Phishing 2025: Warum es weiterhin 60 % aller Cyberangriffe antreibt

Das Bild 2025 auf einen Blick

Phishing ist weiterhin der häufigste Einstiegsweg für Angreifende.

Aktuelle Daten zeigen: Phishing steckt hinter rund 60 % der Erstzugriffe in Europa, die Volumina liegen wieder nahe an Rekordwerten, und KI verstärkt Social Engineering über E-Mail und Kollaborationstools hinweg.

Die am stärksten betroffenen Branchen decken sich weitgehend mit den wesentlichen Einrichtungen nach NIS2: öffentliche Verwaltung, Verkehr, digitale Infrastruktur und Dienste, Finanzwesen und produzierendes Gewerbe (Enisa, 2025).

• Phishing = dominanter Einstiegspunkt. Die ENISA Threat Landscape 2025 weist Phishing (einschließlich Malspam, Vishing und Malvertising) als rund 60 % der Initial-Access-Vektoren aus; das Ausnutzen von Schwachstellen folgt mit deutlichem Abstand bei 21,3 % (Enisa, 2025).
  
  
• Die Angriffszahlen steigen wieder stark. Die APWG registrierte 1.003.924 Phishing-Angriffe im 1. Quartal 2025 (der höchste Wert seit Ende 2023), mit einem deutlichen Anstieg bei QR-Code-Ködern („Quishing“) und einem Plus von 33 % bei BEC-Überweisungsversuchen gegenüber dem Vorquartal (APWG, 2025).
  
  
• MSPs stark unter Beschuss. Im ersten Halbjahr 2025 begannen 52 % der Angriffe auf MSPs mit Phishing (gegenüber 30 % im Jahr 2024). Fast jeder vierte Angriff in Kollaborationstools umfasste KI-generierte Deepfakes oder automatisierte Exploits (Acronis, 2025).
  
  
• EU-Branchen im Visier. Die öffentliche Verwaltung steht in der EU am häufigsten im Fokus (ca. 38 %), gefolgt von Verkehr, digitaler Infrastruktur und Diensten, Finanzwesen und produzierendem Gewerbe; 53,7 % der Vorfälle trafen Einrichtungen, die nach NIS2 als wesentlich eingestuft sind (Enisa, 2025).
  

Warum ist Phishing weiterhin so wirksam?

Es zielt auf Menschen, nicht nur auf Perimeter.

‍Auch wenn technische Schutzmaßnahmen besser werden: Eine überzeugende Nachricht oder eine gefälschte Meeting-Einladung kann weiterhin Zugangsdaten oder MFA-Token abgreifen, gerade in Kollaborationstools, in denen Vertrauen vorausgesetzt wird. Die Acronis-Daten für das erste Halbjahr 2025 zeigen, dass Angreifende von RDP-Brute-Force auf Playbooks umschwenken, die mit Social Engineering beginnen (Acronis, 2025).

KI skaliert Überzeugungskraft.

Frei verfügbare KI erstellt heute nahezu perfekte Markenimitationen, Voice Clones und Deepfakes, die per E-Mail, Chat oder Videocall zugestellt werden. Das deckt sich mit der Beobachtung der ENISA, dass Angreifende zunehmend KI nutzen, um ihre Operationen produktiver und effizienter zu machen (Enisa, 2025).

‍Diversifizierung der Kanäle.

Über die klassische E-Mail hinaus verlagern sich Angreifende in Kollaborationstools (Zoom, Monday.com, Asana, Teams), wo die Security Awareness geringer und der Kontextwechsel ständig ist. Rund 25 % der Angriffe in Kollaborationstools nutzten Deepfakes oder Automatisierung.

Geringe Kosten, hoher Ertrag.

Der APWG-Bericht für das 1. Quartal 2025 verweist auf enorme Mailvolumina und ein Comeback von QR-basiertem Phishing, das manche Link-Scanner umgeht und mobile Gewohnheiten ausnutzt. Gleichzeitig stiegen BEC-Überweisungsversuche innerhalb eines einzigen Quartals um 33 % (APWG, 2025).

Was ist in Europa derzeit anders?

Die Ziele spiegeln kritische Dienste.

Die ENISA-Analyse 2025 zeigt eine enge Überschneidung zwischen den am stärksten angegriffenen Branchen und den wesentlichen Einrichtungen nach NIS2 und macht damit das systemische Risiko deutlich: öffentliche Verwaltung (ca. 38 %), Verkehr (ca. 7,5 %), digitale Infrastruktur und Dienste (ca. 4,8 %), Finanzwesen (ca. 4,5 %), produzierendes Gewerbe (ca. 2,9 %). Insgesamt betrafen 53,7 % der Vorfälle wesentliche Einrichtungen. (Enisa, 2025)

Phishing ist die Eingangstür zu Ransomware.

Ransomware bleibt einer der größten Störfaktoren für Unternehmen; Phishing ist häufig der Erstzugang, der die Auslieferung der Payload und die laterale Bewegung erst ermöglicht (Acronis, 2025).

Was erwartet Sie im modernen Phishing-Baukasten?

• KI-gestützte BEC: maßgeschneiderte E-Mails und Chats mit korrektem Unternehmenskontext, gefolgt von gefälschten Anrufen vermeintlicher CFOs oder CEOs, die zu schnellem Handeln drängen (Acronis, 2025).
  
  
• Köder in Kollaborationstools: Meeting-Einladungen, Aufforderungen zur Dokumentfreigabe oder Ticket-Kommentare, die zu Token-Diebstahl oder Session Hijacking führen.
  
  
• QR-Kampagnen („Quishing“): ausgedruckte Poster, Versandetiketten oder E-Mails mit QR-Codes, die auf Seiten zum Abgreifen von Zugangsdaten oder zu Schadsoftware führen (APWG, 2025).
  
  
• Hybrides Social Engineering: mehrstufige Abläufe (E-Mail → Chat → Anruf), die Vishing und Deepfake-Medien kombinieren, um Skepsis auszuhebeln (Enisa, 2025).
  

Was wirkt 2025 – über Hygienetipps hinaus?

Echte Manipulation simulieren, nicht nur Quizfragen stellen.

Führen Sie Simulationen über mehrere Kanäle durch (E-Mail, SMS, Chat, Vishing- und Deepfake-Anrufe), die abbilden, wie Angreifende heute tatsächlich vorgehen. Messen Sie Verhaltensreaktionen, nicht nur Klickraten. (Passend zu der von ENISA und Acronis beschriebenen Verschiebung hin zu Social-Engineering-getriebenen Operationen.)

Die Identitätsebene schützen.

Setzen Sie phishing-resistente MFA (FIDO2/WebAuthn), Conditional Access, Token Binding und ein belastbares Session-Management durch, insbesondere für Kollaborationssuites.

Kommunikationskanäle härten.

Nutzen Sie Link-Isolation und Safe View für Dokumente, unterbinden Sie das automatische Beitreten zu externen Meetings, schränken Sie OAuth-App-Zustimmungen ein und überwachen Sie eingehende Inhalte auf QR-Code-Missbrauch (APWG, 2025).

Erkennung, die Sprache versteht.

Setzen Sie auf E-Mail- und Chat-Schutz mit LLM-nativer Erkennung von Identitätsmissbrauch, Absicht und auffälligen Zahlungsanforderungen – ergänzt um Data-Loss-Richtlinien, die auf BEC-Muster abgestimmt sind (APWG, 2025).

EU-kritische Branchen priorisieren.

Wenn Sie in der öffentlichen Verwaltung, im Verkehr, in digitaler Infrastruktur und Diensten, im Finanzwesen oder im produzierenden Gewerbe tätig sind, richten Sie Trainings und Kontrollen an den aktuellen TTPs aus und melden Sie Vorfälle wie nach NIS2 gefordert (Enisa, 2025).

Häufig gestellte Fragen:

Ist Phishing nicht einfach ein E-Mail-Problem?‍

Nicht mehr. 2025 ist Phishing kanalunabhängig und KI-verstärkt. Es gedeiht in genau den Tools, die wir am häufigsten nutzen (Teams, Slack, Zoom, Projektboards und Ticketsysteme), und mündet oft in Ransomware, Kontoübernahmen oder betrügerische Zahlungen.‍‍

‍Wie verändert KI Phishing-Angriffe?

KI macht Phishing schneller, intelligenter und überzeugender. Angreifende automatisieren heute ganze Kampagnen – vom Verfassen der E-Mails bis zur Erzeugung von Deepfake-Stimmen oder -Videos. Deshalb fallen selbst gut geschulte Mitarbeitende auf gefälschte Anrufe, Chats oder Meeting-Einladungen herein.‍

Kann Awareness-Training Phishing wirklich stoppen?

Nur wenn es die Realität abbildet. Statisches E-Learning bereitet niemanden auf KI-gestützte Angriffe vor. Simulationen mit Deepfake-Anrufen, Chatnachrichten und mehrstufigen Ködern schaffen echte Verhaltensresilienz, nicht nur Wissen.