Erkenntnisse aus über 100.000 Angriffen: So stärken Sie Ihre Abwehr 2026

Vier Bedrohungstrends, die 2025 geprägt haben

Social-Engineering-Angriffe werden raffinierter, persönlicher und gefährlicher als je zuvor.

Nach der Auswertung von über 100.000 Sicherheitssimulationen in zahlreichen Organisationen, darunter mehr als 10.000 Vishing-Simulationen, haben wir vier zentrale Trends identifiziert, die die Bedrohungslage 2025 neu formen.

1. Voice Cloning: Der am schnellsten wachsende Angriffsvektor mit hoher Wirkung

Vishing hat sich von einfachen automatisierten Anrufen zu einer der gefährlichsten Social-Engineering-Techniken entwickelt.

Moderne Voice-Cloning-Werkzeuge können eine Stimme heute überzeugend nachbilden – mit nur wenigen Sekunden öffentlich verfügbarem Audiomaterial, etwa aus einem Social-Media-Video oder einer Anrufaufzeichnung.

Unsere Daten zeichnen ein deutliches Bild: KI-gestützte Stimmangriffe erreichen mehr als doppelt so hohe Interaktionsraten wie generische Anrufversuche. Wenn Angreifende vertraute Stimmen imitieren – Kolleginnen und Kollegen, Führungskräfte oder bekannte Dienstleister – senken Mitarbeitende ganz natürlich ihre Wachsamkeit und lassen sich eher auf ein Gespräch ein.

Warum Voice Cloning so gut funktioniert

• Unternehmensgröße spielt eine Rolle: In kleineren Unternehmen kennen sich Mitarbeitende persönlich, was eine Imitation schwerer durchhaltbar macht. In größeren Organisationen entsteht durch begrenzte persönliche Vertrautheit ein Spielraum, den Angreifende über teilweise Wiedererkennung ausnutzen.
• Wahrgenommene Autorität erhöht die Folgebereitschaft: Anrufe, die scheinbar von der Geschäftsführung oder dem Management kommen, lösen unmittelbare Kooperation aus – besonders unter wahrgenommenem Zeitdruck.
• Vertrautheit ohne täglichen Kontakt: Am wirksamsten sind Angriffe auf Personen, die dem Namen oder der Rolle nach bekannt sind, aber nicht zum täglichen Austausch gehören. Ungewöhnliches Verhalten fällt dadurch seltener auf.

Auswirkungen in der Praxis: Der Deepfake-Vishing-Fall über 1 Million Euro

Ein bekannter Fall betraf Angreifende, die mithilfe von Voice-Cloning-Technologie den italienischen Verteidigungsminister Guido Crosetto imitierten.

Sie kontaktierten gezielt Mitglieder der milliardenschweren Familien Beretta und Bugatti-Rimac – mit einem bestätigten Schaden von 1 Million Euro. Die Täter konstruierten aufwendige Szenarien rund um angeblich entführte Journalisten und nutzten Vertrauen und Dringlichkeit, um ihre Opfer zu Überweisungen zu drängen.

2. Personalisierung statt Masse: Die neue Phishing-Strategie

Generisches „Spray and Pray“-Phishing hat ausgedient. Angreifende setzen inzwischen auf hochgradig kontextualisierte, gezielte Köder, die legitimer Geschäftskommunikation gleichen.

Rund 50 % aller Phishing-Mails nutzen heute Spear-Phishing-Techniken und stützen sich dabei auf Open Source Intelligence (OSINT), Unternehmenskontext und Daten aus Darknet-Leaks.

So lassen sich glaubwürdige, arbeitsnahe Erzählungen konstruieren, die einzelne Personen gezielt ansprechen – mit sorgfältig gestalteten Signaturen und eng an realen Abläufen orientiert:

• Simulationen rund um Dokumente und Aufgaben: 39 % Interaktionsrate
• Einladungen zu Besprechungen: 25 % Interaktionsrate
• Benachrichtigungen aus Aufgabenmanagement-Tools: 20 % Interaktionsrate

Mitarbeitende klicken, weil alles „stimmig“ wirkt – und weil alltäglicher Zeitdruck dieses Verhalten zusätzlich verstärkt.

Generische, nicht kontextualisierte Nachrichten kommen dagegen auf lediglich rund 1 % Interaktion: Typische Phishing-Vorlagen sind vielen Nutzenden vertraut, entsprechend vorsichtiger reagieren sie.

3. Multi-Channel-Angriffe: Vertrauen durch koordinierte Kampagnen

Angreifende beschränken sich längst nicht mehr auf einen einzigen Kommunikationskanal. Stattdessen orchestrieren sie ausgefeilte Kampagnen über E-Mail, SMS, Kollaborationstools, Messenger-Apps und Telefonanrufe hinweg.

Ein typischer Multi-Channel-Angriff verläuft so:

1. Eine erste Phishing-Mail stellt den Kontakt her
2. Eine Nachricht oder Kalendereinladung folgt
3. Eine SMS verleiht zusätzliche Glaubwürdigkeit
4. Ein Sprach- oder Videoanruf festigt den Eindruck

Jeder Kontaktpunkt baut auf dem vorherigen auf und erzeugt eine Glaubwürdigkeit, die sich nur sehr schwer durchschauen lässt.

Unsere Daten zeigen deutliche Effekte: Simulationen über mehr als zwei Kommunikationskanäle erhöhen die Wahrscheinlichkeit unsicherer Nutzerhandlungen um bis zum Zehnfachen gegenüber Szenarien mit nur einem Kanal.

Agentische KI und moderne Automatisierung machen es Angreifenden leicht, solche Kampagnen zu koordinieren und über sich gegenseitig verstärkende Kontaktpunkte Glaubwürdigkeit aufzubauen – bis Angriffe kaum noch von legitimer Kommunikation zu unterscheiden sind.

4. Über E-Mail hinaus: Social Media und verschlüsselte Messenger als Angriffswege

Ein weiterer klarer Trend des Jahres 2025 ist die Ausweitung von Phishing über die E-Mail hinaus.

Angreifende suchen gezielt nach weniger überwachten und stärker vertrauten Kanälen, um Mitarbeitende zu erreichen.

Verschlüsselte Messenger-Apps wie Signal, WhatsApp und Telegram bieten direkten, privaten Zugang bei begrenzten Sicherheitskontrollen. Diese Plattformen stellen Nachrichten unmittelbar auf Mobilgeräten zu und begünstigen schnelle Reaktionen. Laut CISA-Warnmeldungen setzen Bedrohungsakteure auf Phishing-Köder, schädliche Links und mobil ausgerichtete Exploits, um Nutzende dieser Dienste zu kompromittieren.

Social-Media-Plattformen machen rund 22,5 % der Phishing-Vorfälle aus. Meta bestätigte kürzlich die Abschaltung von mehr als 6,8 Millionen WhatsApp-Konten mit Bezug zu kriminellen Betrugsstrukturen; LinkedIn meldete allein 2025 die Entfernung von über 116 Millionen Konten nach erkannter Spam- oder Betrugsaktivität.

Die Plattformbetreiber gehen aktiv gegen diesen Missbrauch vor – das Ausmaß des Problems zeigt sich jedoch in den Transparenzberichten, und viele Angriffe sind erfolgreich, bevor sie erkannt werden.

Das Fazit: Technische Schutzmaßnahmen allein genügen nicht

Die Bedrohungslage 2025 markiert einen strukturellen Wandel im Social Engineering.

Angreifende orchestrieren ausgefeilte Multi-Channel-Kampagnen, die menschliche Psychologie über mehrere Plattformen hinweg gleichzeitig ausnutzen.

Besonders gefährlich wird es hier: Folgt auf einen Deepfake-Anruf eine WhatsApp-Nachricht und ein geteiltes Dokument, steigert diese kanalübergreifende Verstärkung die Erfolgsquote drastisch. Technische Kontrollen allein reichen zur Abwehr nicht aus.

Unternehmen müssen ihre Sicherheitsstrategie grundlegend überdenken – mit:

• umfassenden Awareness-Trainings, die reale Angriffsmuster abbilden
• strengeren Verifizierungsprozessen über alle Kommunikationskanäle hinweg
• regelmäßigen realistischen Simulationen, einschließlich Vishing, Multi-Channel-Angriffen und Social-Media-Szenarien

Wir treten in eine Phase ein, in der Social Engineering persönlicher, überzeugender und schwerer erkennbar wird. Umso wichtiger ist es, Verifizierungsgewohnheiten zu festigen und das Sicherheitsbewusstsein insgesamt zu stärken.

Bereit, Ihre menschliche Firewall zu aktivieren?

Laden Sie unseren vollständigen Report Human Attack Surface: Threat Trends 2025 herunter – mit tieferen Einblicken in die Daten, Fallbeispielen aus der Praxis und konkreten Empfehlungen zum Schutz Ihres Unternehmens vor diesen sich wandelnden Bedrohungen.

Es ist nie zu spät, Ihre menschliche Firewall zu aktivieren. Starten Sie 2026!