Phishing 2026: Zahlen, Trends und wie sich Unternehmen schützen

Beim Phishing werden Menschen mit gefälschten Nachrichten oder Websites dazu gebracht, Zugangsdaten, Zahlungsdaten oder Geld herauszugeben. Der Trick ist alt und funktioniert trotzdem zuverlässig. Auf dieser Seite finden Sie die aktuellen Zahlen für Deutschland und international, die Trends dahinter und die Maßnahmen, die 2026 tatsächlich helfen. Wir aktualisieren den Beitrag jedes Jahr. Jede Zahl nennt deshalb ihren Zeitraum und ihre Quelle.

Phishing-Statistik 2026: Wie verbreitet ist Phishing?

In Deutschland registrierte das Phishing-Radar der Verbraucherzentrale NRW 2025 insgesamt 382.470 Phishing-Mails. Das sind rund 10 Prozent weniger als im Vorjahr, aber laut Bundeslagebild Cybercrime 2025 des BKA weiterhin ein hohes Niveau. Das BKA hält fest, dass Phishing ein beliebter Eintrittsvektor bleibt und KI die Mails authentischer und damit gefährlicher macht. Beim BSI-Service-Center war Phishing zwischen Juli 2024 und Juni 2025 mit 18,3 Prozent das häufigste Anliegen unter den Anfragen zu Cyberkriminalität.

International steigen die Zahlen wieder. Die Anti-Phishing Working Group (APWG) zählte im ersten Quartal 2026 ein Plus von 13,8 Prozent und im zweiten Quartal weitere 10,1 Prozent. Allein im Juni 2026 waren es 425.808 Angriffe, der höchste Monatswert seit April 2023 (APWG, Q2 2026).

Auch europaweit liegt Phishing vorn. Der ENISA Threat Landscape 2026 mit Vorfällen aus 2025 nennt Phishing mit 77,8 Prozent den häufigsten Einstiegsweg unter den Social-Engineering-Techniken, vor Malspam mit 13 Prozent.

Alle diese Zahlen zeigen nur das Hellfeld. Das FBI sieht nur erstattete Anzeigen, die APWG nur Angriffe, die ihre Mitglieder entdecken, und die Verbraucherzentrale nur weitergeleitete Mails. Lesen Sie die Tabelle als Untergrenze.

Phishing aktuell: die wichtigsten Trends 2026

KI-Phishing: Die Köder schreibt die Maschine

Holpriges Deutsch war lange das einfachste Erkennungsmerkmal. Das gilt nicht mehr. In einer 2026 veröffentlichten Studie von Heiding, Schneier und weiteren Autoren erreichten vollständig KI-generierte Spear-Phishing-Mails eine Klickrate von 54 Prozent, genauso viel wie Mails menschlicher Experten und weit über den 12 Prozent der Kontrollgruppe (Evaluating Large Language Models' Ability to Automate Spear Phishing). Nach Schätzung der Autoren macht die Automatisierung große Kampagnen bis zu 50-mal profitabler.

Die Vorfallsdaten passen dazu. Laut der Cost-of-a-Data-Breach-Studie 2026 von IBM war jede vierte böswillige Datenpanne KI-gestützt, meist über Deepfake-Imitationen oder KI-gebaute Schadsoftware. Europol beobachtet, dass KI-Texte inzwischen lokale Sprache und kulturelle Feinheiten treffen (IOCTA 2025). Das BSI warnte im April 2026 vor einer Quishing-Welle mit KI-formulierten Nachrichten an deutsche Bankkunden.

Phishing-Kits und Phishing-as-a-Service

Viele Phishing-Seiten baut niemand mehr selbst. Sie stammen aus Phishing-Kits, die im Abo vermietet werden, mit Vorlagen für Dutzende Brands, Hosting und einem Dashboard für die erbeuteten Daten. Die besseren arbeiten als Reverse Proxy: Sie reichen die Anmeldung live an den echten Dienst weiter und übernehmen die Sitzung. SMS-Codes und Push-Freigaben helfen dann nicht mehr.

Im März 2026 nahm eine von Europol unterstützte Operation unter technischer Führung von Microsoft 330 Domains vom Netz, die den Kern von Tycoon2FA bildeten, einer Plattform zum Umgehen der Mehr-Faktor-Authentifizierung (Europol). Laut Microsoft ging das mit Tycoon2FA verbundene Phishing danach um 92 Prozent zurück. Im November 2025 verklagte Google die Betreiber von "Lighthouse", einem SMS-Phishing-Kit, das nach Angaben von Google über eine Million Opfer in mehr als 120 Ländern geschädigt hat (Google). Solche Schläge helfen, die Lücke füllt aber meist schnell die nächste Plattform.

Phishing per SMS, Telefon, QR-Code und Teams

E-Mail bleibt der wichtigste Kanal, die anderen holen auf. In den Phishing-Simulationen, die Verizon auswertet, lag die mittlere Klickrate bei SMS und Anrufen 40 Prozent über der von E-Mails, allerdings bei deutlich weniger Kampagnen. Microsoft beobachtete bis Juni 2026 fast zehnmal so viele bösartige Anrufversuche in Teams wie Mitte 2025, und Quishing erreichte im März 2026 mit 18,7 Millionen Angriffen einen Höchststand. Europol führt den Anstieg von Phishing und Smishing direkt auf die Zwei-Faktor-Authentifizierung in der EU zurück: Wenn ein Passwort allein nicht mehr reicht, wird auch der zweite Faktor abgefischt (IOCTA 2026).

Markenimitation: Lookalike-Domains, Fake-Shops und Anzeigen

Phishing lebt von geliehenem Vertrauen. Check Point zählte Microsoft im zweiten Quartal 2026 in 23 Prozent aller Brand-Phishing-Versuche, ChatGPT stieg erstmals in die Top Ten auf (Check Point). Das BSI beobachtet in Deutschland eine Verschiebung weg von Banken hin zu Onlinehändlern, Logistik und Streamingdiensten (BSI-Lagebericht 2025). Bei Phishing-Mails an die Bundesverwaltung hatten 49 Prozent einen Finanzbezug, imitiert wurden etwa Sparkasse, Postbank und PayPal.

Die Fälschung endet nicht bei der Mail. Die Täter registrieren Lookalike-Domains, bauen Shops mit kopierten Produktkatalogen und kaufen Anzeigen. In unserer DoppelCart-Recherche haben wir ein einzelnes Fake-Shop-Netzwerk mit rund 119.000 Domains nachgewiesen. In unserer Untersuchung für die ARD-Doku führten 3,5 Prozent der erfassten Google-Anzeigen zu einem Fake-Shop, gemeldete Anzeigen blieben im Schnitt 11,2 Tage online. Nichts davon berührt das Firmennetz des betroffenen Unternehmens, deshalb fällt es so leicht durchs Raster.

Welche Phishing-Kanäle zählen und was hilft?

Was kostet Phishing Unternehmen?

Laut Bitkom-Befragung 2026 gehen 76 Prozent der Schäden durch Datendiebstahl, Spionage und Sabotage in der deutschen Wirtschaft auf Cyberangriffe zurück, zwischen 160,4 und 205,8 Milliarden Euro pro Jahr (Bitkom). In den USA meldeten Betroffene dem FBI für 2025 Verluste von über 20 Milliarden Dollar, 26 Prozent mehr als im Vorjahr, davon rund 3,05 Milliarden durch Business Email Compromise (IC3 2025). IBM beziffert die durchschnittlichen Kosten einer Datenpanne weltweit 2026 auf den Rekordwert von 4,99 Millionen Dollar.

Ein zweiter Schaden lässt sich schwerer beziffern. Wer in Ihrem Namen betrogen wird, meldet sich bei Ihnen: Supportanfragen zu Bestellungen, die es nie gab, Rückbuchungen, schlechte Bewertungen. Bei DoppelCart nannten die Fake-Shops sogar die Supportadresse des echten Händlers. Die eigenen Systeme waren nie betroffen, der Schaden trifft trotzdem die eigene Brand.

Wie schützen sich Unternehmen 2026 vor Phishing?

Schulungen allein halten Ködern nicht stand, die so gut sind wie die Mail einer Kollegin. Wirksame Maßnahmen gehen davon aus, dass jemand klickt, begrenzen die Folgen und behalten gleichzeitig die Infrastruktur im Blick, die Angreifer in Ihrem Namen aufbauen.

1. Phishing-resistente Anmeldung einführen. Passkeys und FIDO2-Sicherheitsschlüssel sind an die echte Domain gebunden, ein Proxy-Kit kann sie nicht weiterverwenden. Beginnen Sie bei Admins, Buchhaltung und allen mit Zugriff auf Kundendaten.
2. Sitzungen beenden, nicht nur Passwörter ändern. Kits, die Session-Cookies stehlen, behalten den Zugang auch nach einem Passwortwechsel. Das Beenden aller Sitzungen gehört in jeden Notfallplan.
3. DMARC durchsetzen. Eine DMARC-Richtlinie mit "reject" verhindert, dass Ihre eigene Domain direkt gefälscht wird. Gegen Lookalike-Domains hilft sie nicht, deshalb der nächste Punkt.
4. Die eigene Brand außerhalb des Netzwerks beobachten. Neue Lookalike-Domains, Fake-Shops, geklonte Profile und Anzeigen mit Ihrem Namen sind die Vorbereitungsphase einer Kampagne. Domain-Monitoring und Social-Media-Monitoring erfassen sie, bevor oder während sie live gehen.
5. Einen Takedown-Weg vorbereiten. Klären Sie, wer eine Phishing-Seite entfernt (Hoster, Registrar, Plattform) und welche Belege dafür nötig sind. Unser Website-Takedown-Leitfaden beschreibt die Schritte, der Phishing-Takedown ist der Service, wenn Sie es abgeben möchten.
6. Zahlungen über einen zweiten Kanal bestätigen. Jede Änderung von Bankdaten und jede eilige Überweisung bekommt einen Rückruf unter einer bekannten Nummer. Damit scheitert das klassische Muster aus gefälschter Rechnung und geänderter Kontonummer.
7. Für alle Kanäle schulen. SMS, Anrufe, QR-Codes und Teams gehören in Awareness-Maßnahmen und Simulationen, nicht nur E-Mail.
8. Melden leicht machen. Ein Melde-Button für Beschäftigte und eine öffentliche Adresse für Kunden liefern das früheste Signal, das Sie bekommen können.

Phishing-Angriff erkannt: Was tun und wo melden?

Im Unternehmen entscheidet die erste Stunde über das Ausmaß:

1. Betroffene Zugangsdaten zurücksetzen, alle aktiven Sitzungen beenden und nach neuen Postfachregeln, Weiterleitungen und registrierten Geräten suchen.
2. Wurde Geld überwiesen, sofort die Bank anrufen und einen Rückruf der Zahlung veranlassen. Je früher, desto besser die Chancen.
3. Die Phishing-Seite sichern, bevor sie verschwindet. Unser Website-Scan speichert Screenshot und Quelltext, Wer hostet die Website? zeigt, wohin die Abuse-Meldung gehört.
4. Prüfen, ob personenbezogene Daten betroffen sind. Eine meldepflichtige Datenpanne muss nach DSGVO innerhalb von 72 Stunden an die Aufsichtsbehörde gemeldet werden. Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, haben zusätzlich Meldepflichten gegenüber dem BSI.
5. Anzeige bei der Polizei erstatten, vor Ort, bei der Zentralen Ansprechstelle Cybercrime Ihres Landeskriminalamts oder über die Onlinewache Ihres Bundeslandes.
6. Phishing-Mails an das Phishing-Radar der Verbraucherzentrale weiterleiten ([email protected]). Das BSI-Service-Center berät kostenlos unter 0800 274 1000.
7. Kundinnen und Kunden warnen, wenn Ihre Brand missbraucht wurde, mit einer konkreten Beschreibung der Nachricht.

Privatpersonen, die Bankdaten eingegeben haben, lassen Konto und Karten über ihre Bank oder den Sperr-Notruf 116 116 sperren und erstatten Anzeige.

Wo nebty ansetzt

E-Mail-Sicherheit, Anmeldeschutz und Schulungen sind Arbeit innerhalb des eigenen Netzwerks, dafür gibt es viele gute Werkzeuge. nebty deckt den Teil außerhalb ab: Lookalike-Domains, Fake-Shops, Fake-Profile und Anzeigen mit Ihrer Brand und die Takedowns, mit denen sie verschwinden. Was bereits im Umlauf ist, zeigt Ihnen der kostenlose Test für Ihre eigene Brand.

Häufige Fragen