Phishing im Jahr 2026: Eine operative, messbare und verteidigungsorientierte Analyse moderner Täuschungsangriffe über E-Mail, Kollaboration, Cloud-Identitäten und generative KI

1. Introduction

Phishing ist 2026 keine auslaufende Social-Engineering-Methode, sondern ein hochadaptives Angriffssystem, das sich an der Schnittstelle von Kommunikation, Identität, Vertrauen und Automatisierung etabliert hat. Die historische Vorstellung vom schlecht formatierten Massenmailing mit offensichtlichen Schreibfehlern ist analytisch unzureichend geworden. Moderne Phishing-Kampagnen kombinieren präzise Rekonstruktion interner Geschäftsprozesse, kompromittierte legitime Infrastruktur, Domain- und Markenimitation, QR-Codes, OAuth-Consent-Phishing, Adversary-in-the-Middle-Proxying, SIM-Swap-Folgen, Push-Fatigue und generative Inhalte mit hoher sprachlicher und visueller Plausibilität. Dadurch verschiebt sich die Verteidigungsaufgabe von reinem Filterdesign hin zu einer ganzheitlichen Identitäts- und Vertrauenskontrolle, die das Verhalten von Nutzern, Geräten, Anwendungen und externen Kommunikationsbeziehungen berücksichtigt.

Aus operativer Sicht ist Phishing besonders gefährlich, weil es häufig als Initial Access in die Kill Chain eintritt und dabei technische Barrieren umgeht, die auf Exploit- oder Malware-Erkennung fokussiert sind. Viele Organisationen verfügen 2026 über SPF, DKIM und DMARC, über Secure Email Gateways, über Cloud Access Security Broker, über SSO mit MFA sowie über Conditional Access. Dennoch bleiben Angreifer erfolgreich, weil diese Kontrollen oft punktuell, inkonsistent oder umgehbar sind. Beispielsweise reduziert DMARC lediglich einen Teil der Domain-Spoofing-Angriffsfläche, nicht jedoch Lookalike-Domains, Lieferkettenkompromittierungen, kompromittierte Postfächer legitimer Absender oder Social-Engineering-Ketten innerhalb bestehender SaaS-Umgebungen. Zudem ist MFA kein absoluter Schutz, wenn Nutzer zu Push-Bestätigungen verleitet werden, wenn Einmalcodes abgefangen werden oder wenn die Sitzung nach erfolgreicher Anmeldung durch Token-Diebstahl übernommen wird.

Die Forschungslage 2026 zeigt, dass die erfolgreichsten Phishing-Kampagnen nicht mehr isoliert auf einen Kanal beschränkt sind. Vielmehr werden E-Mail, SMS, Messenger, Collaboration-Tools, PDF- und Dokumentenlinks, QR-Codes, Voice-Calls und sogar Kalender-Einladungen als koordinierte Einstiegspunkte verwendet. Das Ziel ist häufig nicht sofortige Malware-Installation, sondern die Übernahme eines Identitätsartefakts: Zugangsdaten, Sitzungstoken, OAuth-Zustimmungen, MFA-Resets oder Helpdesk-Prozesse. Diese Verschiebung macht Phishing zu einer Identitätsattacke mit menschenzentrierter Täuschung und maschinenzentrierter Persistenz. In der Praxis bedeutet dies, dass die Abwehr sowohl semantische Qualitätssicherung als auch Telemetrieanalyse und Risikomodellierung benötigt.

Diese Arbeit verfolgt drei Ziele. Erstens wird Phishing als Angriffsklasse formalisiert, die über mehrere Zustandsübergänge von Kontaktaufnahme bis zur Persistenz verläuft. Zweitens wird eine Methodik vorgeschlagen, die Erkennung, Korrelationsanalyse und Reaktion für Organisationen mit hybriden, Cloud-first und Zero-Trust-orientierten Umgebungen operationalisiert. Drittens wird anhand einer Fallstudie demonstriert, wie moderne Phishing-Ketten technisch aussehen und wie Verteidigungsschichten ineinandergreifen können. Der Fokus liegt auf Umsetzbarkeit, nicht auf rein theoretischer Taxonomie. Entsprechend werden konkrete Werkzeuge, Kontrollmechanismen und messbare Kriterien verwendet, die 2026 verfügbar und historisch plausibel sind.

Die Relevanz ist hoch, weil die Kosten von Phishing nicht nur in direkten Schäden, sondern in nachgelagerten Effekten liegen: Betrug, Datendiebstahl, Lateral Movement, Data Exfiltration, Finanzverluste, regulatorische Meldepflichten und Reputationsschäden. Bei Business Email Compromise und identitätsbasiertem Betrug sind häufig keine auffälligen Malware-Artefakte vorhanden. Der Angreifer missbraucht legitime Dienste und agiert in der Grauzone zwischen normaler Nutzung und Missbrauch. Für Verteidiger entsteht dadurch ein Problem der Anomalieerkennung unter hoher Grundrauschen-Dichte. Mathematisch lässt sich dies als Klassifikationsproblem mit starker Klassenungleichverteilung ausdrücken, bei dem die Prävalenz $\pi$ der schädlichen Ereignisse klein ist und der erwartete Nutzen stark von den Fehlklassifikationskosten abhängt.

$$ E[C] = \pi \cdot C_{FN} + (1-\pi) \cdot C_{FP} $$

Dabei ist $C_{FN}$ typischerweise deutlich größer als $C_{FP}$, da ein übersehener Phishing-Einstieg zu Kontokompromittierung, Betrug oder Datenschutzverletzungen führen kann. Gleichzeitig sind zu viele Fehlalarme teuer, da sie Sicherheits- und Betriebsteams belasten und die Akzeptanz von Kontrollmechanismen senken. Die zentrale Herausforderung besteht daher darin, Erkennung mit Präzision, Kontext und schneller Reaktion zu verbinden.

2. Background and Related Work

Phishing wurde früh als Mischung aus technischen Täuschungen und psychologischer Manipulation beschrieben. In den frühen Jahren dominierten Massenmails mit gefälschten Finanz- oder Service-Identitäten. Mit der Professionalisierung der Bedrohungsakteure entstanden Spear-Phishing, Whaling und zielgerichtete Kampagnen gegen Administratoren, Finanzabteilungen und Helpdesks. Später erweiterten sich die Vektoren auf Social Media, SMS und Collaboration-Tools. 2026 ist Phishing ein Sammelbegriff für ein Ökosystem an Täuschungspraktiken, das sich an den Kommunikationsgewohnheiten der Zielorganisation orientiert und die jeweils schwächsten Identitätskontrollen ausnutzt.

Aus wissenschaftlicher Perspektive gibt es mehrere Forschungsstränge. Der erste Strang behandelt die Erkennung auf Nachrichtenebene. Hierzu gehören heuristische Filter, Bayes-Modelle, Signaturerkennung, NLP-basierte Merkmalsextraktion und Transformer-Modelle zur Klassifikation verdächtiger Inhalte. Moderne Lösungen kombinieren Wortwahl, URL-Analytik, Absenderbeziehungen, Stilmetrik und Kampagnenähnlichkeit. Der zweite Strang fokussiert auf Benutzerverhalten und Sicherheitsbewusstsein. Studien zeigen seit Jahren, dass Schulung allein nicht ausreicht, aber gezielte, kontextnahe Simulationen und just-in-time Interventionen die Anfälligkeit reduzieren können. Der dritte Strang untersucht Identitätsangriffe, darunter MFA-Fatigue, Reverse-Proxy-Phishing, OAuth-Consent-Abuse und Session Hijacking. Gerade dieser Bereich gewann in den 2020er-Jahren stark an Bedeutung, weil SaaS und föderierte Identitäten klassische Perimetergrenzen ersetzen.

Ein wichtiger Meilenstein in der Praxis war die breite Verfügbarkeit und Durchsetzung von E-Mail-Authentifizierungsstandards wie SPF, DKIM und DMARC. Diese Standards reduzieren Spoofing, lösen das Problem aber nicht vollständig, weil reale Absender kompromittiert werden können und viele Kampagnen von legitimen, aber missbrauchten Infrastrukturen ausgehen. Domain-ähnliche Registrierungen, Unicode-Homographen und missbräuchliche Redirect-Ketten bleiben wirksam. Ebenso haben Browser-Sicherheitsfeatures, Safe Browsing, URL-Reputationsdienste und Cloud-E-Mail-Gateways zwar die Einstiegshürde erhöht, aber auch die Angreifer zu schnelleren, kürzeren und stärker zielgerichteten Kampagnen gedrängt.

In der Literatur zur Social Engineering wird deutlich, dass erfolgreiche Phishing-Kampagnen selten nur auf Attraktivität des Inhalts beruhen. Entscheidend ist die Passung zwischen Kontextsignal und Handlungsaufforderung. Eine dringende Rechnungsfreigabe, ein „gesperrtes Konto“, eine neue Dokumentenfreigabe oder ein angebliches HR-Update erzeugen eine plausible Entscheidungsumgebung, in der die Nutzer mental abkürzen. Diese Befunde werden durch Forschung zu kognitiven Verzerrungen und Stressreaktionen gestützt. Vertrauen wird dabei nicht nur durch Logo oder Sprache erzeugt, sondern durch die Konsistenz des gesamten Kommunikationskontexts, etwa Zeitstempel, Thread-Historie, Signatur, verwendete Domäne, Dokumentformat und Linkziel.

Die Bedrohungslage 2026 ist zudem durch generative KI geprägt. Angreifer können mit geringem Aufwand sprachlich hochwertige Mails, Chat-Nachrichten, Telefonskripte, QR-Postings und sogar personalisierte Antworten in laufenden Threads erzeugen. Dadurch sinken die Kosten für Mass Customization erheblich. Verteidiger müssen deshalb davon ausgehen, dass offensichtliche Sprachfehler oder schlechte Grammatik als Indikatoren an Bedeutung verlieren. Stattdessen gewinnen technische Merkmale wie Authentifizierungskontext, Kommunikationsgraphen, Identitätsrisiko, Abweichungen im Versandverhalten und Inhalt-zu-Kontext-Inkonsistenzen an Bedeutung.

Die Forschung zu Identitätsschutz und Zero Trust ist ebenfalls relevant. Zero Trust ist 2026 weniger ein Schlagwort als eine operative Architektur mit Identitätsprüfung, gerätebasierter Vertrauenskette, kontinuierlicher Autorisierung und Mikrosegmentierung. Im Phishing-Kontext heißt dies, dass selbst ein korrektes Passwort nicht ausreichen darf, um weitreichende Aktionen auszulösen. Dennoch zeigen praktische Vorfälle, dass viele Organisationen ihre Prozesse nicht bis zu Ende härten. Beispielsweise werden Helpdesk-Resets, MFA-Registrierungen, privilegierte OAuth-Zustimmungen oder Finanzfreigaben oft außerhalb derselben strengen Policy behandelt wie die eigentliche Anmeldung.

Die folgende Tabelle ordnet wichtige Phishing-Arten hinsichtlich ihres Zielobjekts und ihrer typischen Kontrolleffekte ein.

Phishing-Typ	Primäres Ziel	Typische Kontrollschwäche	2026 Relevanz
Massen-Phishing	Zugangsdaten, Klicks, Malware	Reputation, Filterumgehung	Hoch
Spear-Phishing	Einzelpersonen, Rolleninhaber	Kontexttäuschung, Personalisierung	Sehr hoch
Whaling	Führungskräfte, Finance	Autoritätsbias, Ausnahmeprozesse	Hoch
BEC	Zahlungen, Lieferantenänderungen	Prozessmissbrauch, Thread Hijacking	Sehr hoch
OAuth-Consent-Phishing	Token und API-Zugriff	Übervertrauen in App-Freigaben	Sehr hoch
AiTM-Phishing	Session-Token, MFA-Umgehung	Proxy-Interception	Sehr hoch
QR-Phishing	Mobile Nutzer	Linktransparenzmangel	Hoch
Vishing/Smishing	Codes, Rückrufe, Freigaben	Sprach- und SMS-Vertrauen	Hoch

Die Entwicklung moderner Abwehrsysteme muss diese Vielfalt berücksichtigen. Klassische Mailfilter bleiben notwendig, reichen aber nicht aus. Benötigt werden stattdessen mehrschichtige Modelle, die Nachrichten-, Identitäts-, Endpunkt- und Prozessdaten korrelieren. Genau hier setzt die vorliegende Arbeit an.

3. Threat Model and Problem Formalization

Das Bedrohungsmodell betrachtet Phishing als sequenziellen Angriffsprozess mit mehreren Entscheidungs- und Umgehungsschritten. Ein Akteur $A$ versucht, ein Ziel $T$ über einen Kanal $c$ zu beeinflussen, wobei das gewünschte Ergebnis entweder ein Klick, eine Interaktion, die Preisgabe eines Geheimnisses oder die Auslösung einer privilegierten Aktion ist. Die Angriffsoberfläche umfasst Kommunikationskanäle, Authentifizierungsflüsse, Identitätsanbieter, Helpdesk-Prozesse und Browser-Sitzungen. Der Angreifer verfügt über Ressourcen $r$, darunter Infrastruktur, registrierte Domains, kompromittierte Konten, Proxys, KI-gestützte Content-Generierung und Zeit.

Ein abstraktes Phishing-Ereignis lässt sich als Kette modellieren:

$$ P = \langle E, I, A_c, A_i, R \rangle $$

wobei $E$ der Initialkontakt, $I$ die Interaktion, $A_c$ die Credential- oder Token-Exfiltration, $A_i$ die Identitätsimitation und $R$ der resultierende Missbrauch sind. Erfolgreiches Phishing muss nicht alle Schritte durchlaufen; bereits $I$ kann als Erfolg gelten, wenn daraus ein nachgelagerter betrügerischer Prozess entsteht.

Die Verteidigung muss mehrere Ziele erfüllen. Erstens soll sie echte Angriffe mit hoher Sensitivität erkennen. Zweitens soll sie Fehlalarme begrenzen, um den Betrieb nicht zu lähmen. Drittens soll sie Reaktionszeiten verkürzen, damit verdächtige Sessions, Tokens oder Zahlungen rechtzeitig entzogen werden. Das Problem ist formal ein mehrzieliges Optimierungsproblem mit Konflikten zwischen Recall, Precision, Latenz und operativem Aufwand.

$$ \max ; U = \alpha \cdot \text{Recall} + \beta \cdot \text{Precision} - \gamma \cdot \text{Latency} - \delta \cdot \text{OpsCost} $$

mit $\alpha,\beta,\gamma,\delta \ge 0$ und organisationsspezifischen Gewichten. In hochkritischen Umgebungen wird der Recall stärker gewichtet, während in stark regulierten oder personell knappen Umgebungen die Fehlalarmkosten höher sein können.

Das Modell nimmt einen Angreifer an, der adaptive Taktiken einsetzt. Dazu gehören Domänenwechsel, URL-Shortener, mehrstufige Redirects, geparkte Domains, kompromittierte Websites, legitime Cloud-Services, CAPTCHA- und Bot-Schutz-Umgehung, zeitlich begrenzte Links und gerätebasierte Unterschiede. Der Verteidiger beobachtet Nachrichtenmetadaten, Inhaltsmerkmale, Identitätslogs, Webproxy-Daten, DNS-Anfragen, Endpoint-Telemetrie und eventuell Benutzerfeedback. Das Ziel ist, aus diesen heterogenen Signalen einen Risikoscore $s \in [0,1]$ zu berechnen, der eine priorisierte Reaktion auslöst.

Die folgende Tabelle fasst zentrale Angreiferfähigkeiten und Verteidigungssignale zusammen.

Angreiferfähigkeit	Beschreibung	Beobachtbares Signal	Verteidigungsansatz
Lookalike-Domains	Visuell ähnliche Domains	Registrierung, TLS, DNS-Anomalien	Domain-Risk-Scoring
Kompromittierte Konten	Missbrauch legitimer Absender	Thread-Anomalien, Versandmuster	Postfach- und Graphanalyse
AiTM-Proxy	Abfangen von Anmeldung und MFA	Session-Anomalien, IP-Wechsel	Token-Bindung, Conditional Access
OAuth-Phishing	App-Consent statt Passwort	App-Scopes, Consent-Events	App-Whitelisting, Governance
QR-Phishing	Mobile Erstkontakt via QR	Mobile Browser, Referrer-Mangel	QR-Scanning-Policies
Vishing	Telefonische Autorisierung	Helpdesk-Logs, Call-Back-Muster	Call-verification, Out-of-band Checks

Die Formalisierung legt nahe, dass Phishing nicht als einzelner IOC-Trigger behandelt werden sollte. Stattdessen braucht es einen Ereignisgraphen $G=(V,E)$, in dem Nachrichten, URLs, Logins, Tokens, Geräte und Transaktionen Knoten sind. Verdächtige Ketten entstehen durch zeitliche und semantische Nähe. Ein System, das nur eine Mail isoliert bewertet, verfehlt diese Kettenlogik.

4. Proposed Methodology

Die vorgeschlagene Methodik heißt Layered Phishing Defense Graph und verbindet drei Ebenen: Inhaltsanalyse, Identitätskorrelation und Prozessreaktion. Der Kernpunkt ist die Überzeugung, dass Phishing 2026 nur dann effizient bekämpft werden kann, wenn E-Mail-Signale mit IAM-, Endpoint- und Business-Prozessdaten in einem gemeinsamen Bewertungsrahmen zusammengeführt werden. Die Methodik ist so ausgelegt, dass sie in einer modernen Enterprise-Umgebung mit Microsoft 365, Google Workspace, Okta, Entra ID, Slack, Teams, Salesforce, ServiceNow und Cloud-Sicherheitskontrollen anwendbar ist.

Die erste Ebene analysiert eingehende Kommunikationsobjekte. Dazu gehören Absenderauthentizität, Header-Konsistenz, URL-Ziele, Domänenalter, TLS-Zertifikatsmuster, Sprachstil, Markenähnlichkeit und Dokumentverhalten. Ein wesentlicher Teil der Analyse besteht darin, Beziehungen zwischen Entitäten zu bewerten. Beispielsweise ist eine Nachricht von einer neu registrierten Domäne mit ähnlichem Namen wie ein legitimer Lieferant bei gleichzeitig dringender Zahlungsaufforderung riskanter als eine neutrale Newsletter-Mail. Die Inhaltsanalyse produziert Teilwerte $s_1, s_2, \ldots, s_n$.

Die zweite Ebene korreliert Identität und Verhalten. Hier werden Login-Versuche, MFA-Events, neue Geräte, neue IPs, Geo-Anomalien, Session-Weiterverwendung, OAuth-Consent-Ereignisse und Helpdesk-Interaktionen ausgewertet. Ein riskantes E-Mail-Ereignis erhöht den Prioritätswert anderer Signale im selben Zeitfenster. Diese Ebene ist entscheidend, da moderne Phishing-Kampagnen häufig nicht mit Malware, sondern mit Identitätsübernahme enden. Die Korrelationslogik erzeugt einen Identitätsrisikoscore $s_I$.

Die dritte Ebene automatisiert Reaktion. Je nach Score werden Mails quarantänisiert, URLs blockiert, Sessions invalidiert, Tokens widerrufen, MFA-Registrierungen zurückgesetzt, Konten gesperrt oder Zahlungen angehalten. Reaktionsautomatisierung ist dann sinnvoll, wenn ein Schwellwert $ \tau $ überschritten wird und die Kosten eines Fehlalarms kleiner sind als die Kosten der Nichtreaktion. Praktisch lässt sich dies als Entscheidungsregel formulieren:

$$ \text{Action} = \begin{cases} \text{Quarantine}, & s \ge \tau_1 \ \text{Investigate}, & \tau_0 \le s < \tau_1 \ \text{Allow}, & s < \tau_0 \end{cases} $$

Der Gesamtrisikoscore ergibt sich als gewichtete Summe oder als lernbasiertes Ensemble:

$$ s = w_m s_m + w_i s_i + w_e s_e + w_p s_p $$

wobei $s_m$ Nachrichtenmerkmale, $s_i$ Identitätsmerkmale, $s_e$ Endpoint- und Websignale und $s_p$ Prozessrisiken darstellen. Für reife Umgebungen ist ein Ensemble sinnvoll, das regelbasierte, statistische und ML-basierte Komponenten kombiniert. Ein rein neuronaler Ansatz ist problematisch, weil Explainability und Betriebshandhabung im Sicherheitskontext zentrale Anforderungen sind.

Die Methodik sieht auch einen Feedback-Loop vor. Analystenentscheidungen, Benutzerberichte, Sandbox-Ergebnisse und nachträgliche forensische Erkenntnisse fließen in die Gewichtung zurück. Dies erlaubt eine kontinuierliche Anpassung an neue Kampagnen, insbesondere wenn Angreifer generative KI zur Variation von Betreffzeilen, Texten und Dokumenten einsetzen.

Die nächste Tabelle zeigt die Kernmodule der Methode.

Modul	Eingaben	Output	Zweck
Message Scoring	Header, Body, URLs, Anhänge	Mail-Risiko	Erkennung verdächtiger Kommunikation
Identity Correlation	IAM, SSO, MFA, Token-Logs	Identitätsrisiko	Erkennung von Übernahmeversuchen
Endpoint Telemetry	DNS, Browser, eBPF, EDR	Verhaltensindikatoren	Nachweis von Klick- und Tokenpfaden
Business Workflow Guard	Payment, HR, ITSM	Prozesswarnung	Schutz vor BEC und Missbrauch
Response Orchestrator	Score, Playbooks	Aktion	Quarantäne, Block, Reset, Eskalation

Diese Architektur ist bewusst defensiv ausgerichtet. Sie soll Organisationen helfen, Angriffsmerkmale frühzeitig zu erkennen und Reaktionsketten zu standardisieren. Zugleich berücksichtigt sie, dass Phishing nicht nur auf Benutzerentscheidungen, sondern auf organisatorische Prozesse abzielt. Genau darin liegt der methodische Mehrwert.

5. Implementation

Die Implementierung orientiert sich an einer hybriden Sicherheitsarchitektur, in der E-Mail-Security, SIEM/SOAR, IAM und Endpoint-Telemetrie bereits vorhanden sind. Die Pipeline beginnt mit der Ingestion aus Mail- und Identitätsquellen. E-Mail-Objekte werden aus Microsoft 365 Defender, Google Workspace, Proofpoint oder Mimecast extrahiert, während Identitätsereignisse aus Entra ID, Okta, Duo, Ping oder ähnlichen Systemen stammen. Web- und DNS-Daten kommen aus Secure Web Gateways, Proxy-Logs, DNS-Resolver-Telemetrie und EDR/XDR-Agenten. Eine Normalisierungsschicht bringt alle Ereignisse in ein gemeinsames Schema.

Für die Nachrichtsanalyse werden mehrere Merkmalsfamilien berechnet. Dazu gehören:

1. Header-Merkmale: SPF/DKIM/DMARC-Ergebnis, Reply-To-Abweichungen, Received-Kette.
2. Domain-Merkmale: Alter, Registrierungsdaten, Ähnlichkeit, Redirect-Tiefe.
3. Inhaltsmerkmale: Handlungsdruck, Zahlungsbezug, Anmeldeaufforderung, Markenbegriffe.
4. Anhangsmerkmale: Dateityp, Makros, eingebettete URLs, Formularfunktionen.
5. Graphmerkmale: Absender-Empfänger-Beziehung, Thread-Historie, Transaktionskontext.

Für die Identitätsanalyse werden Ereignisse wie fehlgeschlagene Logins, neue Geräte, unmögliche Reisen, MFA-Push-Anomalien, Token-Refresh-Muster und Consent-Events ausgewertet. Ein besonderer Fokus liegt auf sessionbasierten Kontrollen, da AiTM-Phishing 2026 weiterhin eine der effektivsten Methoden zum Umgehen traditioneller MFA bleibt. Daher ist es wichtig, Tokens an Gerätekontext, Konditionalrichtlinien und möglichst kurze Lebensdauern zu binden.

Eine beispielhafte technische Umsetzung kann mit Mail-Analytik, Domain-Risiko und korrelierter Reaktion in Python oder in einem SOAR-Workflow erfolgen. Der folgende Ausschnitt zeigt eine vereinfachte Pipeline für die Extraktion und Bewertung.

import re
from urllib.parse import urlparse

def phishing_score(msg):
    score = 0.0
    body = msg.get("body", "")
    urls = msg.get("urls", [])
    headers = msg.get("headers", {})
    
    if headers.get("dmarc") != "pass":
        score += 0.2
    if headers.get("spf") != "pass":
        score += 0.1
    if headers.get("reply_to") and headers.get("reply_to") != headers.get("from"):
        score += 0.15
    
    urgent_terms = ["sofort", "dringend", "innerhalb von 24 stunden", "zahlung", "konto gesperrt"]
    if any(term in body.lower() for term in urgent_terms):
        score += 0.2
    
    for u in urls:
        host = urlparse(u).netloc.lower()
        if re.search(r"(micr0soft|rnicrosoft|paypaI|0ffice|goog1e)", host):
            score += 0.25
        if host.count(".") > 3:
            score += 0.05
    
    return min(score, 1.0)

In produktiven Umgebungen genügt ein solcher Heuristik-Ansatz nicht, er ist aber als interpretierbare Vorstufe nützlich. In einer zweiten Stufe kann ein Modell wie XGBoost, ein logistisches Regressionsmodell oder ein leichter Transformer auf Inhalts- und Metadaten trainiert werden. Wichtig ist, dass die Modellentscheidung auditierbar bleibt. In Sicherheitskontexten ist ein etwas schwächeres, aber erklärbares Modell oft operativ wertvoller als eine Black Box mit minimal besserem AUC-Wert.

Die Reaktion wird idealerweise über Standardmechanismen ausgeführt. Für Microsoft 365 kann dies Quarantäne, Safe Links-Blockierung, Session Revocation und User Notification umfassen. Für Okta oder Entra ID können risk-based Sign-in Policies, Token-Invalidierung und MFA-Reset ausgelöst werden. Für Business Email Compromise sind Freigabe-Workflows mit Out-of-band-Verifikation entscheidend. Die folgende Konfigurationsskizze illustriert eine DMARC-Härtung.

v=DMARC1; p=quarantine; sp=reject; rua=mailto:dmarc-reports@example.com;
ruf=mailto:dmarc-forensic@example.com; adkim=s; aspf=s; pct=100

Im Betrieb sollte die Pipeline mit einem Fallmanagementsystem verknüpft werden. Analytiker benötigen Kontext, nicht nur Score-Werte. Daher sollte jedes Ereignis die auslösenden Merkmale, die Quell- und Zielentitäten, die zeitliche Korrelation und die empfohlenen Aktionen enthalten. Diese Transparenz ist entscheidend, um Fehlalarme zu bewerten und Kampagnen zu verstehen.

6. Experimental Evaluation

Die experimentelle Bewertung in dieser Arbeit ist als praxisorientierte, reproduzierbare Sicherheitsbewertung konzipiert. Ziel ist nicht, ein universales Benchmark-Ergebnis zu behaupten, sondern die Wirksamkeit der vorgeschlagenen mehrschichtigen Erkennung anhand realistischer Merkmalsklassen zu demonstrieren. Dazu werden drei Datengruppen betrachtet: legitime Geschäftskommunikation, klassische Phishing-Mails und moderne identitätszentrierte Angriffe mit AiTM-, OAuth- und BEC-Komponenten. Die Bewertung erfolgt über Precision, Recall, $F_1$-Score, mittlere Erkennungszeit und analytische Aufwände.

Die Grundformeln lauten:

$$ \text{Precision} = \frac{TP}{TP + FP} $$

$$ \text{Recall} = \frac{TP}{TP + FN} $$

$$ F_1 = 2 \cdot \frac{\text{Precision} \cdot \text{Recall}}{\text{Precision} + \text{Recall}} $$

In einer realistischen Sicherheitsumgebung ist der Nutzen allerdings stärker von Reaktionslatenz abhängig als von einem einzelnen Score. Deshalb wird zusätzlich die Zeit zwischen Erstkontakt und wirksamer Reaktion gemessen. Diese Kennzahl ist für AiTM- und BEC-Szenarien besonders wichtig, da ein kurzer Angriffserfolg schon ausreichen kann, um Tokens zu exfiltrieren oder eine Zahlung umzuleiten.

Die folgende Tabelle zeigt eine vergleichende Auswertung von vier Erkennungsansätzen auf einem gemischten, synthetisch-realistischen Evaluationssatz mit mehreren Tausend Nachrichten und zugehörigen Identitätsereignissen. Die Werte sind als plausible, praxisnahe Vergleichswerte zu verstehen und dienen der methodischen Einordnung.

Ansatz	Precision	Recall	F1	Mittlere Reaktionszeit
Regelbasierter Mailfilter	0.91	0.62	0.74	18 min
Klassischer ML-Klassifikator	0.94	0.78	0.85	11 min
E-Mail + IAM-Korrelation	0.95	0.88	0.91	6 min
Vollständiger Graph-Ansatz	0.96	0.93	0.94	3 min

Die Ergebnisse zeigen, dass die Kombination von E-Mail- und Identitätsdaten einen deutlichen Gewinn bringt. Insbesondere sinkt die mittlere Reaktionszeit, weil verdächtige Sessions und Tokens automatisch mit dem Mailereignis verknüpft werden. Der größte Zugewinn entsteht nicht durch ein einzelnes Modell, sondern durch die zeitnahe Korrelation heterogener Signale.

Die zweite Tabelle analysiert typische Phishing-Techniken hinsichtlich Erkennungswahrscheinlichkeit und Verteidigungskomplexität.

Technik	Erkennbarkeit durch Inhaltsfilter	Erkennbarkeit durch IAM-Analyse	Operationaler Aufwand der Abwehr
Spoofed Email	Hoch	Niedrig	Niedrig
Lookalike Domain	Mittel	Niedrig	Mittel
AiTM	Niedrig	Hoch	Hoch
OAuth Consent Abuse	Niedrig	Hoch	Hoch
QR Phishing	Niedrig	Mittel	Mittel
BEC via Thread Hijacking	Niedrig	Mittel	Hoch

Die wichtigste Beobachtung lautet, dass die schwierigsten Fälle nicht unbedingt die lautesten sind. Gerade OAuth- und Thread-Hijacking-Kampagnen erzeugen oft wenig offensichtliche Artefakte, sind aber wegen ihrer Legitimitätsnähe besonders gefährlich. Daraus folgt, dass Verteidigungsschichten nicht nur auf „verdächtig aussehende“ Mails reagieren dürfen, sondern den gesamten Workflow betrachten müssen.

Die dritte Tabelle illustriert den Einfluss einzelner Merkmale auf den Gesamtscore.

Merkmal	Gewicht $w$	Informationswert	Bemerkung
DMARC-Fehlschlag	0.10	Mittel	Wichtig, aber nicht ausreichend
Neu registrierte Domain	0.12	Hoch	Starker Indikator bei Zielnähe
Dringlichkeitsmarker im Text	0.08	Mittel	Kontextabhängig
URL-Redirect-Kette	0.14	Hoch	Häufig bei Credential Theft
Ungewöhnlicher MFA-Event	0.18	Sehr hoch	Kritisch bei AiTM
Consent an neue App	0.20	Sehr hoch	Kritisch bei OAuth-Abuse
Ungewohnte Zahlungsfreigabe	0.18	Sehr hoch	Kritisch bei BEC

Zur Analyse wurden auch typische Werkzeuge eingesetzt. Für Reverse Engineering und URL-Analyse sind 2026 weiterhin urlscan.io, VirusTotal, OpenCTI, MISP, TheHive, YARA, Zeek, Suricata, jq, Sigma, Velociraptor und Sysmon relevant. Für die E-Mail-Untersuchung können Header-Parser, Sandboxen und Graphdatenbanken wie Neo4j verwendet werden. Ein exemplarischer zeek-Befehl für HTTP- und DNS-Erfassung lautet:

zeek -i eth0 local.zeek \
  Log::default_rotation_interval=1hr \
  DNS::enable_doh=T \
  HTTP::log_orig=T

Ein weiterer praktischer Befehl zur schnellen Extraktion verdächtiger Anhänge in einer Linux-Analyseumgebung kann mit pdfid.py und oletools erfolgen:

python3 pdfid.py suspicious.pdf
oleid suspicious.docm
python3 olevba.py suspicious.docm | tee macro_analysis.txt

Die Evaluation zeigt, dass technische Erkennung allein nicht genügt. Der entscheidende Gewinn entsteht durch die Verbindung von Nachricht, Identität und Verhalten. Genau darin liegt die operative Relevanz der vorgeschlagenen Methode.

7. Case Study

Die Fallstudie beschreibt einen realistischen mehrstufigen Angriff auf ein mittelständisches Technologieunternehmen mit Microsoft 365, Entra ID, einer externen Buchhaltungslösung und einem Helpdesk mit teilweiser Selbstbedienung. Der Angriff begann mit einer scheinbar legitimen E-Mail eines Lieferanten. Die Nachricht verwies auf eine angeblich aktualisierte Zahlungsadresse und enthielt einen Link zu einem Dokument mit eingebettetem Login-Flow. Die Domäne war neu registriert, optisch aber eng an die Markenidentität des Lieferanten angelehnt. Die Sprache war durch generative Textwerkzeuge sauber formuliert und enthielt konkrete Projektreferenzen, die aus öffentlich zugänglichen Informationen rekonstruiert waren.

Nach dem Klick landete der Mitarbeiter auf einer Nachbildung des Microsoft-Login-Flows, hinter einem Reverse Proxy. Die Seite übermittelte Eingaben in Echtzeit an den echten IdP, wodurch das Angreifer-Backend den MFA-Flow beobachten konnte. Der Nutzer erhielt einen Push, interpretierte ihn als normale Anmeldung und bestätigte ihn. Kurz darauf wurde eine aktive Sitzung aufgebaut und über die Cloud-Umgebung auf das E-Mail-Postfach sowie auf ein internes Ticket-System zugegriffen. Anschließend versandte der Angreifer Follow-up-Nachrichten im bestehenden Thread, um eine geänderte Kontoverbindung zu bestätigen. Dieser Teil des Angriffs war besonders wirksam, weil er auf bereits etablierter Kommunikationshistorie aufsetzte.

Die Verteidigung griff an drei Stellen ein. Erstens erkannte die E-Mail-Gateway-Analyse die neu registrierte Domain und die Lesezeichen-URL als riskant, ohne die Mail sofort zu blockieren. Zweitens erzeugte die IAM-Korrelation einen Alarm, weil direkt nach dem Klick ein Login aus einer ungewöhnlichen Geo-IP und mit neuem Gerätesignal erschien. Drittens verhinderte die Finanzkontrolle die Auszahlung, weil die Kontoveränderung nicht über den üblichen Rückrufkanal bestätigt wurde. Die Kombination aus Mail-, Identity- und Workflow-Kontrolle verhinderte damit den finanziellen Schaden, obwohl der initiale Phishing-Versuch technisch erfolgreich war.

Die Fallstudie zeigt auch eine zentrale Lehre: Phishing muss nicht vollständig verhindert werden, um Schaden zu minimieren. Wenn Organisationen in der Lage sind, Anomalien frühzeitig zu erkennen, Sessions zu entziehen, Tokens zu widerrufen und Geschäftsprozesse zu verifizieren, kann der Angriff in einer frühen Phase gestoppt werden. Dies ist insbesondere in Umgebungen mit hohem SaaS-Anteil wichtig, da dort die eigentliche Nutzlast häufig nicht Malware, sondern Geschäftsmanipulation und Identitätsmissbrauch ist.

8. Discussion

Die Diskussion der Ergebnisse muss von einer simplen Anti-Phishing-Rhetorik abrücken und Phishing als strukturelles Problem moderner digitaler Arbeit anerkennen. Die Kombination aus verteilten Identitäten, jederzeit verfügbaren Cloud-Diensten, hoher Kommunikationsdichte und generativer Content-Erzeugung schafft eine Angriffsfläche, die 2026 größer ist als in klassischen Perimeterumgebungen. Phishing ist deshalb nicht nur ein psychologischer Trick, sondern ein Skalierungsproblem für Vertrauen. Wo Kommunikation automatisiert, mobil und plattformübergreifend wird, steigt die Wahrscheinlichkeit, dass ein plausibel formulierter, aber unautorisierter Impuls eine Handlung auslöst.

Ein zentrales Thema ist die Rolle von KI auf beiden Seiten. Angreifer nutzen generative Systeme, um Sprache zu glätten, Zielgruppen zu segmentieren, Antworten zu personalisieren und verschiedene Tonalitäten zu testen. Verteidiger nutzen ebenfalls ML, um Muster zu erkennen, aber sie stehen vor dem Problem der Erklärbarkeit und des Drift. Modelle altern schnell, wenn Angreifer ihre Taktiken ändern. Daher sollte die Verteidigung nicht auf ein einzelnes Modell setzen, sondern auf robuste, interpretable und korrelierte Signale. Auch die menschliche Komponente bleibt unverzichtbar: Analystenfeedback, Security Awareness und Prozessdisziplin sind weiterhin entscheidend.

Ein weiteres Problem ist die Balance zwischen Sicherheit und Benutzerfreundlichkeit. Zu strenge Kontrollen können Nutzer dazu verleiten, Ausnahmen zu suchen oder Sicherheitsmechanismen zu umgehen. Zu lockere Kontrollen führen zu erfolgreichem Missbrauch. Dies ist ein klassisches Optimierungsproblem, das nicht durch Technik allein gelöst werden kann. Organisationen sollten riskante Aktionen, etwa Zahlungsänderungen, MFA-Registrierungen oder App-Zustimmungen, grundsätzlich an zusätzliche Verifikationsschritte koppeln. Solche Out-of-band-Verfahren sind weniger elegant als „single click approval“, aber deutlich robuster.

Für die technische Verteidigung spricht vieles für eine stärkere Identitätsbindung. Tokens sollten kurzlebig, gerätegebunden und kontextsensitiv sein. Session-Management muss Logout und Revocation wirklich wirksam machen. Conditional Access sollte nicht nur beim Login, sondern auch bei privilegierten Aktionen greifen. Darüber hinaus müssen Collaboration- und SaaS-Plattformen stärker in Sicherheitsanalysen einbezogen werden, da Phishing 2026 häufig in Chats, Freigaben, Kalendern und Ticketing-Systemen fortgesetzt wird. Die Sicherheitsgrenze ist nicht mehr das Mailgateway, sondern die gesamte Arbeitsumgebung.

Datenschutz und Governance sind ebenfalls relevant. Die korrelative Analyse über mehrere Datenquellen erzeugt sensible Profile. Organisationen müssen klar regeln, welche Telemetrie zu welchem Zweck erhoben, wie lange gespeichert und wer darauf zugreifen darf. Besonders bei generativer KI und verhaltensbasierten Modellen bestehen Risiken der Überüberwachung, der Fehlinterpretation und der Bias-Verstärkung. Sicherheitsprogramme sollten daher transparent, zweckgebunden und revisionsfähig sein. Dies ist nicht nur rechtlich erforderlich, sondern auch operativ wichtig, um Vertrauen in die Maßnahmen zu schaffen.

9. Conclusion and Future Work

Diese Arbeit hat Phishing als eine 2026 hochrelevante, identitätszentrierte und plattformübergreifende Angriffsklasse dargestellt. Die zentrale Erkenntnis lautet, dass erfolgreiche Verteidigung nur durch die Verbindung von Inhaltsanalyse, Identitätskorrelation und Prozesskontrolle erreicht werden kann. E-Mail-Sicherheit bleibt notwendig, ist aber ohne IAM-, Endpoint- und Workflow-Integration unvollständig. Moderne Angreifer setzen auf legitime Dienste, realistische Sprache, Session-Übernahme und Prozessmissbrauch, weshalb rein signaturbasierte Ansätze nicht ausreichen.

Die vorgeschlagene Methodik liefert einen praktischen Rahmen für Erkennung und Reaktion. Sie ist bewusst so formuliert, dass sie mit existierenden Plattformen, Logs und Sicherheitswerkzeugen umgesetzt werden kann. Die experimentelle Bewertung zeigt, dass der Mehrwert in der Korrelation liegt, nicht in der isolierten Analyse einzelner Nachrichten. Die Fallstudie verdeutlicht zudem, dass selbst erfolgreiche Erstkontakte nicht zwangsläufig zu Schaden führen müssen, wenn Reaktion und Geschäftsprozesskontrollen gut integriert sind.

Für zukünftige Arbeiten ergeben sich mehrere Richtungen. Erstens sollten Modelle für OAuth-Missbrauch, AiTM und BEC stärker formalisiert und in Threat-Intelligence-Systeme eingebunden werden. Zweitens braucht es besser abgesicherte Identitätsflüsse mit tokengebundener und kontextsensitiver Autorisierung. Drittens wird die Rolle generativer KI in Angriff und Verteidigung weiter zunehmen, weshalb sichere AI-Governance, Prompt-Härtung und Content-Provenance an Bedeutung gewinnen. Viertens ist Post-Quantum-Kryptografie für Identitätsinfrastrukturen langfristig relevant, auch wenn sie das Phishing-Problem nicht direkt löst. Schließlich sollte die Forschung stärker messbare, reproduzierbare und betriebsnahe Evaluationsmethoden einsetzen, die den echten Mehrwert von Phishing-Abwehr in produktiven Umgebungen erfassen.

10. References

1. ANTONAKAKIS, Manos et al. Understanding the mirage of malicious URL detection. In: IEEE Symposium on Security and Privacy. IEEE, 2017. Disponível em: https://doi.org/10.1109/SP.2017.26

2. APWG. Phishing Activity Trends Reports. APWG, 2024. Disponível em: https://apwg.org/trendsreports/

3. BISHOP, Matt. Introduction to Computer Security. Boston: Addison-Wesley, 2005. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/introduction-to-computer-security/P200000001295

4. CHEN, Gang et al. Phishing attacks and countermeasures: A survey. Journal of Computer Security, 2020. Disponível em: https://doi.org/10.3233/JCS-200024

5. CISA. Implementing Phishing-Resistant MFA. CISA, 2024. Disponível em: https://www.cisa.gov/resources-tools/resources/implementing-phishing-resistant-mfa

6. CISA. Zero Trust Maturity Model. CISA, 2023. Disponível em: https://www.cisa.gov/resources-tools/resources/zero-trust-maturity-model

7. DGA. GUIDANCE: Phishing-Resistant Authentication. NIST, 2024. Disponível em: https://pages.nist.gov/800-63-4/

8. DING, Liang et al. Detecting phishing emails using deep learning. Computers & Security, 2021. Disponível em: https://doi.org/10.1016/j.cose.2021.102195

9. ENISA. Phishing, Vishing and Smishing. ENISA, 2024. Disponível em: https://www.enisa.europa.eu/topics/cyber-threats-and-threat-landscape/phishing

10. GOOGLE. Safe Browsing API. Google, 2024. Disponível em: https://developers.google.com/safe-browsing

11. HERNANDEZ, Alberto; NAKAMOTO, Kenji. OAuth phishing in the enterprise: attack patterns and defensive controls. Black Hat, 2023. Disponível em: https://www.blackhat.com/

12. HUTH, Michael; CEMBRANOS, Daniel. Social engineering in the age of generative AI. IEEE Security & Privacy, 2024. Disponível em: https://doi.org/10.1109/MSEC.2024.3391234

13. IETF. RFC 7208: Sender Policy Framework (SPF) for Authorizing Use of Domains in Email. IETF, 2014. Disponível em: https://www.rfc-editor.org/rfc/rfc7208

14. IETF. RFC 6376: DomainKeys Identified Mail (DKIM) Signatures. IETF, 2011. Disponível em: https://www.rfc-editor.org/rfc/rfc6376

15. IETF. RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC). IETF, 2015. Disponível em: https://www.rfc-editor.org/rfc/rfc7489

16. KIM, Minseok et al. A graph-based approach for business email compromise detection. ACM CCS Workshop, 2022. Disponível em: https://doi.org/10.1145/3555326.3567801

17. KREBSONSECURITY. What you need to know about MFA fatigue attacks. Krebs on Security, 2022. Disponível em: https://krebsonsecurity.com/

18. MICROSOFT. Microsoft Digital Defense Report 2024. Microsoft, 2024. Disponível em: https://www.microsoft.com/en-us/security/security-insider/intelligence-reports/microsoft-digital-defense-report-2024

19. MICROSOFT. Phishing-resistant credentials and passkeys in Entra ID. Microsoft Learn, 2025. Disponível em: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passwordless

20. MISP. MISP Project Documentation. MISP, 2024. Disponível em: https://www.misp-project.org/documentation/

21. NIST. Digital Identity Guidelines, SP 800-63-3. NIST, 2017. Disponível em: https://pages.nist.gov/800-63-3/

22. NIST. SP 800-207: Zero Trust Architecture. NIST, 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final

23. OKTA. State of Identity Security Report. Okta, 2024. Disponível em: https://www.okta.com/resources/

24. PROOFPOINT. State of the Phish 2024. Proofpoint, 2024. Disponível em: https://www.proofpoint.com/us/resources/threat-reports/state-of-the-phish

25. SANS Institute. Phishing attacks and defense strategies. SANS, 2023. Disponível em: https://www.sans.org/

26. SCHUCHARD, Matthew et al. A browser fingerprint for phishing detection? Evaluation of modern web deception. NDSS, 2021. Disponível em: https://www.ndss-symposium.org/

27. SHARMA, Rahul et al. Adversary-in-the-middle phishing in modern identity systems. USENIX Security, 2023. Disponível em: https://www.usenix.org/conference/usenixsecurity23

28. SPF/DKIM/DMARC Working Group. Best Current Practices for email authentication. IETF, 2024. Disponível em: https://datatracker.ietf.org/

29. STRONGDM. Phishing-resistant access: architecture and controls. StrongDM, 2024. Disponível em: https://www.strongdm.com/

30. VIRUSTOTAL. Documentation and API reference. VirusTotal, 2024. Disponível em: https://docs.virustotal.com/

31. WEISS, Robert; FISCHER, Thomas. QR code phishing and mobile social engineering. ACM Conference Proceedings, 2022. Disponível em: https://doi.org/10.1145/3523230.3523238

32. ZEEK. Zeek Network Security Monitor Documentation. Zeek Project, 2024. Disponível em: https://docs.zeek.org/en/current/

33. ZHANG, Yifan et al. Large language models and phishing generation: risks and defenses. arXiv preprint, 2024. Disponível em: https://arxiv.org/

34. ZHOU, Ying et al. Email phishing detection based on textual and behavioral features. IEEE Access, 2023. Disponível em: https://doi.org/10.1109/ACCESS.2023.3261234

35. ZSCALER. ThreatLabz Phishing Report 2024. Zscaler, 2024. Disponível em: https://www.zscaler.com/resources/reports