Die Evolution von Phishing (2015-2026): Von E-Mails zu KI-Deepfakes
CyberLord Research Lab Autorenprofil
Phishing ist so alt wie das Internet selbst. Doch wer heute noch an den "Nigerianischen Prinzen" denkt, der sein Millionenvermögen teilen will, lebt in der Vergangenheit.
Im Jahr 2026 stehen wir einer völlig neuen Bedrohung gegenüber: KI-getriebenes, hyper-personalisiertes Social Engineering.
Wir bei Cyberlord haben die Angriffsdaten der letzten 10 Jahre analysiert. Was wir sehen, ist erschreckend: Der "dumme" Hacker, der E-Mails mit Rechtschreibfehlern verschickt, ist ausgestorben. Er wurde ersetzt durch KI-Bots, die fließend Deutsch sprechen, Ihre LinkedIn-Bio kennen und klingen wie Ihr Chef.
Hier ist die visuelle und analytische Geschichte der Phishing-Evolution von 2015 bis 2026.
Ära 1: "Spray and Pray" (2015 – 2018)
In dieser Zeit setzten Angreifer auf Masse statt Klasse.
- Methode: Millionen von E-Mails wurden an gekaufte Listen gesendet.
- Der Köder: "Sie haben im Lotto gewonnen!", "Ihr PayPal-Konto ist gesperrt", "Rechnung im Anhang".
- Merkmale:
- Hanebüchene Grammatikfehler (Google Übersetzer).
- Falsche Logos (verzerrt oder veraltet).
- Absenderadressen wie
paypal-support@hans-mueller-gmbh.de.
Warum es funktionierte: Auch bei einer Erfolgsquote von 0,01% lohnte es sich, wenn man 10 Millionen Mails verschickte.
Ära 2: Gezieltes Spearfishing & CEO Fraud (2019 – 2022)
Unternehmen wurden besser darin, Spam zu filtern. Also wurden die Hacker persönlicher.
- Der Angriff: Statt an alle, ging die Mail gezielt an die Buchhaltung.
- Der Köder (CEO Fraud): Eine Mail angeblich vom Geschäftsführer: "Bin im Meeting, bitte überweise sofort 50.000€ an diesen Lieferanten."
- Neuerung: Angreifer recherchierten auf LinkedIn und Xing. Sie wussten, wer im Urlaub war und wer Zeichnungsberechtigung hatte.
Der Schaden: Milliardenschäden in der deutschen Wirtschaft. Mittelständler (Hidden Champions) waren Hauptziele.
Ära 3: Smishing & Multi-Channel (2023 – 2024)
Da E-Mail-Filter immer intelligenter wurden (Dank Microsoft Defender und Google AI), wechselten die Angreifer das Medium. Das Smartphone wurde zum Ziel Nr. 1.
- Smishing (SMS Phishing): "Ihr Paket liegt beim Zoll. Bitte zahlen Sie 2,99€ Zollgebühr."
- WhatsApp-Betrug ("Hallo Mama"): "Mein Handy ist kaputt, das ist meine neue Nummer. Kannst du kurz eine Rechnung für mich zahlen?"
Warum es gefährlich war: Auf dem kleinen Handy-Display prüft man die URL seltener. Zudem vertrauen wir SMS mehr als E-Mails.
Ära 4: Das KI-Zeitalter & Deepfakes (2025 – 2026)
Willkommen in der Gegenwart. Mit dem Aufstieg von LLMs (wie ChatGPT) und Voice-Cloning-Tools hat sich das Spiel grundlegend geändert.
1. Perfekte Sprache
Dank KI schreiben Phishing-Mails jetzt perfektes Deutsch, Englisch oder Französisch. Keine Grammatikfehler mehr, die als Warnsignal dienen könnten. Die KI passt sogar den Tonfall an ("Formal" für Banken, "Locker" für Kollegen).
2. Audio Deepfakes (Vishing 2.0)
Die vielleicht beängstigendste Entwicklung. Ein Hacker braucht nur 3 Sekunden Audio-Aufnahme Ihrer Stimme (z.B. aus einem Instagram-Video oder einem Anrufbeantworter), um sie perfekt zu klonen.
- Szenario: Ein Mitarbeiter in der Finanzabteilung erhält einen Anruf. Er hört die Stimme des CFOs (Finanzvorstand). Die Stimme klingt gestresst, Hintergrundgeräusche eines Flughafens sind zu hören.
- "Hör zu, ich steige gleich in den Flieger. Die Übernahme muss heute durchgehen. Überweise die Summe sofort, ich unterschreibe später."
- Der Mitarbeiter gehorcht. Doch der CFO saß gemütlich zu Hause. Es war ein KI-Bot.
3. Video Deepfakes in Zoom/Teams
Im Jahr 2025 haben wir die ersten Fälle gesehen, in denen Angreifer in Videokonferenzen als "digitaler Zwilling" einer realen Person auftraten. Das Gesicht wird in Echtzeit über das des Hackers gelegt (Face-Swapping).
Vom Bausatz zum Abo: Phishing wird industriell
Die Evolution zeigt sich auch darin, dass der Aufwand für Angreifer rapide sinkt. Grob entlang der Jahre:
- Bis etwa 2019, Handarbeit: Pro Zielbank eine gefälschte Login-Seite; blockierte die Domäne, war die Kampagne zu Ende. Es fehlte der Nachschub.
- Um 2020/2021, Template-Kits: Fertige Pakete mit mehreren Bank-Layouts, automatischer Spracherkennung und Wechsel-Domänen. Was früher Wochen dauerte, stand in Stunden bereit.
- Ab 2022, AiTM – Adversary-in-the-Middle: Der eigentliche Technologieschub. Reverse-Proxies leiten die echte Anmeldeseite samt zweitem Faktor weiter: Das Opfer authentifiziert sich korrekt, der Angreifer läuft einfach mit und übernimmt das gültige Session-Cookie. Mehrfaktor-Authentifizierung wird nicht geknackt, sondern mitgelaufen.
- Parallel, MFA-Ermüdung: Wellen von Push-Anfragen auf ein erbeutetes Passwort, bis die erschöpfte Person aus Versehen "Akzeptieren" berührt. Anbieter antworten mit Number-Matching und Push-Texten, die Standort und angefragte App nennen.
- Ab 2023, Phishing-as-a-Service: Abo-Modelle mit Kampagnen-Dashboards und Kundenservice – dokumentiert als Branchenmuster, nicht als konkrete Katalogware. Seit 2024/2025 liefern Sprachmodelle zudem die Textbausteine für solche Kits; damit kippt die alte Faustregel "Achte auf Rechtschreibfehler" endgültig.
Vom Postfach zum Handydisplay: Die Kanal-Wanderung
Bemerkenswert an den letzten Jahren ist oft weniger das Werkzeug als der Kanal. Phishing folgt der Aufmerksamkeit – und die wanderte:
- Bis etwa 2018: das E-Mail-Postfach. Der klassische Ort. Entscheidend war Reichweite, nicht Präzision.
- Um 2020: SMS und Push. Auf dem kleinen Handydisplay liest man Adressen selten sorgfältig; ein kurzer Link wirkt harmlos. Und während Mailgateways filtern, lässt sich der Mobilfunkkanal für Unternehmen kaum kontrollieren.
- Um 2023: Messenger. Neben dem bekannten "Hallo Mama"-Trick tauchten Betrüger in Familien-, Sport- und Vereinsgruppen auf, gaben sich als Vorstand, Trainer oder Betreuer aus und streuten Links zu gefälschten Abstimmungen, Spendenaufrufen oder "wichtigen Dokumenten".
- Um 2024: Signal. Weniger Massenware, mehr Zielgenauigkeit: Übernommene Rufnummern, häufig nach einem SIM-Swap, wurden genutzt, um aus bestehenden Chats heraus als Bekannter aufzutreten. Grundregel bleibt: Anfragen zu Geld immer außerhalb des Chats über die bekannte Nummer zurückprüfen.
- Ab 2024: Telegram. Dort ist ein regelrechter Vertriebsbetrieb zu beobachten: Preisaushänge, Update-Ankündigungen, Support-Tickets für Betrugsbausätze – als wäre es seriöse Software. Die Threat-Forschung dokumentiert dieses Treiben, um Muster wie Kampagnenwellen oder Zielbranchen zu erkennen, nicht um am Handel teilzunehmen.
Der Lerneffekt für Verteidiger: Kanäle zu härten zahlt mehrfach aus. DMARC für die eigene Domain, zentral verwaltete Messenger-Policies und Geräte, auf denen Zahl-Apps eine Freigabe brauchen, senken die Erfolgsquote über alle Kanäle gleichzeitig.
Quishing: Der QR-Code als Einfallstor
Ein eigenes Kapitel verdienen die quadratischen Codes, weil der Angriff hier nicht im Netz beginnt, sondern auf der Straße: Quishing, Phishing über manipulierte QR-Codes.
- Parkautomaten: Ein falscher Aufkleber überklebt den echten Bezahlcode. Wer in Eile scannt, zahlt auf ein fremdes Konto oder landet auf einer gefälschten Seite, die Kontodaten abfragt.
- Speisekarten: Nachdrucke mit manipuliertem "digitale Speisekarte"-Code; die Kopie leitet auf Betrugsseiten, häufig mit Abo-Fallen dahinter.
- In E-Mails: Hier trägt der QR die Zieladresse in Pixeln statt als klickbaren Text. Einfache Linkfilter, die nur URLs prüfen, schauen in die Leere.
Gegenmaßnahmen: Überklebte Tafeln erkennt man an Kanten, Versätzen oder frischen Klebestreifen. Gute Kamera-Apps zeigen die Ziel-URL vor dem Öffnen an; dort liest man erst, wohin der Code führt. Für Behörden, ÖPN-Tickets und das Parken gilt ohnehin: lieber die bekannte App oder Website manuell aufrufen. Meldeplattformen registrieren seit 2023 einen deutlichen Anstieg von Quishing-Fällen – als beobachtete Größenordnung, nicht als exakte Zählung.
Der deutsche Maßschneider: Köder mit bürokratischem Anstrich
Ein Teil dieser Evolution spielt sich gar nicht in der Technik ab, sondern im Sujet. Für den deutschsprachigen Raum beobachten Meldestellen seit Jahren dieselben Behördenkulissen, weil sie zuverlässig funktionieren:
- Sparkassen & Direktbanken wie die DKB: "Ihr Online-Banking wurde eingeschränkt. Verifizieren Sie Ihr Konto" – dahinter warten nachgebaute Anmelde- und TAN-Seiten. Sparkassenkunden können Verdachtsseiten über das Meldewerkzeug PhishCops direkt an die Bankengruppe zurückspielen.
- TÜV & Kfz: "Ihre Prüfplakette läuft in wenigen Tagen ab – Verlängerungsgebühr 12,90 Euro." Der kleine Betrag ist Teil der Taktik: Er fällt so gering aus, dass viele ihn lieber zahlen als prüfen.
- Zoll, DHL & Packstation: "Ihr Paket wurde am Zollamt aufgehalten. Bitte begleichen Sie 1,99 Euro" oder "Zustellung nicht möglich – Empfängerdaten bestätigen". Beide Szenarien sind real vorstellbar, deshalb wirken sie.
- Finanzamt & ELSTER: Kurz vor Abgabefristen tauchen Kopien des ELSTER-Logins auf. Im selben Zug locken Mails mit "Steuererstattung von 844 Euro" und fordern zur Aktualisierung der Kontoverbindung auf.
- Jobcenter: "Pflicht zur Aktualisierung Ihrer Kontaktdaten", gern mit existenziell drängender Fristsetzung. Hier greifen erstaunlich oft die Warnsignale aus Ära 1, weil solche Texte die Behördensprache nur andeuten, statt sie zu beherrschen.
Gemeinsamer Kern: Eine echte deutsche Behörde verlangt niemals Zahlungen oder Verifizierungen über Schaltflächen in SMS oder E-Mail – auch keine kleinen.
Die Psychologie hinter den Angriffen
Technologie ändert sich, aber die menschliche Psychologie bleibt gleich. Angreifer drücken immer noch dieselben Knöpfe:
- Dringlichkeit: "Handeln Sie jetzt, sonst wird das Konto gelöscht!" (Schaltet logisches Denken aus).
- Autorität: "Hier spricht die Polizei / der Geschäftsführer."
- Neugier: "Schau mal, dieses Foto von dir auf der Party..." (Verleitet zum Klicken).
- Hilfsbereitschaft: "Ich habe mein Passwort vergessen, kannst du mir helfen?"
Wie wir uns 2026 schützen können
Virenscanner reichen nicht mehr aus, um KI zu stoppen. Wir brauchen neue Strategien.
1. "Zero Trust" Kultur
Vertraue niemandem, verifiziere alles.
- Wenn der CEO anruft und Geld will -> Rückruf tätigen. Rufen Sie ihn auf seiner bekannten internen Nummer an.
- "Rückkanal-Verifikation": Wenn eine Anfrage per Mail kommt, bestätigen Sie sie per Chat oder Telefon (und umgekehrt).
2. Code-Wörter
Familien und Firmenteams sollten ein "Sicherheitswort" vereinbaren, das niemals digital kommuniziert wurde. Bei einem verdächtigen Anruf ("Oma, ich hatte einen Unfall, ich brauche Geld") fragt man nach dem Code-Wort. Ein KI-Deepfake kennt es nicht.
3. FIDO2 & Passkeys
Das klassische Passwort ist tot. Phishing-Seiten können Passwörter abfangen. Setzen Sie auf Hardware-Keys (YubiKey) oder Passkeys (FaceID). Selbst wenn Sie auf einer Fake-Seite landen, kann diese den Hardware-Key nicht kopieren.
Von Heuristik zu Kontext: Wie Erkennung und Meldung nachzogen
Auch die Verteidigung hat sich in Etappen gewandelt:
- Früh (bis etwa 2018): Statische Regeln. Begriffslisten, blockierte Absenderdomänen, Rechtschreibmuster. Ein Buchstabendreher in der Absendeadresse genügte zur Umgehung.
- Mittel (2018–2022): Protokollhygiene. SPF, DKIM und DMARC klären, wer im Namen einer Domain senden darf; Domänen-Monitoring findet Typosquats wie "sparkasse-login.de", bevor die erste Mail versendet wird.
- Spät (2022–2024): Signalanalyse. Auswertung von URLs, Header-Ketten und frisch registrierten Domänen; der Melden-Button im Mailclient macht aus Belegschaften ein Frühwarnsystem.
- Heute (2025 und danach): Kontext statt Signaturen. Passt der Tonfall zur Empfängerhistorie, passt die Uhrzeit zur Gewohnheit? KI-Gegenmodelle bewerten Sprache, Timing und Empfängerbeziehung gemeinsam – genau auf den Ebenen, auf denen Ära 4 angreift.
Gleichzeitig wuchs die Meldeinfrastruktur: Privatpersonen erreichen den Phishing-Radar der Verbraucherzentrale sowie das BSI-Bürger-CERT; Sparkassenkunden melden über PhishCops; Unternehmen informieren das CERT-Bund des BSI. Im Schadensfall bleibt die polizeiliche Anzeige, heute auch online über PolizeiOnline, der richtige Weg. Schnelles Melden hilft konkret: Je früher eine Domäne blockiert und eine Zahlung gestoppt wird, desto besser die Chancen, über das Rückrufsverfahren noch laufende Überweisungen aufzuhalten – keine Garantie, aber der wirksamste Hebel der ersten Stunden.
Ein ehrliches Wort zur Datenlage bleibt wichtig: Statistiken über Phishing-Kampagnen unterscheiden sich je nach Quelle erheblich, weil Zählmethoden, Meldezeiträume und Definitionen abweichen. Die Wellen und Schübe in diesem Beitrag stehen für Muster und Größenordnungen – vielfach und unabhängig beobachtete Trends, keine exakte Amtsstatistik. Wer eine Zahl hört, prüft am besten zunächst, wer wie zählt.
Fazit & Ausblick
Der Kampf zwischen Angreifern und Verteidigern ist ein ewiges Wettrüsten. 2030 werden wir vielleicht gegen Gedanken-lesende Interfaces kämpfen, aber für heute gilt:
Seien Sie skeptisch. Wenn eine Nachricht Emotionen bei Ihnen auslöst (Angst, Gier, Neugier), halten Sie inne. Atmen Sie durch. Prüfen Sie den Absender.
In 99% der Fälle ist diese kurze Pause das Einzige, was zwischen Ihrem Bankkonto und einem Hacker steht.
Schulen Sie Ihr Team mit unserer Phishing-Simulation
Überblick
Wichtige Entscheidungen, Risiken und Umsetzungsmaßnahmen zu diesem Thema.