Die 5 häufigsten Phishing-Angriffe 2026

Phishing ist nicht neu — aber Phishing im Jahr 2026 hat mit den plumpen Betrugsmails von vor zehn Jahren kaum noch etwas gemein. Die Rechtschreibfehler sind verschwunden, die Anrede stimmt, der Absender wirkt vertraut, und der Kontext passt verdächtig genau zu Ihrem letzten Projekt. Der Grund: Angreifer nutzen heute dieselben KI-Werkzeuge wie alle anderen auch — nur eben, um Ihre Mitarbeitenden zu täuschen.

Für den Mittelstand ist das eine unbequeme Wahrheit. Die technischen Schutzmechanismen großer Konzerne — Mail-Gateways, Sandboxing, SOC-Teams — sind hier oft nur teilweise vorhanden. Gleichzeitig ist die Angriffsfläche dieselbe: Menschen, die unter Zeitdruck E-Mails bearbeiten. Dieser Artikel stellt die fünf häufigsten Phishing-Angriffe 2026 vor, erklärt jeweils die typischen Erkennungsmerkmale und gibt konkrete Schutzmaßnahmen, die Sie ohne Konzernbudget umsetzen können.

Kernaussage
Über 90 Prozent aller erfolgreichen Cyberangriffe beginnen mit einer Form von Phishing. Wer hier ansetzt, schließt das mit Abstand größte Einfallstor.

1. KI-generiertes Spear-Phishing

Klassisches Phishing war ein Massengeschäft: dieselbe Mail an Tausende, in der Hoffnung, dass ein paar Prozent klicken. Spear-Phishing dreht das Verhältnis um — es zielt gezielt auf einzelne Personen mit personalisierten Inhalten. Bis vor wenigen Jahren war das aufwendig und damit selten. Generative KI hat diese Grenze eingerissen: Angreifer recherchieren über LinkedIn, Unternehmenswebsites und Datenlecks, füttern die Informationen in ein Sprachmodell und erzeugen in Sekunden eine maßgeschneiderte, fehlerfreie Nachricht — in jeder Sprache, in jedem Tonfall.

Das Ergebnis sind Mails, die den Schreibstil eines echten Kollegen imitieren, sich auf reale Projekte beziehen und exakt zum Zeitpunkt eintreffen, an dem sie plausibel wirken. Die typischen Warnsignale, auf die Mitarbeitende jahrelang trainiert wurden — schlechtes Deutsch, generische Anrede, offensichtliche Dringlichkeit — fehlen vollständig.

Erkennungsmerkmale:

• Die Nachricht ist sprachlich perfekt, wirkt aber inhaltlich minimal „daneben" — eine Bitte, die der echte Absender so nie formulieren würde.
• Der Absendername stimmt, die Absenderadresse weicht jedoch ab (etwa eine externe Domain statt der internen) oder die Antwortadresse ist eine andere als die Absenderadresse.
• Ungewöhnliche Kommunikationswege: ein Anliegen, das normalerweise im Teams-Chat geklärt würde, kommt plötzlich per E-Mail mit Link.

Schutzmaßnahmen:

• Etablieren Sie ein Prinzip der Verifikation über einen zweiten Kanal: Jede ungewöhnliche Bitte — Geldtransfer, Datenfreigabe, Passwortänderung — wird per Anruf oder Chat beim Absender bestätigt.
• Konfigurieren Sie technische Kennzeichnungen für externe E-Mails (External-Tag im Betreff oder Mailbody), damit imitierte interne Absender auffallen.
• Trainieren Sie nicht mehr nur auf Tippfehler, sondern auf Kontext und Plausibilität. Genau hier setzt modernes Security-Awareness-Training an.

2. Business E-Mail Compromise und CEO-Fraud

Beim Business E-Mail Compromise (BEC) geht es nicht darum, Schadsoftware zu platzieren, sondern darum, Menschen zu einer Handlung zu bewegen — meist zu einer Überweisung. Die bekannteste Variante ist der CEO-Fraud: Eine vermeintliche E-Mail der Geschäftsführung weist die Buchhaltung an, kurzfristig eine größere Summe an einen neuen Lieferanten oder ein ausländisches Konto zu überweisen. Diskretion sei wichtig, eine Rückfrage nicht möglich, weil man gerade in einem wichtigen Termin sei.

BEC ist deshalb so gefährlich, weil es keinerlei technische Spuren hinterlässt, die ein Virenscanner erkennen könnte. Es gibt keinen Anhang, keinen Link, keinen Schadcode — nur Text, der eine Autorität vortäuscht und psychologischen Druck aufbaut. Die Schäden sind erheblich: BEC gehört seit Jahren zu den teuersten Angriffsformen überhaupt, weil einzelne erfolgreiche Fälle schnell fünf- bis sechsstellige Beträge kosten.

Erkennungsmerkmale:

• Ein Vorgesetzter oder Geschäftsführer bittet um eine eilige, vertrauliche Finanztransaktion und betont, dass keine Rücksprache möglich sei.
• Geänderte Bankverbindungen bei bekannten Lieferanten, oft begründet mit „neuem Konto" oder „Umstellung".
• Subtile Abweichungen in der Absenderadresse — vertauschte Buchstaben, eine ähnlich aussehende Domain (etwa mit rn statt m).

Schutzmaßnahmen:

• Definieren Sie ein verbindliches Vier-Augen-Prinzip für Zahlungen ab einer festgelegten Schwelle — ohne Ausnahme, auch nicht für die Geschäftsführung.
• Führen Sie eine feste Regel ein: Jede Änderung einer Bankverbindung wird telefonisch über eine bereits bekannte Nummer verifiziert, nie über Kontaktdaten aus der fraglichen Mail.
• Sensibilisieren Sie gezielt die Buchhaltung und das Assistenzpersonal der Geschäftsführung — die häufigsten Zielgruppen.

Praxis-Tipp
Machen Sie es zur Kultur, dass Nachfragen erwünscht ist. Wer in Ihrem Unternehmen eine verdächtige „Chef-Mail" hinterfragt, sollte gelobt und nicht als umständlich abgestempelt werden.

3. MFA-Fatigue und Token-Diebstahl

Multifaktor-Authentifizierung (MFA) gilt zu Recht als eine der wirksamsten Schutzmaßnahmen — aber Angreifer haben gelernt, sie zu umgehen, ohne sie technisch zu brechen. Zwei Methoden dominieren 2026.

Bei der MFA-Fatigue (auch MFA-Bombing) hat der Angreifer bereits das Passwort erbeutet, scheitert aber an der zweiten Stufe. Also löst er in kurzen Abständen Dutzende Push-Bestätigungen aus. Irgendwann tippt das genervte oder verwirrte Opfer auf „Bestätigen" — sei es aus Reflex, um die Benachrichtigungsflut zu beenden, oder weil ein vermeintlicher IT-Support anruft und behauptet, die Anfragen seien legitim.

Beim Token-Diebstahl über sogenannte Adversary-in-the-Middle-Phishingseiten wird das Opfer auf eine perfekt nachgebaute Login-Seite gelockt, die als Proxy zwischen Nutzer und echtem Dienst sitzt. Gibt das Opfer Passwort und MFA-Code ein, leitet der Proxy beides an den echten Dienst weiter — und greift das zurückkommende Session-Cookie ab. Mit diesem Token ist der Angreifer angemeldet, ohne die MFA selbst je zu besitzen.

Erkennungsmerkmale:

• Unerwartete MFA-Push-Anfragen, besonders in Serie oder zu ungewöhnlichen Zeiten.
• Ein angeblicher IT-Support, der per Telefon oder Chat zur Bestätigung einer MFA-Anfrage drängt.
• Login-Seiten mit minimal abweichender URL, die nach der Eingabe „hängen" oder unerwartet weiterleiten.

Schutzmaßnahmen:

• Stellen Sie von einfachen Push-Bestätigungen auf Number Matching oder phishing-resistente Verfahren wie FIDO2-Hardwaretokens und Passkeys um. Diese sind gegen Proxy-Phishing und MFA-Fatigue weitgehend immun.
• Aktivieren Sie Conditional-Access-Richtlinien, die Logins aus untypischen Ländern oder von unbekannten Geräten blockieren oder zusätzlich absichern.
• Verankern Sie die Regel: Eine MFA-Anfrage, die man nicht selbst ausgelöst hat, wird niemals bestätigt — und immer der IT gemeldet. Wie Sie Identitäten und Zugriffe darüber hinaus absichern, behandeln wir im Bereich Identity & Access Management.

4. QR-Code-Phishing („Quishing")

Quishing — Phishing über QR-Codes — ist einer der am schnellsten wachsenden Angriffsvektoren. Der Trick ist elegant: Statt eines klickbaren Links enthält die E-Mail ein Bild mit einem QR-Code, oft eingebettet in ein scheinbar legitimes PDF („Ihre MFA muss neu eingerichtet werden", „Dokument zur Freigabe", „Sprachnachricht abrufen"). Mail-Sicherheitssysteme, die Links analysieren, sehen nur ein Bild — und schlagen nicht an.

Hinzu kommt der Medienbruch: Das Opfer scannt den Code mit dem privaten Smartphone. Damit verlässt der Vorgang die geschützte Unternehmensumgebung und landet auf einem Gerät, das oft keinen Phishing-Schutz, keinen verwalteten Browser und keine Conditional-Access-Regeln hat. Die nachgeladene Seite ist dann eine klassische Credential-Phishing-Seite.

Erkennungsmerkmale:

• E-Mails oder PDFs, die zum Scannen eines QR-Codes auffordern, um sich „anzumelden", „die Sicherheit zu verifizieren" oder ein Dokument zu öffnen.
• QR-Codes von vermeintlich internen Diensten (Microsoft 365, Personalabteilung), die per E-Mail statt im gewohnten Portal erscheinen.
• Dringlichkeit kombiniert mit dem Hinweis, den Code „mit dem Mobiltelefon" zu scannen.

Schutzmaßnahmen:

• Kommunizieren Sie klar: Anmeldevorgänge werden niemals über einen per Mail zugesandten QR-Code eingeleitet. Legitime Dienste verlangen das nicht.
• Bevorzugen Sie QR-Scanner, die die Ziel-URL vor dem Öffnen anzeigen, und prüfen Sie die Domain bewusst, bevor Sie fortfahren.
• Nehmen Sie Quishing aktiv in Ihre Awareness-Trainings auf — viele Mitarbeitende kennen die klassische Link-Mail, aber nicht die QR-Variante.

5. Lieferketten- und Rechnungsbetrug

Der gefährlichste Phishing-Angriff ist oft der, der gar nicht von einem Fremden kommt — sondern von einem echten, aber kompromittierten Geschäftspartner. Beim Supply-Chain-Phishing übernehmen Angreifer das E-Mail-Konto eines Ihrer Lieferanten oder Dienstleister und klinken sich in laufende Konversationen ein. Sie antworten auf einen echten Mailverlauf, kennen die Projektdetails, verwenden die korrekte Signatur — und schicken dann eine „aktualisierte" Rechnung mit geänderter Bankverbindung.

Weil die Mail aus einer vertrauenswürdigen Quelle stammt und sich nahtlos in eine bestehende Geschäftsbeziehung einfügt, fällt der Betrug oft erst Wochen später auf — wenn der echte Lieferant nach der ausstehenden Zahlung fragt. Diese Angriffsform ist besonders perfide, weil sie das wichtigste Erkennungsmerkmal aller anderen Phishing-Mails aushebelt: den fremden Absender.

Erkennungsmerkmale:

• Eine geänderte Bankverbindung oder ein neues Zahlungsziel in einer ansonsten völlig plausiblen Rechnung.
• Subtile Änderungen im Schreibstil oder kleine inhaltliche Ungereimtheiten in einer laufenden Konversation.
• Ungewöhnlicher Zeitdruck bei Zahlungen oder die Bitte, Rückfragen ausschließlich per Mail zu stellen.

Schutzmaßnahmen:

• Verifizieren Sie geänderte Zahlungsdaten von Lieferanten grundsätzlich telefonisch über eine bekannte Nummer — niemals über die Kontaktdaten aus der betreffenden Mail.
• Etablieren Sie einen Stammdaten-Prozess: Bankverbindungen werden zentral gepflegt und Änderungen folgen einem definierten Freigabeweg.
• Beziehen Sie Ihre Lieferketten-Risiken in Ihr Sicherheitskonzept ein — ein Thema, das auch im Rahmen von NIS2 zunehmend an Bedeutung gewinnt.

Warum Technik allein nicht reicht

Bei jeder der fünf Angriffsarten fällt dasselbe Muster auf: Die entscheidende Schwachstelle ist nicht die Firewall, sondern die Entscheidung eines Menschen unter Druck. Mail-Gateways und KI-gestützte Filter fangen einen Großteil ab — aber gerade die raffiniertesten, KI-generierten und über vertrauenswürdige Konten versendeten Angriffe rutschen durch. Was dann zählt, ist ein Mitarbeitender, der innehält, Plausibilität prüft und im Zweifel meldet statt klickt.

Dahinter steht ein psychologisches Prinzip, das alle fünf Methoden gemeinsam haben: Sie erzeugen einen Zustand, in dem das rationale Prüfen ausgeschaltet wird — durch Zeitdruck, durch vorgetäuschte Autorität, durch das Ausnutzen von Vertrauen oder durch schiere Routine im hektischen Arbeitsalltag. Genau deshalb scheitert reine Technik: Sie kann eine Mail filtern, aber nicht die Sekunde der Unaufmerksamkeit verhindern, in der jemand reflexhaft klickt. Resilienz entsteht erst, wenn das Innehalten zum erlernten Reflex wird — und dieser Reflex lässt sich trainieren.

Diese Fähigkeit entsteht nicht durch ein einmaliges Pflicht-Video, sondern durch kontinuierliches Training mit realistischen Szenarien. Phishing-Simulationen sind dabei das wirksamste Werkzeug — vorausgesetzt, sie werden richtig eingesetzt. Wie das gelingt und welche Fehler Sie vermeiden sollten, lesen Sie in unserem Leitfaden zur Phishing-Simulation sowie im umfassenden Security-Awareness-Training-Leitfaden.

Wie welabs Sie vor Phishing-Angriffen schützt

welabs unterstützt mittelständische Unternehmen dabei, die menschliche Verteidigungslinie systematisch aufzubauen — mit Konzern-Methodik, aber pragmatisch auf Ihre Größe zugeschnitten:

• Realistische Phishing-Simulationen mit unserem eigenen Produkt WePhish — von einfachen Einstiegsszenarien bis zu KI-generierten Spear-Phishing-Templates, die den aktuellen Bedrohungen entsprechen.
• Security-Awareness-Programme, die nicht auf Angst, sondern auf eine positive Meldekultur setzen und Mitarbeitende dauerhaft sensibilisieren.
• Technische Härtung rund um MFA, Conditional Access und Mail-Sicherheit, damit Angriffe gar nicht erst ankommen.
• Messbare KPIs zu Klickraten und Meldequoten, die den Fortschritt belegen — gegenüber Geschäftsführung und Auditoren.

Mehr dazu auf unserer Seite zu Security Awareness & Phishing-Simulation. Sie möchten wissen, wie anfällig Ihr Unternehmen aktuell ist? Vereinbaren Sie ein unverbindliches Erstgespräch — wir zeigen Ihnen, wo Sie stehen.

Fazit

Phishing-Angriffe 2026 sind professioneller, persönlicher und schwerer zu erkennen als je zuvor. KI-generiertes Spear-Phishing, CEO-Fraud, MFA-Diebstahl, Quishing und Lieferkettenbetrug haben eines gemeinsam: Sie zielen auf den Menschen, nicht auf die Technik. Klassische Erkennungsmerkmale wie Tippfehler oder fremde Absender verlieren an Aussagekraft — an ihre Stelle treten Verifikation über zweite Kanäle, klare Prozesse und eine wache, gut trainierte Belegschaft.

Die gute Nachricht: Mit überschaubarem Aufwand lässt sich das Risiko drastisch senken. Phishing-resistente MFA, ein verbindliches Vier-Augen-Prinzip bei Zahlungen und kontinuierliche, faire Awareness-Maßnahmen wirken gegen alle fünf Angriffsarten gleichzeitig. Wer hier investiert, schließt das größte Einfallstor der Cybersicherheit — bevor es ein Angreifer tut.