Phishing: Definition, Erklärung & Beispiele

Phishing ist eine Form des Cyberangriffs, bei der Angreifer versuchen, sensible Informationen wie Benutzernamen, Passwörter oder Kreditkarteninformationen von Nutzern zu stehlen. Dies geschieht häufig durch gefälschte E-Mails oder Webseiten, die legitim erscheinen. Phishing-Angriffe nutzen psychologische Tricks, um die Opfer dazu zu bringen, ihre Daten preiszugeben.

Phishing funktioniert, indem Angreifer gefälschte Nachrichten, oft per E-Mail, versenden, die den Anschein erwecken, von vertrauenswürdigen Quellen zu stammen. Die Nachrichten enthalten häufig Links zu gefälschten Webseiten, die ähnlich wie die Originalseiten gestaltet sind. Wenn Nutzer ihre Daten eingeben, gelangen diese direkt in die Hände der Angreifer.

Phishing wird hauptsächlich verwendet, um persönliche und finanzielle Informationen von Nutzern zu stehlen. Die Angreifer nutzen diese Informationen, um Identitätsdiebstahl zu begehen, Konten zu hacken oder finanzielle Betrügereien durchzuführen. Darüber hinaus kann Phishing auch verwendet werden, um Malware auf den Geräten der Opfer zu installieren.

Phishing ist ein allgemeiner Angriff, der an viele Personen gleichzeitig gerichtet ist, während Spear-Phishing gezielt eine bestimmte Person oder Gruppe anspricht. Bei Spear-Phishing nutzen Angreifer oft persönliche Informationen über das Ziel, um ihre Nachrichten glaubwürdiger zu gestalten, was die Wahrscheinlichkeit erhöht, dass das Opfer reagiert.

Die Vorteile von Phishing für Angreifer liegen in der hohen Erfolgsquote und der vergleichsweise geringen Kosten. Durch den Einsatz von gefälschten E-Mails und Webseiten können sie mit minimalem Aufwand eine große Anzahl von Nutzern erreichen. Zudem ermöglicht die Integration von KI in Phishing-Kampagnen eine höhere Präzision und Anpassungsfähigkeit der Angriffe.

Obwohl Phishing für Angreifer vorteilhaft sein kann, gibt es auch erhebliche Nachteile. Der rechtliche Risiko ist hoch, da viele Länder strenge Gesetze gegen Cyberkriminalität haben. Zudem können Angreifer durch Sicherheitsmaßnahmen und Schulungen von Nutzern, die auf Phishing aufmerksam gemacht werden, an Effektivität verlieren.

Um Phishing zu erkennen, sollten Nutzer auf bestimmte Anzeichen achten. Dazu gehören ungrammatische oder unprofessionelle Sprache, verdächtige Links oder Anhänge und unerwartete Anfragen nach persönlichen Informationen. Schulungen zur Cybersicherheit und das regelmäßige Informieren über aktuelle Phishing-Techniken können ebenfalls helfen, die Erkennung zu verbessern.

Im Jahr 2024 erfasste die Anti-Phishing Working Group (APWG) einen historischen Rekord von 4,8 Millionen Phishing-Angriffen, was einem Anstieg von 20 % im Vergleich zu 2023 entspricht. Diese Zahlen verdeutlichen die zunehmende Bedrohung durch Phishing und die Notwendigkeit, Sicherheitsvorkehrungen zu treffen.

Für das Jahr 2025 wird ein Anstieg der Phishing-Angriffe auf über 5 Millionen prognostiziert. Bereits im ersten Quartal 2025 wurden laut APWG über 1 Million Angriffe registriert. Diese Entwicklungen verdeutlichen die wachsende Herausforderung, der sich Unternehmen und Einzelpersonen gegenübersehen.

Die durchschnittlichen Kosten einer durch Phishing verursachten Sicherheitsverletzung beliefen sich im Jahr 2025 auf etwa 4,88 Millionen US-Dollar. Diese hohen Kosten verdeutlichen die finanziellen Risiken, die Unternehmen durch Phishing-Angriffe ausgesetzt sind, und die Notwendigkeit effektiver Schutzmaßnahmen.

Die durchschnittliche Klickrate auf Phishing-E-Mails liegt bei 3,4 %. Dies bedeutet, dass ein erheblicher Teil der Empfänger auf die Links in diesen E-Mails klickt, was die hohe Effektivität von Phishing-Kampagnen verdeutlicht. Zudem beginnen 84 % aller erfolgreichen Cyberangriffe mit einer solchen E-Mail.

Quishing, auch als QR-Code-Phishing bekannt, ist eine neue Methode, die zwischen 2023 und 2025 um 400 % zugenommen hat. Diese Technik nutzt QR-Codes, um Nutzer auf gefälschte Webseiten zu leiten, wodurch klassische E-Mail-Filter umgangen werden. Die Links sind im QR-Code verborgen, was die Erkennung erschwert.

Die Branchen, die am stärksten von Phishing betroffen sind, sind Finanzdienstleistungen und SaaS-Plattformen, die zusammen 60 % aller Angriffe ausmachen. Auch die Bereiche Produktion/Industrie und Transport/Logistik sind betroffen, wobei sie 18,6 % und 10,3 % der Angriffe ausmachen.

In Deutschland wurden im Jahr 2025 allein 971 gemeldete Fälle von Phishing registriert. Besonders umsatzstarke Kleinunternehmen sind häufig Ziel von CEO-Fraud, bei dem Angreifer versuchen, durch Deepfake-Technologie an vertrauliche Informationen zu gelangen.

Business Email Compromise (BEC) war zwischen 2023 und 2025 für 70 % aller analysierten Cybersicherheitsvorfälle verantwortlich. Diese Art des Angriffs nutzt Phishing und Social Engineering, die zusammen 33 % der Vorfälle ausmachen, um gezielt Unternehmen zu schädigen.

Im Juli 2026 meldete das Bundesamt für Cybersicherheit (BACS) Phishing-E-Mails, die im Namen der Eidgenössischen Steuerverwaltung (ESTV) und zur „E-Vignette“ versendet wurden. Diese Warnungen verdeutlichen die anhaltende Bedrohung durch Phishing und die Notwendigkeit, wachsam zu bleiben.