Phishing-Methoden im Überblick: Von Spear-Phishing bis KI-Phishing

Phishing ist seit dem Beginn des Internets ein immer größer werdendes Problem. Doch der Begriff beschreibt längst kein einheitliches Vorgehen mehr. Wer Angriffe abwehren will, muss zunächst verstehen, welche Varianten existieren, wie sie technisch funktionieren und warum Menschen trotz wachsender Aufmerksamkeit immer wieder darauf hereinfallen.

Dieser Leitfaden fasst die wichtigsten Phishing-Methoden zusammen - mit konkreten Beispielen aus der Praxis und einer Schutzmaßnahme pro Methode.

---

1. Die Evolution des Phishings

Auch vor dem Internet gab es Betrugsversuche. Damals natürlich nicht per E-Mail, sondern per Brief. Durch die immer schneller werdende Vernetzung und Digitalisierung ist das Geschäft mit kriminellen Nachrichten jedoch immer besser skalierbar geworden. Spam-Filter und andere Sicherheitslösungen versuchen zwar, bösartige E-Mails aus den Posteingängen herauszuhalten - der Erfolg ist aber eher mäßig. Auch weil Kriminelle immer wieder neue Methoden und Angriffsvektoren finden, um diese Filter zu umgehen.

Phishing-Angriffe sind schwer zu erkennen, da sie legitime E-Mails oder Websites imitieren können. Jetzt werden sie sogar noch raffinierter: Künstliche Intelligenz ermöglicht realistische, personalisierte Nachrichten, die selbst für gründliche Nutzerinnen und Nutzer kaum zu erkennen sind. Phishing-as-a-Service-Plattformen senken gleichzeitig die technische Einstiegshürde auf ein Minimum.

Die folgende Übersicht zeigt, welche Methoden Kriminelle heute einsetzen - und was Unternehmen dagegen tun können.

---

2. E-Mail-Phishing (klassisch)

Das klassische Phishing per E-Mail ist der Ursprung aller Varianten. Beim Phishing handelt es sich um eine Art von digitalem Angriff, bei dem Benutzer mit Hilfe von betrügerischen E-Mails oder Websites dazu gebracht werden, persönliche Daten wie Passwörter oder Kreditkartennummern preiszugeben.

Massen-Phishing-Kampagnen richten sich an möglichst viele Empfänger gleichzeitig. Die Nachrichten ahmen bekannte Marken, Banken oder Behörden nach und erzeugen Handlungsdruck - oft durch vorgetäuschte Dringlichkeit oder Androhung von Konsequenzen.

Beispiel aus der Praxis: Eine E-Mail gibt vor, von einer bekannten Streaming-Plattform zu stammen, und fordert zur Aktualisierung der Zahlungsdaten auf. Der enthaltene Link führt auf eine täuschend echte Fälschung der echten Website.

Schutzmaßnahme: Absenderdomain und verlinkten URL genau prüfen - beide müssen zur behaupteten Organisation passen. Im Zweifel direkt auf der echten Website einloggen, statt auf den Link in der E-Mail zu klicken.

---

3. Spear-Phishing und Whaling/CEO-Fraud

Während Massen-Phishing auf Quantität setzt, zielt Spear-Phishing auf einzelne, sorgfältig ausgewählte Personen. Ein Spear-Phishing-Angriff ist ein gezielter Angriff auf eine Person oder eine Personengruppe - mit vorab recherchierten, persönlichen Details, die die Nachricht überzeugend machen.

CEO-Fraud ist die am häufigsten eingesetzte Form von Spear-Phishing in Unternehmen. Das Wort “Fraud” ist Englisch und bedeutet übersetzt nichts anderes als Betrug. CEO-Fraud ist eine Masche, bei der die Identität eines Entscheidungsträgers gefälscht wird - sei es per manipulierter E-Mail, Call-ID-Spoofing oder sogar Deepfake-Videoanruf. Täter betreiben vorab umfangreiches Social Engineering über LinkedIn und Unternehmenswebsites, bevor sie als vermeintlicher Geschäftsführer in der Buchhaltung anrufen oder eine Überweisung per E-Mail anfordern.

Die Polizei NRW warnte bereits früh davor, dass sich Fallzahlen verdoppelt hatten. Mehrere Millionen Euro erbeuteten verschiedene Betrüger mit dieser Masche. Interessant dabei ist, dass die Polizei ebenso davor warnt, dass auch kleine und mittelständische Unternehmen zum Angriffsziel werden können. Waren es zunächst nur die ganz großen, international tätigen Firmen, sind es inzwischen gezielt auch Kleinunternehmer. Kein Wunder: Zu holen ist auch hier eine Menge, wobei das Risiko und die Sicherheitsbarrieren meist geringer als bei Top-Konzernen ausfallen.

Beispiel aus der Praxis: Sicherheitsforscher haben mit einer Machine-Learning-Software automatisiert Tweets an PokémonGo-Spieler auf Twitter gesendet. Die Software reagierte vollständig automatisch auf Tweets mit dem Hashtag #PokemonGo und erzielte dabei Klickraten von 30 % bis 60 % - gegenüber 5-10 % bei normalem Phishing. Für einen manuell erstellten Spear-Phishing-Angriff werden in der Regel bis zu 10 Minuten Arbeit fällig, die Klickrate liegt dann bei bis zu 40 %.

Schutzmaßnahme: Anweisungen zu Finanztransaktionen müssen immer über einen zweiten, verifizierten Kanal bestätigt werden - ein kurzer Rückruf unter der bekannten Nummer des angeblichen Absenders genügt, um den Betrug zu stoppen. Mitarbeiter müssen außerdem wissen, dass auch dem Chef widersprochen werden darf.

---

4. Vishing (Telefon-Phishing)

Vishing ist die Kurzform für “Voice Phishing” - Phishing über das Telefon. Angreifer rufen ihre Opfer direkt an und geben sich als Bankmitarbeiter, IT-Support oder Behördenvertreter aus. In Kombination mit Call-ID-Spoofing erscheint dem Opfer eine vertrauenswürdig aussehende Rufnummer.

Die Kommunikationsgeschwindigkeit bei Telefonaten und das damit verbundene Vertrauensniveau sind deutlich höher als bei E-Mails. Angreifer nutzen diesen Effekt gezielt: Wer am Telefon von einer Autorität unter Druck gesetzt wird, handelt schneller und hinterfragt weniger.

Beim CEO-Fraud wird Vishing regelmäßig eingesetzt: Betrüger fühlen sich lange Zeit in das Unternehmen ein, wissen, wie Mitarbeiter ticken, und spielen die Rolle des Chefs meist sehr glaubwürdig und autoritär.

Beispiel aus der Praxis: Ein Angreifer ruft als vermeintlicher Geschäftsführer in der Buchhaltung an und fordert eine dringende Überweisung auf ein ausländisches Konto. Die angezeigte Rufnummer entspricht der echten Telefonnummer der Führungskraft, da Call-ID-Spoofing eingesetzt wird.

Schutzmaßnahme: Telefonisch erteilte Anweisungen zu Überweisungen oder der Herausgabe sensibler Daten immer über einen anderen Kanal (z. B. persönlich oder per E-Mail an die bekannte Adresse) verifizieren.

---

5. Smishing (SMS-Phishing)

Smishing bezeichnet Phishing-Angriffe über SMS oder Messenger-Dienste. Das Prinzip ist dasselbe wie bei E-Mail-Phishing - nur dass der Kanal ein anderer ist. Betrüger versenden Kurznachrichten, die etwa eine Paketzustellung ankündigen, eine Kontowarnung simulieren oder angebliche Gewinnmitteilungen enthalten, und verlinken auf betrügerische Websites.

Smishing ist deshalb wirksam, weil viele Menschen SMS intuitiv mehr vertrauen als E-Mails. Außerdem werden auf Mobilgeräten URLs oft verkürzt angezeigt, was das Erkennen von Fälschungen erschwert.

Beispiel aus der Praxis: Eine SMS gibt vor, von einem Paketdienstleister zu stammen, und fordert zur Zahlung einer geringen Gebühr auf, damit das Paket zugestellt werden kann. Der Link führt auf eine gefälschte Bezahlseite, auf der Zahlungsdaten abgegriffen werden.

Schutzmaßnahme: Keine Links in unerwarteten SMS-Nachrichten anklicken. Verdächtige Nachrichten durch direkten Aufruf der offiziellen Website oder Kontaktaufnahme über den offiziellen Kundenservice prüfen.

---

6. Quishing (QR-Code-Phishing)

Quishing kombiniert QR-Codes mit klassischen Phishing-Zielen. Beim Quishing wird ein QR-Code generiert, der einen bösartigen Link enthält. Dieser Link kann zusätzlich mit einem URL-Shortener verschleiert werden. Im Gegensatz zu E-Mail-Phishing wird der QR-Code meist analog gedruckt, denn ein Versenden per E-Mail ist nicht sonderlich plausibel.

Die Coronapandemie hat QR-Codes tief in den Alltag integriert: Der digitale Impfpass, die Kontaktnachverfolgung, Check-ins - QR-Codes sind seitdem allgegenwärtig. Wird der QR-Code an einem plausiblen Ort und in einem logischen Kontext platziert, wirkt er seriöser und vertrauenswürdiger als eine E-Mail.

Beispiel aus der Praxis: In Austin, Texas, entdeckten Behörden manipulierte QR-Codes an Parkstationen. Die Codes leiteten auf eine Seite um, die nicht von offizieller Quelle stammte - Zahlungsdaten von Parkenden wurden so abgegriffen.

Schutzmaßnahme: Einen QR-Code-Scanner verwenden, der eine URL-Vorschau anzeigt, bevor der Link geöffnet wird. Apple hat dies in den systemintegrierten Scanner eingebaut; für Android gibt es entsprechende Apps. Codes an ungewöhnlichen oder manipuliert wirkenden Orten nicht scannen.

---

7. Chishing (Chat-Phishing)

Die Kommunikation innerhalb von Unternehmen erfolgt zunehmend über Business-Chats. Auch externe Partner werden immer häufiger zu internen Business-Chats hinzugefügt, wodurch die Angriffsfläche vergrößert wird. AWARE7 hat herausgefunden, dass es bei einer Vielzahl an Chat-Tools möglich ist, ein Profil so zu bearbeiten, dass eine Spoofing-Attacke möglich ist. Diese Angriffsmethode wurde als Chishing bezeichnet - eine Wortkreation aus Chat und Phishing.

Man redet von Spoofing, wenn ein Angreifer vorgibt, jemand anderes zu sein, um auf vertrauliche Informationen zugreifen zu können. Angreifer ändern Profilbild und Anzeigenamen so, dass Gesprächspartner den Identitätswechsel im laufenden Chat nicht erkennen. Die Kommunikationsgeschwindigkeit bei Chats und das Vertrauensniveau sind deutlich höher als bei E-Mails - ein ideales Umfeld für Social-Engineering-Angriffe.

AWARE7 hat in einer Untersuchung sechs Chat-Tools analysiert: Microsoft Teams, Google Chat, Slack, Element.io, Mattermost und WebEx Teams. Ergebnis: Bei vier von sechs Tools - Google Chat, Slack, Mattermost und WebEx Teams - war es möglich, Profilbild und Namen so zu ändern, dass es innerhalb eines Chats nicht auffiel, ob es sich um die echte Person handelt oder nicht. Lediglich Microsoft Teams (Profile werden durch IT-Admin verwaltet) und Element.io (eindeutiger Benutzertag) boten ausreichenden Schutz.

Beispiel aus der Praxis: In Mattermost können drei verschiedene Nutzer ein identisches Profil anlegen. Ein externer Gast gibt sich als interner Mitarbeiter aus und fordert per Chat die Herausgabe von Zugangsdaten oder eine Überweisung.

Schutzmaßnahme: Sensible Anweisungen in Business-Chats immer über einen zweiten Kanal verifizieren. Chat-Plattformen wählen, die eindeutige Benutzeridentifikatoren bieten. Mitarbeiter für diese spezifische Angriffsmethode sensibilisieren.

---

8. KI-gestütztes Phishing - die neue Dimension

Die gefährlichste Entwicklung im Bereich Phishing ist der Einsatz von Künstlicher Intelligenz. KI-gestützte Phishing-Angriffe haben mit dem Einsatz von Sprachmodellen eine neue Eskalationsstufe erreicht: Diese Systeme generieren täuschend echte, individuell personalisierte E-Mails, die selbst gründliche Nutzerinnen und Nutzer kaum erkennen und herkömmliche Spam-Filter systematisch umgehen.

GPT-3 (Generative Pre-trained Transformer 3) ist eine Plattform für maschinelles Lernen, die menschenähnliche Texte produziert und sogar den Stil eines bestimmten Autors kopieren kann. Im Playground reicht es aus, einzugeben, für wen eine Phishing-Mail geschrieben werden soll - das Programm schreibt dann vollständig automatisiert eine plausible Phishing-Nachricht. Über eine API lässt sich dies komplett automatisieren.

OpenAI hat eine API veröffentlicht, die es Entwicklerinnen und Entwicklern erlaubt, diese Funktionen nutzbar zu machen. Kriminelle können damit Phishing-E-Mails noch personalisierter und vollständig automatisiert formulieren und versenden. Insbesondere in Kombination mit großen Datendiebstählen - die ebenfalls das automatisierte Verarbeiten von E-Mail-Adressen, Namen und anderen persönlichen Details erlauben - ist mit noch besseren und skalierbareren Phishing-Wellen zu rechnen.

Klassische Erkennungsmerkmale wie fehlerhafte Grammatik oder generische Anreden werden damit wertlos. Kriminelle skalieren ihre Kampagnen auf industrielles Niveau.

Beispiel aus der Praxis: Eine Software, die von Sicherheitsforschern mit ca. 2 Millionen Tweets trainiert wurde, formulierte automatisch Antworten auf Tweets mit dem Hashtag #PokemonGo. Die bösartigen Tweets erzielten Klickraten von 30 % bis 60 %. Dass die Software weder perfektes Deutsch noch Englisch sprach, tat dem Erfolg keinen Abbruch - der Slang bei Twitter kommt den Algorithmen zugute.

Schutzmaßnahme: Besonders auf die Domain und den Absendernamen achten - diese müssen gut gefälscht sein, damit die Nachricht wirklich authentisch wirkt. Das Bewusstsein, dass auch vermeintlich personalisierte Mails einen bösartigen Zweck verfolgen können, ist entscheidend.

---

9. Phishing-Toolkits: Caffeine und das Phishing-as-a-Service-Modell

Ein weiterer Treiber der steigenden Phishing-Gefahr ist die Professionalisierung der Angreifer-Infrastruktur. Phishing-as-a-Service (PhaaS) ermöglicht es, ohne eigene technische Kenntnisse sofort einsatzbereite Phishing-Kampagnen zu starten.

Caffeine ist ein Phishing-as-a-Service-Toolkit mit einer entscheidenden Besonderheit: Der Registrierungsprozess wurde deutlich vereinfacht und ist aus dem normalen Internet erreichbar - kein Darknet-Zugang und kein Telegram-Kanal sind erforderlich. Jeder, der die Adresse der Seite kennt, kann sich registrieren.

Als PhaaS übernimmt Caffeine Großteile der Arbeit für potenzielle Angreifer. Vorhanden sind aktuelle Templates für Phishing-E-Mails und die dahinterliegenden Seiten - insbesondere umfangreiche Vorlagen für die Microsoft-365-Umgebung. Interessanterweise sind nicht nur Vorlagen für große westliche Unternehmen hinterlegt, sondern auch für chinesische und russische Unternehmen. Mandiant hat das Toolkit detailliert analysiert und bestätigt.

Für drei Monate werden 450 USD verlangt, das Enterprise-Abo für sechs Monate kostet 850 USD. Das Toolkit wirbt explizit mit Kundensupport sowie verschiedenen Anti-Detection- und Anti-Analysis-Funktionen. URLs können dynamisch mit Variablen generiert werden und machen eine Erkennung noch schwieriger. IP-Adressen oder ganze Länder können von den Phishing-Kampagnen ausgeschlossen werden. Bezahlt wird mit Kryptowährung - die Barriere zur Nutzung ist damit nochmals verringert.

Dass ein weiteres Toolkit für illegale Phishing-Aktivitäten auf den Markt gekommen ist, zeigt, wie lukrativ das Phishing-Geschäft ist. Besorgniserregend ist vor allem die Entwicklung, dass immer mehr potenzielle Angreifer durch die niedrigen Einstiegshürden dazu verleitet werden, illegale Angriffe durchzuführen.

Schutzmaßnahme: Da Phishing-Toolkits handwerklich einwandfreie Angriffsmail-Templates liefern, können technische Erkennungsmerkmale nicht mehr als einziger Filter dienen. Mitarbeiter müssen inhaltlich auf Phishing-Muster geschult sein - unabhängig davon, wie professionell eine Nachricht aussieht.

---

10. Wie Unternehmen sich schützen

Kein einzelnes technisches Mittel schützt vollständig vor der gesamten Breite an Phishing-Methoden. Wirksamer Schutz ist mehrschichtig:

Technische Maßnahmen:

• E-Mail-Authentifizierung (SPF, DKIM, DMARC) konsequent konfigurieren
• Spam- und Phishing-Filter auf aktuellem Stand halten
• Multi-Faktor-Authentifizierung (MFA) für alle Zugänge einführen - MFA macht gestohlene Zugangsdaten für Angreifer weitgehend unbrauchbar
• QR-Code-Scanner mit URL-Vorschau verwenden
• Chat-Plattformen mit zuverlässiger Benutzeridentifikation bevorzugen

Organisatorische Maßnahmen:

• Klare Prozesse für Finanztransaktionen und sensible Datenanfragen: Immer Vier-Augen-Prinzip und Rückverifikation über einen zweiten Kanal
• Mitarbeitern erlauben und ermutigen, auch Anweisungen von Vorgesetzten zu hinterfragen
• Compliance-Management-System einführen, das entsprechende Prozesse verbindlich regelt

Schulung und Sensibilisierung:

• Regelmäßige Awareness-Kampagnen, die alle Methoden abdecken - nicht nur E-Mail-Phishing
• Phishing-Simulationen durchführen, die auch Quishing-Szenarien (verteilte Flyer, platzierte QR-Codes im Unternehmen) und Chat-basierte Angriffe abdecken
• Mitarbeitern verdeutlichen, dass KI-generierte Phishing-Nachrichten keine klassischen Rechtschreibfehler mehr enthalten

Der Hauptgrund, warum Betrüger mit Maschen wie CEO-Fraud durchkommen, ist der, dass niemand damit rechnet. Genau da liegt das Problem: Mitarbeiter müssen wissen, dass derartige Angriffe real existieren und stattfinden - und zwar nicht nur bei großen Konzernen, sondern auch bei kleinen und mittelständischen Unternehmen.

---

11. Häufige Fragen (FAQ)

Was ist der Unterschied zwischen Phishing und Spear-Phishing? Phishing bezeichnet massenhaft versendete betrügerische Nachrichten, die sich an viele Empfänger gleichzeitig richten. Spear-Phishing dagegen ist ein gezielter Angriff auf eine bestimmte Person oder Personengruppe - mit vorab recherchierten, persönlichen Details, um die Nachricht überzeugend zu gestalten. Die Klickraten bei Spear-Phishing liegen deutlich höher: bis zu 40 % bei manuell erstellten und bis zu 60 % bei KI-unterstützten Angriffen, gegenüber 5-10 % bei klassischem Massen-Phishing.

Was ist CEO-Fraud und wer ist davon betroffen? CEO-Fraud ist eine Betrugsmasche, bei der Angreifer die Identität eines Entscheidungsträgers fälschen - per E-Mail, Telefon oder sogar Deepfake-Videoanruf. Sie fordern Überweisungen oder die Herausgabe sensibler Daten. CEO-Fraud trifft längst nicht mehr nur Konzerne: Auch kleine und mittelständische Unternehmen stehen gezielt im Visier, weil sie häufig weniger Sicherheitsbarrieren haben.

Was ist Quishing? Quishing ist Phishing über QR-Codes. Ein QR-Code wird mit einem bösartigen Link verknüpft und analog - auf Aufklebern, Flyern oder an physischen Geräten - platziert. Da QR-Codes durch die Coronapandemie stark in den Alltag integriert wurden, wirken sie in einem plausiblen Kontext vertrauenswürdig. Schutz bietet ein QR-Scanner mit URL-Vorschau.

Was ist Chishing? Chishing ist Phishing in Business-Chat-Tools wie Slack, Google Chat oder Mattermost. Angreifer ändern ihren Anzeigenamen und ihr Profilbild so, dass sie als andere Mitarbeiter oder bekannte Kontakte erscheinen. AWARE7 hat in einer eigenen Studie nachgewiesen, dass dies bei vier von sechs untersuchten Plattformen problemlos möglich ist.

Wie schütze ich mich vor KI-gestütztem Phishing? KI-generierte Phishing-Nachrichten haben keine klassischen Erkennungsmerkmale wie Rechtschreibfehler mehr. Schutz bietet vor allem ein kritischer Blick auf Absenderdomain und -adresse sowie das Bewusstsein, dass auch personalisiert wirkende Nachrichten bösartig sein können. Regelmäßige Phishing-Simulationen trainieren diese Wachsamkeit systematisch.

Was ist Phishing-as-a-Service (PhaaS)? PhaaS ist ein Geschäftsmodell, bei dem Kriminelle fertige Phishing-Toolkits mieten können - inklusive Templates, Hosting, Anti-Detection-Funktionen und Support. Toolkits wie Caffeine sind inzwischen ohne Darknet-Zugang direkt im Clear Web buchbar und senken die Einstiegshürde erheblich. Die Folge: Mehr potenzielle Täter, mehr Angriffe, höhere Qualität der eingesetzten Templates.

Was bringt eine Phishing-Simulation? Eine Phishing-Simulation testet, wie Mitarbeiter im Ernstfall reagieren - bevor echte Angreifer es tun. Realistische Szenarien decken Schwachstellen auf und ermöglichen gezielte Nachschulungen. Moderne Simulationen können auch Quishing-Szenarien (QR-Code-Flyer im Büro) und Chat-basierte Angriffe abbilden. Details finden Sie auf unserer Seite zur Phishing-Simulation.