Achtung: Phishing 2.0

Warum Phishing heute gefährlicher ist als je zuvor

Phishing bezeichnet betrügerische E-Mails, Nachrichten oder Webseiten, die darauf abzielen, sensible Informationen zu stehlen oder Mitarbeitende zu einer Handlung zu verleiten – etwa zu einer Geldüberweisung oder zur Preisgabe von Zugangsdaten. Ziel ist es, Vertrauen zu missbrauchen und Sicherheitsmechanismen zu umgehen.

Während frühere Phishing-Mails häufig schlecht formuliert, voller Rechtschreibfehler und dadurch relativ leicht zu erkennen waren, haben sich moderne Angriffe stark weiterentwickelt. Heute sind Phishing-Kampagnen professionell gestaltet, sprachlich einwandfrei und inhaltlich gut vorbereitet.

Ein wesentlicher Treiber dieser Entwicklung ist auch der Einsatz von Künstlicher Intelligenz: Angreifer nutzen KI-Tools, um täuschend echte E-Mails zu verfassen, reale Kommunikationsstile nachzuahmen und Inhalte gezielt auf Unternehmen oder einzelne Mitarbeitende zuzuschneiden. 

Besonders kritisch ist der sogenannte CEO-Fraud (auch Business E-Mail Compromise). Dabei geben sich Angreifer als Mitglieder der Geschäftsleitung oder als enge Geschäftspartner aus und erzeugen gezielt Autorität und Zeitdruck. Mitarbeitende werden so dazu gebracht, vertrauliche Daten freizugeben oder kurzfristig hohe Geldbeträge zu überweisen. Mehr dazu schreibt auch das Bundesamt für Cybersicherheit.
 

Aktuelle Statistiken zeigen zudem, dass Business Email Compromise (BEC) auch im Jahr 2025 zu den am schnellsten wachsenden und finanziell schädlichsten Cyberbedrohungen für Unternehmen zählt. Ein Grossteil der Organisationen war bereits mindestens einmal von einem entsprechenden Angriff betroffen. Besonders alarmierend ist dabei die hohe Erfolgsquote: Kommt es zu einer erfolgreichen Täuschung, liegen die finanziellen Verluste häufig im sechsstelligen Bereich pro Vorfall.

Betroffen sind nicht nur Grossunternehmen, sondern insbesondere auch kleine und mittlere Unternehmen, die oft über weniger ausgeprägte Sicherheits- und Kontrollmechanismen verfügen. Angreifer konzentrieren sich dabei verstärkt auf Branchen wie Finanzen, Gesundheitswesen, Industrie und Immobilien, da dort regelmässig zeitkritische Zahlungsprozesse und sensible Daten verarbeitet werden.

Die Zahlen verdeutlichen, dass Business Email Compromise längst kein Einzelfall oder Randphänomen mehr ist, sondern eine systematische und weiter zunehmende Bedrohung darstellt, die technische Schutzmassnahmen ebenso erfordert wie gezielte Sensibilisierung und klare Prozesse im Unternehmen.

Quelle: Threatcop

 

Warum Mitarbeitende Phishing kaum noch erkennen können

Viele Unternehmen setzen auf Security-Awareness-Schulungen. Diese sind wichtig, reichen aber in vielen Fällen nicht mehr aus. Dafür gibt es mehrere Gründe.

1. Phishing ist heute stark personalisiert
   Angriffe beziehen sich auf reale Projekte, bekannte Personen oder aktuelle Ereignisse. Dadurch wirken sie plausibel und vertraut.
2. Zeitdruck im Arbeitsalltag
   Entscheidungen passieren oft nebenbei, zwischen Meetings, E-Mails und Deadlines. Auch gut geschulte Personen können in solchen Momenten falsch reagieren.
3. Realistische Absender und saubere Sprache
   Moderne Angriffe enthalten kaum noch typische Warnsignale wie Rechtschreibfehler oder auffällige Links bzw. E-Mailadressen. Das macht die Unterscheidung deutlich schwieriger.

Warum Awareness-Schulungen allein nicht mehr reichen

Proaktive Schulungen von Mitarbeitenden sind ein wichtiger Baustein, aber kein vollständiger Schutz. Ein Training setzt voraus, dass Mitarbeitende jede Phishing-Mail korrekt erkennen. In der Praxis ist das jedoch nicht verlässlich. Wirksame Sicherheitskonzepte gehen deshalb davon aus, dass Fehler passieren. Entscheidend ist das Zusammenspiel von Menschen, klaren Prozessen und geeigneter Technologie, denn erst diese Kombination kann Fehlentscheidungen auffangen, bevor daraus ein Vorfall entsteht.

Welche Massnahmen sind für Unternehmen sinnvoll?

1. Realistische Phishing-Simulationen
Regelmässige Simulationen trainieren das Verhalten in realitätsnahen Situationen. Mitarbeitende lernen nicht nur theoretisch, sondern konkret, wie sie reagieren sollen. Als Unternehmung kann man durch die Simulationen noch konkreter auf Einzelfälle eingehen und gezielte Schulungen vornehmen.

2. Klare Prozesse und Meldewege
Mitarbeitende müssen sofort wissen:

• Wie melde ich einen Verdachtsfall?
• Wen informiere ich?
• Wie gehe ich vor, wenn ich auf ein Phishing-Mail reagiert habe?

Ein einfacher und schneller Prozess senkt die Hemmschwelle zur Meldung spürbar und ermöglicht rasches Handeln.

3. Technische Schutzmechanismen
Massnahmen wie E-Mail-Filter, Multi-Faktor-Authentifizierung (MFA) oder klare Richtlinien für Zahlungsfreigaben reduzieren das Risiko, dass menschliche Fehler zu einem Sicherheitsvorfall führen.

Phishing 2.0 erfordert ein neues Sicherheitsverständnis

Phishing ist heute mehr als ein IT-Thema. Es ist ein konkretes Geschäftsrisiko. Ein erfolgreicher Angriff kann innert kurzer Zeit hohe finanzielle Schäden verursachen und das Vertrauen von Kunden und Partnern nachhaltig beeinträchtigen. Awareness-Schulungen bleiben wichtig, doch sie reichen allein nicht mehr aus. Unternehmen müssen Phishing ganzheitlich betrachten und Menschen, Prozesse und technische Schutzmechanismen miteinander verbinden.

Wer Phishing 2.0 strukturiert angeht, stärkt nicht nur die IT-Sicherheit, sondern die Sicherheitskultur im ganzen Unternehmen. Erste Schritte zur Schulung der Mitarbeitenden finden Sie in unseren Security Awareness Paketen.