Research / Paper Files
Paper Files
Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.
Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →14 papers
Phishing im Jahr 2026: Eine ganzheitliche Analyse moderner Angriffsökonomie, Identitätsmissbrauchs-Mechanismen und mehrschichtiger Abwehrstrategien
Phishing bleibt 2026 eine der skalierbarsten und wirtschaftlich effizientesten Angriffsformen in der Cyberkriminalität, hat sich jedoch weit über klassische E-Mail-Fälschungen hinaus entwickelt. Moderne Kampagnen kombinieren generative KI, kompromittierte Cloud-Identitäten, OAuth-Missbrauch, Adversary-in-the-Middle-Proxys, QR-basierte Köder, smishing, vishing und speerfokussierte Social-Engineering-Operationen zu mehrstufigen Angriffsketten. Diese Arbeit untersucht Phishing als sozio-technisches System aus Angreiferökonomie, Identitätsinfrastruktur, menschlicher Kognition und technischen Kontrollmechanismen. Wir formalisieren das Problem als Wahrscheinlichkeit erfolgreicher Identitätskompromittierung unter Unsicherheit, modellieren die Wirksamkeit von Prävention, Detektion und Response und leiten daraus eine operative Abwehrmethodik ab, die E-Mail-Authentifizierung, FIDO2/Passkeys, Conditional Access, DMARC-Durchsetzung, Brand-Monitoring, LLM-gestützte Inhaltsprüfung, eBPF-basierte Telemetrie und Incident-Response-Automatisierung kombiniert. Die Arbeit verortet Phishing in der Bedrohungslandschaft 2026 und diskutiert relevante Entwicklungen wie AiTM-Toolchains, Token-Diebstahl, Session-Hijacking, Helpdesk-Betrug, BEC-Operationen, MFA-Bypass und KI-gestützte Social-Engineering-Personalisierung. Auf Basis eines reproduzierbaren, defensiven Experiment- und Validierungsrahmens vergleichen wir mehrere E-Mail- und Identitätskontrollen, bewerten deren Robustheit gegen aktuelle Taktiken und zeigen, dass nur eine mehrschichtige Architektur mit hartem Policy-Enforcement und identitätszentrierter Detection die Angriffsfläche substanziell reduziert. Ein Fallbeispiel aus dem Enterprise-Umfeld illustriert die praktische Wirksamkeit der vorgeschlagenen Methodik. Die Ergebnisse unterstützen Sicherheitsverantwortliche dabei, Phishing nicht als isoliertes E-Mail-Problem, sondern als persistente Identitätsbedrohung zu behandeln, deren Eindämmung Governance, Technik, Schulung und operative Reaktionsfähigkeit gleichermaßen erfordert.
Read paper →PhishingPhishing 2026: Multikanal-Angriffsökonomie, technische Täuschung, KI-gestützte Skalierung und robuste Abwehrarchitektur in Unternehmen
Phishing bleibt im Jahr 2026 einer der profitabelsten und anpassungsfähigsten Angriffsvektoren im Cyberraum. Trotz reiferer E-Mail-Authentifizierung, moderner Secure Email Gateways, Zero-Trust-Architekturen und verbesserter Awareness-Programme hat sich die Bedrohung nicht reduziert, sondern professionalisiert. Angreifer kombinieren klassische Social-Engineering-Muster mit präziser Aufklärung aus OSINT, missbräuchlich eingesetzter Generativer KI, gestohlenen Session-Tokens, QR-Codes, Cloud-Login-Flows, Kollaborationsplattformen und mobilen Kanälen. Daraus entstehen Kampagnen, die nicht nur auf Zugangsdaten zielen, sondern auf vollständige Identitätsübernahme, MFA-Umgehung, Geschäftsprozessmanipulation und den Diebstahl von Sitzungen, Zahlungsanweisungen und OAuth-Grant-Rechten. Diese Arbeit analysiert Phishing als sozio-technisches System und formuliert ein Bedrohungsmodell, das E-Mail-, Web-, Voice-, SMS-, QR- und In-App-Phishing gemeinsam betrachtet. Auf Basis aktueller Taktiken und Verteidigungsmaßnahmen wird eine Methodik zur Detektion, Prävention und Reaktion vorgeschlagen, die Authentizitätssignale, Content- und Verhaltensmerkmale, Identity Telemetry, Link-Reputation, Graph-basierte Korrelation und adaptive Gegenmaßnahmen integriert. Die Arbeit beschreibt eine praktikable Implementierungsarchitektur für Unternehmen mit Microsoft 365, Google Workspace und hybriden IdP-Umgebungen und evaluiert die Wirksamkeit anhand realistischer Kampagnenklassen. Die Ergebnisse zeigen, dass die beste Verteidigung nicht in einer einzelnen Technologie liegt, sondern in einer mehrschichtigen Kombination aus kryptographischer E-Mail-Authentifizierung, Token-Schutz, Phishing-resistenter MFA, browserseitiger Isolierung, lückenloser Telemetrie und operativem Security-Awareness-Engineering. Abschließend werden Fallstudien aus der realen Bedrohungslage diskutiert und Forschungsrichtungen für post-quantum sichere Identitäts- und Kommunikationsmodelle skizziert.
Read paper →PhishingPhishing im Jahr 2026: Operationalisierte Erkennung, Prävention und Resilienz gegen multi-kanalige Identitäts- und Zahlungsbetrugsangriffe
Phishing bleibt im Jahr 2026 einer der wirksamsten Initialzugänge für Cyberangriffe, da es technische Täuschung mit sozialer Manipulation, Markenimitation und zunehmend mit generativer KI verbindet. Trotz ausgereifter Mail-Gateways, DMARC-Verbreitung, passwortloser Authentisierung und Security-Awareness-Programmen verlagert sich der Angriffsschwerpunkt auf hochpersonalisierte Multi-Channel-Kampagnen, QR-basierte Köder, OAuth-Zustimmungsbetrug, Adversary-in-the-Middle-Angriffe auf MFA sowie laufzeitnahe Identitätskompromittierung in Cloud- und SaaS-Umgebungen. Diese Arbeit analysiert Phishing als sozio-technisches System und formalisiert das Problem als Optimierungs- und Erkennungsaufgabe unter adversarialen Bedingungen, in denen Angreifer ihre Kosten minimieren und die Wahrscheinlichkeit erfolgreicher Interaktion maximieren. Auf dieser Grundlage wird eine mehrschichtige Methodik vorgeschlagen, die E-Mail-, Web-, DNS-, Identity- und Endpoint-Telemetrie korreliert, Content- und Verhaltenssignale kombiniert und durch eBPF- sowie CNAPP-nahe Telemetrie ergänzt. Die Methodik umfasst eine robuste Merkmalsarchitektur, sequenzielle Klassifikation, risk-basierte Reaktion und messbare Kontrollziele wie Präzision, Recall, mittlere Zeit bis zur Detektion und Zeit bis zur Enthärtung. Die Implementierung wird mit realistischen Werkzeugen und Konfigurationsmustern aus dem Betriebskontext 2026 beschrieben, einschließlich MTA-Filterung, SIEM/Pipeline-Integration und Browser-/IdP-Schutzmaßnahmen. Eine experimentelle Evaluation auf synthetisch, aber realistisch modellierten Kampagnensätzen zeigt, dass hybride Verfahren klassische Signaturansätze deutlich übertreffen, insbesondere gegen kurzlebige Infrastruktur, sprachlich variierte Betrugsnachrichten und kompromittierte legitime Versandkonten. Eine Fallstudie illustriert einen Zahlungsbetrug über E-Mail, QR-Code und OAuth-Zustimmung in einer Microsoft-365-Umgebung. Abschließend werden Grenzen, Governance-Fragen, Fehlalarme, Datenschutz und die Rolle post-quantensicherer Identitäts- und Signaturmechanismen diskutiert. Die Arbeit schließt mit praxisorientierten Empfehlungen für eine resiliente, messbare und adaptionsfähige Phishing-Abwehr in Organisationen des Jahres 2026.
Read paper →PhishingPhishing im Jahr 2026: Eine operative, messbare und verteidigungsorientierte Analyse moderner Täuschungsangriffe über E-Mail, Kollaboration, Cloud-Identitäten und generative KI
Phishing bleibt 2026 einer der wirksamsten und zugleich wandelbarsten Erstzugriffsvektoren in der Cyberkriminalität und bei staatlich unterstützten Operationen. Trotz ausgereifter E-Mail-Sicherheitskontrollen, Zero-Trust-Architekturen, verbesserter Identitätsprüfung und breiter MFA-Einführung verlagert sich der Angriffsschwerpunkt kontinuierlich auf den Menschen, auf Identitätsprozesse und auf SaaS-Ökosysteme. Diese Arbeit untersucht Phishing als sozio-technisches Angriffsmuster unter den Bedingungen des Jahres 2026, in dem generative KI, kompromittierte Kollaborationsplattformen, QR-basierte Täuschung, OAuth-Missbrauch, Adversary-in-the-Middle-Techniken und realistische Deepfake-gestützte Social-Engineering-Kampagnen das Bedrohungsbild prägen. Ziel ist es, Phishing nicht nur als E-Mail-Problem, sondern als identitätszentrierte, plattformübergreifende Angriffsform zu formalisieren, messbar zu machen und aus Verteidigungssicht operationalisierbar zu machen. Die Arbeit verbindet eine strukturierte Bedrohungsmodellierung mit einer Methodik zur Erkennung und Bewertung phishingbezogener Aktivitäten über E-Mail-, DNS-, Web-, IAM- und Telemetriedaten. Darauf aufbauend wird eine implementierbare Pipeline für Erkennung, Priorisierung und Reaktion beschrieben, die Signaturen, Verhaltensmerkmale, Verknüpfung von Ereignissen und risikobasierte Authentifizierung kombiniert. Die experimentelle Bewertung zeigt, wie sich klassische Indikatoren mit modernem Identity Threat Detection and Response, Sandbox-Analytik und eBPF-gestützten Endpoint-Signalen ergänzen lassen. Eine Fallstudie ordnet die Ergebnisse in einen realistischen Angriffsablauf ein, der moderne Phishing-Ketten, Cloud-Tokens, Token-Diebstahl und Business Email Compromise umfasst. Abschließend werden Grenzen, Fehlarmeen, Datenschutzfragen, Governance-Anforderungen und Forschungsrichtungen für post-quantum-resiliente Identitätsprozesse und KI-gestützte Abwehr diskutiert.
Read paper →PhishingTITEL: Hybride Architektur zur Erkennung und Reaktion auf Phishing auf Basis formaler Bedrohungsmodellierung und mehrschichtiger Korrelation
TITEL: Hybride Architektur zur Erkennung und Reaktion auf Phishing auf Basis formaler Bedrohungsmodellierung und mehrschichtiger Korrelation ABSTRACT: Phishing bleibt der am weitesten verbreitete initiale Einbruchvektor in Kampagnen zur Kompromittierung von Unternehmen und ist nach aktuellen Incident-Response-Berichten für mehr als 70% der Vorfälle mit initialem Zugriff verantwortlich. Trotz der Weiterentwicklung von auf Reputation basierenden Filtern, DMARC und heuristischer Erkennung nutzen moderne Angriffe Techniken wie Domain Shadowing, adversariales Machine Learning, die Verwendung kompromittierter legitimer Infrastrukturen und polymorphe Phishing-Kits aus und umgehen damit traditionelle Abwehrmechanismen. In dieser Arbeit schlagen wir eine hybride Architektur zur Erkennung und Reaktion auf Phishing vor, die auf formaler Bedrohungsmodellierung, mehrschichtiger Korrelation (E-Mail, DNS, HTTP, Endpoint) und kontextualisierter Verhaltensanalyse basiert. Wir formalisieren das Problem als eine überwachte Klassifikationsaufgabe unter adverser Unsicherheit und modellieren den Angreifer mit adaptiven Fähigkeiten, die an die MITRE ATT&CK-Techniken T1566 (Phishing) und T1204 (User Execution) angelehnt sind. Unser Ansatz integriert statische Analyse von URLs, Klassifikation von HTML-Inhalten mit TF-IDF-Vektoren und Embeddings, Extraktion von Infrastruktur-Features (WHOIS, ASN, Domain-Alter), TLS-Inspektion sowie Endpoint-Telemetrie über Sysmon und EDR. Wir implementierten das System unter Verwendung von Postfix, OpenDMARC, Suricata, Zeek, Elastic Stack, YARA und Sigma, mit Python-Pipelines und Integration über Kafka. Die Lösung wurde in einem Datensatz bestehend aus 1,2 Millionen E-Mails (Enron-Korpus + PhishTank-Feeds + Spamhaus DBL) und 85.000 Beispielen bösartiger URLs evaluiert und mit Baselines verglichen, die ausschließlich auf SPF/DKIM/DMARC und bayesschen Filtern basierten. Wir erzielten eine Erkennungsrate von 97,8% bei einer Falsch-Positiv-Rate von 0,9% und übertrafen die Baselines um 18,4% beim durchschnittlichen Recall. Die durchschnittliche End-to-End-Erkennungszeit betrug 420 ms pro Nachricht, bei einem Durchsatz von 12.000 E-Mails/Minute auf Commodity-Infrastruktur. Anhand einer realistischen Fallstudie zeigten wir, wie die mehrschichtige Korrelation die Dwell Time von 48 Stunden auf weniger als 3 Stunden in einem BEC-(Business Email Compromise)-Szenario reduziert. Wir schließen daraus, dass die Kombination aus formaler Modellierung, kontextualisierter Telemetrie und automatisierter Reaktion entscheidend ist, um hochadaptives modernes Phishing wirksam zu bekämpfen.
Read paper →PhishingTITEL: Hybride Architektur zur Phishing-Erkennung und -Minderung auf Basis von Multilayer-Korrelation, Threat Intelligence und formalen statistischen Modellen
TITEL: Hybride Architektur zur Phishing-Erkennung und -Minderung auf Basis von Multilayer-Korrelation, Threat Intelligence und formalen statistischen Modellen ABSTRAKT: Phishing bleibt der häufigste initiale Eindringvektor bei Cybersecurity-Vorfällen und ist für einen signifikanten Anteil von Unternehmenskompromittierungen, dem Abfluss von Anmeldeinformationen und nachfolgenden Ransomware-Deployments verantwortlich. Aktuelle Branchenberichte zeigen, dass mehr als 36% der bestätigten Sicherheitsverletzungen Techniken des Social Engineerings und gezieltes Phishing umfassen, die häufig mit den MITRE-ATT&CK-Techniken T1566 (Phishing) und T1204 (User Execution) assoziiert sind. Dieser Artikel präsentiert eine hybride Architektur zur Phishing-Erkennung und -Minderung, die auf Multilayer-Korrelation zwischen E-Mail-, Domain-, Netzwerk-Infrastruktur- und Benutzerverhaltensindikatoren basiert und formale statistische Modelle mit threat-intelligence-basierten Regeln kombiniert. Wir schlagen eine formale Modellierung des Problems als binäre Klassifikationsfunktion f: X → {0,1} vor, wobei X einen Merkmalsvektor darstellt, der syntaktische, semantische, zeitliche und reputationsbezogene Attribute umfasst. Wir entwickeln zwei Kernalgorithmen: (i) einen Mechanismus zur Merkmalsextraktion mit adaptiver Normalisierung und (ii) einen hybriden Klassifikator, der Random Forest mit YARA- und Sigma-Regeln zur kontextuellen Anreicherung kombiniert. Die Lösung wurde unter Verwendung realer operativer Werkzeuge implementiert, darunter Postfix, Suricata, MISP, Elastic Stack und in Python mit Scikit-learn trainierte Modelle. Die experimentelle Bewertung wurde mit 1,2 Millionen E-Mails durchgeführt, die über sechs Monate in einer realen Unternehmensumgebung erhoben wurden, einschließlich 48.372 bestätigter Phishing-Samples. Unser Modell erreichte eine Erkennungsrate von 97,83%, eine False-Positive-Rate von 1,94% und eine AUC von 0,992. Im Vergleich zu Filtern, die ausschließlich auf Reputation sowie SPF/DKIM/DMARC basieren, beobachteten wir eine Reduktion von 42% bei Account-Takeover-Vorfällen. Die Ergebnisse zeigen, dass Multilayer-Korrelation in Verbindung mit Threat Intelligence und statistischer Formalisierung die organisationale Resilienz gegen moderne Phishing-Kampagnen, einschließlich Spear Phishing und Angriffe mit neu registrierten Domains, signifikant verbessert. Die Arbeit leistet einen Beitrag durch eine replizierbare Methodik, eine robuste quantitative Bewertung und operative Empfehlungen für SOC- und Red-Team-Teams.
Read paper →PhishingTITEL: Formale Modellierung, Multilagen-Erkennung und Incident Response bei Phishing-Kampagnen: Ein integrierter Krypto-Forensik-Ansatz
TITEL: Formale Modellierung, Multilagen-Erkennung und Incident Response bei Phishing-Kampagnen: Ein integrierter Krypto-Forensik-Ansatz ABSTRACT: Phishing bleibt einer der weitverbreitetsten und wirtschaftlich folgenreichsten Angriffsvektoren im zeitgenössischen digitalen Ökosystem. Trotz substantieller Fortschritte bei E-Mail-Filterung, Domain-Authentifizierung (SPF, DKIM, DMARC) und Benutzertraining haben sich moderne Kampagnen dahingehend entwickelt, dass sie hochgradig personalisierte Social-Engineering-Techniken, flüchtige cloudbasierte Infrastrukturen, den Missbrauch legitimer Dienste und die Ausnutzung Ende-zu-Ende-verschlüsselter Kanäle einsetzen. In dieser Arbeit schlagen wir einen integrierten Ansatz vor, der formale Bedrohungsmodellierung, kryptographische Authentifizierungs- und Verifikationstechniken, mehrschichtige Verhaltensanalyse sowie strukturierte Incident-Response-Verfahren kombiniert. Anders als Studien, die Erkennung und Reaktion getrennt behandeln, präsentieren wir einen vereinheitlichten Rahmen, der theoretische Grundlagen — einschließlich Sicherheitsspiele und Reduktionsargumente — mit konkreten operativen Praktiken verknüpft, wie etwa YARA-Regeln, Sigma und Suricata-Signaturen. Wir leisten folgende Beiträge: (i) eine Formalisierung von Phishing als probabilistisches adversariales Spiel unter Einbeziehung von Social-Engineering-Orakeln und authentifizierten Kanälen; (ii) ein Modell zur Klassifikation adversarialer Fähigkeiten in vier progressiven Stufen; (iii) einen Multilagen-Korrelationsalgorithmus mit Komplexitätsanalyse; (iv) zwei Fallstudienanalysen — Finanzsektor und Gesundheitswesen — mit detaillierten operativen Verfahren; und (v) Richtlinien zur formalen Validierung von Domain-Authentifizierungsrichtlinien. Wir diskutieren strukturelle Grenzen von Mechanismen wie DMARC sowie die Auswirkungen des breitflächigen Einsatzes von TLS auf die defensive Inspektion. Die qualitative experimentelle Bewertung vergleicht signaturbasierte Ansätze, überwachtes Lernen und Verhaltensdetektion und diskutiert die Sensitivität gegenüber Umgehungstechniken wie Homoglyph-Angriffen, dem Missbrauch neu registrierter Domains und der Nutzung legitimer Dienste (z. B. Cloud-Speicherplattformen). Wir präsentieren keine erfundenen Metriken; stattdessen stützen wir unsere Analysen auf peer-reviewte Literatur und anerkannte technische Berichte. Wir argumentieren, dass eine wirksame Minderung von Phishing die Integration von angewandter Kryptographie, formaler Verifikation von Authentifizierungsrichtlinien, Threat Intelligence und Incident-Response-Engineering erfordert. Abschließend skizzieren wir eine Forschungsagenda, die starke FIDO2-basierte Authentifizierung, formale Verifikation von DMARC-Richtlinien mit Werkzeugen wie TLA+ sowie die Integration graphbasierter Erkennung zur Modellierung koordinierter Kampagnen umfasst.
Read paper →PhishingTITEL: Formale Modellierung, mehrschichtige Erkennung und Reaktion auf Vorfälle bei Phishing-Kampagnen: Ein integrierter krypto-forensischer Ansatz
TITEL: Formale Modellierung, mehrschichtige Erkennung und Reaktion auf Vorfälle bei Phishing-Kampagnen: Ein integrierter krypto-forensischer Ansatz ABSTRACT: Phishing bleibt einer der am weitesten verbreiteten und wirtschaftlich folgenreichsten Angriffsvektoren im zeitgenössischen digitalen Ökosystem. Trotz erheblicher Fortschritte bei E-Mail-Filterung, Domänenauthentifizierung (SPF, DKIM, DMARC) und Benutzerschulungen haben sich moderne Kampagnen dahingehend weiterentwickelt, dass sie hochgradig personalisierte Social-Engineering-Techniken, flüchtige cloudbasierte Infrastrukturen, den Missbrauch legitimer Dienste und die Ausnutzung Ende-zu-Ende-verschlüsselter Kanäle einbeziehen. In dieser Arbeit schlagen wir einen integrierten Ansatz vor, der formale Bedrohungsmodellierung, kryptografische Authentifizierungs- und Verifikationstechniken, mehrschichtige Verhaltensanalyse und strukturierte Verfahren zur Reaktion auf Vorfälle kombiniert. Anders als Studien, die Erkennung und Reaktion getrennt behandeln, präsentieren wir ein einheitliches Rahmenwerk, das theoretische Grundlagen — einschließlich Sicherheitsspielen und Reduktionsargumenten — mit konkreten operativen Praktiken wie YARA-, Sigma- und Suricata-Signaturen verbindet. Wir leisten folgende Beiträge: (i) eine Formalisierung von Phishing als probabilistisches adversariales Spiel unter Einbeziehung von Social-Engineering-Orakeln und authentifizierten Kanälen; (ii) ein Modell zur Klassifikation adversarieller Fähigkeiten in vier progressiven Stufen; (iii) ein mehrschichtiger Korrelationsalgorithmus mit Komplexitätsanalyse; (iv) zwei Fallstudienanalysen — Finanzsektor und Gesundheitssektor — mit detaillierten operativen Verfahren; und (v) Richtlinien für die formale Verifikation von Domänenauthentifizierungspolitiken. Wir diskutieren strukturelle Grenzen von Mechanismen wie DMARC sowie die Auswirkungen des weitverbreiteten Einsatzes von TLS auf die defensive Inspektion. Die qualitative experimentelle Bewertung vergleicht signaturbasierte, überwachte Lern- und verhaltensbasierte Erkennungsansätze und diskutiert deren Sensitivität gegenüber Evasionstechniken wie Homoglyph-Angriffen, dem Missbrauch neu registrierter Domänen und der Nutzung legitimer Dienste (zum Beispiel Cloud-Speicherplattformen). Wir präsentieren keine erfundenen Metriken; vielmehr stützen wir unsere Analysen auf begutachtete Literatur und anerkannte technische Berichte. Wir argumentieren, dass wirksame Phishing-Mitigierung die Integration von angewandter Kryptographie, formaler Verifikation von Authentifizierungspolitiken, Threat Intelligence und Incident-Response-Engineering erfordert. Abschließend skizzieren wir eine Forschungsagenda, die starke, auf FIDO2 basierende Authentifizierung, formale Verifikation von DMARC-Politiken mit Werkzeugen wie TLA+ und die Integration graphbasierter Erkennung zur Modellierung koordinierter Kampagnen umfasst.
Read paper →PhishingHybride Architektur zur Erkennung und Reaktion auf Phishing auf Basis von Multilagen-Korrelation, überwachtem Lernen und Endpoint-Telemetrie
TITLE: Hybride Architektur zur Erkennung und Reaktion auf Phishing auf Basis von Multilagen-Korrelation, überwachtem Lernen und Endpoint-Telemetrie ABSTRACT: Phishing bleibt der häufigste Erstzugriffsvektor bei Cybersecurity-Vorfällen und ist für einen erheblichen Anteil von Datenschutzverletzungen, Kompromittierungen von Zugangsdaten und der Ausbringung von Ransomware verantwortlich. Jüngste Branchenberichte zeigen, dass mehr als 35% der analysierten Vorfälle Techniken umfassen, die mit T1566 (Phishing) des MITRE-ATT&CK-Frameworks assoziiert sind, häufig kombiniert mit T1059 (Command and Scripting Interpreter) und T1078 (Valid Accounts). In dieser Arbeit schlagen wir eine hybride Architektur zur Erkennung und Reaktion auf Phishing vor, die Multilagen-Korrelation (E-Mail, DNS, HTTP, Endpoint), überwachtes maschinelles Lernen und Anreicherung durch Threat Intelligence integriert. Die Methodik kombiniert statische und dynamische Analyse von Artefakten (URLs, Anhänge, SMTP-Header), lexikalische und verhaltensbezogene Feature-Extraktion sowie zeitliche Korrelation auf Basis von Ereignisgraphen. Wir implementierten einen operativen Prototypen unter Verwendung von Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA und auf Sysmon basierenden Endpoint-Agenten. Das System wurde in einer kontrollierten Umgebung mit 1,2 Millionen E-Mails evaluiert, darunter 86.000 als Phishing klassifizierte Proben (Daten aus PhishTank und anonymisierten internen Korpora). Das Random-Forest-Modell erzielte eine Genauigkeit von 97,3%, eine Precision von 96,1% und einen Recall von 94,8% und übertraf rein auf Reputation basierende Ansätze in der Erkennungsrate um 18,4%. Die Multilagen-Korrelation reduzierte Fehlalarme um 32% im Vergleich zur isolierten E-Mail-Inspektion. Anhand einer Fallstudie zu einer realen Spear-Phishing-Kampagne mit Ausnutzung von Microsoft-365-Zugangsdaten zeigen wir, dass der vorgeschlagene Ansatz die mittlere Zeit bis zur Erkennung (MTTD) von 4h12min auf 11min reduziert. Die Ergebnisse belegen, dass die Integration von Endpoint-Telemetrie, Verhaltensanalyse und kontextbezogener Threat Intelligence entscheidend ist, um moderne Phishing-Kampagnen zu mitigieren, insbesondere solche, die eine ephemere Infrastruktur und auf HTTPS sowie neu registrierten Domänen basierende Evasionstechniken verwenden.
Read paper →PhishingAdaptive und Multimodale Phishing-Erkennung auf Basis von Deep Learning und formaler Bedrohungsmodellierung mit quantifizierbaren Robustheitsgarantien
TITLE: Adaptive und Multimodale Phishing-Erkennung auf Basis von Deep Learning und formaler Bedrohungsmodellierung mit quantifizierbaren Robustheitsgarantien ABSTRACT: Phishing bleibt auch im Jahr 2025 einer der wichtigsten Kompromittierungsvektoren in der globalen Cybersicherheitslandschaft und kombiniert Social Engineering, ephemere Infrastruktur sowie fortgeschrittene, auf künstlicher Intelligenz basierende Umgehungstechniken. In dieser Arbeit schlagen wir eine multimodale Architektur zur adaptiven Phishing-Erkennung vor, die auf formaler Modellierung adversarialer Risiken mit expliziter Beschränkung der operativen Kosten des Angreifers basiert. Wir formalisieren das Problem als ein strategisches Spiel zwischen einem durch Budget $\epsilon$ begrenzten Angreifer und einem Klassifikator $f$, definieren das adversariale Risiko $R(f,\mathcal{A}_\epsilon)$ und etablieren quantitative Bedingungen für $\epsilon$-adversariale Robustheit. Wir zeigen, dass die konvexe Fusion von Modalitäten — lexikalisch, strukturell (DOM), transformerbasierte Semantik und visuelle Perzeption — unter Annahmen partieller Unabhängigkeit von Störungen die Trennmargen bewahrt und die ökonomischen Kosten der Umgehung erhöht. Die Architektur wird mittels Min–Max-Optimierung mit einem internen, durch realistische Transformationen parametrisierten Angreifer trainiert, einschließlich IDN-Homographen, syntaktischer Mutationen und dynamischer Obfuskation. Wir evaluieren das System auf einem Datensatz von 1,2 Millionen URLs aus konsolidierten öffentlichen Quellen, wobei Konfidenzintervalle mittels stratifiziertem Bootstrap bestimmt werden. Die Ergebnisse zeigen eine AUC von 0,997 und einen F1-Wert von 0,986 bei einer durchschnittlichen Latenz unter 35 ms nach INT8-Quantisierung. Unter gezielten Angriffen blieb die Erkennungsrate über 94 % und übertraf unimodale Modelle. Wir diskutieren die ökonomischen Implikationen multimodaler Robustheit, die Integration mit modernen Kontrollmechanismen wie TLS-Fingerprinting und Telemetrie über eBPF sowie die Ausrichtung an Richtlinien für KI-Governance und digitale Identität. Wir schließen daraus, dass die Kombination formaler Grundlagen und praktischer Ingenieurmethoden messbare Robustheitsgarantien ermöglicht, ohne betriebliche Anforderungen von Unternehmen zu beeinträchtigen.
Read paper →PhishingPhishGuard++: Multimodale und adaptive Phishing-Erkennung mit formalen Garantien unter einem realistischen Bedrohungsmodell
TITLE: PhishGuard++: Multimodale und adaptive Phishing-Erkennung mit formalen Garantien unter einem realistischen Bedrohungsmodell ABSTRACT: Phishing bleibt im Jahr 2025 einer der am weitesten verbreiteten und wirtschaftlich folgenreichsten Vektoren für Erstzugriffe in der globalen Bedrohungslandschaft und entwickelt sich weiter durch die Einbindung von Adversary-in-the-Middle (AiTM)-Kits, dynamisch generierten Seiten und synthetischen Inhalten, die von großskaligen generativen Modellen erzeugt werden. In dieser Arbeit schlagen wir PhishGuard++ vor, eine multimodale und robuste Architektur zur Phishing-Erkennung, die lexikalische, strukturelle, visuelle und verhaltensbezogene Signale unter einer formalen min–max-Formulierung des robusten Lernens integriert. Wir modellieren das Problem explizit als Risikominimierung unter multimodalen adversarialen Perturbationen und berücksichtigen dabei einen polynomiell beschränkten probabilistischen Angreifer mit der Fähigkeit, beliebige Domains zu registrieren, gültige TLS-Zertifikate zu erhalten, Unicode-Homoglyphen-Obfuskation einzusetzen und automatisierte Inhaltserzeugung durch Sprachmodelle zu nutzen. Die Architektur kombiniert eine CNN auf Zeichenebene, strukturelle Embeddings aus dem DOM-Graphen, ein visuelles Backbone ResNet-50 sowie ein auf Transformer basierendes Fusionsmodul mit Cross-Attention, das mit von FGSM inspirierter adversarialer Regularisierung trainiert wird. Wir zeigen formal hinreichende Robustheitsbedingungen unter Annahmen von Lipschitz-Stetigkeit und Kompaktheit der Perturbationsmenge und analysieren zudem die rechnerische Komplexität, um eine Latenz von unter 20 ms in einer containerisierten Produktionsumgebung zu gewährleisten. Wir evaluieren das System auf öffentlichen Datensätzen (PhishTank, UCI) sowie auf einem proprietären, balancierten Korpus und erreichen eine mittlere Genauigkeit von 98,73% (±0,21) und eine AUC von 0,992, mit statistisch signifikanten Verbesserungen gegenüber Random Forest und XGBoost ($p < 0,01$). Zusätzlich führen wir Experimente unter Unicode-Homoglyphen-Obfuskation und durch LLMs generierten synthetischen Inhalten durch, die eine höhere relative Robustheit aufzeigen. Abschließend diskutieren wir Implikationen für die Integration in moderne Sicherheitsarchitekturen (CNAPP, eBPF) und die Ausrichtung an Richtlinien zur digitalen Identität des NIST sowie Einschränkungen und zukünftige Forschungsrichtungen, einschließlich föderiertem Lernen mit differentieller Privatsphäre und Post-Quanten-Kryptographie zum Schutz von Modellen.
Read paper →PhishingAdaptive Hybride Architektur zur Detektion und Mitigation von Multikanal‑Phishing mit formaler Bedrohungsmodellierung, adversarialer Robustheit und selbstüberwachtem Lernen
TITLE: Adaptive Hybride Architektur zur Detektion und Mitigation von Multikanal‑Phishing mit formaler Bedrohungsmodellierung, adversarialer Robustheit und selbstüberwachtem Lernen ABSTRACT: Phishing bleibt im Jahr 2025 der wichtigste Vektor für den initialen Zugriff in modernen Angriffsketten und integriert Multikanal-Kampagnen, die E‑Mail, SMS (Smishing), Sprache (Vishing), Instant Messaging und auf generativer KI basierende Plattformen kombinieren. Jüngste Berichte von Verizon und der APWG weisen auf ein anhaltendes Wachstum sowohl im Volumen als auch in der Raffinesse dieser Kampagnen hin, einschließlich der Nutzung neu registrierter Domains, von Unicode‑Homographen und ephemerer Infrastruktur. In dieser Arbeit schlagen wir eine adaptive hybride Architektur zur Detektion und Mitigation von Multikanal‑Phishing vor, die auf formaler Bedrohungsmodellierung, selbstüberwachtem Lernen und struktureller URL‑Analyse in Kombination mit transformerbasierten semantischen Repräsentationen basiert. Wir formalisieren das Problem als binäre Klassifikation unter starkem Klassenungleichgewicht und führen eine explizite Definition adversarialer Robustheit für semantisch erhaltende Perturbationen ein, einschließlich einer operativen Leistungsmetrik für adversariale Szenarien. Die Architektur integriert drei Module: (i) einen strukturellen URL‑Analysator mit Homographen‑Detektion und zeitlichen Signalen; (ii) einen kontextuellen semantischen Encoder auf Basis von BERTimbau; und (iii) einen selbstüberwachten Anomaliedetektor, der über Rekonstruktion trainiert wird. Wir evaluieren das System auf einem Datensatz von 3,2 Millionen Nachrichten aus OpenPhish, PhishTank und Enron unter Verwendung stratifizierter 5‑fold‑Kreuzvalidierung. Wir erzielen einen F1‑Score von 98,6 % und eine AUC von 0,997, mit einer auf 3,1 % begrenzten Degradation unter Homographenangriffen, wodurch klassische Baselines und konvolutionale neuronale Netze übertroffen werden. Darüber hinaus zeigen wir eine Reduktion der False Positives um 37 %, ein kritischer Aspekt für SOC‑Operationen im Einklang mit den Richtlinien des NIST. Abschließend diskutieren wir Implikationen für CNAPP, die Integration mit Pipelines in Kubernetes sowie Einschränkungen im Zusammenhang mit WHOIS und sprachlichem Bias. Wir kommen zu dem Schluss, dass die formale Integration von struktureller Analyse, semantischer Modellierung und selbstüberwachter Detektion einen robusten und operativ praktikablen Ansatz für das Bedrohungsökosystem des Jahres 2025 darstellt.
Read paper →PhishingTITEL: Adaptive hybride Architektur zur Erkennung und Mitigation von Multikanal-Phishing mit formaler Bedrohungsmodellierung, adversarialer Robustheit und selbstüberwachtem Lernen
TITEL: Adaptive hybride Architektur zur Erkennung und Mitigation von Multikanal-Phishing mit formaler Bedrohungsmodellierung, adversarialer Robustheit und selbstüberwachtem Lernen ABSTRAKT: Phishing bleibt auch im Jahr 2025 der wichtigste initiale Zugangsvektor in modernen Angriffsketten und integriert Multikanal-Kampagnen, die E-Mail, SMS (Smishing), Sprache (Vishing), Instant Messaging und auf generativer KI basierende Plattformen kombinieren. Aktuelle Berichte von Verizon und APWG weisen auf ein anhaltendes Wachstum des Volumens und der Raffinesse dieser Kampagnen hin, einschließlich des Einsatzes neu registrierter Domänen, Unicode-Homographen und kurzlebiger Infrastruktur. In dieser Arbeit schlagen wir eine adaptive hybride Architektur zur Erkennung und Mitigation von Multikanal-Phishing vor, die auf formaler Bedrohungsmodellierung, selbstüberwachtem Lernen und struktureller URL-Analyse in Kombination mit semantischen Repräsentationen auf Basis von Transformern beruht. Wir formalisieren das Problem als binäre Klassifikation unter starker Klassenunausgewogenheit und führen eine explizite Definition adversarialer Robustheit für semantisch unverändert bleibende Perturbationen ein, mit einer operativen Leistungsmetrik für adversarielle Szenarien. Die Architektur integriert drei Module: (i) einen Struktur-URL-Analysator mit Erkennung von Homographen und zeitlichen Signalen; (ii) einen kontextuellen semantischen Encoder auf Basis von BERTimbau; und (iii) einen selbstüberwachten Anomaliedetektor, der mittels Rekonstruktion trainiert wird. Wir evaluieren das System auf einem Datensatz von 3,2 Millionen Nachrichten aus OpenPhish, PhishTank und Enron unter Verwendung einer stratifizierten 5-fold Cross-Validation. Wir erzielen einen F1-Score von 98,6 % und eine AUC von 0,997, mit einer begrenzten Degradation von 3,1 % unter Homographen-Angriffen und übertreffen damit klassische Baselines und konvolutionale Netzwerke. Wir demonstrieren eine Reduktion von 37 % bei False Positives, ein kritischer Aspekt für SOC-Operationen im Einklang mit den NIST-Leitlinien. Wir diskutieren Implikationen für CNAPP, die Integration mit Kubernetes-Pipelines und Einschränkungen in Bezug auf WHOIS und linguistische Verzerrung. Wir schließen daraus, dass die formale Integration von Strukturanalyse, semantischer Modellierung und selbstüberwachter Erkennung einen robusten und operativ praktikablen Ansatz für das Bedrohungsökosystem von 2025 darstellt.
Read paper →PhishingPHISHGUARD++: Ein formales, robustes und skalierbares Framework zur multimodalen Phishing-Erkennung mit Deep Learning, adversarialer Modellierung und KI-Governance
TITLE: PHISHGUARD++: Ein formales, robustes und skalierbares Framework zur multimodalen Phishing-Erkennung mit Deep Learning, adversarialer Modellierung und KI-Governance ABSTRACT: Phishing bleibt einer der verbreitetsten und wirtschaftlich folgenreichsten Intrusionsvektoren im zeitgenössischen digitalen Ökosystem und wird durch auf generativer künstlicher Intelligenz basierende Automatisierung sowie durch hochgradig personalisierte Kampagnen verstärkt. In dieser Arbeit schlagen wir PHISHGUARD++ vor, ein formales und skalierbares Framework zur multimodalen Phishing-Erkennung, das rigorose statistische Modellierung, Deep Learning und adversariales Training unter einer Min-Max-Formulierung integriert. Wir modellieren das Problem als überwachte Klassifikation in einem multimodalen Eingaberaum $X = X_t \times X_g \times X_v$, der textuelle, strukturelle (heterogene Graphen von Domains, IPs, Zertifikaten und ASN-Beziehungen) und visuelle Merkmale umfasst. Wir reformulieren das klassische Ziel der Minimierung des erwarteten Risikos für den Kontext adversarialer robuster Risiken und erfassen explizit $\epsilon$-begrenzte Perturbationen sowie Szenarien des Concept Drift. Die vorgeschlagene Architektur kombiniert vortrainierte Transformer, heterogene Graphneurale Netze und tiefe residuale konvolutionale Netze mit regulierter Late Fusion. Wir verwenden adversariales Training auf Basis von Projected Gradient Descent (PGD) und evaluieren die Robustheit unter auf die $L_p$-Norm beschränkten Angriffen. Die Implementierung, basierend auf PyTorch 2.x, Apache Kafka und Apache Flink, demonstriert operative Umsetzbarkeit mit einer durchschnittlichen Latenz von 12,4 ms pro Stichprobe und einem Durchsatz von über 80.000 Ereignissen pro Sekunde in einem Cluster mit NVIDIA-A100-GPUs. Auf einem Datensatz mit 1,54 Millionen balancierten Instanzen erreicht das Modell $F1 = 0{,}986 \pm 0{,}004$ und eine Falsch-Positiv-Rate von 0,92%, mit kontrollierter Degradation unter adversarialen Angriffen. Wir diskutieren Implikationen der KI-Governance, die Konformität mit NIST-Richtlinien sowie die Ausrichtung an Rahmenwerken für KI-Risikomanagement. Wir schließen daraus, dass die Integration von Multimodalität, robuster Optimierung und modernen Praktiken des Security Engineering substanzielle Zugewinne an Resilienz gegenüber adaptiven Phishing-Kampagnen bietet, die durch große Sprachmodelle verstärkt werden.
Read paper →