Spear-Phishing nimmt um 41 Prozent zu
Cyberkriminelle setzen zunehmend auf gezielte statt breit gestreute Phishing-Angriffe. Spear-Phishing legte innerhalb eines Jahres um 41,1 Prozent zu, während mehrere klassische Massenbetrugsmaschen deutlich zurückgingen. Gleichzeitig werden legitime Cloud- und KI-Infrastrukturen häufiger für Angriffe missbraucht. Das zeigt der „Phishing Threat Trends Report, Band 8“ von KnowBe4.
Insgesamt nahm das Volumen der Phishing-Angriffe gegenüber dem Vorjahr um 29,8 Prozent zu. Unternehmen erhielten im Durchschnitt eine gefährliche Nachricht pro 733 eingehende E-Mails. Für die Analyse wurden Daten von KnowBe4 Defend herangezogen, das täglich 1,15 Milliarden Ereignissignale verarbeitet.
Deutlich verändert hat sich die Art der Angriffe. Betrugsversuche mit Schwerpunkt auf Mobilgeräten gingen um 47,3 Prozent zurück. Beim sogenannten „419“-Schema, einem Vorauszahlungsbetrug, betrug der Rückgang 31,3 Prozent. Köder in Form vermeintlich verpasster Nachrichten nahmen um 11,3 Prozent ab.
Mehr Recherche vor dem Angriff
Parallel zum Rückgang breit gestreuter Kampagnen steigt der Aufwand für gezieltere Attacken. Spear-Phishing nahm um 41,1 Prozent zu, das Auskundschaften möglicher Opfer vor einem Angriff um 33,7 Prozent. Angriffe, bei denen die Identität von Unternehmen vorgetäuscht wird, verzeichneten einen Anstieg um 28 Prozent.
Auch kommerzielle Phishing-Toolkits gewinnen an Bedeutung. Das damit unterstützte Phishing stieg um 54 Prozent und war für 29,2 Prozent aller eingehenden bösartigen E-Mails verantwortlich. Der Markt ist dabei stark konzentriert: Drei primäre Toolkits machten 90,2 Prozent des gesamten Toolkit-gestützten Phishings aus.
Business Email Compromise (BEC) stellt mit 51,2 Prozent mehr als die Hälfte der erfassten Phishing-Arten. Besonders häufig werden Personalabteilungen, Finanzabteilungen und Geschäftsleitungen angegriffen.
In Deutschland ist die Konzentration noch stärker. BEC macht dort 79,2 Prozent der Angriffe aus. Weltweit liegt der Anteil bei 51,2 Prozent. Die klassische Markenimitation kommt in Deutschland dagegen nur noch auf 5,9 Prozent.
KI beschleunigt die Reaktion auf Nachrichten
Eine weitere Veränderung betrifft die Geschwindigkeit, mit der aktuelle Ereignisse für Phishing-Kampagnen genutzt werden. Mithilfe generativer KI und agentenbasierter Tools können Angreifer aktuelle Schlagzeilen inzwischen 5,4-mal schneller in aktive Phishing-Köder umwandeln als noch 2022.
Gleichzeitig wird legitime Infrastruktur verstärkt für Angriffe eingesetzt. Im dritten Quartal 2026 stammten Angriffe doppelt so häufig aus legitimer Infrastruktur wie im zweiten Quartal. Dazu zählen inzwischen auch KI-Plattformen. Angreifer platzieren dort unter anderem gefälschte Entwicklerkonsolen, Anmeldeaufforderungen und Download-Hubs direkt auf nativen Domains.
„Modernes Phishing muss Sicherheitsfilter nicht mehr mit ähnlich aussehenden Domains täuschen, wenn Angreifer direkt auf vertrauenswürdigen Domains sitzen können“,
sagt Jack Chapman, SVP of Threat Intelligence bei KnowBe4. Angreifer könnten legitime Infrastruktur nutzen, Berechtigungen anstelle von Passwörtern sammeln und mit hoher Geschwindigkeit auf aktuelle Nachrichten reagieren.
Montag ist der stärkste Angriffstag
Auch beim Zeitpunkt der Angriffe zeigt der Report klare Muster. 90,4 Prozent der Phishing-E-Mails treffen zwischen Montag und Freitag ein. Den höchsten Anteil erreicht der Montag mit 20,6 Prozent.
Neben dem klassischen Abgreifen von Passwörtern werden auch andere Authentifizierungsverfahren zum Ziel. Genannt werden Authentifizierungs-Phishing, Anmeldungen über Gerätecodes auf Plattformen wie Microsoft Teams sowie der Missbrauch von OAuth-Einwilligungen. Auf diesem Weg versuchen Angreifer, Sitzungen und Berechtigungen von KI-Agenten zu übernehmen.
Für die Schweiz zeigt der Report ein weiteres auffälliges Muster: 33,2 Prozent der Angriffe geben sich als die eigene Organisation des Empfängers aus, weltweit sind es 20,3 Prozent. Die Nachrichten enthalten im Durchschnitt 9,8 Bilder pro E-Mail gegenüber 2,6 weltweit und sind mit durchschnittlich 747 Zeichen vergleichsweise kurz.
Die Ergebnisse zeigen damit eine Verschiebung von breit angelegten Betrugsversuchen hin zu stärker vorbereiteten und auf einzelne Ziele zugeschnittenen Angriffen. Zugleich erweitert der Einsatz legitimer Cloud- und KI-Infrastrukturen die Möglichkeiten der Angreifer, etablierte Vertrauenssignale zu umgehen.
it&d business Redaktion
Kommentare