Wie KI Phishing verändert – und warum klassische Spamfilter nicht mehr ausreichen

Die Lage in der Schweiz: nicht mehr Angriffe, sondern bessere

Die Zahlen des Bundesamts für Cybersicherheit (BACS) wirken auf den ersten Blick unauffällig. Das BACS verarbeitete 2025 insgesamt 64733 freiwillige Meldungen zu Cybervorfällen, rund 2000 mehr als im Vorjahr. Phishing macht davon 19 Prozent aus. Ein Zuwachs von etwa drei Prozent ist keine Eskalation.

Der zweite Blick zeigt etwas anderes. Im zweiten Halbjahr 2025 gingen 29006 freiwillige Meldungen ein, dazu 145 meldepflichtige Angriffe auf kritische Infrastrukturen. Die Phishing-Meldungen legten in diesem Halbjahr mit 6299 Fällen um 17 Prozent gegenüber dem Vorjahreszeitraum zu. Entscheidend ist jedoch die qualitative Verschiebung, die das BACS ausdrücklich dokumentiert: Die Tendenz geht weg von Massenangriffen hin zu individuell zugeschnittenen Angriffen. Die Angreifer nehmen sich Zeit, um gezielt einzelne Opfer anzugreifen – und offenbar lohnt sich dieser zunehmende Aufwand.

Parallel dazu registrierte das BACS umfangreiche Voice-Phishing- und Real-Time-Phishing-Kampagnen, kombiniert mit betrügerischen Suchmaschinenanzeigen, die Opfer auf gefälschte Webseiten lenken. Dabei greifen die Täter verstärkt auf lokale Besonderheiten zurück, etwa indem sie Treueprogramme grosser Detailhändler als Vorwand nutzen. Neu kam ab Sommer 2025 der Einsatz sogenannter «SMS-Blaster» hinzu: Geräte, die Mobilfunkantennen simulieren und schädliche Kurznachrichten unter Umgehung der Filtersysteme der Telekommunikationsanbieter direkt an Mobiltelefone in der Umgebung senden.

Genau hier liegt das Problem für Ihre Filterinfrastruktur: Die Angriffsmenge bleibt stabil, aber die Erkennbarkeit sinkt. Welche Maschen dabei aktuell in der Schweiz im Umlauf sind – von Deepfake-Anrufen über Quishing bis zu SMS-Blastern –, haben wir in unserer Übersicht zu den neuen Phishing-Maschen 2026 im Detail beschrieben. Dieser Artikel widmet sich der Frage, warum die technische Abwehr dahinter nicht mehr greift.

Was generative KI am Phishing tatsächlich verändert

Sprache ist kein Erkennungsmerkmal mehr

Über zwei Jahrzehnte war fehlerhafte Sprache das zuverlässigste Warnsignal überhaupt – für Menschen wie für Filter. Sprachmodelle haben dieses Signal ersatzlos entfernt. Sie formulieren in korrektem Standarddeutsch, treffen die Sie-Form, imitieren branchenübliche Terminologie und passen die Tonalität an eine Zielperson an. Wer seine Belegschaft darauf trainiert hat, auf Grammatikfehler zu achten, hat sie auf ein Kriterium trainiert, das es nicht mehr gibt.

Personalisierung im industriellen Massstab

Zielgerichtetes Spear-Phishing war früher teuer: Recherche, Kontextaufbau und Formulierung kosteten Stunden pro Empfänger. Diese Kosten bildeten die natürliche Obergrenze. Heute werten Angreifer öffentliche Quellen automatisiert aus – Geschäftsberichte, Medienmitteilungen, Handelsregisterdaten, Karrierenetzwerke, Social-Media-Profile – und generieren daraus Nachrichten, die Hierarchien, Projektnamen und Kommunikationsstile korrekt abbilden. Der Global Cybersecurity Outlook 2026 des Weltwirtschaftsforums beschreibt diesen Effekt präzise: KI senkt die Hürden für Phishing und erhöht gleichzeitig Raffinesse und Glaubwürdigkeit.

Polymorphe Kampagnen: jede Nachricht ein Unikat

Das ist die technisch wichtigste Änderung. Eine klassische Kampagne verschickte zehntausend Mal denselben Text. Eine KI-gestützte Kampagne verschickt zehntausend Varianten – unterschiedlicher Betreff, unterschiedlicher Aufbau, unterschiedliche Formulierung, unterschiedliche Absenderdomain. Für signaturbasierte Erkennung existiert damit kein Muster, das erkannt werden könnte.

Der Angriff verlässt den E-Mail-Kanal

KI-gestützte Angriffe sind mehrkanalig. Auf eine Mail folgt ein Anruf mit geklonter Stimme, auf eine SMS eine Teams-Nachricht aus einem kompromittierten Partnerkonto, auf eine Kalendereinladung ein gefälschtes Videokonferenz-Update. Das BACS beschreibt aktuell exakt dieses Muster: Über Einladungen zu einem gefälschten Zoom-Meeting werden Opfer dazu gebracht, ein vermeintlich notwendiges «Update» herunterzuladen, das in Wirklichkeit Schadsoftware oder ein Fernwartungs-Tool enthält. Varianten nach demselben Muster werden auch bei Microsoft Teams und Google Meet beobachtet. Ein Mailfilter sieht von einem solchen Angriff im besten Fall ein Fragment. Eine Beschreibung dieser Angriffsmuster aus Anwendersicht finden Sie in unserem Beitrag zu Phishing-Maschen 2026.

Phishing-as-a-Service senkt die Einstiegshürde

Angreifer brauchen weder eigene Infrastruktur noch tiefe technische Expertise. Fertige Kits werden als Dienstleistung vermietet, inklusive Hosting, Vorlagen, Umgehungsmechanismen für Multi-Faktor-Authentifizierung und Support. Damit steigt nicht nur die Qualität der Angriffe, sondern auch die Zahl der Akteure, die sie ausführen können.

Warum klassische Spamfilter an dieser Entwicklung scheitern

Ein Spamfilter ist kein Verständnisapparat, sondern ein Mustererkenner. Er arbeitet mit vier Grundverfahren – und generative KI unterläuft alle vier.

Drei weitere Lücken sind für Unternehmen besonders relevant.

Der Angriff kommt über legitime Infrastruktur

Ein grosser Teil moderner Phishing-Mails wird nicht von dubiosen Servern versendet, sondern von übernommenen Microsoft-365- oder Google-Workspace-Konten echter Geschäftspartner. Solche Nachrichten bestehen die SPF- und DKIM-Prüfung, kommen von einer IP-Adresse mit exzellenter Reputation und stehen in einem laufenden Mailverlauf. Reputationsprüfung ist hier nicht bloss unwirksam – sie spricht eine Empfehlung für den Angreifer aus.

Es gibt nichts zu scannen

Beim CEO Fraud beziehungsweise Business E-Mail Compromise (BEC) enthält die Nachricht keinen Link, keinen Anhang und keinen Schadcode. Sie enthält eine Bitte: eine geänderte Bankverbindung, eine dringende Zahlung, ein zurückgehaltenes Passwort. Sandbox-Analyse und URL-Prüfung haben kein Objekt, das sie prüfen könnten. Das BACS stellt für das zweite Halbjahr 2025 fest, dass das Hacking firmeninterner E-Mail-Programme deutlich zunimmt.

Der Link steht nicht im Text

Beim Quishing steckt die Zieladresse in einem QR-Code, häufig in einem PDF-Anhang. Der Empfänger scannt ihn meist mit dem privaten Mobiltelefon – also auf einem Gerät ausserhalb Ihrer Sicherheitsinfrastruktur. Ein Filter, der Text und Links analysiert, sieht ein harmloses Bild. Gleiches gilt für Anmeldeaufforderungen, die vollständig als Grafik gerendert sind.

Was eine moderne E-Mail-Sicherheitsarchitektur leisten muss

Die Antwort auf KI-Phishing ist kein besserer Filter, sondern eine Architektur, in der das Versagen einer Ebene nicht zum Schaden führt. Fünf Ebenen sind entscheidend.

Ebene 1: Absender-Authentifizierung konsequent durchsetzen

SPF, DKIM und DMARC sind die einzigen Mechanismen, die belegen, ob eine Mail wirklich von Ihrer Domain stammt. Die drei Standards greifen ineinander: SPF legt fest, welche Server für Ihre Domain versenden dürfen, DKIM signiert ausgehende Nachrichten kryptografisch, DMARC verbindet beides mit einer Richtlinie und einem Reporting-Kanal.

Der entscheidende Punkt ist die Richtlinie. Global liegt die DMARC-Verbreitung inzwischen bei rund 52 Prozent – doch mehr als die Hälfte dieser Domains steht auf «p=none» und bietet damit keinen Spoofing-Schutz. Eine Monitoring-Richtlinie protokolliert Missbrauch, sie verhindert ihn nicht.

Gleichzeitig ist Authentifizierung zur Zustellvoraussetzung geworden. Google, Yahoo und Microsoft verlangen SPF, DKIM und einen veröffentlichten DMARC-Record für Domains mit mehr als 5000 Nachrichten pro Tag. Gmail verwirft nicht konforme Mails seit November 2025 permanent auf SMTP-Ebene, Microsoft Outlook setzt seine Absenderanforderungen seit Mai 2025 durch. Für die Wahl der Richtlinie gilt: Bei Domains mit Benutzerpostfächern, deren Nutzer an Mailinglisten teilnehmen oder Weiterleitungen einsetzen, ist «p=quarantine» die robustere Dauerlösung. «p=reject» eignet sich für reine Transaktions- und Marketing-Domains ohne Postfächer.

Ergänzend gehören MTA-STS und TLS-RPT zur Absicherung des Transportwegs sowie BIMI, sobald DMARC durchgesetzt ist.

Ebene 2: Filterung mit Kontext statt mit Signaturen

Ein zeitgemässer MX-seitiger Filter bewertet nicht primär Inhalte, sondern Abweichungen. Praxisrelevant sind fünf Fähigkeiten.

1. Die Erkennung von Lookalike-Domains, Homoglyphen und IDN-Tricks sowie von Display-Name-Spoofing, bei dem der angezeigte Name einer Führungskraft mit einer fremden Absenderadresse kombiniert wird. 
2. Eine zeitverzögerte Linkprüfung, die eine URL erst beim Klick auflöst – denn Phishing-Seiten werden häufig erst nach der Zustellung aktiviert.
3. Die Dekodierung von QR-Codes in Anhängen und Bildern.
4. Die Detonation von Anhängen in einer Sandbox.
5. Ein Kommunikationsprofil pro Absender: Eine Zahlungsaufforderung von einem Kontakt, mit dem Sie nie über Zahlungen korrespondiert haben, ist ein Anomaliesignal, das kein Textmuster liefert.

Wichtig ist die Betriebsdisziplin: Quarantäne-Berichte müssen gelesen und ausgewertet werden. Ein Filter, dessen Meldungen niemand prüft, ist ein Filter, dessen Schwellwerte niemand kalibriert.

Ebene 3: Phishing-resistente Authentifizierung

Diese Ebene ist die wichtigste und wird am häufigsten unterschätzt. Wenn eine Phishing-Nachricht ihr Ziel erreicht, entscheidet sich der Schaden an der Anmeldung.

Klassische Multi-Faktor-Authentifizierung schützt hier nicht mehr zuverlässig. Bei Adversary-in-the-Middle-Angriffen (AiTM) klont der Angreifer die Anmeldeseite nicht, sondern leitet die echte Seite durch seinen Server. Der Nutzer gibt Zugangsdaten und Einmalcode korrekt ein, der Angreifer fängt den Session-Token ab und verwendet ihn weiter. Aus Sicht des Servers war die Anmeldung legitim. Microsoft meldete für 2024 eine Zunahme solcher Angriffe um 146 Prozent, und spezialisierte Phishing-as-a-Service-Plattformen haben den Trend seither beschleunigt.

Als phishing-resistent gelten nach Einordnung der US-Behörden CISA und NIST ausschliesslich FIDO2-Sicherheitsschlüssel, Plattform-Authenticators wie Windows Hello for Business, Passkeys über Face ID oder Touch ID sowie zertifikatsbasierte Authentifizierung mit gerätegebundenen Zertifikaten. Push-Bestätigungen, TOTP-Codes und SMS-Einmalpasswörter sind ausdrücklich ausgenommen, weil sie sich über einen AiTM-Proxy abfangen lassen. Der Grund ist kryptografisch: Ein Passkey ist an den echten Origin gebunden und verweigert die Signatur auf einer fremden Relay-Domain.

Zwei Umsetzungsfehler machen diesen Schutz allerdings zunichte. Bleiben Passwörter oder schwächere Fallback-Faktoren für dasselbe Konto zulässig, lenkt der Angreifer das Opfer auf den Fallback und der Passkey kommt nie zum Einsatz. Und ein Passkey schützt die Anmeldung, nicht die dahinterliegende Sitzung. Ergänzen Sie ihn daher um Token-Bindung an das Gerät sowie eine kontinuierliche Sitzungsbewertung, die eine Sitzung bei steigendem Risiko auch mitten im Betrieb beenden kann.

Ebene 4: Domain- und Markenschutz

Nahezu jede Phishing-Kampagne gegen Ihr Unternehmen beginnt mit einer Domain, die Ihrer ähnelt. Drei Massnahmen greifen hier: die defensive Registrierung naheliegender Schreibvarianten und relevanter TLDs, ein Transfer- und Änderungsschutz für Ihre produktiven Domains sowie ein regelmässiges Monitoring auf Neuregistrierungen mit Verwechslungspotenzial. Der Aufwand ist gering, der Effekt unmittelbar: Was Sie selbst registriert haben, kann niemand gegen Sie verwenden.

Ebene 5: Prozesse, die ohne Erkennung funktionieren

Die letzte Ebene ist die einzige, die auch dann hält, wenn alle Erkennungsmechanismen versagen: Verfahren, die nicht darauf beruhen, eine Fälschung zu erkennen.

Änderungen an Bankverbindungen werden ausschliesslich über einen zweiten, unabhängigen Kanal bestätigt – per Rückruf an eine im Stammsatz hinterlegte Nummer, nie an eine Nummer aus der Nachricht selbst. Zahlungen über einem definierten Betrag folgen dem Vier-Augen-Prinzip. Passwort- und MFA-Resets durch den Support erfordern eine Identitätsprüfung, die nicht aus öffentlich verfügbaren Angaben bestehen kann. Und jede Mitarbeiterin und jeder Mitarbeiter weiss, dass eine gemeldete Fehlvermutung nie negative Folgen hat. Diese Regeln sind unspektakulär – und sie sind gegen Deepfake-Stimmen und perfekt formulierte Mails wirksamer als jede Erkennungstechnologie.

Prioritäten für Schweizer KMU

E-Mail-Infrastruktur mit METANET

Die technischen Voraussetzungen dieser Architektur stellen wir bereit – auf Schweizer Infrastruktur und damit im Geltungsbereich des revidierten Datenschutzgesetzes (revDSG).

Business Mail von METANET liefert professionelle E-Mail-Adressen unter Ihrer eigenen Domain, inklusive der DNS-Verwaltung für SPF-, DKIM- und DMARC-Records. Der Spamfilter (MX-Filter) setzt die vorgelagerte Filterung um und hält verdächtige Nachrichten ab, bevor sie Ihre Postfächer erreichen. Bei der Domain-Registrierung sichern Sie sich Varianten Ihres Namens unter .ch, .swiss und weiteren TLDs; Domain Protection schützt Ihre produktiven Domains vor unautorisierten Transfers und Änderungen. Für eigene Mail- oder Gateway-Systeme mit vollem Konfigurationszugriff stehen VPS, Managed Cloud Server und Virtual Data Center zur Verfügung – die Managed-Varianten inklusive Patch-Management, was gerade bei sicherheitsrelevanten Komponenten den Betriebsaufwand messbar senkt.