Phishing-Mails erkennt man heute nicht mehr an Tippfehlern, sondern am Vorgang: Passt die Bitte zum Absender, zum Zeitpunkt und zum üblichen Weg? Seit Sprachmodelle die Mails schreiben, sind Anrede, Grammatik und Tonfall fehlerfrei. In einer Studie mit 101 Teilnehmenden klickten 54 Prozent auf vollautomatisch von KI geschriebene Mails, genauso viele wie auf Mails von menschlichen Fachleuten; heise berichtete darüber.
Was sich damit ändert, an welchen Merkmalen man Phishing heute noch erkennt und was ein Betrieb technisch und organisatorisch vorbauen sollte, steht in diesem Artikel.
Inhaltsverzeichnis
Was ändert KI an Phishing-Mails?
KI nimmt Phishing-Mails ihre Fehler und macht sie persönlich. Ein Sprachmodell schreibt in fehlerfreiem Deutsch, übernimmt den Ton eines echten Lieferanten und baut Namen, Projekte und Termine ein, die es aus Website, LinkedIn oder Pressemeldungen zusammensucht. Was früher Stunden Recherche je Opfer kostete, erledigt es in Sekunden.
54 %
der Teilnehmenden klickten auf vollautomatisch von KI geschriebene Mails. Auf allgemeine Phishing-Mails ohne persönlichen Bezug klickten in derselben Studie 12 Prozent. Quelle: Heiding u. a., arXiv 2412.00586
Der alte Rat „auf Rechtschreibfehler achten" schützt deshalb kaum noch. Wer ihn in der Schulung weitergibt, bringt Mitarbeitenden bei, einer fehlerfreien Mail zu vertrauen.
Woran erkennt man Phishing-Mails heute?
Man erkennt sie an dem, was die Mail verlangt, nicht daran, wie sie geschrieben ist. Fast jede Phishing-Mail will eins von vier Dingen: einen Klick auf einen Anmelde-Link, eine Zahlung, einen geöffneten Anhang oder schnelles Handeln ohne Rückfrage.
| Merkmal | Woran man es sieht |
|---|---|
| Ungewohnter Weg | Eine Bankverbindung ändert sich per Mail, ein Passwort soll über einen Link bestätigt werden, die Rechnung kommt plötzlich als ZIP-Datei. |
| Druck | Frist heute, Konto wird gesperrt, „bitte diskret, ich bin im Termin". |
| Absender passt nicht | Die angezeigte Adresse stimmt, die echte Adresse dahinter oder die Antwortadresse nicht. Ein Buchstabe ist vertauscht. |
| Link führt woandershin | Beim Darüberfahren mit der Maus zeigt die Statusleiste eine fremde Adresse. |
| Anmeldeseite ohne Anlass | Microsoft 365, DHL oder ELSTER wollen eine Anmeldung, obwohl man nichts angestoßen hat. |
Praxis-Tipp
Eine Regel ersetzt viele Merkmale: Wer per Mail um Geld, Zugangsdaten oder eine geänderte Bankverbindung gebeten wird, ruft unter der bekannten Nummer zurück, nie unter der Nummer aus der Mail. Diese Regel einmal schriftlich festhalten, auch für die Geschäftsführung selbst.
Die Mail kann perfekt sein. Der Vorgang dahinter ist es selten.
Was hilft technisch?
Technik fängt den Großteil ab, bevor ein Mensch entscheiden muss. Drei Bausteine tragen dabei am meisten: ein Mailfilter, der Links und Anhänge vor der Zustellung prüft, eine Anmeldung, die sich nicht abfischen lässt, und Updates auf allen Geräten.
- Mailfilter mit Link- und Anhangprüfung: öffnet Anhänge in einer abgeschotteten Umgebung und prüft Links beim Klick erneut.
- Zwei-Faktor-Anmeldung, besser Passkeys: Das BSI empfiehlt Verfahren, bei denen ein abgefischtes Passwort allein nichts nützt.
- Absender-Prüfung (SPF, DKIM, DMARC): erschwert es, die eigene Domain zu fälschen.
- Melden mit einem Klick: ein Knopf in Outlook, über den verdächtige Mails an die IT gehen.
Wie HÖLL Mailfilter, Virenschutz und Firewall zusammen betreibt, zeigt die Seite IT-Sicherheit von HÖLL. Wo der eigene Betrieb bei E-Mail-Sicherheit steht, fragt der CyberRisikoCheck nach DIN SPEC 27076 ausdrücklich ab.
Was tun, wenn jemand geklickt hat?
Sofort melden, ohne Vorwurf. Wer Angst vor Ärger hat, schweigt, und dann vergehen die Stunden, in denen sich ein abgefischtes Konto noch sperren lässt. Danach: Passwort ändern, alle Anmeldungen des Kontos beenden, prüfen, ob Weiterleitungsregeln angelegt wurden, und bei geöffneten Anhängen das Gerät vom Netz nehmen. Den weiteren Ablauf beschreibt der IT-Notfallplan für die ersten 24 Stunden.
Fazit
KI hat Phishing-Mails ihre Fehler genommen, nicht ihr Ziel. Wer Mitarbeitenden beibringt, auf den Vorgang statt auf die Sprache zu achten, eine Rückrufregel festlegt und die Technik den Rest abfangen lässt, braucht keine perfekte Erkennung. Für Betriebe in Baden-Baden und der Region übernimmt HÖLL diesen Teil im Managed IT Service.
Quellen
- Heiding, Lermen, Kao, Schneier, Vishwanath: Evaluating Large Language Models' Capability to Launch Fully Automated Spear Phishing Campaigns (Primärquelle): arxiv.org
- heise online: Forscher: KI macht Phishing effektiver (Januar 2025): heise.de
- BSI: Passwortdiebstahl durch Phishing: bsi.bund.de
Stand: 12. November 2026.
Häufige Fragen
Kann man KI-Phishing-Mails überhaupt noch erkennen?
An der Sprache kaum noch, am Vorgang schon: ungewohnter Weg, Zeitdruck, Absender oder Link passen nicht. Eine Rückrufregel bei Geld und Zugangsdaten fängt die gefährlichsten Fälle ab.
Hilft eine Phishing-Schulung noch?
Ja, wenn sie auf Vorgänge statt auf Rechtschreibfehler setzt und das Melden einfach macht. Wer ohne Angst meldet, verkürzt die Zeit bis zur Sperre.
Was soll man mit einer verdächtigen Mail tun?
Nicht klicken, nicht antworten, an die IT melden und löschen. Im Zweifel den Absender über einen bekannten Weg anrufen.
