Phishing 2025 – So tricksen Cyberkriminelle heute

Phishing ist längst mehr als plumpe E-Mails mit Rechtschreibfehlern. Die Angriffe sind technisch komplex, psychologisch raffiniert und oft perfekt inszeniert. Laut einer Auswertung mehrerer Cybersicherheitsfirmen ist die Zahl gezielter Phishing-Attacken in den letzten zwölf Monaten um über 20 % gestiegen. Das liegt vor allem an der breiten Verfügbarkeit von KI-Tools, die es auch weniger versierten Tätern ermöglichen, täuschend echte Inhalte zu erstellen.

Die Gründe für Phishing bleiben jedoch die alten: Informationen stehlen, Identitäten nutzen, Geld erbeuten. Nun aber sind die Fallen glaubwürdiger und umso schwieriger zu erkennen. Zudem sind längst nicht mehr nur große Unternehmen Ziel – es werden auch Privatpersonen angegriffen und Nischenplattformen ausgespäht.

Deepfake-Phishing – Wenn Stimme und Gesicht manipuliert werden

Einer der gefährlichsten Neuentwicklungen im Phishing ist der Missbrauch von Deepfakes. Hacker nutzen KI, um täuschend echt klingende Stimmenbeispiele oder Gesichter zu erstellen. Meist kommt diese Technik in sogenannten „CEO-Fraud“-Fällen zum Einsatz: Via gefälschtem Video oder per Anruf, bei dem die Stimme des Chefs erklingt, wird Mitarbeitern ein dringender Geldtransfer oder das Herausgeben von Daten befohlen.

Inzwischen ist die Qualität derart hochwertig, dass selbst geschulte Security-Teams Probleme beim Aufdecken zu entlarven. Besonders brisant dabei ist, dass solche Attacken auch in Echtzeit – etwa während einer Videokonferenz – erfolgen können. Noch glaubwürdiger wirken die Täter, wenn sie Deepfake-Technologie mit zuvor gestohlenen Hintergrundinfos zu einer Person verknüpfen. So entstehen täuschend echte Gesprächssituationen, in denen Betroffene unter Zeitdruck und emotionaler Beeinflussung einen Fehlgriff begehen sollen.

QR-Code-Phishing – gefährliche Fallen im Alltag

Ein QR-Code ist schnell gescannt – und genau das macht ihn so gefährlich. Denn manipulierte Codes bringen Sie nicht zu einer Restaurant-Speisekarte oder einer Shopping-App, sondern auf gefälschte Login-Seiten oder lösen einen Malware-Download aus.

Beliebte Angriffsszenarien:

• QR-Codes an öffentlichen Plakaten oder Parkscheinautomaten austauschen
• Digitale Tickets für Veranstaltungen manipulieren
• Unternehmensumfeld: gefälschte QR-Rechnungen erstellen

Der Code selbst verrät nichts für das menschliche Auge. Umso schwerer ist es, wenn jemand einen QR-Code missbraucht. Viele Sicherheitsexperten empfehlen daher, QR-Codes nur mit solchen Apps zu scannen, denen Sie vertrauen und die Ihnen die Ziel-URL vor dem Öffnen anzeigen.

Und falls Sie in einem sensiblen Kontext – etwa bei einer Zahlungsaufforderung – einmal auf einen QR-Code schauen, der Ihnen verdächtig vorkommt, scannen Sie ihn nicht sofort. Sondern prüfen Sie erst einmal, ob die Zahlungsaufforderung auch tatsächlich vom zuständigen Absender stammt.

Denn selbst bei kleinsten Änderungen im Code-Design kann sich bereits eine Falle verstecken. Insofern sollten Sie sowohl bei physischen als auch bei digitalen QR-Codes immer wachsam sein.

Fake-2FA-Seiten – Die neue Welle gezielter Login-Angriffe

Zwei-Faktor-Authentifizierung (2FA) gilt als wirksamer Schutz, ist aber kein Allheilmittel. Neue Phishing-Kampagnen setzen auf perfekt imitierte 2FA-Seiten, die nicht nur das Passwort, sondern auch den einmaligen Sicherheitscode abfangen.

Typischer Ablauf: Der Nutzer klickt auf einen täuschend echten Link, gibt seine Zugangsdaten ein und wird anschließend zur Eingabe des 2FA-Codes aufgefordert. Die Angreifer leiten diese Daten in Echtzeit an die echte Plattform weiter und verschaffen sich so direkten Zugriff. Häufig nutzen sie dabei sogenannte Man-in-the-Middle-Tools, die den Datenverkehr live überwachen und manipulieren.

So können sie auch temporäre Sitzungs-Tokens übernehmen, wodurch der Zugriff selbst nach Ablauf des Codes bestehen bleibt. Besonders gefährlich ist, dass solche Angriffe oft mit Social-Engineering-Techniken kombiniert werden, um Opfer unter Zeitdruck zu setzen.

Nischenziele im Fokus

Während große Banken und E-Mail-Anbieter längst über robuste Sicherheitsmechanismen verfügen, suchen Kriminelle gezielt nach weniger geschützten Plattformen. Dazu zählen spezialisierte Online-Dienste, Gaming-Accounts und Krypto-Wallets.

Auch Anbieter im Glücksspielbereich geraten ins Visier. Eine interessante Ausnahme bilden Casinos ohne Konto. Diese Plattformen nutzen vereinfachte Anmeldemethoden, die nicht auf umfangreichen persönlichen Daten basieren.

Da keine sensiblen Kundendaten dauerhaft gespeichert werden, reduziert sich das Risiko, dass bei einem erfolgreichen Phishing-Angriff wertvolle Identitätsinformationen in falsche Hände geraten.

Für Nutzer bedeutet das einen zusätzlichen Schutzfaktor – gerade in Zeiten, in denen Datendiebstahl immer gezielter betrieben wird. Gleichzeitig bleibt der Komfort erhalten, da der Zugang schnell und ohne langwierige Registrierungsprozesse erfolgt.

Echte Fälle aus 2024 und 2025 – So lief der Angriff ab

Mehrere Vorfälle der letzten Monate zeigen, wie unterschiedlich moderne Phishing-Methoden eingesetzt werden:

1. Gefälschte Behörden-E-Mail: Ein europäisches Unternehmen erhielt ein Schreiben einer vermeintlichen Datenschutzbehörde. Enthalten war ein Link zu einem „Prüfportal“, das jedoch sensible Unternehmensdaten abgriff.
2. Krypto-Börsen-Phishing: Über Telegram-Gruppen verbreiteten Täter Links zu „Sonderaktionen“ einer bekannten Börse. Die Landingpages waren so gut kopiert, dass selbst erfahrene Trader hereinfielen.
3. Event-Ticket-Betrug: Bei einem Musikfestival wurden QR-Codes für angebliche Rabattaktionen verteilt. Tatsächlich führten sie zu einer App, die still im Hintergrund Daten sammelte.

Diese Beispiele verdeutlichen, dass Phishing-Angriffe oft auf aktuelle Ereignisse und Trends zugeschnitten werden.

Schutzmaßnahmen für Privatpersonen – So bleibt die Identität sicher

Wer sich schützen will, muss technische und organisatorische Maßnahmen kombinieren. Dazu gehören:

• Nutzung eines Passwort-Managers, um komplexe und einzigartige Passwörter zu erstellen
• Aktivierung von Multi-Faktor-Authentifizierung, wo immer möglich
• Vorsicht bei Links in E-Mails, Messengern und sozialen Netzwerken
• Regelmäßige Überprüfung von Kontobewegungen
• Installation aktueller Sicherheitssoftware auf allen Geräten

Auch regelmäßige Schulungen und Sensibilisierung helfen, typische Phishing-Muster zu erkennen.

Sicherheit als Routine – So verhindern Sie den Ernstfall

Digitale Sicherheit entsteht nicht durch einmalige Maßnahmen, sondern durch konsequente Routine. Dazu zählt das regelmäßige Ändern von Passwörtern, die Nutzung sicherer Netzwerke und das Hinterfragen unerwarteter Anfragen – egal, ob sie per E-Mail, Telefon oder Videoanruf kommen.

Unternehmen setzen zunehmend auf simulierte Phishing-Tests, um Mitarbeiter zu schulen. Privatpersonen profitieren von Browser-Add-ons, die bekannte Phishing-Seiten blockieren, und von Monitoring-Diensten, die den Missbrauch persönlicher Daten im Darknet melden.

Das Ziel: Phishing-Angriffe früh erkennen, bevor Schaden entsteht. Wer verdächtige Nachrichten konsequent meldet und seine Schutzmaßnahmen aktuell hält, minimiert das Risiko erheblich – auch in einer Zeit, in der Angriffe so überzeugend wirken wie nie zuvor.