Spear-Phishing statt Massenmail: Warum gezielte Angriffe zunehmen

IT-Sicherheit · Phishing · Unternehmen

Phishing wird nicht nur häufiger, sondern gezielter. Der aktuelle Threat-Trends-Bericht von KnowBe4 meldet für 2026 einen Anstieg des gesamten Phishing-Aufkommens um 29,8 Prozent und beim Spear-Phishing um 41,1 Prozent. Angreifer setzen dabei stärker auf echte Plattformen, bekannte Arbeitsabläufe und sorgfältig vorbereitete Identitätstäuschungen.

Was der neue Phishing-Bericht zeigt

Der „Phishing Threat Trends Report Vol. 8“ wertet Telemetriedaten aus der E-Mail-Sicherheitsplattform von KnowBe4 aus. Nach Angaben des Anbieters ist das beobachtete Phishing-Aufkommen 2026 gegenüber dem Vorjahr um 29,8 Prozent gestiegen. Besonders auffällig ist die Verschiebung von breit gestreuten Massenmails zu gezielten Angriffen: Spear-Phishing nahm demnach um 41,1 Prozent zu.

Gleichzeitig wuchs das mit fertigen Angriffsbaukästen verbundene Phishing laut Bericht um 54 Prozent. Solche Angebote werden als „Phishing as a Service“ vermietet und senken die technische Einstiegshürde. Ein Angreifer muss nicht mehr jede gefälschte Anmeldeseite, Weiterleitung und Sitzungserfassung selbst programmieren. Er kann vorbereitete Werkzeuge nutzen und mehr Zeit in die Auswahl sowie Ansprache der Opfer investieren.

KnowBe4 nennt außerdem eine deutliche Beschleunigung beim sogenannten Newsjacking. Aktuelle Nachrichten und Ereignisse würden schneller zu glaubwürdig wirkenden Ködern verarbeitet. Generative KI kann die Recherche, Formulierung und Anpassung an einzelne Branchen oder Rollen beschleunigen. Das macht eine Nachricht nicht automatisch technisch raffiniert, aber häufig besser passend zum Arbeitsalltag der betroffenen Person.

Warum Spear-Phishing gefährlicher wirkt als eine Massenmail

Beim klassischen Massenphishing wird dieselbe Nachricht an sehr viele Adressen versendet. Fehlerhafte Sprache, unpassende Anreden oder ein unbekannter angeblicher Vertrag machen den Betrug oft sichtbar. Spear-Phishing funktioniert anders: Der Angriff richtet sich an eine konkrete Person oder Zielgruppe und greift Informationen auf, die plausibel wirken.

Das können Namen von Vorgesetzten, reale Projekte, Lieferanten, Urlaubszeiten oder typische Freigabeprozesse sein. Öffentlich zugängliche Webseiten, berufliche Netzwerke, Pressemitteilungen und bereits abgeflossene Daten liefern dafür genügend Material. Eine gefälschte Zahlungsanweisung an die Buchhaltung oder eine angebliche Dokumentenfreigabe für ein laufendes Projekt passt dann genau in den erwarteten Kontext.

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt Spear-Phishing ebenfalls als gezielte Kampagne, bei der vorherige Recherche glaubwürdigere Nachrichten ermöglicht. Gerade diese Passgenauigkeit erhöht die Erfolgschance. Der Schutz darf deshalb nicht allein von offensichtlichen Rechtschreibfehlern oder unbekannten Absendern abhängen.

Wenn der Link auf eine echte Plattform führt

Eine weitere Entwicklung betrifft die technische Herkunft der Angriffe. Laut KnowBe4 war ein Phishing-Angriff im dritten Quartal 2026 doppelt so häufig wie im Vorquartal mit legitimer Infrastruktur verbunden. Kriminelle missbrauchen echte Cloud-, Datei- oder Entwicklungsplattformen, statt ausschließlich auffällige eigene Domains einzusetzen.

Für Beschäftigte wird die Prüfung dadurch schwieriger. Eine verschlüsselte Verbindung und eine bekannte Domain sind wichtige Signale, beweisen aber nicht, dass der konkrete Inhalt vertrauenswürdig ist. Auch auf einem echten Dienst können manipulierte Freigaben, gefälschte Formulare oder Anweisungen zum Start eines schädlichen Vorgangs liegen.

Der Bericht verweist zudem auf Angriffe, die klassische Mehrfaktor-Authentifizierung umgehen sollen. Reverse-Proxy-Werkzeuge können versuchen, Anmeldedaten und aktive Sitzungscookies in Echtzeit abzufangen. Andere Methoden missbrauchen Gerätecodes oder OAuth-Zustimmungen. Ein zusätzlicher Faktor bleibt wertvoll, muss aber mit sicheren Anmeldeverfahren, kurzen Sitzungszeiten, bedingtem Zugriff und einer Überwachung ungewöhnlicher Kontonutzung kombiniert werden.

Welche Bereiche in Unternehmen besonders im Fokus stehen

Business Email Compromise, also die gezielte Täuschung im geschäftlichen E-Mail-Verkehr, macht nach Angaben von KnowBe4 51,2 Prozent der im Bericht erfassten Phishing-Typen aus. Häufig adressiert werden Personalabteilung, Finanzbereich und Führungskräfte. Dort treffen wertvolle Informationen, weitreichende Berechtigungen und zeitkritische Prozesse aufeinander.

Ein Angriff muss nicht sofort eine hohe Überweisung verlangen. Eine vermeintliche Führungskraft kann zunächst nach einer offenen Rechnung, einem Lieferantenkontakt oder einer Mitarbeiterliste fragen. Solche Vorstufen testen Reaktionszeiten und liefern zusätzliche Informationen. Erst später folgt eine Zahlungsumleitung, eine Kontoübernahme oder der Zugriff auf vertrauliche Dokumente.

Unternehmen sollten deshalb nicht nur den Posteingang absichern. Auch Teams-Chats, Kalenderfreigaben, Dateiplattformen, Supportportale und Telefonanrufe gehören zum Angriffsraum. Entscheidend ist, ob sensible Vorgänge über klar definierte und überprüfbare Abläufe laufen.

Was Unternehmen jetzt konkret verbessern können

Technische Filter bleiben ein wichtiger Teil der Abwehr, reichen aber allein nicht aus. KnowBe4 gibt an, dass 41,3 Prozent der untersuchten Phishing-Mails vorhandene Secure Email Gateways umgingen. Unabhängig vom eingesetzten Produkt sollte deshalb geprüft werden, welche Nachrichten nachgelagerte Systeme erkennen, wie Konten nach einer verdächtigen Anmeldung reagieren und ob Sicherheitsmeldungen schnell ausgewertet werden.

Besonders wirksam sind Kontrollen an den Stellen, an denen ein Angriff Schaden verursachen würde. Änderungen von Bankverbindungen, neue Zahlungsempfänger, Passwort- oder MFA-Rücksetzungen sowie die Vergabe administrativer Rechte benötigen eine unabhängige Bestätigung. Diese Rückfrage muss über einen bekannten zweiten Kanal erfolgen – nicht über Telefonnummern oder Links aus der verdächtigen Nachricht.

Schulungen sollten aktuelle Arbeitsabläufe abbilden und nicht nur allgemeine Phishing-Beispiele zeigen. Mitarbeitende müssen wissen, wie sie eine Meldung abgeben, wen sie bei Unsicherheit erreichen und dass eine frühe Rückfrage erwünscht ist. Wer Angst vor Schuldzuweisungen hat, meldet einen Fehlklick möglicherweise zu spät. Eine gute Sicherheitskultur misst daher auch Meldegeschwindigkeit und Lernfortschritt, nicht nur die Zahl angeklickter Testmails.

Zusätzlich sollten Administratoren privilegierte Konten begrenzen, Anmeldeprotokolle zentral auswerten, automatische Weiterleitungsregeln überwachen und Sitzungen nach einem Vorfall widerrufen können. Passkeys beziehungsweise phishing-resistente Authentisierung können das Risiko gegenüber abgefangenen Passwörtern und Einmalcodes weiter reduzieren, sofern die eingesetzten Dienste sie zuverlässig unterstützen.

So prüfst du eine verdächtige Nachricht im Alltag

Eine glaubwürdige Nachricht kann trotzdem falsch sein. Prüfe deshalb zuerst den Vorgang: Erwartest du diese Datei, Rechnung oder Freigabe? Passt die Bitte zur Rolle der angeblichen Absenderin oder des Absenders? Ist der verlangte Zeitdruck für diesen Prozess üblich? Bei finanziellen oder administrativen Änderungen sollte eine kurze Rückfrage über eine bereits bekannte Telefonnummer selbstverständlich sein.

Öffne Anmeldeseiten möglichst über ein gespeichertes Lesezeichen oder die bekannte App und nicht über den Link in der Nachricht. Bestätige keine unerwartete MFA-Anfrage. Wenn du bereits Daten eingegeben, eine Zustimmung erteilt oder eine Datei gestartet hast, informiere die zuständige IT sofort. Frühes Handeln kann Sitzungen sperren, Passwörter ändern und weitere Empfänger warnen, bevor der Angriff fortgesetzt wird.

Marini-Einordnung: Prozesse werden wichtiger als der perfekte Spamfilter

Der Bericht zeigt weniger eine völlig neue Angriffsart als eine Professionalisierung bekannter Methoden. Spear-Phishing lohnt sich für Kriminelle, weil Informationen leicht verfügbar sind und fertige Werkzeuge die technische Umsetzung vereinfachen. KI beschleunigt diesen Ablauf zusätzlich, ersetzt aber nicht die grundlegende Täuschung: Eine Nachricht soll in einem vertrauten Kontext zu einer riskanten Handlung führen.

Für Unternehmen folgt daraus eine klare Priorität. Der stärkste Schutz entsteht dort, wo ein glaubwürdig formulierter Angriff nicht direkt zu Geldverlust, Datenabfluss oder einer Kontoübernahme führen kann. Kontrollierte Freigaben, ein zweiter Bestätigungskanal, phishing-resistente Anmeldung und schnelle Meldemöglichkeiten begrenzen den Schaden auch dann, wenn eine Nachricht den Filter passiert.

Die genannten Prozentwerte sollten nicht als exakte Prognose für jedes einzelne Unternehmen verstanden werden. Sie sind ein Warnsignal aus einem konkreten Datenbestand. Entscheidend ist die eigene Lage: Welche Rollen sind öffentlich sichtbar, welche Prozesse lassen sich per E-Mail verändern und wie schnell erkennt das Unternehmen eine ungewöhnliche Anmeldung? Wer diese Fragen regelmäßig prüft, ist auf gezielte Angriffe besser vorbereitet als mit einem einmal eingerichteten Schutzprodukt allein.