Cyberkriminelle setzen zunehmend auf Künstliche Intelligenz, um ihre Angriffe gezielter und schwerer erkennbar zu gestalten. Laut dem aktuellen „Zscaler ThreatLabz 2026 Phishing and Initial Access Report“ geht die Zahl der Phishing-Angriffe zwar zurück, gleichzeitig steigt jedoch deren Qualität und Wirksamkeit deutlich an.

Foto: Zscaler Deepen Desai, Chief Security Officer bei Zscaler Die Ökonomie der Cyberkriminalität befindet sich im Wandel. Das zeigt der aktuelle „Zscaler ThreatLabz 2026 Phishing and Initial Access Report“, der auf Telemetriedaten aus der weltweit größten Inline Security Cloud basiert. Während das Gesamtvolumen an Phishing-Angriffen im Vergleich zum Vorjahr um 20 Prozent zurückging und damit bereits das zweite Jahr in Folge sinkt, beobachten die Sicherheitsexperten eine deutliche Professionalisierung der Angriffe.

Demnach setzen Cyberkriminelle zunehmend auf KI-gestützte Werkzeuge, um hochrealistische Phishing-Kampagnen zu entwickeln. Gleichzeitig werden Angriffe stärker verschleiert und gezielter auf einzelne Branchen, Arbeitsabläufe und Identitätssysteme ausgerichtet.

Angreifer tauschen Masse gegen Präzision

Nach Einschätzung von Zscaler markiert die Entwicklung einen grundlegenden Strategiewechsel. Statt möglichst viele Phishing-Nachrichten zu versenden, konzentrieren sich Angreifer auf qualitativ hochwertigere und überzeugendere Köder.

Besonders deutlich zeigt sich dies bei sogenannten „Text-to-Site“-Werkzeugen. ThreatLabz identifizierte insgesamt 413.524 KI-generierte Webseiten, von denen nahezu zehn Prozent als eindeutig bösartig eingestuft wurden. Mithilfe von KI-Plattformen wie Manus AI, Blackbox AI und Lovable AI können Angreifer innerhalb weniger Minuten professionell gestaltete Phishing-Portale erstellen, die legitime Marken und Geschäftsprozesse nachahmen.

„Wir beobachten derzeit eine strategische Neuausrichtung in der Vorgehensweise von Angreifern für den ersten Zugriff“,

erklärt Deepen Desai, Chief Security Officer bei Zscaler.

„Der Rückgang des reinen Phishing-Volumens ist kein Zeichen eines Rückzugs, sondern deutet auf eine Weiterentwicklung hin. Angreifer tauschen Quantität gegen Qualität ein und nutzen GenAI, um traditionelle Anzeichen wie schlechte Grammatik und generische Köder zu eliminieren.“

Besonders betroffen von dieser Entwicklung ist laut Report der Dienstleistungssektor. Dort stiegen die Angriffe im Vergleich zum Vorjahr um 65,5 Prozent. Cyberkriminelle imitieren gezielt geschäftliche Prozesse wie Rechnungsstellungen, Onboarding-Prozesse neuer Mitarbeitender oder Vertragsverlängerungen, um Vertrauen zu erzeugen und Zugangsdaten zu erbeuten.

Verschlüsselter Datenverkehr wird zum blinden Fleck

Eine der auffälligsten Entwicklungen betrifft die zunehmende Nutzung verschlüsselter Verbindungen. Laut Report verstecken sich inzwischen 95,2 Prozent aller Phishing-Versuche im verschlüsselten Datenverkehr.

Darüber hinaus erfolgen 87 Prozent sämtlicher bösartiger Aktivitäten über HTTPS-Verbindungen. Dadurch können Angriffe traditionelle Sicherheitslösungen umgehen, die keine TLS- beziehungsweise SSL-Prüfung durchführen.

„Da sich mittlerweile 95 Prozent der Phishing-Angriffe im verschlüsselten Datenverkehr verstecken, können es sich Unternehmen nicht mehr leisten, ihren TLS-Datenverkehr ungeprüft zu lassen“,

warnt Desai.

Hinzu kommen neue Angriffswerkzeuge zur Umgehung der Multi-Faktor-Authentifizierung. Laut Report werden unter anderem Kits wie „BlackForce“ eingesetzt, um aktive Sitzungen in Echtzeit zu kapern und bestehende MFA-Schutzmechanismen auszuhebeln.

Auch die Nachahmung bekannter Marken bleibt ein zentrales Element moderner Phishing-Kampagnen. Microsoft und Google zählen laut ThreatLabz weiterhin zu den am häufigsten imitierten Unternehmen. Ziel ist dabei die Kompromittierung von Identitätssystemen und Benutzerkonten in Unternehmen.

Millionen Angriffsversuche vor dem eigentlichen Einbruch

Die Untersuchung zeigt zudem, dass Angreifer lange vor einem eigentlichen Angriff umfangreiche Vorbereitungen treffen. Daten aus globalen Deception-Systemen registrierten innerhalb von sechs Monaten 89,9 Millionen böswillige Interaktionen von insgesamt 1,37 Millionen unterschiedlichen Angreifer-IP-Adressen.

Die Telemetriedaten belegen laut Zscaler, dass Kollaborations- und Identitätsplattformen gezielt gescannt und ausspioniert werden, um Schwachstellen zu identifizieren und Verteidigungsmaßnahmen auszutesten.

Darüber hinaus beobachteten die Analysten mehr als 121.000 unterschiedliche IP-Adressen aus Public-Cloud-Umgebungen, die für Aufklärungsaktivitäten eingesetzt wurden. Die USA bleiben weiterhin eines der Hauptziele von E-Mail-basierten Phishing-Angriffen. Besonders stark stieg die Zahl der Phishing-Hosts in Brasilien. Dort verzeichnete Zscaler einen Anstieg von 2.522 Prozent, wodurch das Land inzwischen zu den fünf wichtigsten Herkunftsländern für Phishing-Infrastrukturen zählt.

Für den Report analysierte ThreatLabz täglich mehr als 500 Billionen Signale aus der Zscaler Zero Trust Exchange Plattform und blockierte nach Unternehmensangaben täglich über neun Milliarden Bedrohungen. Die Untersuchung basiert auf Daten aus dem Zeitraum Januar bis Dezember 2025 sowie zusätzlichen Erkenntnissen aus Deception-Systemen zwischen Oktober 2025 und März 2026.

Nach Einschätzung von Zscaler wird die Fähigkeit, verschleierte KI-gestützte Angriffe frühzeitig zu erkennen und zu stoppen, künftig zu einer der zentralen Herausforderungen moderner Cybersicherheit werden.