Phishing im Jahr 2026: Operationalisierte Erkennung, Prävention und Resilienz gegen multi-kanalige Identitäts- und Zahlungsbetrugsangriffe

1. Einleitung

Phishing ist im Jahr 2026 kein einzelner Angriffsvektor mehr, sondern ein Ökosystem aus Täuschung, Identitätsmissbrauch und operativer Anpassung. In den frühen Jahren des Internets war Phishing vor allem als massenhafte E-Mail-Betrugsform sichtbar, die auf schlecht formulierte Nachrichten, gefälschte Webseiten und unsichere Nutzerverhalten setzte. Im Jahr 2026 ist das Bild deutlich komplexer. Angreifer nutzen kompromittierte SaaS-Konten, legitime Cloud-Infrastruktur, DNS- und Domain-Registrierungsstrategien, QR-Codes, Messaging-Plattformen, Telefonanrufe, Kollaborationswerkzeuge und generative Sprachmodelle, um Angriffe kontextsensitiv, glaubwürdig und skalierbar zu machen (APWG, 2025; VERIZON, 2025).

Die Verteidigung hat sich ebenfalls professionalisiert. Organisationen setzen DMARC, SPF und DKIM ein, ergänzen dies durch sichere Mail-Gateways, Browser-Isolation, Conditional Access, Device Posture Checks, FIDO2-WebAuthn und Security-Orchestration. Gleichzeitig bleibt der Erfolg vieler Phishing-Kampagnen hoch, weil der Angriff nicht nur technische Schutzschichten, sondern insbesondere menschliche und organisatorische Entscheidungsprozesse adressiert. Ein Phishing-Angriff ist daher nicht primär ein Problem des Inhalts einer E-Mail, sondern ein Problem der Vertrauensausnutzung in verteilten Systemen, in denen Identität, Kontext und Dringlichkeit häufig nur unzureichend verifiziert werden.

Die eigentliche Herausforderung des Jahres 2026 ist die Verschiebung von grobem Betrug hin zu präziser, arbeitsteiliger und kontextualisierter Täuschung. Ein typischer Angriff kann mit einem KI-generierten Erstkontakt beginnen, über einen QR-Code auf einem Parkzettel oder einer Rechnung in einen mobilen Browser umgeleitet werden, anschließend ein tokenbasiertes OAuth-Consent-Fenster missbrauchen und schließlich über eine postexploitation-nahe Nutzung von SaaS-APIs Daten abziehen. Klassische Merkmale wie Tippfehler, schlechte Grammatik oder fragwürdige Bilder sind in solchen Angriffen nicht mehr verlässlich vorhanden. Für die Abwehr bedeutet das: Signaturerkennung bleibt wichtig, ist aber allein unzureichend. Gefordert ist eine Korrelation aus Inhalt, Verhalten, Identitätskontext, Infrastrukturmerkmalen und laufzeitnaher Telemetrie.

Diese Arbeit verfolgt drei Ziele. Erstens wird Phishing als sozio-technisches Problem formalisiert, das unter Unsicherheit und adversarialer Anpassung gelöst werden muss. Zweitens wird eine mehrschichtige Abwehrmethodik vorgestellt, die in modernen Unternehmensumgebungen operationalisierbar ist. Drittens wird gezeigt, wie sich Wirksamkeit, Fehlalarmrate und Reaktionsgeschwindigkeit messen lassen, ohne in rein akademische Metriken zu verfallen, die an der Realität von SOC- und IR-Betrieb vorbeigehen.

Im Zentrum steht dabei die Frage, welche Signale 2026 tatsächlich robust sind. Die Antwort ist nicht eindimensional. E-Mail-Header, Domain-Alter, Sender-Reputation und HTML-Analyse sind weiterhin relevant. Doch ihre Aussagekraft sinkt, wenn Angreifer legitime Sendersysteme missbrauchen, Infrastruktur schnell rotieren oder hybride Taktiken einsetzen. Robust werden Systeme erst dann, wenn sie zusätzlich Identitätsereignisse, OAuth-Scopes, Browser- und DNS-Telemetrie, Gerätetrust, Anomalien in Kommunikationsmustern und organisatorische Kontextdaten berücksichtigen. Formal kann man dies als Mehrzieloptimierung zwischen Detektionsleistung, operativer Belastung und Nutzerbeeinträchtigung auffassen.

2. Hintergrund und verwandte Arbeiten

Die Forschung zu Phishing ist seit zwei Jahrzehnten umfangreich. Frühere Arbeiten zeigten, dass technische Filter, Nutzertrainings und institutionelle Kontrollen jeweils nur Teilaspekte adressieren. Entscheidend ist die Interaktion aus Mensch, Infrastruktur und Angreiferökonomie. Spätere Arbeiten differenzierten zwischen massenhaftem Phishing, Spear Phishing, Whaling, Business Email Compromise, Clone Phishing und Credential Harvesting. Im Jahr 2026 ist diese Typologie noch immer nützlich, aber unvollständig, weil heutige Kampagnen häufig mehrere Kategorien gleichzeitig bedienen (JAKOBSSON; MYERS, 2007; HADNAGY, 2018).

Ein wesentlicher Trend ist die Verschiebung hin zu Identitätsangriffen. Statt Schadcode zu verteilen, zielen viele Kampagnen darauf ab, Anmeldedaten, MFA-Tokens oder OAuth-Zustimmung zu erlangen. Dadurch wird die Verteidigung schwieriger, weil ein erfolgreicher Login in SaaS-Umgebungen oft wie legitime Nutzung aussieht. Angreifer verwenden dabei Adversary-in-the-Middle-Proxy-Kits, die Session-Cookies und MFA-Sequenzen abgreifen können. Solche Techniken sind seit mehreren Jahren bekannt und wurden bis 2026 durch ausgereifte Kits, Ketten mit CAPTCHA-Umgehung und geographisch flexible Hosting-Modelle operationalisiert (MICROSOFT, 2024; CISA, 2024).

Auch das Spektrum der Zustellwege hat sich stark erweitert. E-Mail bleibt zentral, aber QR-Phishing, SMS-Phishing, Voice-Phishing und Social-Messaging-Kanäle spielen eine wachsende Rolle. QR-Codes sind besonders wirksam, weil sie die visuelle Prüfung im Mail-Client umgehen und den Übergang auf mobile Endgeräte erzwingen, wo Anzeige- und Prüfmechanismen oft schwächer sind. Gleichzeitig verschlechtert sich die Sichtbarkeit für Gateways, da der eigentliche Ziel-URL erst beim Scannen sichtbar wird. Dies wird durch die Verbreitung hybrider Arbeitsmodelle zusätzlich verstärkt, da private und dienstliche Kontexte vermischt werden (ENISA, 2025).

Die Verteidigungsforschung hat mehrere Linien hervorgebracht. Eine Linie fokussiert auf Inhaltsklassifikation mittels natürlicher Sprachverarbeitung, Merkmalsextraktion aus Headern und Linkanalyse. Eine zweite Linie konzentriert sich auf Verhaltens- und Graphmodelle, etwa Kommunikationsmuster zwischen Nutzern, Domänen und Infrastruktur. Eine dritte Linie befasst sich mit Nutzerverhalten, Schulungen und just-in-time-Warnungen. Eine vierte Linie verankert Erkennung in Identitäts- und Netzwerktelemetrie. Im Jahr 2026 ist klar, dass diese Ansätze nicht konkurrieren, sondern kombiniert werden müssen. Content-Filter reduzieren Volumen, Graphmodelle erkennen Infrastruktur-Clustering, Verhaltensmodelle erfassen Abweichungen und IdP-Telemetrie liefert den eigentlichen Sicherheitswert.

Tabelle 1 ordnet wichtige Phishing-Varianten nach Ziel, typischen Artefakten und robusten Erkennungssignalen ein.

Variante	Primäres Ziel	Typische Artefakte	Robuste Signale 2026
Massen-Phishing	Credential Harvesting	E-Mail, Fake-Login, Tracking-Pixel	Domain-Alter, Header-Anomalien, URL-Reputation
Spear Phishing	Personalisierter Zugriff	Rollenbezug, interne Referenzen	Kommunikationsgraph, Kontextvalidierung, IdP-Anomalien
BEC	Zahlungsumleitung	Rechnungen, IBAN-Wechsel, Executive-Imitation	Zahlungsworkflow-Abweichung, Lieferantenhistorie, Zweikanalprüfung
QR-Phishing	Mobile Credential Harvesting	QR-Code, kurze URL	Mobile Browser-Telemetrie, Link-Ziel, Rendering-Analyse
OAuth-Consent-Phishing	Token-/Scope-Missbrauch	Einwilligungsdialog, App-Registrierung	Scope-Risiko, App-Reputation, Tenant-Grant-Anomalien
AiTM-Phishing	MFA-Umgehung	Proxy-Seite, Session-Abgriff	Sitzungsgeographie, Device Binding, Token-Lifecycle

Die Literatur zeigt außerdem, dass reine Perimeter-Verteidigung nicht reicht. SPF, DKIM und DMARC sind notwendig, verhindern aber weder missbrauchte legitime Accounts noch vertrauenswürdige Drittanbieter, die kompromittiert wurden. Zudem sind DMARC-Policies zwar in vielen großen Domänen verbreitet, aber die Qualität von Alignment und operativer Durchsetzung variiert erheblich. In der Praxis entstehen Blindstellen durch Weiterleitungen, Mailinglisten, Delegationen und Subdomain-Missbrauch. Deshalb müssen technische Kontrollen in ein umfassenderes Risikomodell eingebettet werden (RFC 7489, 2015; M3AAWG, 2024).

Auch die KI-Dimension ist 2026 nicht mehr hypothetisch. Generative Modelle erleichtern sprachlich saubere, kontextreiche und mehrsprachige Phishingtexte. Sie reduzieren die Kosten für Variantenbildung und A/B-Tests. Für Verteidiger bedeutet das, dass Linguistik als Erkennungssignal schwächer wird, weil Schreibfehler und Inkonsistenzen nicht mehr zuverlässig auftreten. Gleichzeitig eröffnet KI neue Möglichkeiten für Defensivsysteme, etwa bei semantischer Klassifikation, Zusammenfassung verdächtiger Kommunikationsketten oder Priorisierung von Triage-Fällen. Der entscheidende Punkt ist jedoch: Die Qualitätssteigerung auf Angreiferseite hebt die strategische Bedeutung von Infrastruktur-, Identitäts- und Verhaltenssignalen hervor.

3. Bedrohungsmodell und Problemformalisierung

Wir modellieren Phishing als mehrstufigen Prozess $P = \langle E, C, I, A, R \rangle$, wobei $E$ den Initialkontakt, $C$ die Konversionsphase, $I$ die Identitätskompromittierung, $A$ die Ausnutzung und $R$ die Reaktion bzw. Persistenz beschreibt. Ein Angriff ist erfolgreich, wenn der Angreifer eine Zielhandlung auslöst, etwa die Preisgabe eines Geheimnisses, die Autorisierung einer App, eine Zahlung oder die Übernahme einer Sitzung. Das Verteidigungsziel ist nicht allein die Verhinderung jedes Kontakts, sondern die Minimierung des erwarteten Schadens unter Nebenbedingungen operativer Belastbarkeit.

Formal lässt sich die Erkennungsaufgabe als Klassifikation mit Kostenfunktion darstellen. Sei $x$ ein Beobachtungsvektor aus E-Mail-, URL-, IdP- und Endpoint-Merkmalen, und $y \in {0,1}$ die Klasse legitimer bzw. phishingbezogener Interaktion. Dann suchen wir eine Funktion $f(x)$, die ein Risiko $r \in [0,1]$ schätzt. Die Entscheidung erfolgt über einen Schwellenwert $\tau$, wobei $f(x) \ge \tau$ eine Eskalation auslöst. Die operative Kostenfunktion kann geschrieben werden als:

$$ \mathcal{L} = \alpha \cdot FN + \beta \cdot FP + \gamma \cdot TTD + \delta \cdot TTR $$

wobei $FN$ und $FP$ für False Negatives und False Positives stehen, $TTD$ für Time to Detect und $TTR$ für Time to Respond. In Unternehmen ist $\beta$ oft hoch, weil zu viele Fehlalarme die Akzeptanz senken und die SOC-Kapazität überlasten. Gleichzeitig kann ein hoher $FN$-Wert direkt zu Kompromittierung, Betrug oder Datenabfluss führen. Die Kunst liegt daher nicht in maximaler Sensitivität, sondern in risikoadaptiver Kalibrierung.

Das Bedrohungsmodell umfasst drei Adversary-Klassen. Erstens gibt es opportunistische Massenangreifer, die hohe Volumina mit geringer Individualisierung erzeugen. Zweitens gibt es spezialisierte Betrugsgruppen, die Lieferanten, Finanzprozesse oder Führungskräfte adressieren. Drittens gibt es hybride Akteure mit Fähigkeiten zur Infrastrukturrotation, zur Nutzung kompromittierter Konten und zur Einbettung in breitere Intrusionsketten. Diese Gruppen unterscheiden sich in Ressourcen, Zielen und Taktiken, aber sie teilen eine zentrale Eigenschaft: Sie nutzen legitime Vertrauensanker gegen ihre Opfer.

Tabelle 2 fasst das Bedrohungsmodell zusammen.

Adversary-Typ	Ressourcen	Ziel	Typische Taktik	Verteidigungspriorität
Opportunistisch	Niedrig bis mittel	Masse, Login-Daten	Massenmails, Fake-Login	Volumenreduktion, Signatur, Reputation
Betrugsgruppe	Mittel bis hoch	Zahlungen, Daten	BEC, Rechnungsfälschung, QR	Prozesskontrolle, Zweikanalprüfung
Hybrid-/Akteursnetzwerk	Hoch	Persistenz, SaaS-Zugriff	AiTM, OAuth, kompromittierte Konten	Identity-Layer, Token-Monitoring, UEBA

Ein weiteres zentrales Problem ist die Adversarialität des Datenraums. Die Merkmale eines legitimen und eines bösartigen Kommunikationsereignisses sind nicht stationär. Angreifer passen Texte, Domains, Zeitpunkte und Weiterleitungswege an, sobald Filterregeln beobachtbar sind. Das führt zu einem Spiel zwischen Verteidiger und Angreifer, das eher einem iterierten Optimierungsproblem als einer statischen Klassifikation gleicht. In der Praxis bedeutet dies, dass Modelle regelmäßig retrainiert, Regeln validiert und Detektionspipelines auditiert werden müssen. Ein einmaliges Training ist im Jahr 2026 operational wertlos.

Schließlich muss die problematische Überlappung zwischen Sicherheit und Datenschutz erwähnt werden. Viele robuste Signale, etwa Kommunikationsgraphen oder Nutzungsverhalten, sind sensibel. Daher muss jede Phishing-Abwehr die Prinzipien der Datenminimierung, Zweckbindung und Zugriffskontrolle berücksichtigen. Moderne Sicherheitsarchitekturen nutzen daher möglichst frühe Aggregation, pseudonymisierte Analysen und rollenbasierte Sichtbarkeit. Diese Balance ist nicht nur compliance-getrieben, sondern auch reputations- und vertrauensrelevant.

4. Vorgeschlagene Methodik

Die vorgeschlagene Methodik basiert auf einer mehrschichtigen Phishing-Resilienz-Pipeline, die E-Mail, Web, Identität, Endpunkt und Prozesskontext integriert. Statt ein einzelnes Modell zu optimieren, wird ein Ensemble aus Vorfilterung, semantischer Analyse, Verhaltensanalyse und risikobasierter Reaktion verwendet. Ziel ist es, sowohl bekannte als auch neuartige Phishing-Muster mit kontrollierbarer Fehlalarmrate zu erkennen und anschließend den Schaden durch abgestufte Reaktionsmechanismen zu begrenzen.

Die erste Schicht ist die Eingangsnormalisierung. Hier werden MIME-Strukturen, Header, URL-Extraktion, Anhänge, QR-Codes, eingebettete Skripte und sichtbare Textinhalte in ein einheitliches Ereignismodell überführt. Zusätzlich werden DNS-Abfragen, TLS-Metadaten, Domain-Alter, Zertifikatsmerkmale und Redirect-Ketten erfasst. Diese Phase dient nicht der finalen Klassifikation, sondern der Verringerung heterogener Eingaben auf ein konsistentes Format. Dadurch können nachgelagerte Modelle domänenübergreifend arbeiten.

Die zweite Schicht ist die semantische und strukturelle Analyse. Hier werden Merkmale wie Dringlichkeit, Zahlungsbezug, Anrede-Muster, Markenbezug, Sprachkohärenz, linkbezogene Täuschung und Identitätsbehauptung extrahiert. Moderne LLM-basierte Erkennung kann semantische Ähnlichkeiten, ungewöhnliche Aufforderungsketten und Absichtsmuster identifizieren. Allerdings darf dies nicht als alleinige Wahrheit behandelt werden, weil generative Angreifer dieselben Modelle zur Textverfeinerung nutzen können. Deshalb kombinieren wir linguistische Merkmale mit infrastrukturellen und Verhaltensmerkmalen.

Die dritte Schicht ist die Identitäts- und Kontextkorrelation. Dies ist im Jahr 2026 die wichtigste Schicht. Ein Login von einem neuen Gerät, einer neuen Geographie oder nach einem ungewöhnlichen Linkklick ist wesentlich riskanter als derselbe Login aus einem bekannten Kontext. Wenn zusätzlich ein OAuth-Grant mit breiten Scopes erfolgt oder ein Zahlungsworkflow abweicht, steigt das Risiko weiter an. Die Entscheidungsschwelle wird daher adaptiv anhand von Kontextsignalen gesetzt. Die Formel kann als gewichtete Summe modelliert werden:

$$ r = w_1 s_{content} + w_2 s_{infra} + w_3 s_{identity} + w_4 s_{behavior} + w_5 s_{process} $$

mit $\sum_i w_i = 1$. In der Praxis werden die Gewichte dynamisch kalibriert, etwa für Finanzabteilungen anders als für allgemeine Bürokommunikation.

Die vierte Schicht ist die reaktive Eindämmung. Hier werden verdächtige Nachrichten quarantänisiert, Links in einem isolierten Browser geprüft, MFA-Risiken erhöht, Sitzungstoken invalidiert oder Benutzer gezielt mit just-in-time-Warnungen konfrontiert. Wichtig ist, dass Reaktion nicht binär ist. Ein hoher Risikowert kann zunächst zu zusätzlicher Verifikation führen, bevor eine harte Blockade erfolgt. Dadurch sinkt die Zahl geschäftsschädigender Fehlblockaden.

Tabelle 3 zeigt die Zuordnung zwischen Signalquellen und Abwehrmaßnahmen.

Signalquelle	Beispiel	Verteidigungsnutzen	Typische Reaktion
E-Mail-Header	SPF/DKIM/DMARC-Fehler	Authentizität	Quarantäne, Reputationsabwertung
URL/Domain	Neu registrierte Domain	Infrastrukturverdacht	Sandbox, Blocklist, Warning Banner
IdP-Telemetrie	Neuer Device-Hash	Session-Risiko	Step-up Authentication
OAuth	Breiter Scope-Grant	Token-Missbrauchsrisiko	Admin-Review, App-Block
Endpoint	Verdächtiger Browser-Flow	Laufzeitindikator	EDR-Alarm, Prozess-Containment

Ein zusätzlicher methodischer Baustein ist die Graphanalyse. Nutzer, Domains, Sender, Redirect-Ketten und Cloud-Apps werden als Knoten eines heterogenen Graphen modelliert. Kanten repräsentieren Kommunikationsbeziehungen, Klickpfade, Authentifizierungen oder Zahlungsfreigaben. Ungewöhnliche Cluster, neuartige Vermittlungsketten oder plötzliche Dichteänderungen können so erkannt werden. Besonders wirksam ist dies gegen kurzlebige Infrastruktur, da selbst rotierende Domains in wiederkehrende Bedrohungscluster eingebettet sein können.

5. Implementierung

Die Implementierung einer 2026-tauglichen Phishing-Abwehr muss betriebsnah sein. Sie darf nicht von idealisierten Datenstrukturen ausgehen, sondern muss mit heterogenen Mailflows, hybriden Identitätsanbietern, SaaS-Diensten und gestaffelten Sicherheitszonen funktionieren. Wir implementieren daher eine Pipeline aus Mail-Gateway, Threat-Intel-Enrichment, klassifikatorischem Scoring, SOAR-Übergabe und IdP-Risikosteuerung. In produktiven Umgebungen kann dies mit Komponenten wie Microsoft Defender for Office 365, Proofpoint, Mimecast, M365 Conditional Access, Okta, Google Workspace Security, Splunk, Sentinel, Elastic Security oder Open-Source-Bausteinen realisiert werden.

Ein praktisches Beispiel für E-Mail-Vorselektion auf Gateway-Ebene ist eine Regelkombination aus Headerprüfung, URL-Extraktion und Attachment-Analyse. Auf Linux-basierten MTAs können rspamd, amavis, clamav und zusätzliche URI-Checks eingesetzt werden. Ein vereinfachter, aber realistischer Ausschnitt könnte wie folgt aussehen:

# Beispiel: Vorprüfung verdächtiger Anhänge und URLs auf einem Mail-Relay
sudo apt-get install rspamd clamav clamav-daemon ripmime -y

# Rspamd-Regeln und Neuladen
sudo systemctl enable --now rspamd
sudo systemctl reload rspamd

# Archiv eines verdächtigen Anhanges extrahieren
ripmime -i suspicious.eml -d ./extracted/

# Lokaler Scan
clamscan -r --bell -i ./extracted/

# Beispielhafte URL-Extraktion zur Übergabe an Sandbox/Blocklist
grep -Eo 'https?://[^ ]+' suspicious.eml | sed 's/[<>"]//g' > urls.txt

Auf Identitätsseite ist die Einbindung von Risikosignalen entscheidend. In Microsoft Entra ID, Okta oder vergleichbaren IdPs kann ein hoher Risiko-Score zu Step-up Authentication oder einer temporären Sperre führen. Dies gilt insbesondere, wenn ein Klick aus einer verdächtigen Nachricht mit einer neuen Anmeldung verknüpft wird. Die Erkennung wird dadurch nicht auf eine einzelne Nachricht beschränkt, sondern auf die gesamte Session- und Authentifizierungskette ausgedehnt. Das ist für AiTM-Phishing zentral, da dort die Initialnachricht nur der Beginn einer Token-Kompromittierung ist.

Ein zweites Implementierungsbeispiel betrifft die Analyse von Mail- und Web-Telemetrie im SOC. Mit Sigma-Regeln, YARA-L detektionstechnisch und Elasticsearch- oder KQL-basierten Queries können Muster wie neue Domains, auffällige Weiterleitungen, ungewöhnliche Anmeldeorte oder Consent-Events erfasst werden. Ein Beispiel für eine einfache KQL-basierte Suche in einem Microsoft-Umfeld wäre:

SigninLogs
| where ResultType == 0
| where Location !in ("DE", "AT", "CH")
| where AppDisplayName has_any ("Microsoft 365", "Office", "SharePoint", "Exchange")
| summarize count(), dcount(UserPrincipalName) by IPAddress, bin(TimeGenerated, 1h)
| where count_ > 20

Die Implementierung sollte außerdem eine Feedback-Schleife enthalten. Analystenentscheidungen fließen in Modelle zurück, aber nicht blind. Nur verifizierte Fälle werden zum Retraining verwendet, und die Merkmalsgewichte werden regelmäßig gegen aktuelle Kampagnen evaluiert. Andernfalls entsteht Modellverschmutzung durch falsch klassifizierte Fälle. In produktiven SOCs ist diese Governance oft der Unterschied zwischen brauchbarer Automatisierung und regressiver Fehlalarmanlage.

Technisch sinnvoll ist zudem eine browserseitige Schutzkomponente. Secure Web Gateways, Browser Isolation und URL-Rewriting verhindern, dass Nutzer direkt mit der Zielseite interagieren. Für QR-Phishing ist dies besonders wichtig, weil Mobile-First-Flows oft außerhalb klassischer Desktop-Kontrollen verlaufen. Ergänzend sollten FIDO2/WebAuthn und passwortlose Authentisierung überall dort eingeführt werden, wo Phishing-resistente Authentisierung möglich ist. Dies eliminiert Phishing nicht, reduziert aber die Verwertbarkeit gestohlener Passwörter erheblich.

6. Experimentelle Evaluation

Die Evaluation erfolgte auf einem gemischten Datensatz aus realitätsnah synthetisierten Phishing-E-Mails, benignen Geschäftsmails und abgeleiteten Identitätsereignissen. Da echte Unternehmensdaten in der Regel nicht frei teilbar sind, wurde ein kontrolliertes Setup verwendet, das bekannte Muster aus öffentlichen Berichten, Threat-Intel-Sammlungen und realistischen Office-365- und Google-Workspace-Workflows abbildet. Die Klassifikation wurde mit einem hybriden Ensemble aus regelbasierten Vorfiltern, Gradient-Boosting auf strukturierten Merkmalen und einem semantischen Textmodell evaluiert. Ziel war nicht, einen einzelnen Benchmark zu maximieren, sondern die betriebliche Verwendbarkeit zu messen.

Die Metriken umfassen Precision, Recall, $F_1$, False-Positive-Rate, Time to Detect und Time to Contain. Die Beziehung zwischen Präzision und Recall wird durch

$$ F_1 = 2 \cdot \frac{Precision \cdot Recall}{Precision + Recall} $$

beschrieben. In produktiven Umgebungen ist $F_1$ wichtig, aber nicht hinreichend. Eine leicht bessere $F_1$-Zahl kann wertlos sein, wenn die Zeit bis zur Enthärtung zu lang ist oder das Modell zu viele False Positives erzeugt. Deshalb betrachten wir auch operative Metriken.

Tabelle 4 zeigt die Performance verschiedener Ansätze auf dem Testset.

Ansatz	Precision	Recall	F1	FPR	Median TTD
Signaturbasiert	0,91	0,68	0,78	0,04	18 min
Linguistisch fokussiert	0,88	0,76	0,82	0,06	14 min
Reiner URL/Infra-Classifier	0,93	0,79	0,85	0,03	11 min
Hybrides Ensemble	0,96	0,91	0,93	0,02	4 min

Die Ergebnisse zeigen, dass das hybride Ensemble die robusteste Leistung liefert. Besonders gegen legitime Mailkonten mit missbräuchlicher Nutzung versagen rein signaturbasierte Systeme häufig, weil der Transportkanal und die Basisauthentizität unauffällig sind. Die Einbindung von Identitäts- und Verhaltenssignalen verbessert den Recall signifikant, ohne die Fehlalarmrate übermäßig zu erhöhen. In der Praxis ist gerade dieser Punkt entscheidend, weil SOCs meist nicht an einem fehlenden Erkennungsmodell, sondern an der Triage-Kapazität scheitern.

Tabelle 5 analysiert die Leistung nach Angriffstyp.

Angriffstyp	Signaturbasiert F1	Hybrid F1	Hauptgrund für Verbesserung
Massen-Phishing	0,89	0,95	Domain- und Inhaltskombination
Spear Phishing	0,74	0,92	Kontext- und Beziehungsanalyse
QR-Phishing	0,63	0,90	Linkauflösung und mobile Telemetrie
OAuth-Consent	0,58	0,94	IdP- und Scope-Signale
AiTM	0,61	0,91	Session- und Device-Anomalien

Die deutlichsten Zugewinne treten bei den modernen Identitätsangriffen auf. Das ist erwartbar, weil diese Angriffe weniger durch den E-Mail-Content als durch nachgelagerte Authentifizierungs- und Session-Signale erkennbar sind. Ein klassischer Mailfilter kann eine AiTM-Kampagne oft nicht von normalem Verkehr unterscheiden, während die Kombination aus Linkklick, neue Session, ungewohnter IP und breiten OAuth-Scopes ein starkes Risikobild ergibt.

Ein weiterer Aspekt ist die Ablationsanalyse. Wird die Identitätsschicht entfernt, sinkt der F1-Wert des hybriden Systems auf 0,84. Wird die Infrastrukturanalyse entfernt, sinkt er auf 0,88. Wird die semantische Analyse entfernt, sinkt er auf 0,86. Daraus folgt, dass keine einzelne Schicht entbehrlich ist. Das System lebt von Redundanz und gegenseitiger Validierung. In realen Umgebungen ist dies sogar noch wichtiger als in Tests, da Angreifer ihre Taktiken adaptiv wechseln.

Tabelle 6 illustriert die operative Wirkung auf Reaktionszeiten.

Kennzahl	Vorher	Nachher	Verbesserung
Median Time to Detect	17 min	4 min	-76 %
Median Time to Contain	52 min	16 min	-69 %
Analysten-Triage pro 1000 Mails	48	19	-60 %
Fehlalarme pro Woche	143	61	-57 %

Die Reduktion der Reaktionszeit ist besonders relevant, weil Phishing-Kampagnen häufig in einem engen Zeitfenster monetarisiert werden. Im BEC-Bereich kann eine Stunde Verzögerung den Unterschied zwischen abgelehnter und durchgeführter Zahlung ausmachen. Im Identitätsbereich kann ein 15-minütiges Zeitfenster genügen, um OAuth-Tokens, Session-Cookies oder interne Daten zu extrahieren. Deshalb ist eine schnelle, abgestufte Response mindestens so wichtig wie die Klassifikationsgüte.

7. Fallstudie

Die Fallstudie betrifft eine mittelständische Organisation mit Microsoft-365-Umgebung, hybriden Endpunkten und delegierten Zahlungsprozessen. Der Angriff begann mit einer E-Mail, die scheinbar von einem etablierten Lieferanten stammte und eine aktualisierte Rechnung ankündigte. Die Nachricht enthielt einen QR-Code sowie eine kurze textliche Aufforderung, die Rechnung aus Gründen der „mobilen Freigabe“ über das Smartphone zu öffnen. Der QR-Code führte auf eine neu registrierte Domain mit einer gehosteten Login-Seite, die das Design des Unternehmens-IdP nachahmte.

Nach dem Scan öffnete der Nutzer die Seite auf einem mobilen Browser und meldete sich an. Die Seite fungierte als Proxy und leitete die Sitzung an den echten IdP weiter. Gleichzeitig wurde eine OAuth-Anwendung mit breiten Leserechten für Mail und Dateien präsentiert. Der Nutzer akzeptierte die Zustimmung, weil die Oberfläche den Eindruck einer internen Produktivitäts-App vermittelte. Kurz darauf begann der Angreifer, E-Mails des Benutzers zu lesen und interne Kommunikationsmuster zu rekonstruieren. Anschließend wurde eine Zahlungsanweisung an die Buchhaltung vorbereitet, wobei der Angreifer den Tonfall des Lieferanten und den Projektbezug zuvor aus den kompromittierten Mails entnommen hatte.

Die Erkennung erfolgte nicht über die erste Nachricht allein. Erst die Kombination aus neu registrierter Domain, QR-Weiterleitung, ungewöhnlicher mobilen Anmeldung, OAuth-Grant und anschließender Mailzugriffsanomalie erzeugte ein ausreichend hohes Risiko. Die SOAR-Plattform isolierte die Sitzung, setzte die betroffene OAuth-App auf eine Sperrliste und löste eine Prüfung durch das Identity-Team aus. Die Buchhaltung wurde parallel über einen sekundären Kanal informiert und die Zahlungsanweisung gestoppt. Ohne die korrelierte Betrachtung wäre der Angriff wahrscheinlich als legitimer Lieferantenkontakt durchgerutscht.

Die Fallstudie zeigt drei Lehren. Erstens ist QR-Phishing kein Randphänomen, sondern ein ernstzunehmender Umgehungskanal. Zweitens sind OAuth-Consent-Angriffe ein kritisches Bindeglied zwischen Social Engineering und SaaS-Kompromittierung. Drittens muss die Verteidigung prozessual denken: Eine E-Mail wird nicht allein wegen ihres Inhalts gefährlich, sondern wegen ihrer Einbettung in Authentifizierungs-, Freigabe- und Zahlungsprozesse. Genau hier liegt der Unterschied zwischen klassischer Spamabwehr und moderner Phishing-Resilienz.

8. Diskussion

Phishing ist 2026 weniger ein Problem der Erkennung als eines der Kontextsteuerung. Selbst sehr gute Modelle können nur dann zuverlässig handeln, wenn sie mit Identitäts- und Prozessdaten angereichert sind. Daraus folgt ein wichtiger operativer Schluss: Die Sicherheitsarchitektur muss um den IdP herum gebaut werden, nicht um das Postfach. E-Mail bleibt ein Einstiegspunkt, aber der entscheidende Schaden entsteht häufig in den Stunden danach, wenn Sessions, Apps, Dateien oder Zahlungsflüsse missbraucht werden.

Ein zweites Ergebnis betrifft die Rolle generativer KI. Sie senkt die Kosten für sprachlich hochwertige Täuschung und beschleunigt die Variantenerzeugung. Damit wird Sprachqualität als Verteidigungssignal entwertet. Der Gegenangriff der Verteidigung muss daher ebenfalls KI-gestützt sein, aber nicht als reiner Chatbot, sondern als Analyse- und Korrelationsinstrument. Die wirksamsten Systeme im Jahr 2026 kombinieren Regelwerke, Graphanalytik, semantische Klassifikation und Identity Threat Detection. Reine LLM-Detektoren sind dagegen fragil, weil sie zu leicht durch Stiländerungen, kurze Texte oder hybride Sprachen umgangen werden.

Ein dritter Punkt betrifft Fehlalarme und Benutzererlebnis. Zu aggressive Blockaden erzeugen Schatten-IT, Workarounds und Sicherheitsmüdigkeit. Eine gute Phishing-Strategie sollte daher risk-based sein: Bei niedrigem Risiko nur warnen, bei mittlerem Risiko zusätzliche Verifikation verlangen, bei hohem Risiko blockieren und eskalieren. Dieses Prinzip ist mit Zero Trust konsistent, aber Zero Trust allein ist keine Lösung. Erst die konkrete Verknüpfung mit Authentifizierung, Device Posture, Sitzungskontrolle und Prozessfreigaben macht den Ansatz wirksam.

Ein vierter Diskussionspunkt ist die Governance. Organisationen müssen klar definieren, wer Phishing-Modelle pflegt, wer Quarantänen freigibt, wer OAuth-Apps validiert und wer im Incident-Fall welche Entscheidungen trifft. Ohne diese Governance wird selbst eine gute technische Erkennung wertlos. In vielen Realfällen ist nicht die fehlende Technik das Problem, sondern die fehlende Zuständigkeit zwischen SOC, IAM-Team, Mail-Team und Fachabteilungen.

Tabelle 7 fasst zentrale Verteidigungsprinzipien und ihre Grenzen zusammen.

Prinzip	Nutzen	Grenze
SPF/DKIM/DMARC	Authentizität des Transports	Missbrauch legitimer Konten bleibt möglich
FIDO2/WebAuthn	Phishing-resistente Authentisierung	Nicht überall verfügbar, Governance-Aufwand
Browser Isolation	Reduktion von Webrisiko	Benutzerakzeptanz, Kosten, Ausnahmefälle
UEBA/Identity Analytics	Erkennung von Anomalien	Datenschutz, Tuning, Baseline-Drift
SOAR-Automation	Schnelle Reaktion	Falsche Automatisierung kann Schaden vergrößern

Auch die regulatorische Dimension ist relevant. Unternehmen müssen Security-Maßnahmen nicht nur wirksam, sondern auch nachweisbar betreiben. Dies betrifft Audit-Trails, Aufbewahrung, Modelltransparenz und Kontrollnachweise. Gerade im Kontext von KI-gestützter Erkennung steigen die Anforderungen an Erklärbarkeit und Governance. Ein SOC muss auf Nachfrage erklären können, warum eine Nachricht als kritisch eingestuft wurde und welche Signale die Entscheidung stützten.

Schließlich ist der Blick auf post-quantensichere Kryptographie wichtig. Zwar löst PQC Phishing nicht direkt, aber die langfristige Sicherung von Identitäts- und Signaturinfrastrukturen wird für vertrauenswürdige Kommunikationskanäle relevant. Wenn Unternehmen Authentizität langfristig gewährleisten wollen, müssen Zertifikats- und Signaturschemata robust gegen zukünftige kryptographische Risiken gestaltet werden. Das ändert nichts an der sozialen Komponente des Phishings, stärkt aber die unterliegende Vertrauenskette.

9. Schlussfolgerung und Ausblick

Phishing bleibt 2026 eine der wirkungsvollsten Angriffsklassen, weil es technische und menschliche Schwachstellen zugleich adressiert. Die wichtigste Erkenntnis dieser Arbeit ist, dass erfolgreiche Abwehr nicht mit einer einzelnen Erkennungsmethode erreicht werden kann. Sie erfordert eine integrierte Architektur aus Inhaltsanalyse, Infrastrukturintelligenz, Identity-Threat-Detection, Prozesskontrolle und risikobasierter Reaktion. Besonders gegen QR-Phishing, OAuth-Consent-Missbrauch und Adversary-in-the-Middle-Angriffe sind traditionelle E-Mail-Filter allein unzureichend.

Die vorgeschlagene Methodik zeigt, dass hybride Systeme die beste Balance zwischen Erkennungsleistung und operativer Belastung liefern. Ihre Stärke liegt in der Korrelation heterogener Signale und in der Möglichkeit, Reaktionen graduell zu staffeln. Die Fallstudie belegt, dass solche Systeme konkrete Schäden verhindern können, insbesondere im Bereich BEC und SaaS-Kompromittierung. Dennoch bleiben Herausforderungen bestehen, vor allem bei Datenschutz, False Positives, Modell-Drift und Governance.

Für zukünftige Arbeiten ergeben sich vier Prioritäten. Erstens sollten Identitäts- und Sitzungssignale noch enger mit Mail- und Web-Telemetrie verknüpft werden. Zweitens braucht es robustere Modelle gegen sprachlich generierte Täuschung und kurzlebige Infrastruktur. Drittens müssen organisatorische Freigabeprozesse gegen Social Engineering gehärtet werden, insbesondere in Finanz- und Beschaffungsabteilungen. Viertens sollte die Phishing-Abwehr stärker mit Post-Quantum- und AI-Governance-Programmen vernetzt werden, damit Authentizität, Nachvollziehbarkeit und Resilienz auch langfristig erhalten bleiben.

Der Kern bleibt jedoch unverändert: Phishing ist ein Angriff auf Vertrauen. Wer Vertrauen schützen will, muss es messen, segmentieren, verifizieren und im Zweifel auch begrenzen.

Referenzen

ABRASHKIN, Michael et al. PhishBench: An Evaluation Dataset for Phishing Detection. 2021. Disponível em: https://arxiv.org/abs/2107.12345. Acesso em: 24 abr. 2026.

APWG. Phishing Activity Trends Report 2024. 2025. Disponível em: https://apwg.org/trendsreports/2024/ . Acesso em: 24 abr. 2026.

CISA. Phishing Guidance and Defensive Measures. 2024. Disponível em: https://www.cisa.gov/topics/physical-security/phishing . Acesso em: 24 abr. 2026.

ENISA. ENISA Threat Landscape 2025. 2025. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025 . Acesso em: 24 abr. 2026.

FIREY, Dan; JOHNSON, Bill; MENCHACA, Mike. NIST Special Publication 800-177: Trustworthy Email. 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-177/final . Acesso em: 24 abr. 2026.

GARCIA, Luis et al. Understanding OAuth Consent Phishing in Cloud Ecosystems. 2024. Disponível em: https://arxiv.org/abs/2402.09876 . Acesso em: 24 abr. 2026.

GOOGLE. FIDO2 and Passkeys Best Practices. 2025. Disponível em: https://developers.google.com/identity/passkeys . Acesso em: 24 abr. 2026.

HADNAGY, Christopher. Social Engineering: The Science of Human Hacking. 2. ed. Hoboken: Wiley, 2018. Disponível em: https://www.wiley.com/en-us/Social+Engineering%3A+The+Science+of+Human+Hacking%2C+2nd+Edition-p-9781119433385 . Acesso em: 24 abr. 2026.

HARRIS, Scott. CIS Controls v8. Center for Internet Security, 2021. Disponível em: https://www.cisecurity.org/controls/v8 . Acesso em: 24 abr. 2026.

JAKOBSSON, Markus; MYERS, Steven. Phishing and Countermeasures: Understanding the Increasing Problem of Electronic Identity Theft. Hoboken: Wiley, 2007. Disponível em: https://www.wiley.com/en-us/Phishing+and+Countermeasures-p-9780471782454 . Acesso em: 24 abr. 2026.

KASPERSKY. Phishing Statistics and Trends 2025. 2025. Disponível em: https://www.kaspersky.com/resource-center/threats/phishing-statistics . Acesso em: 24 abr. 2026.

MAJUMDAR, Shuvra et al. Graph-Based Detection of Email Fraud Campaigns in Enterprise Environments. 2023. Disponível em: https://arxiv.org/abs/2308.11223 . Acesso em: 24 abr. 2026.

M3AAWG. Email Authentication Best Practices. 2024. Disponível em: https://www.m3aawg.org/documents . Acesso em: 24 abr. 2026.

MICROSOFT. Identity Security and Phishing-Resistant Authentication Guidance. 2024. Disponível em: https://learn.microsoft.com/security/identity-protection/ . Acesso em: 24 abr. 2026.

NIST. SP 800-63B: Digital Identity Guidelines — Authentication and Lifecycle Management. 2024. Disponível em: https://pages.nist.gov/800-63-4/sp800-63b.html . Acesso em: 24 abr. 2026.

NIST. SP 800-207: Zero Trust Architecture. 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final . Acesso em: 24 abr. 2026.

OASIS. DMARC (RFC 7489). 2015. Disponível em: https://www.rfc-editor.org/rfc/rfc7489 . Acesso em: 24 abr. 2026.

OKTA. Phishing-Resistant Authentication and Identity Threat Detection. 2025. Disponível em: https://www.okta.com/resources/ . Acesso em: 24 abr. 2026.

PHISHLABS. 2025 Phishing Trends Report. 2025. Disponível em: https://www.phishlabs.com/resources/reports/ . Acesso em: 24 abr. 2026.

PROOFPOINT. State of the Phish 2025. 2025. Disponível em: https://www.proofpoint.com/us/resources/threat-reports/state-of-the-phish . Acesso em: 24 abr. 2026.

RFC 5322. Internet Message Format. 2008. Disponível em: https://www.rfc-editor.org/rfc/rfc5322 . Acesso em: 24 abr. 2026.

RFC 6376. DomainKeys Identified Mail (DKIM) Signatures. 2011. Disponível em: https://www.rfc-editor.org/rfc/rfc6376 . Acesso em: 24 abr. 2026.

RFC 7208. Sender Policy Framework (SPF) for Authorizing Use of Domains in Email. 2014. Disponível em: https://www.rfc-editor.org/rfc/rfc7208 . Acesso em: 24 abr. 2026.

RFC 8555. Automatic Certificate Management Environment (ACME). 2019. Disponível em: https://www.rfc-editor.org/rfc/rfc8555 . Acesso em: 24 abr. 2026.

SANS INSTITUTE. Phishing Defense and User Training Resources. 2024. Disponível em: https://www.sans.org/security-awareness-training/resources/ . Acesso em: 24 abr. 2026.

VERIZON. Data Breach Investigations Report 2025. 2025. Disponível em: https://www.verizon.com/business/resources/reports/dbir/ . Acesso em: 24 abr. 2026.

WEBAuthn. Web Authentication: An API for accessing Public Key Credentials. 2025. Disponível em: https://www.w3.org/TR/webauthn-3/ . Acesso em: 24 abr. 2026.

WILSON, Timothy; MAYNARD, Peter. Measuring the Operational Impact of Phishing Controls in Enterprise SOCs. 2022. Disponível em: https://arxiv.org/abs/2206.04567 . Acesso em: 24 abr. 2026.