Phishing 2026: KI-geschriebene E-Mails und Mitarbeiterschulung

Vor einigen Jahren haben wir Mitarbeitenden beigebracht, Phishing-Mails an einfachen Merkmalen zu erkennen: Rechtschreibfehler, holpriges Deutsch, eine allgemeine Anrede wie „Sehr geehrter Kunde“, eine verdächtige Absenderadresse. Das funktionierte, weil die meisten Mails maschinell übersetzt waren oder von Menschen geschrieben wurden, die die Sprache des Empfängers nicht beherrschten.

2026 gilt diese Regel nicht mehr. KI-Sprachmodelle schreiben fließend in Ihrer Sprache, treffen den Ton der öffentlichen Texte eines Unternehmens und wissen, wie Ihr Vorgesetzter heißt und wann der Jahresabschluss ansteht. Eine Mail, die früher offensichtlich nach Betrug aussah, wirkt heute wie eine gewöhnliche Bitte eines Kollegen.

In diesem Artikel beschreiben wir, wie aktuelle Mails aussehen, welche Szenarien in den Unternehmen, mit denen wir arbeiten, am häufigsten vorkommen, welche technischen Maßnahmen die meisten davon abfangen, bevor sie einen Mitarbeitenden erreichen, und wie Sie Menschen so schulen, dass sie melden, statt etwas zu verbergen.

Warum die alten Merkmale nicht mehr funktionieren

Vier Dinge haben sich geändert.

Sprache. Ein Modell erzeugt eine Mail ohne Fehler, mit korrekter Grammatik und Fachjargon des Unternehmens. Wenn Sie Neuigkeiten oder Stellenanzeigen veröffentlichen, kopiert es Ihren Stil.

Kontext. Aus sozialen Netzwerken, der Unternehmenswebsite und öffentlichen Registern erfährt ein Angreifer binnen Minuten, wer die Leitung der Finanzabteilung ist, wer die Buchhalterin oder der Buchhalter ist und wer neu im Unternehmen ist (und die üblichen Abläufe daher noch nicht kennt). Die Mail spricht die Person mit Namen an und nennt ein echtes Projekt.

Skalierung. Früher kostete eine personalisierte Mail menschliche Arbeitszeit und blieb deshalb großen Unternehmen vorbehalten. Heute läuft die Personalisierung automatisch, sodass ein Unternehmen mit 15 Mitarbeitenden eine Mail in derselben Qualität erhält wie eine Bank.

Kanäle. Die E-Mail ist immer öfter nur der Anfang: Es folgen eine Teams-Nachricht, ein Anruf oder eine SMS, damit die Bitte von mehreren Seiten bestätigt wirkt. Ein Mitarbeitender, der nur E-Mails prüft, verifiziert die anderen Kanäle nicht.

Die Schlussfolgerung für die Schulung: Hören Sie auf, Menschen beizubringen, nach Fehlern zu suchen. Bringen Sie ihnen bei, die Situation zu erkennen: eine ungewöhnliche Bitte, Dringlichkeit und ein Wechsel des Kanals.

Drei Szenarien, die wir am häufigsten sehen

Vortäuschung einer Führungskraft

Eine Buchhalterin erhält eine Mail der „Geschäftsführung“: Ich bin in einer Besprechung und kann nicht telefonieren, eine Rechnung für einen Partner muss dringend bezahlt werden, ich hänge sie an, bestätigen Sie bitte, wenn es erledigt ist. Die Absenderadresse ist entweder der echten sehr ähnlich (ein Buchstabe weicht ab) oder echt, aber mit geänderter Antwortadresse (Reply-To). Immer öfter wird die Mail mit einer SMS oder sogar einem Anruf mit synthetisierter Stimme der Führungskraft fortgesetzt. Ein Merkmal, das Sie sich merken sollten: Eine echte Führungskraft, die eine dringende Zahlung braucht, ruft persönlich an. Eine Mail, die darum bittet, nicht anzurufen, ist schon verdächtig.

Geänderte Bankdaten

Ein Lieferant, mit dem Sie seit einem Jahr zusammenarbeiten, schickt eine Mail: Unsere Bankverbindung hat sich geändert, bitte überweisen Sie künftige Zahlungen auf die neue. Oft kommt die Mail aus dem echten Postfach des Lieferanten, weil der Angreifer zuvor beim Lieferanten eingedrungen ist und mehrere Wochen lang die Korrespondenz mitgelesen hat. Er weiß, welche Rechnungen erwartet werden und wann.

QR-Codes

Eine Mail mit einem QR-Code: Ihr Microsoft-365-Passwort läuft bald ab, scannen Sie den Code und erneuern Sie es. Mailfilter prüfen Links, aber ein QR-Code ist ein Bild, und der Link darin ist für den Filter unsichtbar. Der Mitarbeitende scannt ihn mit dem Handy, das oft nicht vom Unternehmen verwaltet wird und keinen Schutz hat, und landet auf einer gefälschten Anmeldeseite. Ähnlich funktionieren HTML-Anhänge und Links auf legitime Dienste zum Dateiaustausch, auf denen ein gefälschtes Anmeldeformular liegt: Der Filter sieht eine bekannte Domain und lässt die Mail durch.

Das Gemeinsame: Keines der Szenarien braucht eine technische Schwachstelle. Es genügt ein einziger Mensch in Eile.

Technische Maßnahmen, die die meisten stoppen

Der Mitarbeitende soll die letzte Verteidigungslinie sein, nicht die erste. Für unsere Kunden setzen wir standardmäßig um:

• E-Mail-Authentifizierung: SPF, DKIM und DMARC mit Reject-Richtlinie für Ihre Domain. Das verhindert, dass von fremden Servern Mails in Ihrem Namen verschickt werden, und lässt Ihren Filter umgekehrt Mails ablehnen, die Lieferanten vortäuschen, die ihre eigene Domain geschützt haben.
• Anti-Phishing-Schutz in Microsoft 365: Umschreiben und Prüfen von Links beim Klick, Öffnen von Anhängen in einer isolierten Umgebung, Erkennung der Vortäuschung von Führungskräften anhand ähnlicher Namen und ein Warnhinweis bei externen Mails. Das beschreiben wir auf der Seite Microsoft-365-Sicherheit.
• Mehrfaktor-Authentifizierung mit phishing-resistenten Verfahren und Conditional Access über Microsoft Entra ID. Selbst wenn ein Mitarbeitender das Passwort auf einer gefälschten Seite eingibt, kann sich der Angreifer ohne den zweiten Faktor nicht anmelden.
• Eine Melden-Schaltfläche im Mailprogramm. Ein Klick auf „Phishing melden“ schickt die Mail an unser Team, das sie prüft und sie bei Bedarf aus allen Postfächern entfernt. Für die Kultur ist das die wichtigste Maßnahme: Melden muss einfacher sein als Ignorieren.
• Ein Zahlungsprozess außerhalb der E-Mail. Eine Änderung der Bankdaten wird durch einen Anruf unter einer bekannten Nummer bestätigt, nicht durch die Antwort auf die Mail. Das ist eine Regel der Finanzabteilung, keine IT-Regel, aber sie verhindert den größten Schaden.

Keine dieser Maßnahmen wirkt hundertprozentig, aber zusammen verringern sie die Zahl der Mails, die den Mitarbeitenden erreichen, so weit, dass sich der Rest in Schulungen als konkrete Beispiele besprechen lässt statt als abstrakte Bedrohung. Für Mobilgeräte, mit denen QR-Codes gescannt werden, gilt dasselbe über Geräteverwaltung und Browserschutz auf dem Handy.

Simulationen und Schulung ohne Bloßstellung

Phishing-Simulationen, bei denen das Unternehmen Mitarbeitenden gefälschte Mails schickt und misst, wer geklickt hat, sind nützlich, werden aber oft schlecht umgesetzt. Schlecht sieht so aus: eine unangekündigte Simulation mit einer sehr überzeugenden Mail, eine öffentliche Liste derer, die geklickt haben, Pflichtschulung als Strafe. Die Folge ist, dass Mitarbeitende die IT-Abteilung fürchten und schweigen, wenn sie tatsächlich auf eine echte Mail klicken – das Schlimmste, was passieren kann.

Unserer Erfahrung nach funktioniert ein anderer Ansatz:

• Kündigen Sie zuerst an, dass Simulationen stattfinden, und erklären Sie, warum. Überraschung ist nicht das Ziel.
• Messen Sie nicht die Klicks, sondern den Anteil der Meldungen. Ziel ist, dass mehr Menschen „Melden“ drücken, nicht dass weniger auf den Link klicken.
• Zeigen Sie der Person, die geklickt hat, sofort und an Ort und Stelle eine kurze Erklärung: was an der Mail ungewöhnlich war. Zwei Minuten in diesem Moment sind mehr wert als eine Stunde Schulung einen Monat später.
• Veröffentlichen Sie Ergebnisse nur auf Ebene der Abteilung oder des Unternehmens, nie namentlich.
• Halten Sie Schulungen kurz und häufig: 10 Minuten pro Quartal mit echten Beispielen aus Ihrem eigenen Postfach, statt einmal im Jahr einen einstündigen Vortrag.
• Wenn ein Mitarbeitender eine echte Mail meldet, bedanken Sie sich öffentlich. Nur so bekommen Sie mehr Meldungen.

Bei einem echten Vorfall zählt die erste Reaktion am meisten: Ein Mitarbeitender, der binnen 10 Minuten anruft und sagt „Ich glaube, ich habe mein Passwort eingegeben“, verschafft Zeit, das Passwort zu ändern und Sitzungen zu beenden. Wer zwei Tage schweigt, tut das nicht.

Deshalb ist die erste Regel, die wir in jeder Schulung wiederholen: Niemand wird dafür bestraft, den eigenen Fehler zu melden. Wenn Mitarbeitende das glauben, kostet ein Vorfall Stunden, nicht Wochen.

Wo Sie anfangen

• Prüfen Sie die DMARC-Richtlinie Ihrer Domain. Gibt es keine oder steht sie nur auf Überwachung, kann jeder in Ihrem Namen schreiben.
• Aktivieren Sie die Melden-Schaltfläche für alle und legen Sie fest, wer die Meldungen noch am selben Tag prüft.
• Vereinbaren Sie mit der Finanzabteilung eine schriftliche Regel: Bankdaten werden nur durch einen Anruf unter einer bekannten Nummer geändert.
• Planen Sie die erste Simulation mit einer Ankündigung im Voraus und einer kurzen Erklärung für alle, die klicken.
• Wenn niemand dies dauerhaft betreut: Konfiguration des E-Mail-Schutzes, Prüfung der Meldungen und vierteljährliche Simulationen sind in unserer IT-Betreuung enthalten, und eine umfassendere Bewertung von Menschen und Prozessen führen wir als IT-Sicherheitsaudit durch.