Angriffe per E-Mail werden seit Jahren abgewehrt – erst mit Scans auf schadhafte Links und Anhänge, später mit Analysen von Verhalten und sozialen Mustern. Doch mit Phishing 3.0 verschiebt sich die Spielwiese: Nicht mehr der Inhalt allein ist verdächtig, sondern die beabsichtigte Wirkung. Zudem agieren Angreifer zunehmend wie eigene Teams aus Software: Sie recherchieren, formulieren, verteilen und passen die Kampagne an. Für viele Verteidiger bedeutet das vor allem eines: Wer nur reagiert, kommt immer später.
Vom schädlichen Inhalt zur manipulierten Absicht
Früher lag der Schwerpunkt klar auf dem, was in der Nachricht steckte. Phishing 1.0 zielte auf bösartige Elemente wie Links, infizierte Dateien oder Spam. Gateway-Lösungen konnten diese Muster meist zuverlässig erkennen, weil die Gefahr oft im Payload-Bestandteil steckte.
Mit Phishing 2.0 wurde es schwieriger. Statt auffälliger Dateien ging es stärker um soziale Manipulation: Executive-Übernahmen, gefälschte Rechnungen oder Betrugsmaschen, die wie normale Anfragen wirken. Ein Gateway kann hier schnell ins Leere laufen, weil keine klassische „Schadsoftware-Spur“ im Text sichtbar ist. Stattdessen braucht es Mechanismen, die das Verhalten und den Kontext bewerten – häufig mit KI, die lernt, wie Teams und Personen im Alltag miteinander kommunizieren.
Phishing 3.0: KI schreibt, Deepfakes tragen, Agenten handeln
Phishing 3.0 stellt die nächste Entwicklung dar: Angreifer setzen GenAI zum Generieren der Masche ein, während Deepfakes die Übermittlung in Voice und Video unterstützen. Der Angriff wird damit Multi-Channel – also nicht nur auf E-Mail beschränkt, sondern auch auf Kollaborationstools und Live-Kommunikation ausgeweitet. Entscheidender Unterschied: Der Absender ist immer weniger eine einzelne Person, die man „am Tippstil“ festmachen könnte.
In der beschriebenen Entwicklung rückt ein agentenbasierter Ablauf in den Vordergrund. Ein System recherchiert, entwirft eine passende Vorabstory (Pretext), versendet und passt das Vorgehen wieder an – und zwar in einem Tempo, das über menschliche Arbeitszeiten weit hinausgeht.
Die Kosten des Angriffs sinken – die Zielbreite steigt
Was früher Zeit kostete, wird durch agentic KI deutlich günstiger: Öffentliches Auftauchen im Netz zusammenfassen, Informationen aus Code- und Cloud-Dokumentation ziehen, organisatorische Zuordnungen (wer berichtet wem) ableiten und daraus eine passgenaue Vorabstory ableiten. Anstatt „nur“ einige hochwertige Ziele zu bearbeiten, kann die gleiche Logik auf tausende Organisationen skaliert werden.
Das wirkt sich auch auf die Qualität der Täuschung aus. Unpräzise, fehlerhafte Phishing-Versuche verlieren an Attraktivität – denn moderne Lures können interaktiver werden und ein Gespräch simulieren. Zusätzlich wird die Angriffsfläche größer: Wer vorher dachte, „so wichtig sind wir nicht“, kann in automatisierten Kampagnen landen, die wie handgefertigt wirken.
Wenn Vertrauen über Kanäle hinweg entscheidet
Besonders kritisch wird es, sobald die Masche nicht im Posteingang endet. In einem bekannt gewordenen Fall bei Arup begann die Aktion mit einer E-Mail, die einen CFO imitierte. Als ein Mitarbeiter zögerte, folgte eine Videoanruf-Variante mit täuschend echten Eindrücken. Der entscheidende Punkt war, dass nicht alle Gesichter im Call echt waren – sie waren synthetisch. So konnte der Prozess bis zur Freigabe von Überweisungen eskalieren.
Der Kern der Gefahr: Keine E-Mail-Hygiene kann zuverlässig verhindern, dass ein Angriff über Audio/Video das Vertrauen des Gegenübers ausnutzt. Sobald sich die Verifikation auf den Inbox-Content beschränkt, finden Angreifer Wege darum herum.
Datenlage: Vertrauen ist bereits belastet
Ein einzelner Vorfall zeigt noch kein Muster, doch Umfragen in der Sicherheitsbranche deuten auf eine breite Problematik hin. In einer Studie wurden Sicherheits- und IT-Leiter befragt; die Ergebnisse zeigen, dass viele bereits Vorfälle erlebt haben, die ihr Vertrauen in digitale Kommunikation erschüttert haben. Zudem berichten Teilnehmende von steigender Aufmerksamkeit durch Angreifer in ihrer jeweiligen Branche.
Gleichzeitig äußern viele Befragte Zweifel an der eigenen Wirksamkeit gegen Deepfake-basierten Missbrauch, selbst wenn Trainings laufen. Besonders alarmierend: Wenn Reaktionsversuche auf eine vertrauensbasierte Attacke scheitern, steigt laut Antworten die Wahrscheinlichkeit für einen umfassenderen Sicherheitsvorfall. Darüber hinaus gaben mehr als ein Drittel an, dass Angreifer dabei als vertrauenswürdige Lieferanten oder Partner auftreten.
Auch technische Kennzahlen untermauern das Bild. Die Analyse von Produktions-Mail-Traffic legt nahe, dass eine relevante Anzahl von Phishing-Nachrichten nach der eigentlichen Perimeter-Prüfung bei Mitarbeitenden ankommt. Genau dort, wo die moderne Kampagne lebt, greifen viele klassische Annahmen zu kurz.
Warum das alte Abwehrmodell nicht mehr reicht
Viele Organisationen folgen einem vertrauten Muster: erst blockieren, dann erkennen und schließlich untersuchen und bereinigen. Gegen menschliche Angreifer, die nur begrenzt viele Nachrichten in einem Rhythmus verschicken können, hat das funktioniert, weil es zeitlich eine gewisse „Luft“ gab.
Bei Phishing 3.0 entsteht jedoch eine Asymmetrie: Agenten erstellen personalisierte, dialogartige Maschen und verteilen sie über mehrere Kanäle, schneller als ein Team oder ein Mensch zuverlässig prüfen kann. Die reine Menge an Signalen macht den Engpass greifbar: Security Operations Centers melden häufig sehr hohe Alert-Zahlen, aber untersuchen nur einen Teil davon. In dieser Realität „gewinnt“ kein Verteidiger mit mehr Tempo allein – er muss anders priorisieren und vor allem effizienter reagieren.
Statt nur zu reagieren: Vorwegnahme und Automatisierung
Die Strategie muss um eine dritte Haltung ergänzt werden: Preempt, also das Vorausahnen und Härtung der Detektion, bevor die erste Nachricht oder der erste Call landet. Der Ansatz dahinter: Routinefälle sollen automatisiert erkannt und abgearbeitet werden, während Menschen sich auf Entscheidungen mit erhöhtem Urteilsbedarf konzentrieren.
Das erfordert mehr als nur zusätzliche Filter. Denn wenn Angreifer agentisch arbeiten, entsteht ein Geschwindigkeits- und Kompetenzgefälle, sobald die Verteidigung nur nachgelagert reagiert.
Der Verteidiger braucht ebenfalls einen Agent
Die Entwicklung hin zu agentenbasierten Angriffen führt zu einer Art Symmetrie: Wer nicht selbst automatisierte, agentische Prozesse im SOC einsetzt, nimmt eine dauerhafte Unterlegenheit beim Tempo in Kauf. In Untersuchungen wird sichtbar, dass Teams mit stärkeren Sicherheitspositionen KI im SOC deutlich stärker adoptieren als der Durchschnitt.
Die dort beschriebene Logik ist ein Wechsel weg vom reinen „Chatbot neben dem Dashboard“. Stattdessen soll der Agent Bedrohungen end-to-end untersuchen und einem Menschen eine belastbare Entscheidung liefern – nicht nur einen zusätzlichen Hinweis im Alert-Stream.
Die Beispiele aus der Praxis zeigen, dass KI-gestützte Agenten mehr bösartige E-Mails identifizieren können als rein manuelle Sichtung und dabei Arbeitszeit bei Analysten einsparen. Entscheidend ist dabei weniger der Marketingbegriff, sondern die Frage: Untersucht der Agent tatsächlich – oder erzeugt er nur mehr Tickets?
Was das für Praktiker bedeutet
1) Nicht nur das Gateway zählt
Ein häufiger Fehler ist, die Wirksamkeit von E-Mail-Sicherheit ausschließlich daran zu messen, was am Perimeter abgeblockt wird. Relevanter ist, was nach dem Gateway im Posteingang ankommt. Wer von Anbietern Transparenz verlangt, sollte dabei auf Post-Delivery-Miss-Raten achten – und unklare Antworten ernst nehmen.
2) Modellieren Sie die Bedrohung über E-Mail hinaus
Der geschilderte Video-Call-Fall zeigt: Wenn Identitätsprüfung nur auf die Inbox fokussiert, umgehen Angreifer die Kontrolle dort, wo sie ohnehin nicht hinsieht. Eine moderne Threat-Modeling-Logik muss Voice und Video ebenso abdecken wie digitale Kollaboration.
3) Bewerten Sie Automatisierung nach Autonomie
Tools, die mehr Alerts präsentieren, erhöhen oft nur den täglichen Lärm. Wirksame Automatisierung reduziert Aufwand, indem sie Fälle untersucht und löst. Stellen Sie deshalb die Frage nach dem Anteil der Vorfälle, die ohne menschliches Eingreifen abgearbeitet werden.
4) Trainings sollten reconnaissance-aware sein
Standardisierte Simulationen trainieren Mitarbeitende häufig, generische Phishing-Muster zu erkennen. Doch Phishing 3.0 zielt stärker auf personalisierte Reconnaissance-Elemente und Kontext ab. Trainings sollten daher die Logik der Angriffe widerspiegeln – also nicht nur „wie sieht ein Phish aus“, sondern wie die Zielperson mithilfe von Informationen vorbereitet wird.
Fazit: Wer Geschwindigkeit gegen Menschen wettet, verliert gegen Agenten
Phishing 3.0 ist keine ferne Prognose: Agentische Angreifer sind bereits im Einsatz, und der Schaden durch Deepfakes wird bereits bilanziert. Daten deuten darauf hin, dass Vertrauen heute schneller ausgenutzt wird, als viele Verteidigungen nachziehen können.
Organisationen, die gut durch diese Phase kommen, setzen nicht nur auf Reaktionsfähigkeit, sondern bauen eine Abwehr, die selbst agentisch arbeitet: vorausschauend, automatisiert und über alle relevanten Kanäle hinweg. Kurz gesagt: Wer weiterhin versucht, mit ausschließlich menschlichen Händen eine Software-Skalierung aufzuholen, verliert den entscheidenden Wettbewerb. Wer dagegen einen echten Verteidigungs-Agent ins Feld bringt, verlagert das Kräfteverhältnis – und gewinnt Zeit für genau die Entscheidungen, die menschliches Urteilsvermögen erfordern.
Quelle: https://thehackernews.com/2026/08/phishing-30-fight-moves-to-agent-versus.html
