Viele Jahre lang wurde Phishing als grundlegendes Problem der Cybersicherheit betrachtet. Es war lästig, offensichtlich und meist leicht zu erkennen. Ein seltsamer Absender, schlechte Grammatik oder ein verdächtiger Link verrieten es. Den Nutzern wurde geraten, „erst nachzudenken, bevor sie klicken“, und Unternehmen verließen sich auf E-Mail-Filter, um die meisten Bedrohungen abzufangen.
Diese Welt gibt es nicht mehr.
Im Jahr 2025 ist Phishing der häufigste Erstzugangsweg für Cyberangriffe. Es hat sich zu einer ausgeklügelten, mehrstufigen Angriffsstrategie entwickelt, die weniger auf Systeme und Netzwerke als vielmehr auf das Vertrauen der Menschen und deren digitale Identität abzielt. Moderne Phishing-Kampagnen, die auf künstlicher Intelligenz basieren und über mehrere Kanäle durchgeführt werden, zielen darauf ab, Anmeldedaten, Sitzungstoken und Zugriffsrechte zu stehlen, die es Angreifern ermöglichen, sich unbemerkt innerhalb von Organisationen zu bewegen.
Dieser Wandel hat alles verändert. Die Identität ist nun die eigentliche Sicherheitsgrenze, und Phishing ist der schnellste Weg, diese zu überwinden.
Modernes Phishing: Warum ein einziger Klick katastrophale Folgen haben kann
In dieser Folge von „The Microsoft Playbook“ beschäftigen wir uns mit den neuesten und kreativsten Phishing-Bedrohungen.
Gemeinsam mit Andy Nolan, Leiter für strategische Programme bei TrustedTech, beleuchten wir reale Phishing-Szenarien, die weit über die klassische E-Mail mit der Aufforderung „Passwort zurücksetzen“ hinausgehen. Von irreführenden, ähnlich aussehenden Domains wie rncrosoft.com– von bösartigen PDF-Dateien bis hin zu physischen Angriffen mit infizierten USB-Sticks – dieses Gespräch verdeutlicht, wie ein einziger Klick oder ein Plug-in zu katastrophalen Sicherheitslücken führen kann.
Sie hören Erfahrungsberichte aus erster Hand aus Andys über 15-jähriger Laufbahn in den Bereichen IT und Sicherheit, darunter:
- Wie eine einfache Phishing-E-Mail zu einem massiven Datenleck in der Erotikbranche führte
- Wie staatlich geförderte Angriffe die menschliche Neugier mithilfe physischer Datenträger ausnutzten
- Warum die mehrschichtigen Schutzmaßnahmen von Microsoft Defender entscheidend sind, um diese Bedrohungen zu stoppen, bevor sie eskalieren
Außerdem erläutern wir, wie Microsoft Defender hinter den Kulissen funktioniert, darunter URL-Detonation, Sandboxing, Überprüfung der Domain-Reputation, USB-Kontrollen und Anomalieerkennung – und wie der „Cloud Security Envisioning Workshop“ von TrustedTech Unternehmen dabei hilft, Schwachstellen zu identifizieren und ihre Sicherheitslage zu stärken, bevor Angreifer dies tun.
Phishing hat sich über den Posteingang hinaus weiterentwickelt
Phishing beginnt zwar nach wie vor oft mit einer E-Mail, endet aber selten damit. Die Angreifer von heute wissen, dass Unternehmen viel in die E-Mail-Sicherheit investiert haben, und passen ihre Vorgehensweise entsprechend an. Wenn eine E-Mail fehlschlägt, versuchen sie es mit einer SMS. Wenn auch das nicht funktioniert, rufen sie an oder senden eine Nachricht über ein Kollaborationstool. Der Angriff wird so lange fortgesetzt, bis jemand darauf reagiert.
Diese Hartnäckigkeit funktioniert, weil es beim Phishing nicht mehr nur darum geht, Nutzer dazu zu verleiten, auf Links zu klicken. Vielmehr geht es darum, im Laufe der Zeit – oft über mehrere Interaktionen und Kanäle hinweg – Vertrauen aufzubauen, um die eigene Legitimität zu untermauern.
Gleichzeitig haben Angreifer ihren Fokus verlagert. Anstatt zu versuchen, direkt in Netzwerke einzudringen, nehmen sie nun Menschen und deren digitale Identitäten ins Visier. Anmeldedaten, Sitzungs-Cookies, OAuth-Token und Cloud-Zugriffsschlüssel sind heute die wertvollsten Ressourcen in einer Umgebung, in der Anwendungen in der Cloud laufen und Mitarbeiter von überall aus arbeiten.
Wie KI das Phishing für immer verändert hat
Künstliche Intelligenz hat viele der Hindernisse, die Phishing-Angriffe zuvor einschränkten, erheblich verringert. Früher erforderte erfolgreiches Phishing Sprachkenntnisse, kulturelles Verständnis sowie einen erheblichen Zeit- und Arbeitsaufwand. Heute erledigt die KI all das im Handumdrehen.
Angreifer nutzen KI, um professionell formulierte, kontextbezogene Nachrichten zu generieren, die den Anschein erwecken, als seien sie von echten Kollegen verfasst worden. Diese Nachrichten beziehen sich auf berufliche Funktionen, interne Tools, aktuelle Projekte und sogar auf aktuelle Ereignisse. Was früher gezieltes „Spear-Phishing“ war, wird heute in großem Maßstab massenhaft produziert, wobei jede Nachricht den Anschein von Personalität erweckt.
Die Auswirkungen gehen weit über E-Mails hinaus. KI-gestützte Chatbots können mit den Opfern in Echtzeitgespräche treten, natürlich auf Fragen reagieren und ihre Vorgehensweise anpassen, wenn die Zielperson zögert. Mit Hilfe von Tools zum Klonen von Stimmen lässt sich die Stimme einer Führungskraft mit verblüffender Genauigkeit nachahmen. Mithilfe von Video-Deepfakes können realistische Gesichter in virtuelle Besprechungen eingefügt werden.
Es gab bereits konkrete Vorfälle, bei denen Mitarbeiter an Videokonferenzen teilnahmen, an denen scheinbar ihr CEO und ihr CFO teilnahmen, nur um später festzustellen, dass alle Teilnehmer von einer KI erzeugte Fälschungen waren. In diesen Fällen gelang es den Angreifern, die Opfer davon zu überzeugen, umfangreiche Geldtransfers zu genehmigen.
Die unangenehme Wahrheit ist, dass es nicht mehr ausreicht, jemanden zu sehen und zu hören, um seine Identität zu bestätigen.
Herkömmliche Erkennungsmethoden stoßen in diesem Umfeld an ihre Grenzen. Von KI generierte Phishing-Nachrichten weisen oft keine offensichtlichen Warnzeichen auf. Sie sind grammatikalisch korrekt, themenbezogen und emotional überzeugend. Filter, die auf bekannten Mustern oder Signaturen basieren, erkennen sie häufig nicht, und die Nutzer haben kaum Grund, misstrauisch zu werden.
Die Identität rückt in den Mittelpunkt
Als Unternehmen ihre Netzwerksicherheit verbesserten, passten sich die Angreifer an, indem sie ihren Fokus auf die Identität richteten. Kann sich ein Angreifer erfolgreich als berechtigter Benutzer ausgeben, vertrauen ihm die meisten Systeme automatisch.
Passwortdiebstahl kommt nach wie vor vor, doch moderne Angriffe gehen noch weiter. Anstatt sich mit Anmeldedaten zu begnügen, stehlen Angreifer Sitzungstoken und Authentifizierungs-Cookies. Diese Daten ermöglichen es ihnen, eine bereits authentifizierte Sitzung wiederzuverwenden und so die Multi-Faktor-Authentifizierung vollständig zu umgehen. Diese Technik, die als „Session Hijacking“ oder „Token Replay“ bekannt ist, ist mittlerweile bei großen Sicherheitsverletzungen weit verbreitet.
Single Sign-On und OAuth sind zwar praktisch, vergrößern aber auch die Angriffsfläche. Ein einziges kompromittiertes Token kann den Zugriff auf mehrere Cloud-Dienste ermöglichen. OAuth-Zustimmungs-Phishing ist besonders gefährlich, da hierfür überhaupt kein Passwort erforderlich ist. Die Opfer werden dazu verleitet, einer bösartigen Anwendung die Zustimmung zu erteilen, die dann über legitime APIs dauerhaften Zugriff auf E-Mails, Dateien oder Kalender erhält.
Angreifer haben es auch auf nicht-menschliche Identitäten wie Dienstkonten, API-Schlüssel und Anmeldedaten für Automatisierungsprozesse abgesehen. Diese Konten verfügen oft über weitreichende Berechtigungen und werden nur minimal überwacht. In Cloud-Umgebungen mit Tausenden von Identitäten kann bereits ein einziger offengelegter Schlüssel zu einer weitreichenden Kompromittierung führen.
Eine der derzeit wirksamsten Techniken ist das „Adversary-in-the-Middle“-Phishing. Bei diesen Angriffen kommen proxybasierte Phishing-Seiten zum Einsatz, die den Datenverkehr zwischen dem Opfer und der echten Anmeldeseite weiterleiten. Der Nutzer sieht eine legitime Seite, schließt die MFA erfolgreich ab und merkt nie, dass seine Anmeldedaten und Sitzungstoken in Echtzeit abgefangen wurden.
Da diese Tools mittlerweile als Dienstleistung angeboten werden, können selbst unerfahrene Angreifer starke Authentifizierungsmaßnahmen umgehen.
Phishing erfolgt mittlerweile bewusst über mehrere Kanäle
Moderne Phishing-Kampagnen stützen sich selten nur auf eine einzige Nachricht. Stattdessen werden E-Mails, Telefonanrufe, SMS und Chat-Plattformen zu koordinierten Social-Engineering-Maßnahmen kombiniert.
Voice-Phishing, auch als „Vishing“ bekannt, ist besonders effektiv. Angreifer geben sich häufig als Mitarbeiter des IT-Supports, als Anbieter oder als Führungskräfte aus und erzeugen ein Gefühl der Dringlichkeit. Bei manchen Kampagnen werden Links gänzlich vermieden, stattdessen werden die Opfer angewiesen, eine Telefonnummer anzurufen. Dieser Ansatz umgeht E-Mail-Prüfprogramme und verlagert den Angriff auf einen Kanal, in dem viele Unternehmen über weniger Kontrollmechanismen verfügen.
Phishing per SMS, auch als „Smishing“ bekannt, nimmt weiter zu. Die Menschen neigen dazu, SMS mehr zu vertrauen als E-Mails, insbesondere auf Mobilgeräten, auf denen sich URLs schwerer überprüfen lassen. Viele Malware-Kampagnen für Mobilgeräte haben sich auf diese Weise verbreitet, getarnt als Zustellbenachrichtigungen oder Kontowarnungen.
Auch Kollaborationsplattformen sind mittlerweile ins Visier der Angreifer geraten. Diese versenden Nachrichten über Teams, Slack, LinkedIn und WhatsApp und geben sich dabei häufig als interne Mitarbeiter oder Personalvermittler aus. Da diese Plattformen einen persönlicheren und informelleren Charakter haben, reagieren Nutzer eher darauf.
„Business Email Compromise“ hat sich zu dem entwickelt, was viele mittlerweile als „BEC 3.0“ bezeichnen. Anstelle offensichtlich gefälschter E-Mails missbrauchen Angreifer legitime Dienste wie Dropbox, Google Docs oder PayPal. Die Opfer erhalten echte Benachrichtigungs-E-Mails von vertrauenswürdigen Plattformen, doch der Betrug verbirgt sich in freigegebenen Dateien, Kommentaren oder weiteren Anweisungen.
Der rote Faden, der sich durch all diese Angriffe zieht, ist Vertrauen. Angreifer nutzen echte Dienste, vertraute Tools und glaubwürdige Identitäten, um den Verdacht zu mindern.
Umgehungstechniken, die herkömmliche Abwehrmaßnahmen außer Kraft setzen
Je besser die Erkennung wird, desto mehr neue Wege finden Angreifer, um ihre Aktivitäten zu verschleiern. Eine beliebte Technik ist das sogenannte „HTML-Smuggling“, bei dem eine harmlos aussehende HTML-Datei den Schadcode direkt im Browser des Opfers rekonstruiert. Da die Malware lokal erstellt wird, durchläuft sie weder E-Mail-Gateways noch Netzwerkscanner.
Angreifer nutzen zudem polymorphe Links, deren Verhalten sich im Laufe der Zeit ändert. Ein Link mag beim Scannen sicher erscheinen, kann aber bereits wenige Stunden später auf eine Phishing-Seite weiterleiten. Bei manchen Kampagnen werden für jedes Opfer individuelle Links generiert, wodurch Sperrlisten wirkungslos werden.
Auch mehrstufige Infektionsketten sind weit verbreitet. Eine E-Mail führt zu einer PDF-Datei, die einen QR-Code enthält, der den Nutzer schließlich auf eine Phishing-Seite weiterleitet. Bis die Sicherheitsverantwortlichen Nachforschungen anstellen, ist der Inhalt möglicherweise bereits verschwunden.
Um automatisiertes Scannen zu verhindern, enthalten Phishing-Seiten häufig CAPTCHAs und legitime Sicherheitsfunktionen. Diese blockieren Bots und vermitteln den Nutzern gleichzeitig das Gefühl, dass die Website „sicher“ ist.
Angreifer hosten schädliche Inhalte zunehmend auf vertrauenswürdigen Cloud-Plattformen wie SharePoint, OneDrive und Google Drive. Der Datenverkehr dieser Dienste verschmilzt mit den normalen Geschäftsabläufen, wodurch er schwerer zu erkennen ist.
Phishing als Einfallstor für Ransomware
Phishing ist nicht mehr nur ein Problem des Datendiebstahls. Es ist mittlerweile der wichtigste Verbreitungsweg für Ransomware.
Viele Ransomware-Angriffe beginnen mit einer einzigen Phishing-E-Mail oder einer Social-Engineering-Aktion. Sobald sich die Angreifer den ersten Zugriff verschafft haben, stehlen sie Anmeldedaten, erweitern ihre Berechtigungen und bewegen sich lateral durch die Umgebung. Im Laufe von Tagen oder Wochen deaktivieren sie Schutzmaßnahmen, lokalisieren Backups und bereiten das Netzwerk auf maximale Auswirkungen vor.
Wenn Ransomware schließlich zum Einsatz kommt, ist der Schaden enorm. Der Betrieb kommt zum Erliegen, Daten werden verschlüsselt, und die Wiederherstellung wird kostspielig und langwierig.
Ransomware-Gruppen bevorzugen Phishing, da es sich um eine unauffällige und zuverlässige Methode handelt. Durch gestohlene Identitäten können sich Angreifer unter die Nutzer mischen und der Entdeckung entgehen, wodurch sie Warnmeldungen vermeiden. Wenn die Verschlüsselung beginnt, haben die Angreifer oft bereits die Kontrolle über kritische Systeme.
Wenn man Phishing frühzeitig unterbindet, kann man Ransomware vollständig verhindern. Gelingt dies nicht, kann dies katastrophale Folgen haben.
So sieht moderne Phishing-Abwehr heute aus
Die Abwehr moderner Phishing-Angriffe erfordert ein Umdenken. Prävention allein reicht nicht aus. Unternehmen müssen davon ausgehen, dass sie kompromittiert werden, und sich darauf konzentrieren, die Auswirkungen zu begrenzen.
Ein „Identity-First“-Ansatz nach dem Zero-Trust-Prinzip ist unerlässlich. Jede Zugriffsanfrage sollte kontinuierlich überprüft werden, nicht nur bei der Anmeldung. Zugriffsrechte sollten begrenzt und die laterale Bewegung eingeschränkt werden.
Eine starke Authentifizierung ist wichtig, aber nicht alle MFA-Verfahren sind gleichwertig. SMS-Codes und Push-Benachrichtigungen können abgefangen oder missbraucht werden. Phishing-resistente Methoden wie FIDO2-Sicherheitsschlüssel und Passkeys bieten einen deutlich stärkeren Schutz, da sie auf gefälschten Websites nicht nachgespielt werden können.
Die Verhaltensüberwachung spielt eine entscheidende Rolle. Selbst wenn ein Angreifer gültige Anmeldedaten stiehlt, unterscheidet sich sein Verhalten oft erheblich von dem des echten Benutzers. Ungewöhnliche Anmeldestandorte, ungewöhnlicher Datenzugriff und unerwartete Anwendungsnutzung sind allesamt Anzeichen dafür, dass etwas nicht stimmt.
Sicherheit muss auch über E-Mails hinausgehen. Mitarbeiter benötigen Schulungen, die moderne Bedrohungen wie Deepfakes, Betrugsversuche per Telefon und Multi-Channel-Angriffe berücksichtigen. Sie sollten dazu angehalten werden, sich Zeit zu nehmen, ungewöhnliche Anfragen zu überprüfen und verdächtige Vorfälle unabhängig vom Kommunikationskanal zu melden.
Auch die Kontrollen für Cloud-Identitäten sollten verschärft werden. OAuth-Berechtigungen sollten einer Aufsicht unterliegen, die Gültigkeitsdauer von Tokens sollte begrenzt werden und Dienstkonten sollten genau überwacht werden.
Die Zukunft des Phishing
Phishing und identitätsbasierte Angriffe werden sich weiterentwickeln. Künstliche Intelligenz wird schnellere, personalisiertere und schwerer zu erkennende Angriffe ermöglichen. Die Grenzen zwischen den Kommunikationskanälen werden weiter verschwimmen, und Angreifer werden genau jene Plattformen ausnutzen, denen die Menschen am meisten vertrauen.
Auch Sicherheitsverantwortliche werden zunehmend auf KI zurückgreifen, um damit Anomalien zu erkennen, Identitäten zu überprüfen und Analysten zu unterstützen. Doch Technologie allein wird das Problem nicht lösen.
Erfolgreich werden jene Organisationen sein, die Identität als Grundlage der Sicherheit betrachten. Der Schutz von Anmeldedaten, Tokens und Zugriffsabläufen wird wichtiger sein als jedes einzelne Tool.
Phishing wird vielleicht nie ganz verschwinden, doch seine Auswirkungen lassen sich verringern. Indem sie den Fokus auf Identität, Verhalten und Widerstandsfähigkeit legen, können Unternehmen in einer Bedrohungslandschaft, in der das Vertrauen selbst zum Ziel geworden ist, einen Schritt voraus bleiben.
