Phishing 2026 — die 7 neuen Mustertypen, die deine Mitarbeiter erkennen müssen

BSI-Lagebericht 2025: 80 % aller erfolgreichen Cyber-Vorfälle in DACH-KMU beginnen mit einem geklickten Phishing-Link. Was sich aber selten zeigt: die Methoden 2026 sind nicht die von 2022. Wer noch das „achte auf Rechtschreibfehler"-Training fährt, schult auf eine Bedrohung, die Phisher längst hinter sich gelassen haben.

Was sich seit 2024 geändert hat

Drei strukturelle Verschiebungen prägen die Phishing-Landschaft 2026: Generative KI hat die Sprach-Qualität auf nahezu native Niveau gehoben, MFA ist Massen-Standard geworden (und damit Angriffs-Vektor), und mobile Endgeräte sind 60 % der Geschäftskommunikation — aber die meisten Trainings setzen am Desktop-E-Mail-Client an.

Die 7 Mustertypen 2026

1. BEC — Business Email Compromise

Angreifer kompromittieren ein Geschäfts-Mail-Konto (häufig CEO oder CFO) und versenden gefälschte Zahlungsanweisungen. Durchschnittsschaden in DE 2024: 65.000 € pro Vorfall (BKA Lagebild 2025). Erkennung: ungewöhnliche Dringlichkeit, neue Konto-Nummer, Vier-Augen-Prinzip wird umgangen.

2. Lieferanten-Phishing

Variante des BEC: angeblicher Lieferant teilt eine „neue Bankverbindung" mit, nächste Rechnung wird auf Betrüger-Konto überwiesen. Funktioniert auch ohne Mail-Kompromittierung — reine Imitation reicht. Erkennung: Konto-Wechsel-Bestätigung IMMER telefonisch über bekannte Nummer.

3. MFA-Fatigue (Push-Bombing)

Angreifer haben Login-Daten + triggert 50 MFA-Push-Notifications binnen 10 Min. Opfer klickt aus Erschöpfung oder Verwechslung „Genehmigen". Erkennung: jede unerwartete MFA-Anfrage = sofort verweigern UND IT-Sicherheit benachrichtigen.

4. AI-Voice-Phishing (Vishing)

Mit 30 Sekunden Stimm-Sample (von Voice-Mail, Konferenz-Aufzeichnung, Social-Media-Video) lässt sich die CEO-Stimme synthetisch klonen. „Marc, ich brauche dringend eine Überweisung, kann nicht detailliert erklären." 2024 erster Fall mit 2,8 Mio. € Schaden in DE bekannt geworden.

5. QR-Phishing (Quishing)

QR-Codes in E-Mails oder als gedrucktes Aufkleben über echte QR-Codes (Restaurant-Tische, Parkautomaten). Klick führt auf Phishing-Seite. Mobile-only-Angriff — desktop-basierte Mail-Filter erkennen den Inhalt nicht. Erkennung: QR-Codes in geschäftlichen E-Mails sind 2026 fast immer verdächtig.

6. OAuth-Phishing (Consent-Attacks)

Statt Passwort-Diebstahl: gefälschte „Microsoft/Google" Login-Seite, die nach Zustimmung zum OAuth-Token fragt. Token gibt dauerhaft Zugriff auf Mails, Drive, Kalender — auch nach Passwort-Wechsel. Erkennung: nie OAuth-Berechtigungen ohne expliziten Anlass.

7. Calendar-Phishing

Angreifer schickt gefälschten Outlook-Termin mit Phishing-Link im Body. Outlook fügt den Termin automatisch ein. Opfer öffnet aus „Was ist das?"-Reflex. Erkennung: keine unbekannten Termine annehmen, Links im Termin-Body genau prüfen.

Was 2026 wirklich wirkt

• Realistische Phishing-Simulationen (mit den 2026er-Mustern, nicht 2018er)
• Spaced Repetition: alle 4-6 Wochen kurze Awareness-Module (10 Min)
• Konkrete Eskalations-Wege: „verdächtige Mail → 1-Klick-Melden"
• MFA-Fatigue als Trainings-Schwerpunkt — jede unerwartete Push verweigern
• Mobile-First-Training: 60 % der Mitarbeitenden lesen Mails am Handy

Fazit

Phishing 2026 ist nicht mehr „die schlechte E-Mail mit Rechtschreibfehler". Es ist sprachlich perfekt, mobile-first, multimodal und nutzt MFA als Angriffs-Oberfläche. Wer das Training nicht jedes Jahr aktualisiert, schult auf gestern. NIS-2 und ISO 27001 erwarten 2026 genau das.