22. Juli 2026 News
Phishing 2026 – Teil 2: Praxisleitfaden Erkennen und Abwehren
Die Phishing-Bedrohungslandschaft 2026 ist technisch ausgereifter, psychologisch präziser und infrastrukturell breiter aufgestellt als je zuvor.
Mehr Informationen +
Während wir letzten Monat die verschiedenen Formen von Phishing behandelt haben, soll es diesen Monat darum gehen, wie man sich effektiv gegen Phishing-Nachrichten schützen kann. Man kann dies in drei Stufen unterteilen.
Stufe 1: Technische Prüfung der Absenderadresse
Die Absenderadresse ist das häufigste Täuschungsmittel und gleichzeitig das erste Prüfobjekt. Dabei sind zwei Angriffstechniken zu unterscheiden:
Display-Name-Spoofing: Der angezeigte Name lautet z. B. „Matthias Müller – Geschäftsführung“, die tatsächliche Absenderdomain ist jedoch vollständig fremd (z. B. info@newsletter-deals.com). Viele E-Mail-Clients zeigen standardmäßig nur den Anzeigenamen an. Die Lösung: In der E-Mail-Anwendung immer auf die technische Absenderadresse klicken und diese prüfen, nicht nur den angezeigten Namen.
Lookalike-Domains und Homoglyphenangriffe: Angreifer registrieren Domains, die der legitimen Domain optisch extrem ähneln – flrma.de statt firma.de, mue1ler-gmbh.com statt mueller-gmbh.com. Besonders heimtückisch sind Homoglyphenangriffe, bei denen Unicode-Zeichen aus anderen Zeichensätzen (kyrillisch, griechisch) mit lateinischen Buchstaben optisch identisch aussehen. Das kyrillische „а“ ist vom lateinischen „a“ im Browser nicht zu unterscheiden, kodiert aber auf eine völlig andere Domain. Zur Prüfung kann eine URL über den Punycode-Konverter analysiert werden: Eine legitim aussehende Domain wie аpple.com würde als xn--80ak6aa92e.com dekodiert werden.
E-Mail-Authentifizierungsprotokolle: Unternehmen können aktiv überprüfen, ob ihre eigene Domain und die Domains ihrer Kommunikationspartner durch SPF, DKIM und DMARC geschützt sind:
-
SPF (Sender Policy Framework): Legt fest, welche Mailserver E-Mails im Namen einer Domain versenden dürfen.
-
DKIM (DomainKeys Identified Mail): Fügt jeder E-Mail eine kryptografische Signatur hinzu, die den Absender verifiziert.
-
DMARC (Domain-based Message Authentication, Reporting & Conformance): Kombiniert SPF und DKIM und legt eine Richtlinie fest, wie empfangende Server mit nicht authentifizierten Mails umgehen sollen (Ablehnen, Quarantäne).
Kritisch: Sogar zahlreiche Bankinstitute haben derzeit noch keinen DMARC-Schutz implementiert – und das, obwohl E-Mail-Spoofing einer der wichtigsten Einstiegspunkte für Phishing bleibt. Das Fehlen von DMARC macht eine Domain zum leichten Spoofing-Ziel.
Stufe 2: Analyse von URLs und Links
Links in verdächtigen Nachrichten sollten niemals direkt angeklickt werden. Stattdessen gelten folgende Prüfschritte:
-
Hover-Test: Maus über den Link bewegen (ohne zu klicken) und die tatsächliche Ziel-URL in der Statusleiste des Browsers ablesen. Stimmt die angezeigte URL mit dem Link-Text überein?
-
Domain-Prüfung: Ist die Haupt-Domain (die zweite Ebene vor dem TLD) die erwartete? Bei
login.microsoft-support-helpdesk.comist die eigentliche Domain nichtmicrosoft.com, sondernmicrosoft-support-helpdesk.com– eine vollständig fremde Domain. -
HTTPS ist kein Vertrauenssignal: Das Vorhängeschloss-Symbol im Browser bedeutet lediglich, dass die Verbindung verschlüsselt ist – nicht, dass die Seite legitim ist. Phishing-Seiten nutzen inzwischen HTTPS-Zertifikate routinemäßig.
-
URL-Decoder: Codierte URLs (z. B. mit
%XX-Zeichenfolgen oder mehrfachen Weiterleitungsebenen) sollten in einem URL-Decoder entschlüsselt werden, bevor sie aufgerufen werden. Dasselbe gilt auch für gekürzte URLs von diversen Shortener-Services. -
QR-Code-Vorsicht (Quishing): QR-Codes in E-Mails und physischen Dokumenten werden zunehmend für Phishing-Angriffe genutzt, da klassische E-Mail-Filter QR-Codes nicht analysieren können. Vor dem Scannen sollte der Kontext kritisch hinterfragt werden: Woher kommt das Dokument? Wer hat die Nachricht gesendet? Es empfiehlt sich, QR-Codes grundsätzlich wie unbekannte Links zu behandeln: Vor dem Öffnen sollte die im Smartphone angezeigte Zieladresse bewusst gelesen und geprüft werden, ob Domain, Protokoll und Kontext zur erwarteten Kommunikation passen. Parallel dazu integrieren moderne E-Mail-Sicherheitslösungen zunehmend KI-basierte Bildanalyse, die QR-Codes bereits im Posteingang dekodiert und die dahinterliegenden URLs in isolierten Umgebungen testet. Für die Beratungspraxis bedeutet das: Quishing muss als eigener Angriffsvektor in Awareness-Schulungen, Richtlinien und im technischen Schutzkonzept adressiert werden – nicht nur als Randfall des „klassischen“ Phishings.
Stufe 3: Erkennung psychologischer Social-Engineering-Muster
Folgende Warnsignale sollten unmittelbar eine Verifikation über einen zweiten, unabhängigen Kanal auslösen – unabhängig davon, wie legitim die Nachricht wirkt.
Operative Warnsignale:
-
Dringende Zahlungsaufforderung mit engem Zeitfenster
-
Bitte um Geheimhaltung gegenüber Kollegen oder Vorgesetzten
-
Änderung von Bankverbindungsdaten eines bekannten Lieferanten
-
Anweisung über ungewöhnliche Kommunikationskanäle (z. B. WhatsApp statt Unternehmens-E-Mail)
-
Anfrage zu vertraulichen Personal- oder Finanzdaten
Kontextuelle Warnsignale:
-
Die Nachricht bezieht sich auf ein reales internes Projekt, ist aber ungewöhnlich formuliert.
-
Der Kommunikationsstil weicht vom bekannten Stil des vermeintlichen Absenders ab.
-
Die Anfrage passt nicht zur üblichen Rolle des Absenders.
-
Eine vertrauenswürdige externe Plattform (DocuSign, Adobe Sign, PayPal) wird für die Übermittlung genutzt – Angreifer missbrauchen zunehmend legitime Cloud-Dienste, um Sicherheitsfilter zu umgehen.
Verifikations-Workflow: Jede Handlungsaufforderung, die finanzielle Transaktionen, Zugangsdaten oder vertrauliche Daten betrifft, muss über einen zweiten, unabhängigen Kanal verifiziert werden. Der Rückruf erfolgt dabei ausschließlich unter einer hinterlegten, nicht aus der verdächtigen Nachricht entnommenen Rufnummer. Codewort-Verfahren für Eilüberweisungen – ein intern vereinbartes Wort, das bei legitimen dringenden Anweisungen immer verwendet wird – bieten zusätzlichen Schutz, der selbst Voice-Cloning-Angriffe unwirksam macht.
Organisatorische Schutzmaßnahmen: Das Mehrschicht-Prinzip
Technische Prüfkompetenz allein reicht nicht aus. Wirksame Abwehr erfordert strukturelle Maßnahmen auf drei Ebenen:
Technisch:
-
Implementierung von SPF, DKIM und DMARC für die eigene Domain
-
KI-gestützte E-Mail-Security-Lösungen mit Sandboxing und Verhaltensanalyse
-
Multi-Faktor-Authentifizierung (MFA) – mit dem Bewusstsein, dass MFA allein nicht vor Session-Hijacking schützt.
-
Kennzeichnung externer E-Mails im Mail-Client durch automatische Banner
Organisatorisch:
-
Verbindliches Vier-Augen-Prinzip ab definierten Schwellenwerten bei Zahlungen
-
Rückruf-Pflicht auf bekannten Kanälen bei jeder Änderung von Bankverbindungsdaten
-
Klare, schriftlich fixierte Eskalations- und Meldewege für Sicherheitsvorfälle
-
Regelmäßige Kontrolle der OSINT-Exposition des eigenen Unternehmens (LinkedIn-Profile, Pressemitteilungen, Ausschreibungen)
Kulturell:
-
Regelmäßige, aktuelle Awareness-Schulungen – nicht als Jahrespflichtveranstaltung, sondern als kontinuierliches Programm mit KI-generierten Beispielen
-
Simulierte Phishing-Kampagnen mit nachgelagertem Lerneffekt
-
Eine Unternehmenskultur, in der Rückfragen bei ungewöhnlichen Anweisungen ausdrücklich erwünscht und ohne Sanktionsfurcht möglich sind.
Relevanz für die Cyberversicherung
Die skizzierten Angriffsvektoren sind für Cyberversicherungsvermittler aus mehreren Gründen unmittelbar relevant. Erstens bestimmt die Qualität der Präventionsmaßnahmen des Versicherungsnehmers zunehmend die Underwriting-Entscheidung und die Prämiengestaltung. Unternehmen ohne konfiguriertes DMARC, ohne MFA oder ohne dokumentierte Zahlungsprozesse gelten in der Risikobeurteilung als erhöhtes Risiko. Zweitens ist die Schadensabwicklung bei BEC-Fällen versicherungsrechtlich komplex: Die Deckungsfrage hängt oft davon ab, ob ein echter Systemeingriff stattgefunden hat oder ob lediglich eine gefälschte Absenderadresse genutzt wurde. Vermittler, die ihre Kunden auf diese Unterscheidung hinweisen und eine entsprechende Klauselgestaltung sicherstellen, leisten echten Mehrwert über die reine Policenvermittlung hinaus.
Drittens zeigen Daten aus MDR-überwachten Umgebungen, dass Unternehmen mit kontinuierlichem Monitoring BEC-Schäden deutlich effektiver begrenzen können – ein Argument, das in der Beratungskommunikation gegenüber Kunden mit höherem Risikoprofil direkt einsetzbar ist.
Fazit: Prävention schützt – und versichert besser
Die Phishing-Bedrohungslandschaft 2026 ist technisch ausgereifter, psychologisch präziser und infrastrukturell breiter aufgestellt als je zuvor. Phishing-as-a-Service-Kits machen es möglich, dass auch technisch wenig versierte Angreifer hochpersonalisierte Kampagnen in großem Maßstab durchführen. KI eliminiert klassische Erkennungsmerkmale. Und BEC verursacht Schäden in Milliardenhöhe, ohne auch nur eine einzige Zeile Schadcode zu benötigen.
Für Unternehmen bedeutet das: Prävention muss mehrschichtig, aktuell und gelebt sein. Für Cyberversicherungsvermittler bedeutet es: Die fachkundige Aufklärung über Phishing-Mechanismen ist selbst ein differenzierendes Qualitätsmerkmal – und schützt gleichzeitig die Schadenquote im eigenen Portfolio.
TEILEN SIE DEN ARTIKEL
Unsere Produkte
D&O
Für Unternehmen, Stiftungen, Vereine, einzelne Personen & D&O mit Strafrechtschutz
CYBER
Für Dienstleister & Gewerbe, Versicherungs-Vermitttler, Produktions-Unternehmen etc.
SPEZIAL STRAF-RECHTSSCHUTZ
Strafrechtsschutz, Manager-Rechtsschutz, Steuerberater & Wirtschaftsprüfer
CRIME
Finanzinstitutionen,
Kommerzielle Kunden
VERMÖGENSSCHADEN-HAFTPFLICHT
Finanzinstitute, Private Equity, Werbung & Medien etc.
Lesen Sie hier weiter
News
Warum der Blick in die Bedingungen entscheidet: Technische Obliegenheiten in der Cyber-Versicherung
Manche Versicherer werben damit, ganz auf technische Obliegenheiten zu verzichten - bedeutet ein solcher Verzicht bedeutet automatisch, dass der Kunde gar keine IT-Sicherheitsmaßnahmen mehr beachten muss?
WEITERLESEN
News
Wenn die KI selbst zum Cyberrisiko wird
Was klassische Cyberversicherungen heute nicht mehr abdecken
WEITERLESEN
News
Phishing 2026 – Teil 1: Bedrohungslandschaft, Angriffsmechanismen
Menschliches Versagen ist laut aktuellen Studien für den Großteil aller Sicherheitsverletzungen verantwortlich.
WEITERLESEN← ZURÜCK ZUR ÜBERSICHT
INFINCO FINANCIAL
LINES BROKERS
