Sicherheitsexperten warnen aktuell vor einer neuen Welle von Phishing-Kampagnen, die gezielt das Steuerportal Elster imitieren. In diesem Zusammenhang betonen Fachleute die dringende Notwendigkeit, auf moderne Authentifizierungsmethoden wie FIDO2-Hardware-Schlüssel umzustellen, um digitale Konten wirksam zu schützen. Die Relevanz dieser Warnung wird durch Daten der US-Cybersicherheitsbehörde CISA untermauert, wonach über 90 % der erfolgreichen Cyberangriffe ihren Ursprung in einer Phishing-E-Mail haben.
Wirtschaftliche Schäden durch Phishing erreichen Rekordniveau
Die finanziellen Folgen von Sicherheitsverletzungen, die auf Phishing zurückzuführen sind, bleiben auf einem hohen Niveau. Laut dem „Cost of a Data Breach Report 2025“ von IBM stellt Phishing mit einem Anteil von 16 % den häufigsten initialen Angriffsvektor dar. Ein solcher Vorfall verursache demnach durchschnittliche Kosten von 4,8 Mio. US-Dollar pro Breach, während der globale Durchschnitt bei 4,44 Mio. US-Dollar liege.
Auch nationale Erhebungen verdeutlichen das Ausmaß. Der britische „Cyber Security Breaches Survey 2025/2026“ zeigt, dass 38 % der Unternehmen und 25 % der Wohltätigkeitsorganisationen von Cyberangriffen betroffen waren. Der Anteil von Phishing an diesen Vorfällen lag bei Unternehmen bei 51 % und bei Wohltätigkeitsorganisationen sogar bei 57 %. Etwa 5 % der betroffenen Unternehmen verzeichneten in der Folge Umsatzverluste oder Einbußen beim Aktienwert – eine Steigerung gegenüber dem Vorjahreswert von 2 %.
Das FBI verzeichnete in seinem Internet Crime Report 2025 mit 191.561 Beschwerden im Bereich Phishing die höchste Fallzahl aller Kategorien. Besonders verlustreich erwiesen sich Business-Email-Compromise-Angriffe (BEC), die bei 24.768 Beschwerden zu Gesamtschäden von 3,046 Mrd. US-Dollar führten, was einem Durchschnitt von 123.000 US-Dollar pro Vorfall entspricht.
Technologische Abwehrmechanismen und neue Angriffsvektoren
Angesichts der steigenden Zahl gehackter Konten in Deutschland suchen viele Nutzer nach sichereren Alternativen zum klassischen Passwort. Dieser kostenlose Report zeigt, wie Sie die neue Passkey-Technologie bei Diensten wie Amazon oder WhatsApp sofort einrichten. Sicher, bequem und passwortlos – Passkey-Ratgeber gratis sichern
Als Reaktion auf die anhaltende Bedrohungslage passt Microsoft seine Sicherheitsstrategie an. Passkeys werden für neue Nutzer von Microsoft Entra ID zur Standard-Authentifizierung. Diese basieren auf dem FIDO2-Standard, nutzen Public-Key-Kryptografie und gelten als resistent gegen klassisches Phishing. Organisationen behalten dabei weiterhin die Kontrolle über ihre spezifischen Authentifizierungsrichtlinien.
Gleichzeitig entwickeln Angreifer ihre Methoden weiter. Experten von Kaspersky entdeckten in den letzten zwölf Monaten über 209.000 Phishing-Angriffe, die legitime Cloud-Dienste wie Cloudflare Workers, Vercel, Netlify oder GitHub Pages missbrauchten. Ziel dieser Angriffe seien primär Nutzer von Microsoft 365. Dabei kommen Techniken wie „Browser-in-the-Browser“ oder „Adversary-in-the-Middle“ zum Einsatz, um nicht nur Anmeldedaten, sondern auch MFA-Codes und Session-Cookies zu entwenden.
Barracuda warnt zudem vor Phishing-Versuchen über Kalendereinladungen in Form von .ics-Dateien. Angreifer integrieren hierbei QR-Codes, die von gängigen Sicherheitstools oft nicht standardmäßig dekodiert werden können. Es wird empfohlen, solche Dateien wie herkömmliche E-Mail-Anhänge zu behandeln und phishing-resistente Verfahren wie WebAuthn einzusetzen.
Wer sich mit dem Schutz vor modernen Phishing-Angriffen und psychologischen Manipulationstaktiken befasst, benötigt praxiserprobte Abwehrstrategien. Dieser kostenlose Leitfaden zeigt in vier Schritten, wie Sie die Hacker-Abwehr stärken und verdächtige Aktivitäten rechtzeitig entlarven. Anti-Phishing-Paket zur Hacker-Abwehr jetzt kostenlos herunterladen
KI-generierte Bedrohungen und Schwachstellen in der Synchronisation
Die Komplexität der Angriffe nimmt durch den Einsatz von Künstlicher Intelligenz zu. KI-generiertes Phishing wird laut Branchenbeobachtern zunehmend zum Standard und ist für Nutzer immer schwerer zu identifizieren. Der „Gen H1 2026 Threat Report“ weist zudem darauf hin, dass Scams fast 46 % der Erkennungen ausmachen, gefolgt von Malvertising mit fast 30 %. Allein in der ersten Jahreshälfte 2026 wurden 114,2 Mio. Angriffe über gefälschte Online-Shops blockiert.
Microsoft warnt zudem vor einer Kampagne namens „CaptiveCrunch“, die der russischen Gruppe Storm-2945 zugeschrieben wird. Seit Mai 2026 nutzen die Angreifer manipulierte Login-Portale in Hotels und an Flughäfen, um über gefälschte CAPTCHA-Seiten Spyware zu installieren.
Trotz der Sicherheit von Passkeys identifizierte die Einheit Unit 42 potenzielle Schwachstellen bei der Synchronisation im Google Password Manager unter Windows. Diese als „Pass-ta-key“ bezeichneten Angriffe zielen auf das Gerätevertrauen und die Cloud-Authenticator-Implementierung ab. Die FIDO Alliance betonte in diesem Zusammenhang jedoch, dass der Passkey-Standard selbst weiterhin als sicher gilt und nicht gebrochen wurde.
