KI-Phishing 2026: Warum klassische Awareness-Trainings versagen – und was wirklich hilft
Jahrelang lautete die Empfehlung: Schulen Sie Ihre Mitarbeiter, dann erkennen sie Phishing-Mails an Rechtschreibfehlern, holprigen Formulierungen und merkwürdigen Absenderadressen. Diese Zeit ist vorbei. Generative KI hat die Qualität von Angriffsmails auf ein Niveau gehoben, das sich mit bloßem Auge kaum noch von echter Kommunikation unterscheiden lässt.
Die neue Qualität der Angriffe
Drei Entwicklungen machen moderne Angriffe so gefährlich:
Warum Schulung allein nicht mehr reicht
Awareness bleibt wichtig – aber sie kann nicht die alleinige Verteidigungslinie sein. Wenn eine Mail sprachlich und inhaltlich perfekt ist, lässt sich vom Empfänger schlicht nicht mehr zuverlässig erkennen, ob sie echt ist. Die Konsequenz: Der Schutz muss eine Ebene tiefer ansetzen, nämlich dort, wo sich Fälschungen technisch nachweisen lassen – bei der Authentifizierung der absendenden Domain.
Spoofing, also das Fälschen der Absenderadresse, ist die Grundlage der meisten dieser Angriffe. Genau hier greifen drei etablierte, aber oft halbherzig umgesetzte Standards.
| Standard | Was er prüft | Schutz gegen |
|---|---|---|
| SPF | Welche Server dürfen für die Domain senden? | Versand über fremde Server |
| DKIM | Kryptografische Signatur der Mail (Integrität) | Manipulation & gefälschte Absender |
| DMARC | Richtlinie + Reporting auf Basis von SPF/DKIM | Spoofing der sichtbaren Absenderdomäne |
p=reject sorgt dafür, dass gefälschte Mails Ihrer Domain tatsächlich abgewiesen werden. Viele Unternehmen bleiben aus Vorsicht bei p=none – und schauen dem Missbrauch damit nur zu.Die Maßnahmen-Checkliste
✓ SPF, DKIM und DMARC für alle eigenen Domains korrekt einrichten – inklusive ungenutzter Domains, die nur zum Spoofing missbraucht werden könnten.
✓ DMARC schrittweise auf p=reject anheben, gestützt auf die Auswertung der DMARC-Reports.
✓ DKIM-Schlüssel regelmäßig rotieren und mit ausreichender Schlüssellänge (2048 Bit) betreiben.
✓ Vier-Augen-Prinzip für Zahlungen verbindlich verankern – keine Überweisung allein auf Zuruf, egal wie echt Stimme oder Video wirken.
✓ Rückruf über bekannte Kanäle bei ungewöhnlichen Anweisungen – nie über die im verdächtigen Kontakt genannte Nummer.
✓ Awareness modernisieren: Schulungen auf Deepfakes, Voice-Cloning und Druckszenarien ausrichten statt auf Rechtschreibfehler.
✓ Externe Mails sichtbar markieren (External-Tag), damit interne von externen Absendern unterscheidbar bleiben.