Im Jahr 2025 prägten vor allem die Kombination aus KI, sich kontinuierlich weiterentwickelnden Phishing-as-a-Service (PhaaS)-Kits und immer ausgefeilteren Techniken zur Verbreitung von Phishing und zur Umgehung von Sicherheitsmaßnahmen die Phishing-Landschaft. Die Threat-Analysten von Barracuda gingen beispielsweise noch vor einem Jahr davon aus, dass PhaaS-Kits bis Ende 2025 für die Hälfte aller Angriffe mit dem Ziel, Anmeldedaten zu stehlen, genutzt werden. Der tatsächliche Anteil liegt nun bei etwas über 50 Prozent. Darüber hinaus hat sich die Anzahl der Phishing-Kits im Jahr 2025 verdoppelt.
Für das Jahr 2026 prognostizieren die Threat-Analysten von Barracuda unter anderem folgende Entwicklungen:
- Phishing-Kits 2.0: Das Barracuda-Team geht davon aus, dass PhaaS-Kits bis Ende 2026 für mehr als 90 Prozent der Angriffe mit dem Ziel, Anmeldedaten zu stehlen, genutzt werden, was mehr als 60 Prozent aller Phishing-Angriffe entspräche. Barracuda geht zudem davon aus, dass sowohl etablierte als auch neue Phishing-Kits künftig Tools verwenden werden, um detaillierte soziale Profile der Ziele zu erstellen. Außerdem werden die Phishing-Kits automatisierte Taktiken einsetzen, um Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung (MFA) zu umgehen, indem sie Zugriffs-Token stehlen oder die Authentifizierung über eine legitime Website weiterleiten. Zudem wird KI verstärkt zum Einsatz kommen, um Kits weiterzuentwickeln und Angriffe personalisierter und effektiver zu gestalten.
- Dynamische Umgehungstechniken und maßgeschneiderte Payloads: Angreifer werden von statischen Taktiken zu dynamischen, kontextbezogenen Ansätzen übergehen – mit Payloads, die genau auf das jeweilige Gerät, die Benutzeraktivität oder den Zeitpunkt des Angriffs zugeschnitten sind, um eine automatisierte Erkennung zu umgehen. Barracuda geht davon aus, dass unter anderem das Verstecken von bösartigem Code in harmlosen Bild- oder Audiodateien, ClickFix-Social-Engineering-Techniken, geteilte und verschachtelte QR-Codes, der Missbrauch von OAuth und dynamische Code-Injektion als Umgehungstechniken zunehmen werden.
- KI-basierte, automatisch anpassbare Phishing-Kampagnen: Angreifer werden generative KI einsetzen, um personalisierte Phishing-Nachrichten in großem Umfang zu erstellen und Phishing-Kampagnen schnell und automatisch anzupassen. Diese KI-gestützten Angriffe werden schnell erfolgen und sich durch eine verbesserte Verschlüsselung, zusätzliche Verschleierungsebenen und anpassbare Payloads auszeichnen. Barracuda erwartet außerdem, dass Angreifer auch die KI selbst ausnutzen werden, indem sie Prompt-Injection-Techniken einsetzen und KI-Agenten ins Visier nehmen, mit dem Ziel, KI-gestützte Sicherheits-Tools zu manipulieren oder zu kompromittieren.
- Umgehung der Multi-Faktor-Authentifizierung (MFA): Das Barracuda-Team geht davon aus, dass durch MFA-Fatigue- oder Relay-Angriffe bedingter MFA-Code-Diebstahl durch Phishing zunehmen wird. Social Engineering-Angriffe werden sich zunehmend auf MFA-Wiederherstellungsprozesse fokussieren, beispielsweise auf Codes zum Zurücksetzen von Passwörtern oder andere Optionen zur Kontowiederherstellung. Angreifer werden Social Engineering zudem für MFA-Downgrade-Angriffe einsetzen und so versuchen, Nutzer dazu zu verleiten, eine alternative Authentifizierungsmethode zu wählen, die für die Angreifer leichter zu umgehen ist.
- Missbrauch von CAPTCHAs: Ausgefeilte Phishing-Kampagnen verwenden zunehmend CAPTCHAs, um Opfern ein Gefühl von Sicherheit zu vermitteln und die wahren Absichten der Angreifer zu verschleiern. Barracuda geht davon aus, dass bis Ende 2026 mehr als 85 Prozent aller Phishing-Angriffe CAPTCHAs in dieser Form nutzen werden, um automatisierte Sicherheits-Tools zu umgehen und sicherzustellen, dass Interaktionen von einem Menschen durchgeführt werden. Außerdem geht Barracuda davon aus, dass sich Angreifer im Jahr 2026 zunehmend von legitimen CAPTCHAs abwenden und stattdessen auf gefälschte Alternativen zurückgreifen werden.
Schutz vor fortschrittlichen Angriffsmethoden
Phishing-Bedrohungen haben sich im Jahr 2025 erheblich weiterentwickelt und sind häufiger, komplexer und schwerer zu erkennen geworden. Das Threat-Analysten-Team von Barracuda geht davon aus, dass sich diese Trends auch im Jahr 2026 fortsetzen werden. Eine aktuelle Studie von Barracuda zeigt beispielsweise, dass 79 Prozent der in DACH befragten Unternehmen in den vergangenen zwölf Monaten Opfer einer E-Mail-Sicherheitsverletzung wurden. Je länger es dauerte, bis ein Opfer diese Bedrohung erkannte und eindämmte, desto größer war der erlittene Schaden.
E-Mail-Sicherheit sollte deshalb ein wichtiger Bestandteil einer robusten, cyberresilienten Sicherheitsstrategie sein. Um fortgeschrittenes Phishing abzuwehren, sollten Unternehmen zudem auf KI-gestützte integrierte Sicherheitsplattformen wie BarracudaONE setzen, die ein Rund-um-die-Uhr-Monitoring und eine starke Sicherheitskultur ermöglichen.
Weitere Phishing-Trends für 2026 finden Sie hier im Barracuda-Blog.
