Phishing-Volumen sinkt um 20 % – warum das Risiko trotzdem steigt

Weniger Phishing-Mails, mehr Schaden – wie passt das zusammen?

Die neuesten Zahlen klingen zunächst wie eine gute Nachricht: Das globale Phishing-Volumen ist um rund 20 % zurückgegangen. Weniger Angriffe, weniger Gefahr – könnte man meinen. Doch wer genauer hinschaut, erkennt das Gegenteil. Angreifer verschicken zwar weniger Mails, aber jede einzelne davon ist gefährlicher als je zuvor.

Der Grund: Künstliche Intelligenz hat die Einstiegshürde für hochwertige Angriffe dramatisch gesenkt. Was früher ein erfahrenes Team aus Social-Engineering-Spezialisten erforderte, erledigt heute ein gut konfiguriertes Sprachmodell in Minuten.

Von der Gießkanne zum Präzisionswerkzeug

Klassisches Phishing funktionierte nach dem Prinzip Masse statt Klasse: Millionen generischer Mails, schlechtes Deutsch, verdächtige Absenderadressen, offensichtliche Grammatikfehler. Die Erkennungsrate war hoch – sowohl bei technischen Filtern als auch beim gesunden Menschenverstand der Empfänger.

Das hat sich grundlegend geändert. KI-generierte Phishing-Mails:

• sprechen Empfänger namentlich und kontextbezogen an (Name, Rolle, aktuelles Projekt)
• imitieren den Schreibstil bekannter Kollegen oder Vorgesetzter überzeugend
• enthalten keine typischen Rechtschreib- oder Grammatikfehler mehr
• passen Ton und Inhalt an Branche, Unternehmen und sogar Tageszeit an

Das Ergebnis sind Nachrichten, die selbst erfahrene IT-Profis ins Grübeln bringen. Spear-Phishing, das früher aufwendige manuelle Recherche erforderte, ist heute skalierbar geworden.

Warum E-Mail-Authentifizierung jetzt strategisch wichtiger ist

Viele Unternehmen betrachten DMARC, SPF und DKIM noch immer als Spam-Abwehr – als technische Hygiene, die man einmal einrichtet und dann vergisst. Diese Sichtweise greift zu kurz, besonders in einer Welt, in der Angriffe gezielter und überzeugender werden.

E-Mail-Authentifizierung löst ein fundamentales Problem: Sie beantwortet die Frage, ob eine Mail wirklich von der Domain kommt, von der sie zu kommen vorgibt. Kein Sprachmodell der Welt kann eine korrekt konfigurierte DMARC-Policy umgehen, wenn es keine Kontrolle über die sendende Domain hat.

Konkret bedeutet das:

• SPF legt fest, welche Server im Namen einer Domain senden dürfen.
• DKIM signiert Nachrichten kryptografisch – Manipulation wird erkennbar.
• DMARC verbindet beides und gibt Empfangsservern klare Anweisungen: zustellen, in Quarantäne oder ablehnen.

Ein Angreifer, der eine überzeugende Mail im Namen von [email protected] verschickt, scheitert an einer strikten DMARC-Policy mit p=reject – unabhängig davon, wie gut der Text formuliert ist.

Das Problem mit “wir haben DMARC ja schon”

DMARC einzurichten ist der erste Schritt. Der entscheidende zweite Schritt ist, es richtig zu betreiben. In der Praxis sieht das oft so aus:

• Policy steht auf p=none – Monitoring-Modus, aber kein aktiver Schutz
• Aggregate Reports werden nicht ausgewertet, weil das Format (XML) unhandlich ist
• Neue Dienste (Newsletter-Tool, CRM, Cloud-Telefonie) senden plötzlich E-Mails, ohne im SPF-Record zu stehen
• DKIM-Schlüssel wurden nie rotiert

Genau hier entstehen die Lücken, die raffinierte Angreifer ausnutzen. Eine KI-gestützte Phishing-Kampagne muss keine technischen Schwachstellen finden – sie sucht nach Domains, die zwar DMARC haben, aber mit p=none und veralteten SPF-Einträgen.

Aggregate Reports als Frühwarnsystem

DMARC-Aggregate-Reports sind das Frühwarnsystem, das die meisten Unternehmen nicht nutzen. Empfangsserver wie Gmail, Microsoft 365 oder Yahoo schicken täglich Berichte zurück, welche Mails im Namen eurer Domain zugestellt oder abgelehnt wurden – und warum.

In diesen Reports stecken wertvolle Signale:

• Unbekannte IP-Adressen, die im Namen eurer Domain senden
• Dienste, die DKIM-Signaturen nicht korrekt setzen
• Spoofing-Versuche, die an p=reject gescheitert sind

Das Problem: Die Reports kommen als XML-Dateien, die ohne Werkzeug kaum lesbar sind. Wer sie nicht auswertet, fährt blind.

Von p=none zu p=reject – der Weg zur echten Absicherung

Der Weg zu einer robusten E-Mail-Authentifizierung ist kein Sprint, aber auch kein Marathon. Ein strukturierter Ansatz:

1. Bestandsaufnahme: Welche Domains sendet ihr aktiv? Welche sind “schlafend”, könnten aber für Spoofing missbraucht werden?
2. Monitoring aktivieren: DMARC mit p=none und einer Reporting-Adresse einrichten, Reports sammeln.
3. Reports auswerten: Alle legitimen Mailquellen identifizieren und in SPF und DKIM eintragen.
4. Policy verschärfen: Schrittweise von p=none zu p=quarantine zu p=reject.
5. Laufend überwachen: Neue Dienste, geänderte IP-Ranges, abgelaufene DKIM-Schlüssel – das ändert sich ständig.

Schritt 5 ist der, den die meisten überspringen. Dabei ist er der wichtigste: Eine einmal korrekte Konfiguration bleibt nicht automatisch korrekt.

Weniger Mails, höherer Einsatz

Der Rückgang des Phishing-Volumens ist kein Zeichen nachlassenden Interesses der Angreifer. Es ist ein Zeichen, dass sie effizienter geworden sind. Weniger Streuverlust, mehr Treffsicherheit – das ist das Kalkül hinter KI-gestütztem Phishing.

Für IT-Admins und Security-Teams bedeutet das: Die Messlatte liegt höher. Technische Kontrollen wie DMARC müssen nicht nur vorhanden, sondern aktiv und korrekt konfiguriert sein. Und sie müssen kontinuierlich überwacht werden, weil sich die Angriffsfläche ständig verändert.

Prüft jetzt, wie eure Domain aufgestellt ist – mit dem kostenlosen Domain-Check von DMARCPulse: dmarcpulse.io/de/free-domain-check