Faktor-Authentifizierung

Klassische MFA über SMS oder TOTP-Apps schützt nicht mehr gegen AiTM. Hardware-Schlüssel oder Passkeys nach FIDO2-Standard sind 2026 die einzige zuverlässige Option, mindestens für privilegierte Konten und alle Konten mit externem Zugang.

3. SPF, DKIM und DMARC konsequent umsetzen

Die drei zentralen E-Mail-Authentifizierungsstandards sind seit Jahren verfügbar, aber laut PowerDMARC haben 41 Prozent der Bankinstitute weltweit keinen DMARC-Schutz. Wer DMARC im Reject-Modus betreibt, verhindert effektiv das Spoofing der eigenen Domain durch Angreifer.

4. Phishing-Simulationen mit Lerneffekt

Simulationen sind nützlich, wenn sie an reale Geschäftsabläufe angelehnt sind und in einem ehrlichen, aber nicht beschämenden Format ausgewertet werden. Tools wie Sophos Phish Threat ermöglichen kontinuierliche Kampagnen mit individueller Schulungszuweisung. Wichtig ist auch, dass Simulationen 2026 auch QR-Code-, Vishing- und Teams-Szenarien abdecken, nicht nur klassische E-Mail.

5. Klare Meldewege und Reaktionspläne

Mitarbeitende müssen verdächtige Mails einfach und ohne Hürden melden können, etwa über einen Button im Mail-Client oder ein dediziertes Postfach. Reaktionspläne für den Fall eines erfolgreichen Phishing-Klicks sollten dokumentiert und regelmäßig geübt werden.

6. Verifikations-Workflows für sensible Vorgänge

Zahlungen, Bankdatenänderungen und Berechtigungsänderungen brauchen unabhängige Bestätigung über einen zweiten Kanal. Bewährt haben sich Codewort-Verfahren bei Eilanweisungen, Rückrufpflichten bei Lieferantenänderungen und Mehraugen-Prinzipien für Beträge ab definierten Schwellen.

Technische Phishing-Schutzlösungen

Auf der technischen Ebene wirken die folgenden Bausteine zusammen. Keine Einzelmaßnahme reicht aus, aber jede schließt eine konkrete Angriffsfläche.

E-Mail-Security mit KI-basierter Verhaltensanalyse

Sophos Email kombiniert Sandboxing, Link-Rewriting, Time-of-Click-Analyse und KI-gestützte Erkennung verdächtiger Kommunikationsmuster. Funktionen wie Post-Delivery Protection erkennen manipulierte Mails auch nach der Zustellung. Mit der neuen Premium-Stufe Sophos Email Plus kommen 2026 zusätzliche Funktionen wie Message Replay, ein integrierter DMARC Manager und besonders praxisrelevant Contact Trace and Recall hinzu, das schädliche Mails inklusive interner Weiterleitungen nachträglich aus allen Postfächern entfernt. Ergänzend liefert Sophos Email Monitoring System zusätzliche Telemetrie für XDR und MDR.

Endpoint Protection gegen Folgeschritte

Wenn doch einmal ein Anhang geöffnet oder Schadcode nachgeladen wird, greift Sophos Endpoint Protection. Verhaltensbasierte Analyse, Anti-Exploit-Technologien und Schutz gegen Living-off-the-Land-Angriffe stoppen Folgeschritte direkt am Gerät.

Identity Threat Detection für übernommene Konten

Wenn Zugangsdaten kompromittiert wurden, erkennt eine reine E-Mail-Security das nicht. Sophos ITDR identifiziert verdächtige Anmeldemuster, ungewöhnliche geografische Logins und den Missbrauch privilegierter Konten. Da Phishing 2026 zu 94 Prozent auf Credential-Diebstahl zielt, ist ITDR eine logische Ergänzung.

MDR und XDR für die Korrelation

Phishing-Folgeangriffe sind oft erst in der Korrelation zu erkennen. Eine ungewöhnliche Mail, ein verdächtiger Login, eine neu eingerichtete Weiterleitung und ein ausgehender Datentransfer ergeben einzeln betrachtet kein klares Bild, in der Korrelation aber sehr wohl. XDR und MDR verbinden diese Telemetrie und reagieren rund um die Uhr.

Webfilter und DNS Protection

Webfilter in Sophos XGS Firewalls blockieren den Aufruf bekannter Phishing-Seiten direkt. Ergänzend bietet DNS Protection Schutz vor neu registrierten und schädlichen Domains, oft bevor sie überhaupt in Threat-Intelligence-Feeds landen.

Passkeys und FIDO2-Authentifizierung

Wie oben beschrieben sind Passkeys 2026 der zentrale Baustein gegen AiTM-Angriffe. Sophos Central unterstützt die Passkey-Anmeldung nativ. Für privilegierte Konten empfiehlt sich zusätzlich der Einsatz von Hardware-Token wie YubiKeys.

Fazit: Phishing-Schutz 2026 ist ein Mehrebenen-Thema

Phishing ist 2026 die zentrale Cyberbedrohung für Unternehmen aller Größen. KI-gesteuerte Angriffe, Reverse-Proxy-MFA-Umgehung, Quishing und Phishing in Kollaborationsplattformen haben die Bedrohungslage in mehreren Dimensionen gleichzeitig verschärft. Klassische Erkennungsmerkmale sind weitgehend wirkungslos geworden, klassische MFA reicht nicht mehr aus, und die Mehrheit der Unternehmen hat keinen klaren Reaktionsplan für den Fall eines erfolgreichen Klicks.

Wirksamer Schutz entsteht nur durch das Zusammenspiel aus moderner E-Mail-Security, phishing-resistenter Authentifizierung über Passkeys oder FIDO2, kontinuierlicher Awareness mit aktuellen Beispielen und einem dokumentierten, regelmäßig geübten Reaktionsplan. Wer einen dieser Bausteine vernachlässigt, hat eine Lücke, die Angreifer 2026 zuverlässig finden.

Bei der Bewertung bestehender Risiken, der Konzeption technischer Schutzmaßnahmen, der Einführung von Passkeys oder dem Aufbau eines Phishing-Reaktionsplans unterstützen wir Unternehmen technisch und organisatorisch. Sprechen Sie uns an.