KI-Phishing 2026: Warum klassische Schulung nicht mehr reicht

Eine neue Generation von Phishing-Angriffen

Phishing ist nicht mehr das, was es vor zwei Jahren war. Ein aktueller Bedrohungsbericht von KnowBe4 zeigt: 86 Prozent aller Phishing-Angriffe im Jahr 2026 werden mit Hilfe von Künstlicher Intelligenz erstellt — von der Domain-Auswahl über die fehlerfreie Sprache bis zur Imitation von Tonfall und Schreibstil. Microsoft hat allein im ersten Quartal 2026 acht Komma drei Milliarden Phishing-Mails blockiert.

Diese Angriffe haben eine entscheidende Eigenschaft: Sie sind für Mitarbeitende nicht mehr zuverlässig als Fälschung erkennbar. Die Domain stimmt nahezu, die Login-Seite ist eins zu eins kopiert, der Text enthält keine sprachlichen Auffälligkeiten — und genau das macht klassische Awareness-Schulung zu einer Verteidigungslinie, die alleine nicht mehr trägt.

Wer 2026 sein Unternehmen schützen will, braucht Maßnahmen, die nicht auf die Erkennungsfähigkeit der Mitarbeitenden angewiesen sind. Drei davon sind besonders wirksam.

Bluekit: Was die nächste Angriffswelle vorbereitet

Anfang Mai 2026 haben die Sicherheitsforscher von Varonis Threat Labs ein Toolkit namens „Bluekit" enthüllt. Es handelt sich um eine Phishing-as-a-Service-Plattform, die Cyberkriminelle gegen Gebühr mieten können. Bluekit liefert über 40 fertige Templates — darunter Microsoft 365, Gmail, Outlook, iCloud, Apple ID, GitHub und Ledger — und automatisiert nahezu den gesamten Angriffsablauf: Domain-Kauf, TLS-Zertifikat, KI-Assistent für die Nachrichten-Erstellung, Antibot-Cloaking gegen Security-Crawler und sogar ein Add-on für Stimmen-Klonen.

Der entscheidende Punkt ist aber die Technik dahinter. Bluekit basiert auf einem Verfahren namens Adversary-in-the-Middle (AiTM). Statt nur Passwörter abzugreifen, schaltet sich der Angreifer in Echtzeit zwischen Opfer und echte Webseite. Das Opfer gibt seine Zugangsdaten ein, der MFA-Code wird auf dem Smartphone bestätigt — und aus Sicht der echten Anwendung war der Login erfolgreich.

Was im Hintergrund passiert: Der Angreifer stiehlt nicht den MFA-Code, sondern das fertige Session-Cookie samt LocalStorage-Daten. Damit kann er sich anschließend ohne weitere MFA-Abfrage einloggen. Die Zwei-Faktor-Authentifizierung ist nicht geknackt — sie wird umgangen, weil der Angreifer nach dem Login ansetzt.

Bluekit ist noch nicht in größeren Live-Angriffen beobachtet worden. Sicherheitsforscher beschreiben das Toolkit als in einer Pre-Deployment-Phase. Genau das macht den Moment wichtig: Wer jetzt handelt, baut Schutz auf, bevor die Welle rollt.

Hebel 1: Phishing-resistente MFA mit FIDO2 und Passkeys

Die naheliegende Antwort auf AiTM-Angriffe ist die einzige Form von MFA, die sich nicht zwischen Opfer und Server schieben lässt: phishing-resistente Authentifizierung nach dem FIDO2-Standard, in der Anwender-Erfahrung meist als Passkey bekannt.

Der entscheidende Unterschied liegt in der Kryptografie. Während SMS-Codes und TOTP-Apps Codes erzeugen, die der Anwender abtippt — und die ein Angreifer abfangen kann — funktioniert FIDO2 mit asymmetrischer Verschlüsselung, die fest an die Domain gebunden ist. Der Browser prüft beim Login, ob die aufrufende Domain mit der Domain übereinstimmt, für die der Passkey registriert wurde. Stimmt sie nicht, schickt der Browser nichts zurück. Ein AiTM-Angriff scheitert mathematisch, nicht durch Wachsamkeit.

Was Sie konkret tun können

Verfügbarkeit prüfen: Microsoft Entra ID, Google Workspace, GitHub, Apple iCloud und immer mehr Geschäftsanwendungen unterstützen Passkeys nativ. Bei Microsoft 365 lassen sich Passkeys über den Authenticator oder als Hardware-Token einrichten — bei Google ebenso über das Konto direkt.

Reihenfolge der Einführung: Beginnen Sie nicht mit dem Roll-out für alle Mitarbeitenden gleichzeitig. Eine pragmatische Reihenfolge:

• Administrator-Konten zuerst (höchstes Schadenspotenzial)
• Geschäftsführung, Finanzbuchhaltung und Personalwesen als zweite Welle
• Allgemeines Personal in einer dritten Welle, sobald die ersten beiden Wellen stabil laufen

Hardware-Keys als Zusatzstufe: Für besonders schützenswerte Konten — Domain-Administratoren, Banking-Zugriffe — empfehlen sich Hardware-Keys wie YubiKey oder Token2. Kosten: 25 bis 60 Euro pro Stück. Pro Konto sollten zwei Keys ausgegeben werden, damit ein verlorener Key kein Sicherheitsproblem ist.

Synchronisierte Passkeys für den Alltag: Cloud-synchronisierte Passkeys (über Apple, Google, Microsoft) sind komfortabel und für den normalen Mitarbeitenden ausreichend sicher. Hardware-Keys sind die Schicht oben drüber, nicht der Standard für alle.

Hebel 2: E-Mail-Filter mit AiTM-Erkennung

Klassische Spam-Filter erkennen Bluekit-Mails nicht mehr zuverlässig. Der Grund: Die Angreifer registrieren Domains automatisch über Bluekit, statten sie sofort mit gültigem TLS-Zertifikat aus und versenden über sauber konfigurierte Mailserver. Aus Sicht eines klassischen Filters sieht die Mail unauffällig aus.

Was hilft, ist eine neue Generation von E-Mail-Schutz, die nicht nur Inhalte scannt, sondern Verhaltensmuster und Reputation in Echtzeit bewertet — und die AiTM-typische Indikatoren kennt.

Konkrete Lösungen für KMU

• Microsoft Defender for Office 365, Plan 2: In Microsoft 365 Business Premium enthalten. Bietet Safe-Links-Prüfung beim Klick, AiTM-spezifische Heuristik und Quarantäne mit Admin-Review.
• Proofpoint Essentials oder Email Protection: Für KMU mit eigenem Exchange oder Google Workspace eine Alternative mit ausgeprägter AiTM-Erkennung.
• Cisco Secure Email Cloud Gateway: Etabliert, mit guter Integration in bestehende Netzwerk-Sicherheitsstacks.

Unabhängig vom Produkt gilt: DMARC, SPF und DKIM müssen für Ihre eigene Domain auf „Reject" gesetzt sein, nicht auf „Quarantäne". Damit verhindern Sie, dass Angreifer in Ihrem Namen Mails an Ihre Kunden versenden. Diese Konfiguration kostet nichts außer der einmaligen DNS-Anpassung — und sie ist 2026 kein Optional-Thema mehr.

Der externe Mail-Banner („Diese Nachricht stammt von außerhalb der Organisation") bleibt nützlich, ist aber kein Schutz mehr gegen die geübten Angriffe. Er hilft bei klassischem Spoofing, nicht bei AiTM.

Hebel 3: Conditional Access und kontinuierliche Session-Validierung

Selbst wenn ein Angreifer es schafft, ein Session-Cookie zu stehlen — er muss es noch nutzen können. Genau hier setzt der dritte Hebel an: Bedingungen, unter denen ein gestohlenes Token sofort wertlos wird.

Microsoft Entra bietet dafür zwei Funktionen, die zusammen sehr wirksam sind:

Conditional Access prüft bei jedem Login-Versuch eine Reihe von Bedingungen — Gerät, Standort, IP-Reputation, Risiko-Signal — bevor der Zugriff gewährt wird. Wenn ein Mitarbeitender aus München arbeitet und plötzlich ein Login aus Lagos auftaucht, kann die Policy den Zugriff sofort blockieren oder eine zusätzliche MFA-Prüfung erzwingen.

Continuous Access Evaluation (CAE) geht einen Schritt weiter. Statt nur am Login-Zeitpunkt zu prüfen, läuft die Bewertung während der gesamten Session. Wenn die Risiko-Signale sich ändern — etwa weil das Token plötzlich von einem zweiten Gerät verwendet wird — wird die Session automatisch invalidiert. Der Angreifer wird ausgeloggt, das gestohlene Cookie ist nutzlos.

Voraussetzungen und Kosten

Conditional Access erfordert Microsoft Entra ID P1 oder P2. In den meisten KMU-Setups ist das bereits über die Lizenz Microsoft 365 Business Premium abgedeckt (rund 22 Euro pro Nutzer und Monat). Für Unternehmen mit Microsoft 365 Business Standard lohnt sich der Aufstieg auf Business Premium nicht nur wegen Conditional Access, sondern auch wegen der oben genannten AiTM-Erkennung in Defender — beides ist Teil der gleichen Lizenzstufe.

Wer Google Workspace einsetzt, hat mit Context-Aware Access ein ähnliches Werkzeug verfügbar. Es ist Teil der Plan-Stufen Business Plus und Enterprise.

Sonderfall: Voice-Cloning und CEO-Fraud

Bluekit bietet als Add-on das Klonen von Stimmen auf Basis kurzer Audioschnipsel — wenige Sekunden aus einem öffentlichen Interview oder einer Voicemail reichen. Der Angriffsablauf ist absehbar: Ein Mitarbeiter aus der Buchhaltung erhält einen Anruf, scheinbar vom Geschäftsführer, mit der dringenden Bitte, eine Überweisung freizugeben. Stimme stimmt, Tonfall stimmt, der Druck ist plausibel — und das Geld ist weg.

Hier hilft keine technische Maßnahme, weil der Angriff am Telefon stattfindet. Was hilft, sind drei einfache Prozessregeln:

• Callback-Verifizierung: Bei jeder Zahlungsfreigabe per Anruf wird zurückgerufen — über eine in der Personalakte hinterlegte Nummer, nicht über die Nummer, von der der Anruf kam.
• Code-Wort-Regelung: Geschäftsführung und Finanzbuchhaltung vereinbaren ein Code-Wort, das bei eiligen Zahlungsanweisungen genannt werden muss. Wird es nicht genannt — keine Freigabe.
• Vier-Augen-Prinzip ab Schwellenbetrag: Überweisungen ab einem definierten Betrag (etwa 5.000 Euro) erfordern grundsätzlich die Freigabe durch eine zweite Person, unabhängig vom Kanal der Anweisung.

Diese drei Regeln kosten nichts und blockieren CEO-Fraud zuverlässig — vorausgesetzt, sie sind dokumentiert und im Team bekannt.

Awareness bleibt wichtig — als eine Schicht unter mehreren

All das Gesagte heißt nicht, dass Awareness-Schulung überflüssig wird. Sensibilisierte Mitarbeitende fangen weiterhin einen relevanten Teil der Angriffe ab, die durch alle technischen Filter rutschen — und sie reagieren schneller, wenn etwas Auffälliges passiert. Aber Awareness ist 2026 die letzte Schicht, nicht die erste.

Die Reihenfolge der Verteidigung dreht sich um: Erst Technik, die nicht auf menschliche Erkennung angewiesen ist. Dann Prozesse, die bei Anrufen und Zahlungen greifen. Erst dann der Mensch, der die letzten zehn bis fünfzehn Prozent abfängt, die durch alles andere durchgekommen sind.

Ein 90-Tage-Plan für KMU

Wenn Sie heute beginnen, lässt sich der Großteil der hier beschriebenen Maßnahmen in einem Quartal umsetzen:

Der Aufwand ist überschaubar, die Wirkung erheblich. Wer alle sechs Schritte umgesetzt hat, ist gegen den größten Teil der 2026er Phishing-Welle technisch und prozessual abgesichert — bevor Toolkits wie Bluekit den Mainstream erreichen.

Es ist eine der seltenen Situationen in der IT-Sicherheit, in denen man der Bedrohung wirklich einen Schritt voraus sein kann. Dieses Fenster sollten Sie nutzen.