Jahrelang galt eine simple Faustregel: Phishing-Mails erkennt man an holprigem Deutsch, falscher Anrede und plumpen Drohungen. Diese Regel ist 2026 wertlos geworden. Generative KI schreibt Betrugsmails in makellosem Deutsch, in jedem Stil, persönlich zugeschnitten und in Sekunden in beliebiger Stückzahl. Wer Phishing weiterhin nur an Rechtschreibfehlern erkennen will, ist verloren. Dieser Artikel erklärt, wie KI das Phishing verändert und welche Erkennungsmerkmale jetzt wirklich zählen.
Warum KI Phishing gefährlicher macht
Die KI hebt Phishing auf drei Ebenen auf ein neues Niveau:
- Sprachqualität: Keine Tippfehler, kein gebrochenes Deutsch, korrekte Grammatik. Das wichtigste alte Warnsignal entfällt.
- Personalisierung: KI verarbeitet öffentlich verfügbare Informationen über das Opfer und erzeugt maßgeschneiderte Nachrichten, die echten internen Mails täuschend ähneln (Spear-Phishing für alle).
- Skalierung: Was früher mühsame Handarbeit war, läuft jetzt automatisiert. Millionen individueller Mails kosten kaum Aufwand.
Hinzu kommt, dass KI ganze Webseiten und Login-Masken pixelgenau nachbauen kann. Die gefälschte Bank- oder Microsoft-Login-Seite ist vom Original kaum zu unterscheiden.
Neue und alte Maschen
Phishing beschränkt sich längst nicht mehr auf E-Mail. Aktuelle Spielarten sind:
- Smishing: Phishing per SMS, etwa gefälschte Paket- oder Zoll-Benachrichtigungen.
- Vishing: Phishing per Anruf, zunehmend mit geklonten Stimmen.
- Quishing: Phishing per QR-Code, der auf eine gefälschte Seite führt – beliebt, weil QR-Codes schwer auf den ersten Blick zu prüfen sind.
- Markenimitation: Mails im Namen von Banken, Paketdiensten, Streamingdiensten oder Behörden.
Woran man Phishing heute erkennt
Da die Sprache kein verlässliches Signal mehr ist, verlagert sich die Erkennung auf strukturelle und kontextuelle Merkmale, die KI nicht so leicht überdeckt:
- Absenderadresse genau prüfen: Nicht der angezeigte Name zählt, sondern die echte E-Mail-Adresse. Achten Sie auf vertauschte Buchstaben oder fremde Domains.
- Links vor dem Klick ansehen: Fahren Sie mit der Maus über den Link, ohne zu klicken, und prüfen Sie die tatsächliche Zieladresse. Auf dem Smartphone hilft langes Drücken.
- Misstrauen bei Handlungsdruck: „Ihr Konto wird gesperrt", „letzte Mahnung", „sofort bestätigen" – Dringlichkeit ist das Kernwerkzeug des Phishings.
- Unerwartete Anhänge und QR-Codes: Öffnen Sie nichts, das Sie nicht erwartet haben, auch wenn der Absender bekannt scheint.
- Kanalbruch zur Prüfung: Im Zweifel die Organisation über die offizielle, selbst herausgesuchte Adresse kontaktieren – nie über die Kontaktdaten aus der verdächtigen Nachricht.
Die wirksamste technische Verteidigung: 2FA
Selbst wenn Sie auf eine Phishing-Seite hereinfallen und Ihr Passwort eingeben, kann die Zwei-Faktor-Authentifizierung (2FA) den Schaden verhindern. Der Angreifer hat dann zwar das Passwort, aber nicht den zweiten Faktor. Besonders sicher sind Hardware-Sicherheitsschlüssel und Authenticator-Apps; SMS-Codes sind besser als nichts, aber angreifbar. Aktivieren Sie 2FA überall, wo es sie gibt – vor allem bei E-Mail, Bank und sozialen Netzwerken. Das E-Mail-Konto ist dabei das wichtigste, weil es als Schlüssel zu vielen anderen Diensten dient.
Starke, einzigartige Passwörter
Phishing geht oft Hand in Hand mit Credential Stuffing: Erbeutete Zugangsdaten werden automatisiert bei anderen Diensten durchprobiert. Wer überall dasselbe Passwort nutzt, verliert mit einem Leck gleich alle Konten. Nutzen Sie deshalb für jeden Dienst ein eigenes, langes Passwort und verwalten Sie diese in einem Passwort-Manager. Praktische Sicherheitswerkzeuge dafür finden Sie im Webtools-Bereich.
Beispiel: So sieht eine moderne Phishing-Mail aus
Zur Veranschaulichung ein typisches Szenario von 2026: Sie erhalten eine fehlerfreie deutsche Mail Ihrer Hausbank. Sie spricht Sie korrekt mit Namen an, nennt die letzten vier Ziffern Ihrer Kontonummer (aus einem früheren Datenleck) und teilt mit, dass aus „regulatorischen Gründen" eine erneute Verifizierung nötig sei. Der Link führt zu einer Seite, die exakt wie das Online-Banking aussieht. Nichts an Sprache oder Optik verrät den Betrug – nur die Absenderdomain weicht minimal ab (etwa „sicherheit-bank-portal.com" statt der echten Bankdomain), und die Bank würde eine solche Verifizierung niemals per Mail-Link anstoßen. Genau hier setzt die Erkennung an: nicht am Inhalt, sondern an Absender, Linkziel und der Plausibilität des Vorgangs.
Ein zweites verbreitetes Muster ist die gefälschte Rechnung oder Mahnung eines Dienstes, den Sie tatsächlich nutzen – etwa eines Streaming-Anbieters. Die KI kennt aus geleakten Datensätzen, welche Dienste verbreitet sind, und streut entsprechend. Wer nie hektisch auf Zahlungsaufforderungen reagiert, sondern sich im jeweiligen Konto direkt einloggt (über die selbst eingetippte Adresse, nicht über den Mail-Link), läuft auch hier ins Leere des Angreifers.
Phishing im Unternehmen
Für Organisationen ist der Mensch das beliebteste Einfallstor. Regelmäßige Schulungen und simulierte Phishing-Tests senken die Klickrate messbar. Ergänzend helfen technische Maßnahmen: E-Mail-Authentifizierung per SPF, DKIM und DMARC erschwert das Fälschen der eigenen Domain, Spamfilter und eine klare Meldekultur fangen viel ab. Wichtig ist eine angstfreie Fehlerkultur – Mitarbeitende, die einen Fehlklick sofort melden, statt ihn zu verbergen, ermöglichen eine schnelle Reaktion. Wie geklonte Stimmen in Vishing-Anrufen funktionieren, vertiefen wir in unseren News.
Häufige Fragen
Hilft es noch, auf Rechtschreibfehler zu achten?
Kaum. KI-generierte Phishing-Mails sind sprachlich einwandfrei. Konzentrieren Sie sich stattdessen auf Absenderadresse, Linkziel, Handlungsdruck und unerwartete Anhänge – diese Merkmale bleiben aussagekräftig.
Schützt mich 2FA wirklich vor Phishing?
2FA verhindert, dass ein gestohlenes Passwort allein zum Kontozugriff reicht. Besonders Hardware-Schlüssel und Authenticator-Apps bieten starken Schutz. Es gibt zwar fortgeschrittene Angriffe, die auch 2FA umgehen wollen, doch für die allermeisten Fälle ist es die wirksamste einzelne Maßnahme.
Was tun, wenn ich auf einen Phishing-Link geklickt habe?
Geben Sie keine Daten ein und schließen Sie die Seite. Falls Sie bereits Zugangsdaten eingegeben haben, ändern Sie sofort das betroffene Passwort und überall dort, wo Sie es ebenfalls verwendet haben, und prüfen Sie die 2FA-Einstellungen Ihrer Konten.
Hinweis: Dieser Artikel dient der Aufklärung und ersetzt keine individuelle IT-Sicherheitsberatung.