Ein Handwerksbetrieb mit zwölf Mitarbeitern, eine Steuerkanzlei mit vier Angestellten, ein regionaler Online-Händler mit sechsköpfigem Team: Genau solche Unternehmen stehen seit 2023 verstärkt im Visier organisierter Phishing-Kampagnen. Der Grund ist simpel. Konzerne haben spezialisierte IT-Sicherheitsteams, mehrstufige Authentifizierungssysteme und dedizierte Budgets für Cyberabwehr. Kleine und mittlere Unternehmen haben das in den seltensten Fällen. Für Angreifer ist der Aufwand pro erfolgreichem Einbruch deutlich geringer.
Wie die Angriffe 2026 aussehen
Die Zeiten generischer Massen-E-Mails mit kaputtem Deutsch sind weitgehend vorbei. Moderne Phishing-Angriffe sind personalisiert, sprachlich sauber und technisch durchdacht. Drei Entwicklungen prägen das Bild 2026 besonders stark.
Business Email Compromise (BEC) ist inzwischen die teuerste Form des Phishings. Der Angreifer gibt sich als Geschäftsführer, Steuerberater oder Lieferant aus und veranlasst eine Überweisung oder die Herausgabe von Zugangsdaten. Laut einer Erhebung des Bundeskriminalamts aus 2024 entstand durch BEC-Angriffe in Deutschland ein Schaden von über 430 Millionen Euro, wobei KMU überproportional betroffen waren.
QR-Code-Phishing, auch Quishing genannt, umgeht klassische E-Mail-Filter. Der Angreifer bettet einen QR-Code in eine legitim wirkende E-Mail ein. Das Opfer scannt ihn mit dem Smartphone, landet auf einer gefälschten Login-Seite und gibt dort seine Zugangsdaten ein. Da der schädliche Link nicht im E-Mail-Text steht, erkennen viele Sicherheitslösungen die Gefahr nicht.
KI-gestützte Spear-Phishing-Mails nutzen öffentlich verfügbare Informationen aus LinkedIn-Profilen, Unternehmenswebsites und sozialen Netzwerken. Eine gefälschte Nachricht kann sich auf den letzten Messeauftritt beziehen, den Namen eines echten Kollegen nennen und einen plausiblen Kontext liefern. Die Qualität dieser Angriffe ist mit menschlicher Aufmerksamkeit kaum von echten Nachrichten zu unterscheiden.
Warum technische Filter allein nicht reichen
Viele KMU-Inhaber setzen auf Spam-Filter, Antivirensoftware und Firewall und glauben damit ausreichend geschützt zu sein. Das ist ein Trugschluss. Selbst hochwertige technische Lösungen erkennen gezielte Angriffe nicht mit hundertprozentiger Sicherheit. Der entscheidende Faktor bleibt der Mensch am Bildschirm.
In einer Untersuchung von IBM aus dem Jahr 2024 wurden 68 Prozent aller erfolgreichen Cyberangriffe auf menschliches Fehlverhalten zurückgeführt, also auf einen Klick, eine Eingabe oder eine Weiterleitung. Technische Maßnahmen können die Angriffsfläche verkleinern, aber sie können nicht ersetzen, was ein aufmerksamer Mitarbeiter leistet, der eine verdächtige E-Mail erkennt und meldet.
Mitarbeiterschulung als Kernmaßnahme
Die Schulung von Belegschaften hat sich als eine der wirksamsten Gegenmaßnahmen etabliert. Dabei geht es nicht um PowerPoint-Präsentationen im Jahresrhythmus. Effektiv sind simulierte Phishing-Angriffe, bei denen das eigene Unternehmen die Zielscheibe spielt. Mitarbeiter erhalten eine gefälschte Phishing-Mail, und wer darauf hereinfällt, wird sofort und ohne Sanktion auf den Fehler hingewiesen und geschult.
Diese Methode verbessert die Erkennungsrate nachweislich. Unternehmen, die regelmäßige Simulationen durchführen, berichten nach sechs Monaten von einer Reduktion der Klickrate auf Phishing-Links um bis zu 70 Prozent. Wer einen Experte gegen Phishing für KMU hinzuzieht, kann solche Simulationen realistisch, rechtssicher und auf die eigene Branche zugeschnitten umsetzen lassen. Der externe Blick deckt dabei Schwachstellen auf, die intern oft übersehen werden.
Wichtig ist die Wiederholung. Eine einmalige Schulung verpufft. Quartalsweise Simulationen, ergänzt durch kurze Newsletter oder Awareness-Häppchen im Intranet, halten das Bewusstsein dauerhaft hoch.
Technische Mindeststandards für KMU
Neben der Mitarbeitersensibilisierung gibt es eine Reihe technischer Maßnahmen, die für KMU mit überschaubarem Aufwand umsetzbar sind und einen erheblichen Unterschied machen.
- Mehrfaktor-Authentifizierung (MFA): Für alle externen Zugänge, also E-Mail, Cloud-Dienste, VPN, obligatorisch aktivieren. Ein gestohlenes Passwort allein reicht dann nicht mehr aus.
- DMARC, DKIM und SPF: Diese E-Mail-Authentifizierungsprotokolle verhindern, dass Angreifer im Namen der eigenen Domain E-Mails versenden. Die Einrichtung dauert wenige Stunden, ist aber erstaunlich selten umgesetzt.
- DNS-Filter: Dienste wie Cloudflare Gateway oder vergleichbare Lösungen blockieren den Zugriff auf bekannte Phishing-Domains, bevor eine Verbindung überhaupt zustande kommt.
- Patch-Management: Veraltete Software ist eine der häufigsten Einfallstore. Automatische Updates für Betriebssysteme, Browser und Plugins minimieren das Risiko.
- Passwort-Manager: Schwache oder wiederverwendete Passwörter bleiben ein massives Problem. Ein zentraler Passwort-Manager senkt die Hürde für sichere Credentials erheblich.
Was im Ernstfall zu tun ist
Selbst gut geschützte Unternehmen können Opfer eines Angriffs werden. Entscheidend ist dann, wie schnell und strukturiert reagiert wird. Ein klarer Notfallplan, den alle kennen, verkürzt die Reaktionszeit und begrenzt den Schaden.
Ein solcher Plan sollte mindestens folgende Punkte abdecken: Wer ist im Ernstfall erster Ansprechpartner für IT-Vorfälle? Ab welchem Zeitpunkt wird die Geschäftsführung informiert? Welche Systeme werden isoliert, wenn ein Befall vermutet wird? Wann kommt externe Hilfe hinzu?
Viele KMU haben diese Fragen nie schriftlich beantwortet. Wenn ein Mitarbeiter versehentlich Zugangsdaten auf einer gefälschten Seite eingegeben hat, zählt jede Minute. Ein nicht vorhandener oder unbekannter Notfallplan kostet im Ernstfall Tage.
Phishing-Schutz als Investition, nicht als Kostenfaktor
Der durchschnittliche Schaden eines erfolgreichen Phishing-Angriffs auf ein KMU liegt laut einer Studie des Ponemon Institute aus 2024 bei rund 165.000 Euro, wenn man Ausfallzeiten, Datenwiederherstellung und Reputationsverlust einrechnet. Dem gegenüber stehen Kosten für Schulungen und Simulationen, die für ein mittelständisches Unternehmen bei wenigen Tausend Euro im Jahr liegen.
Die Rechnung ist eindeutig. Phishing-Schutz ist keine Ausgabe für ein abstraktes Risiko. Es ist eine konkrete Absicherung gegen einen der häufigsten und teuersten Schadensfälle im Unternehmensalltag. Wer 2026 noch glaubt, als kleines Unternehmen nicht interessant genug für Angreifer zu sein, unterschätzt die Realität erheblich. Die Angreifer suchen nicht die größten Ziele, sie suchen die einfachsten.