Phishing ist der Versuch, Menschen per E-Mail oder Nachricht zur Preisgabe von Zugangsdaten oder zum Öffnen schädlicher Inhalte zu bewegen – meist über gefälschte Absender und Handlungsdruck.
Phishing bezeichnet den Versuch, Menschen über gefälschte Nachrichten zu einer Handlung zu bewegen, die dem Angreifer nützt: Zugangsdaten auf einer nachgebauten Anmeldeseite eingeben, einen Anhang öffnen, eine Zahlung freigeben oder eine Multi-Faktor-Anfrage bestätigen. Der Begriff lehnt sich an das englische „fishing“ an und beschreibt das Auswerfen vieler Köder in der Hoffnung, dass einige anbeißen. Im Gegensatz zum gezielten Spear-Phishing ist klassisches Phishing breit gestreut und wenig personalisiert.
Phishing ist die bekannteste Form des Social Engineering und in MITRE ATT&CK als Technik T1566 in der Taktik Initial Access geführt. Die Zahlen zeigen, dass die Methode trotz jahrelanger Awareness-Kampagnen funktioniert: Laut IBM Cost of a Data Breach 2025 war Phishing in Deutschland mit 14 Prozent der häufigste Erstzugriff. Laut Mandiant M-Trends 2026 liegt E-Mail-Phishing weltweit bei 6 Prozent, während Vishing mit 11 Prozent an ihm vorbeigezogen ist.
So funktioniert es
Ein Phishing-Angriff läuft in der Regel in vier Schritten ab:
- Vorbereitung: Der Angreifer registriert eine ähnlich klingende Domain, baut eine Anmeldeseite nach oder präpariert ein Dokument mit Link oder Makro.
- Versand: Die Nachricht imitiert einen vertrauten Absender – IT-Abteilung, Paketdienst, Cloud-Anbieter – und erzeugt Handlungsdruck („Ihr Konto wird gesperrt“).
- Aktion des Opfers: Klick auf den Link, Eingabe der Zugangsdaten, Öffnen des Anhangs oder Bestätigung einer MFA-Push-Nachricht.
- Verwertung: Die erbeuteten Daten öffnen Postfächer, VPN oder Cloud-Dienste oder werden an Initial Access Broker verkauft.
Moderne Varianten umgehen klassische MFA mit Adversary-in-the-Middle-Kits, die die echte Anmeldeseite in Echtzeit durchreichen und das Sitzungs-Cookie abgreifen. Andere setzen auf QR-Codes („Quishing“), Kalendereinladungen oder Nachrichten in Teams-Kanälen.
Bedeutung für Unternehmen
Phishing ist für Angreifer billig, skalierbar und braucht keine technische Schwachstelle. Ein einziger Klick genügt, um einen Fuß in die Tür zu bekommen. Der typische Fehler auf Unternehmensseite ist, Phishing als reines Awareness-Thema zu behandeln: Wer die Klickrate auf fünf Prozent senkt, hat bei 1.000 Mitarbeitenden immer noch 50 offene Türen. Entscheidend ist, was nach dem Klick passiert – ob die Anmeldung ohne Phishing-resistente MFA möglich ist, ob der Anhang ausgeführt werden kann und ob das SOC die Folgeaktivität bemerkt.
In unseren Red-Team-Einsätzen ist Phishing ein Weg zum Erstzugriff unter mehreren. Wir prüfen damit nicht die Mitarbeitenden, sondern die gesamte Kette aus Mail-Filter, Endpunktschutz, Identitätsschutz und Reaktion. Eine Phishing-Simulation liefert dagegen eine belastbare Ausgangsmessung und zeigt, ob Meldewege funktionieren.
Schutz und Prüfung
- Phishing-resistente MFA: Passkeys oder FIDO2-Token statt SMS-Codes und Push-Bestätigungen; damit laufen auch Adversary-in-the-Middle-Kits ins Leere.
- Technische Filter: SPF, DKIM und DMARC mit „reject“-Richtlinie für die eigenen Domains, Sandboxing von Anhängen, Blockieren von Makros aus dem Internet.
- Meldeweg statt Schuldzuweisung: Ein Melde-Button im Mail-Client und eine Rückmeldung an die meldende Person innerhalb weniger Stunden erhöhen die Meldequote spürbar.
- Erkennung nach dem Klick: Alarme auf ungewöhnliche Anmeldungen, neue Postfachregeln und Kindprozesse von Office-Anwendungen.
- Regelmäßig testen: Simulationen mit realistischen Szenarien, abgestimmt mit Betriebsrat und Datenschutz, und ein Red Teaming, das Phishing als Teil der gesamten Angriffskette prüft – mehr dazu unter Social Engineering & Phishing.