Cyberkriminelle verzichten auf Masse und setzen auf präzise Angriffe

KnowBe4 Threat Report: Klassische Massenbetrugsmaschen verlieren an Bedeutung, während Angreifer zunehmend KI-Plattformen, vertrauenswürdige Cloud-Infrastrukturen und gestohlene Zugriffsberechtigungen für ihre Attacken nutzen.

Cyberkriminelle verändern ihre Strategie: Statt Millionen wahlloser Phishing-Mails setzen sie zunehmend auf präzise vorbereitete Angriffe gegen einzelne Personen und Unternehmen. Besonders alarmierend ist der Anstieg von Spear-Phishing um 41,1 Prozent, während generative KI und automatisierte Angriffswerkzeuge die Geschwindigkeit und Qualität der Attacken deutlich erhöhen. Der aktuelle „Phishing Threat Trends Report“ von KnowBe4 zeigt, dass sich die Bedrohung zunehmend von gefälschten Absendern hin zum Missbrauch vertrauenswürdiger Identitäten, Plattformen und Zugriffsrechte verschiebt.

Phishing-Angriffe nehmen zu – doch die Methoden verändern sich grundlegend

Der neue „Phishing Threat Trends Report, Band 8“ von KnowBe4 dokumentiert einen deutlichen Wandel in der Cyberkriminalität. Während das Gesamtvolumen der Phishing-Angriffe gegenüber dem Vorjahr um 29,8 Prozent gestiegen ist, verlieren klassische Massenkampagnen zunehmend an Bedeutung.

Die Untersuchung basiert auf Telemetriedaten der E-Mail-Sicherheitslösung KnowBe4 Defend, die täglich rund 1,15 Milliarden Ereignissignale verarbeitet. Im Durchschnitt war demnach eine von 733 eingehenden E-Mails als gefährlich einzustufen.

Besonders auffällig ist der Rückgang traditioneller Betrugsmaschen. Phishing-Kampagnen mit Schwerpunkt auf Mobilgeräten gingen um 47,3 Prozent zurück. Der klassische Vorschussbetrug nach dem sogenannten 419-Schema verzeichnete ein Minus von 31,3 Prozent. Auch gefälschte Benachrichtigungen über angeblich verpasste Nachrichten verloren mit einem Rückgang von 11,3 Prozent an Bedeutung.

An ihre Stelle treten zunehmend Angriffe, die auf umfangreicher Vorbereitung, Identitätsmissbrauch und gezielter Manipulation beruhen.

Die wichtigsten Veränderungen im Überblick:

• Spear-Phishing: Anstieg um 41,1 Prozent
• Ausspähung und Vorbereitung von Angriffen: Zunahme um 33,7 Prozent
• Identitätsmissbrauch durch Unternehmensimitation: Plus 28 Prozent
• Toolkit-gestütztes Phishing: Wachstum um 54 Prozent
• Gesamtes Phishing-Volumen: Anstieg um 29,8 Prozent

Die Zahlen verdeutlichen, dass Cyberkriminelle ihre Ressourcen verstärkt in erfolgversprechende, individualisierte Angriffe investieren. Nicht mehr die reine Masse entscheidet, sondern die Glaubwürdigkeit und Präzision der Täuschung.

Deutschland: Business Email Compromise dominiert mit 79,2 Prozent

Besonders deutlich zeigt sich diese Entwicklung in Deutschland. Hier entfallen laut KnowBe4 bereits 79,2 Prozent der erfassten Phishing-Angriffe auf Business Email Compromise (BEC). Weltweit liegt der entsprechende Anteil bei 51,2 Prozent.

Bei BEC-Angriffen geben sich Cyberkriminelle beispielsweise als Geschäftsführer, Geschäftspartner oder interne Führungskräfte aus. Ihr Ziel ist es, Mitarbeitende zur Überweisung von Geld, zur Weitergabe vertraulicher Informationen oder zur Freigabe sensibler Geschäftsprozesse zu bewegen.

Die klassische Markenimitation, bei der bekannte Unternehmen oder Dienste nachgeahmt werden, spielt in Deutschland dagegen mit lediglich 5,9 Prozent eine deutlich geringere Rolle.

„Für Deutschland stellen wir fest, dass Business Email Compromise (BEC) als Phishing-Aufhänger dominiert und 79,2 Prozent aller Angriffe ausmacht (gegenüber 51,2 % weltweit). Diese extreme Konzentration verdrängt fast alle anderen Angriffsvektoren“, erklärt Dr. Martin J. Krämer, CISO-Advisor DACH bei KnowBe4.

Für Unternehmen bedeutet diese Entwicklung, dass technische E-Mail-Schutzmaßnahmen allein nicht ausreichen. Besonders gefährdet sind Geschäftsprozesse, bei denen eine vermeintlich vertrauenswürdige Nachricht unmittelbar finanzielle oder organisatorische Entscheidungen auslösen kann.

Schweiz: Cyberkriminelle imitieren interne Unternehmenskommunikation Ein anderes Angriffsmuster zeigt sich in der Schweiz. Dort setzen Cyberkriminelle auffallend häufig auf visuell gestaltete Nachrichten, die interne Unternehmensanwendungen und Benachrichtigungen nachahmen.

Die untersuchten Phishing-E-Mails enthalten durchschnittlich 9,8 Bilder. Weltweit sind es lediglich 2,6 Bilder pro Nachricht. Gleichzeitig fallen die E-Mails mit durchschnittlich 747 Zeichen vergleichsweise kurz aus.

Besonders bemerkenswert: 33,2 Prozent der Angriffe geben sich als Kommunikation aus der eigenen Organisation aus. Im weltweiten Vergleich liegt dieser Anteil bei 20,3 Prozent.

Die Angreifer verzichten damit zunehmend auf ausführliche Überzeugungsversuche. Stattdessen erzeugen sie durch vertraute Gestaltungselemente, interne Logos und scheinbar bekannte Arbeitsabläufe den Eindruck einer legitimen Unternehmensnachricht. Solche Attacken zielen häufig darauf ab, dass Empfänger schnell reagieren, ohne die Echtheit einer vermeintlich internen Aufforderung zu hinterfragen.

KI-Plattformen werden zur Infrastruktur für Phishing-Angriffe

Eine der wichtigsten Erkenntnisse des Reports betrifft den Missbrauch legitimer Cloud- und KI-Infrastrukturen. Im dritten Quartal 2026 nutzten Cyberkriminelle laut KnowBe4 doppelt so häufig vertrauenswürdige Infrastruktur für ihre Angriffe wie noch im zweiten Quartal.

Dabei gewinnen insbesondere KI-Plattformen als Angriffsumgebung an Bedeutung. Kriminelle platzieren gefälschte Entwicklerkonsolen, Anmeldeaufforderungen oder Download-Portale direkt auf Domains legitimer Plattformanbieter.

Das erschwert die Erkennung erheblich. Denn klassische Sicherheitsmechanismen verlassen sich häufig auf die Reputation einer Domain oder die technische Vertrauenswürdigkeit der zugrunde liegenden Infrastruktur.

Eine legitime Domain ist jedoch kein Beweis dafür, dass auch die darauf bereitgestellten Inhalte vertrauenswürdig sind. Jack Chapman, SVP of Threat Intelligence bei KnowBe4, sieht darin eine grundlegende Veränderung der Bedrohungslage: „Modernes Phishing muss Sicherheitsfilter nicht mehr mit ähnlich aussehenden Domains täuschen, wenn Angreifer direkt auf vertrauenswürdigen Domains sitzen können.“ Cyberkriminelle missbrauchen damit zunehmend genau jene Plattformen und Dienste, denen Unternehmen und Mitarbeitende im Arbeitsalltag vertrauen.

Generative KI beschleunigt die Entwicklung neuer Phishing-Kampagnen

Neben der Infrastruktur verändert künstliche Intelligenz auch das Tempo der Angriffe. Laut KnowBe4 sind Cyberkriminelle heute 5,4-mal schneller als noch 2022, wenn es darum geht, aktuelle Nachrichtenereignisse in einsatzfähige Phishing-Kampagnen umzuwandeln.

Generative KI und agentenbasierte Werkzeuge erleichtern es, Nachrichteninhalte auszuwerten, passende Betrugsszenarien zu entwickeln und überzeugende Texte für unterschiedliche Zielgruppen zu erstellen.

Damit verkürzt sich die Zeitspanne zwischen einem öffentlich bekannten Ereignis und dessen krimineller Ausnutzung erheblich.

Besonders geeignet sind dafür Themen, die hohe Aufmerksamkeit erzeugen oder unmittelbaren Handlungsdruck vermitteln. Dazu gehören beispielsweise wirtschaftliche Entwicklungen, Sicherheitsvorfälle, politische Entscheidungen oder kurzfristige Änderungen in Unternehmen.

Für Security-Teams entsteht dadurch eine zusätzliche Herausforderung: Phishing-Kampagnen können schneller entstehen und sich an veränderte Rahmenbedingungen anpassen, als herkömmliche Sensibilisierungsmaßnahmen darauf reagieren.

Phishing-as-a-Service: Wenige Toolkits dominieren den Markt

Auch die zunehmende Professionalisierung des Phishing-Ökosystems wird im Report sichtbar. Toolkit-gestütztes Phishing nahm um 54 Prozent zu und war für 29,2 Prozent aller eingehenden bösartigen E-Mails verantwortlich.

Bemerkenswert ist die Konzentration auf wenige Anbieter beziehungsweise Angriffswerkzeuge. Lediglich drei zentrale Toolkits machten 90,2 Prozent sämtlicher Toolkit-gestützten Phishing-Aktivitäten aus.

Diese Entwicklung verdeutlicht die zunehmende Industrialisierung der Cyberkriminalität.

Kommerzielle Angriffswerkzeuge ermöglichen es auch technisch weniger versierten Kriminellen, professionell gestaltete Phishing-Kampagnen aufzusetzen. Vorgefertigte Infrastruktur, automatisierte Abläufe und standardisierte Angriffsmethoden senken die Einstiegshürden.

Gleichzeitig profitieren Angreifer von einer schnellen Weiterentwicklung dieser Werkzeuge, wodurch sich erfolgreiche Methoden innerhalb kurzer Zeit verbreiten können.

Identitätsdiebstahl: Angreifer umgehen zunehmend klassische Passwörter

Ein weiterer Schwerpunkt betrifft die Umgehung herkömmlicher Authentifizierungsverfahren.

Statt ausschließlich Passwörter zu stehlen, versuchen Angreifer zunehmend, gültige Sitzungen, Zugriffstoken und bereits erteilte Berechtigungen zu übernehmen.

Zu den beobachteten Methoden zählen Authentifizierungs-Phishing, der Missbrauch von Gerätecode-Anmeldungen auf Plattformen wie Microsoft Teams sowie manipulierte OAuth-Einwilligungsprozesse.

Bei solchen Angriffen können Nutzer dazu verleitet werden, einer vermeintlich legitimen Anwendung weitreichende Berechtigungen einzuräumen. Besonders problematisch wird dies im Zusammenhang mit KI-Agenten. Verfügen diese über Zugriffsrechte auf Unternehmensdaten, Kommunikationsplattformen oder geschäftskritische Anwendungen, können kompromittierte Berechtigungen erhebliche Auswirkungen haben. Der Angriff richtet sich damit nicht mehr ausschließlich gegen das Benutzerkonto selbst, sondern gegen das gesamte Berechtigungsmodell dahinter. Für Unternehmen gewinnen deshalb die Überwachung von OAuth-Freigaben, die Kontrolle privilegierter Zugriffe und die kontinuierliche Prüfung aktiver Sitzungen an Bedeutung.

Montag ist Phishing-Tag: Angreifer nutzen die Arbeitswoche gezielt aus

Auch beim zeitlichen Verlauf der Angriffe lassen sich klare Muster erkennen.

Laut KnowBe4 treffen 90,4 Prozent aller Phishing-E-Mails zwischen Montag und Freitag ein. Der Montag ist mit 20,6 Prozent der häufigste Angriffstag. Das ist kein Zufall. Nach dem Wochenende sind geschäftliche Posteingänge häufig besonders gut gefüllt. Mitarbeitende müssen zahlreiche Nachrichten bearbeiten, Prioritäten setzen und auf vermeintlich dringende Anfragen reagieren.

Diese erhöhte Arbeitsbelastung bietet Cyberkriminellen günstige Bedingungen, um betrügerische Nachrichten in legitime Geschäftsprozesse einzuschleusen. Besonders häufig geraten dabei die Personalabteilung, Finanzabteilungen und die Geschäftsleitung ins Visier. Diese Bereiche verfügen über sensible Informationen, finanzielle Entscheidungsbefugnisse oder privilegierte Zugänge und sind deshalb für Identitätsbetrug besonders attraktiv.

Fazit: Vertrauen wird zum zentralen Angriffspunkt

Der aktuelle Phishing Threat Trends Report zeigt, dass sich die Bedrohungslage nicht allein durch steigende Angriffszahlen verschärft. Entscheidend ist die zunehmende Fähigkeit der Cyberkriminellen, legitime digitale Identitäten, Plattformen und Geschäftsprozesse für ihre Zwecke zu instrumentalisieren.

Während klassische Massenkampagnen in einzelnen Betrugskategorien zurückgehen, gewinnen gezielte Angriffe, KI-gestützte Täuschung und der Missbrauch bestehender Zugriffsrechte an Bedeutung. Für Unternehmen reicht es deshalb nicht mehr aus, Mitarbeitende ausschließlich vor verdächtigen Links, unbekannten Absendern oder gefälschten Websites zu warnen.

Notwendig sind Sicherheitskonzepte, die technische Schutzmaßnahmen mit kontinuierlicher Angriffserkennung, konsequenter Identitäts- und Berechtigungsverwaltung sowie praxisnaher Security Awareness verbinden.