Inmitten all der Schlagzeilen über das Aufkommen von KI-gestützter Malware und ausgeklügelte Schadprogramme, die Endpoint-Sicherheitstools umgehen, wird eine Cyberbedrohung immer wieder übersehen: Phishing.
Zwar stellen KI-Tools, Assistenten und Chatbots ein neues Cybersicherheitsrisiko dar, doch als ESET mehr als zweitausend KMU befragte, was die Ursache für die von ihnen erlebten Cybervorfälle war, antworteten die meisten mit „Phishing“. Trotz dieser Antworten betrachten laut dem ESET SMB Cyber Readiness Index 2026 nur 26 % Phishing als große Bedrohung.
Der Index verdeutlicht eine einfache Tatsache: Der beste Weg, Bedrohungen zu begegnen, die auf Ihre Mitarbeiter abzielen, ist deren Schulung. Die meisten in diesem Bericht befragten Unternehmen (98 %) tun dies bereits und profitieren von der Widerstandsfähigkeit und dem Selbstvertrauen, die mithochwertigen Cybersicherheitsschulungen und Phishing-Simulationeneinhergehen.
Kernaussagen dieses Artikels:
- Der „ESET SMB Cyber Readiness Index 2026“ zeigt, dass Phishing und Social Engineering den größten Anteil an Cybervorfällen bei KMU ausmachen. Doch viele Unternehmen betrachten sie nach wie vor nicht als ihr größtes Problem.
- Bei den meisten Sicherheitsverletzungen spielt der Faktor Mensch eine Rolle. Viele Angriffe beginnen mit einfachen Interaktionen wie dem Anklicken von Phishing-E-Mails, was die Mitarbeiter als kritische Schwachstelle hervorhebt.
- KI-gestützte Tools ermöglichen äußerst überzeugende Betrugsversuche, darunter Deepfakes und personalisierte Spear-Phishing-Nachrichten, wodurch sowohl die Wirksamkeit als auch das Ausmaß der Angriffe zunehmen.
- Die meisten KMU investieren mittlerweile in Schulungsprogramme und Phishing-Simulationen, die die Widerstandsfähigkeit verbessern, die Auswirkungen von Angriffen verringern und dabei helfen, Compliance- und Versicherungsanforderungen zu erfüllen.
- ESET hat nicht nur ein hochwirksames Schulungsprogramm entwickelt, sondern es auch KMU-freundlich gestaltet. Es kann von Mitarbeitern selbst ohne technische Erfahrung durchgeführt werden.
Phishing ist weiter verbreitet, wird aber weniger wahrgenommen
Phishing und Social Engineering/Identitätsbetrug sind zusammen die Hauptursachen für Cybervorfälle bei KMUs und machen laut dem ESET SMB Cyber Readiness Index 2026 43 % der Fälle aus.
Gleichzeitig bestätigt die ESET-Telemetrie, dass Phishing die am häufigsten erkannte Bedrohung ist und die Zahl der Erkennungen steigt. Im Jahr 2025 waren 34 % aller über die ESET-Telemetrie gemeldeten Bedrohungen Phishing oder Phishing-bezogen. Auch unter den E-Mail-Bedrohungen dominiert Phishing.
Dennoch betrachten die befragten Unternehmen dies nicht als besonders ernstes Problem. Nur 26 % nannten Phishing oder Spear-Phishing als ihr größtes Anliegen, und noch weniger (12 %) gaben an, dass sie sich am meisten Sorgen um Social Engineering machten.
Warum Unternehmen Social Engineering und die Interaktion ihrer Mitarbeiter mit KI ernster nehmen sollten
Die meisten Angriffe beginnen mit Phishing
Wenn Führungskräfte ständig die Nachrichten über immer komplexere Malware und ausgefeilte Betrugstaktiken verfolgen, kann dies einen irreführenden Eindruck davon vermitteln, wie Cyberangriffe tatsächlich aussehen. In Wirklichkeit beginnen die meisten Angriffe – ganz gleich, wie ausgefeilt die letztendlich eingesetzte Malware auch sein mag – nach wie vor mit einer einfachen menschlichen Interaktion, oft in Form einer Phishing-E-Mail.
Phishing ist nicht nur die häufigste Ursache für Vorfälle (da nicht jeder Vorfall zu einer Datenpanne eskaliert), sondern laut dem „Cost of a Data Breach Report 2025“ von IBM auch der häufigste anfängliche Angriffsvektor. Phishing war der Ausgangspunkt für 16 % aller aufgedeckten Datenschutzverletzungen und mit durchschnittlichen Kosten von 4,8 Millionen US-Dollar pro Vorfall der drittkostspieligste Angriffsvektor, übertroffen nur von Kompromittierungen bei Anbietern/in der Lieferkette (4,91 Millionen US-Dollar) und Vorfällen durch böswillige Insider (4,92 Millionen US-Dollar).
KI-gestütztes Phishing ist deutlich effektiver
Ein deutliches Beispiel ist der Anstieg von „Nomani“-Betrugsmaschen – ein von ESET definierter Oberbegriff für betrügerische Anzeigen, die für gefälschte Investitionsprogramme, Wundermittel und ähnliche, über sozialeMedien verbreitete Betrugsmaschenwerben, die sich seit 2024 weit verbreitet haben.
ESET-Forscher haben festgestellt, dass Deepfakes, die als Köder für Phishing-Websites oder auszufüllende Formulare dienen, sich erheblich verbessert haben, und zwar durch:
- eine höhere Auflösung
- weniger unnatürliche Bewegungen
- zunehmend natürliches „Atmen“
- bessere Audio-Video-Synchronisation
Diese Fortschritte machen es potenziellen Opfern weitaus schwerer, eine Täuschung auf den ersten Blick zu erkennen.
Diese Bedrohung gewinnt nicht nur an Qualität, sondern nimmt auch an Umfang zu. Die ESET-Telemetriedaten zeigen einen Anstieg der Nomani-Erkennungen um 62 % zwischen 2024 und 2025, was weltweit Hunderttausenden von Erkennungen entspricht. Insgesamt wurden im Jahr 2025 mehr als 64.000 eindeutige URLs blockiert.
Expertenkommentar
„KI hat alles beschleunigt. Die ESET-Telemetrie zeigt, dass die Mehrheit der Cyberangriffe auf Unternehmen mit Phishing-E-Mails beginnt. Traditionell werden Menschen durch Phishing dazu verleitet, persönliche Daten preiszugeben oder Malware herunterzuladen. Spear-Phishing geht noch einen Schritt weiter und nutzt personalisierte Nachrichten, nachdem Angreifer Details über ein bestimmtes Ziel gesammelt haben. Heute automatisiert KI diesen Prozess, wodurch Spear-Phishing immer häufiger vorkommt.
Beispielsweise könnten Sie in den sozialen Medien einen Beitrag über die Teilnahme an einer Konferenz veröffentlichen und am nächsten Tag eine betrügerische E-Mail von einer Person erhalten, die behauptet, Sie dort getroffen zu haben, Ihnen Fotos anbietet und mit Ihnen in Kontakt treten möchte. Für jemanden, dem das entsprechende Bewusstsein fehlt, ist es leicht, darauf hereinzufallen und auf einen bösartigen Link zu klicken.“
– Július Selecký, ESET Solution Architect
Betrugsversuche und Phishing werden immer raffinierter
Cyberkriminelle nutzen nicht nur KI-Tools, sondern sind auch bereit, noch einen Schritt weiter zu gehen, um ihre Erfolgsquote zu steigern.
So beobachteten ESET-Forscher beispielsweise, dass die mit dem Iran verbundene Bedrohungsgruppe MuddyWater Spear-Phishing-E-Mails intern von zuvor kompromittierten Postfächern innerhalb der angegriffenen Organisationen versendete – eine Technik, die die Glaubwürdigkeit und den Erfolg erheblich steigert.
Auch andere Phishing-Methoden wie SMS-Phishing (Smishing) und Voice-Phishing (Vishing) haben sich weiterentwickelt:
Expertenkommentar
„Betrüger wenden weiterhin bekannte Strategien an. Doch da das öffentliche Bewusstsein wächst, sind sie gezwungen, sich anzupassen, indem sie ihre Callcenter-Skripte und Taktiken verfeinern, um überzeugender zu wirken. Ein bemerkenswerter Trend ist der zunehmende Einsatz von Muttersprachlern als Mitarbeiter in Betrugs-Callcentern, was die Glaubwürdigkeit betrügerischer Anrufe erheblich steigert. Zudem sind Folgebetrugsversuche, bei denen die Namen seriöser lokaler oder internationaler Strafverfolgungsbehörden wie Europol ausgenutzt werden, immer häufiger anzutreffen.“
Ondřej Novotný, Senior Detection Engineer bei ESET
Menschliches Versagen bleibt eine massive Schwachstelle
Laut dem „Verizon 2025 Data Breach Investigations Report“ ( DBIR) spielte der menschliche Faktor bei etwa 60 % der Datenschutzverletzungen eine Rolle, darunter Social-Engineering-Maßnahmen (wie Phishing nach Zugangsdaten), Benutzerfehler und Interaktionen mit Malware.
KI-Tools schaffen neue Angriffsflächen
Gleichzeitig ist es aber auch so, dass der zunehmende Einsatz von KI neue Risiken mit sich gebracht hat. Daten von ESET zeigen, dass KI-Tools in KMUs weit verbreitet sind (73 %), während eine Mehrheit der Befragten (70 %) auch anerkennt, dass dies neue Risiken mit sich bringt.
Und die Risiken sind real: KI-Agenten können falsch konfiguriert werden und Sicherheitsschichten umgehen oder von Angreifern direkt missbraucht werden, um Daten zu stehlen.
Unternehmen investieren in Schulungen zur Sensibilisierung für Cybersicherheit
Das hohe Vertrauen der Unternehmen in ihre Fähigkeit, mit Phishing und Social Engineering umzugehen, rührt wahrscheinlich von ihren Investitionen in Programme zur Sensibilisierung für Cybersicherheit her. Zwar erkennen viele Unternehmen Phishing-Versuche als Vorfälle, doch eskalieren diese oft nicht zu Sicherheitsverletzungen oder verursachen keinen konkreten Schaden – was zum Teil den geschulten Mitarbeitern zu verdanken ist.
Die überwiegende Mehrheit (87 %) der weltweit befragten KMU hält Schulungen und Sensibilisierungsmaßnahmen zur Cybersicherheit für entscheidend oder sehr wichtig, um Angriffe zu verhindern, während die Zahlen bei nordamerikanischen Unternehmen sogar noch höher liegen (93 %).
Und sie halten, was sie versprechen: 72 % von ihnen geben an, über umfassende, hochwertige Schulungsprogramme zu verfügen, darunter auch Phishing-Simulationen. Weitere 22 % (häufig kleinere Unternehmen mit weniger als 100 Mitarbeitern) verfügen zumindest über grundlegende Programme.
Zudem führt eine Mehrheit der Unternehmen (67 %) mehr als einmal im Jahr Schulungen durch.
Schulungen zur Sensibilisierung für Cybersicherheit werden mittlerweile routinemäßig von Versicherungsgesellschaften verlangt und sind für die Einhaltung verschiedener Compliance-Vorschriften im Bereich Cybersicherheit unerlässlich. Daten von ESET zeigen, dass 86 % der befragten Unternehmen über eine Cyberversicherung verfügen und viele von ihnen eine Reihe von regulatorischen oder branchenbezogenen Standards einhalten müssen.
So kann ESET Ihre Mitarbeiter schulen
ESET ist sich bewusst, dass menschliches Versagen einer der schwerwiegendsten Bedrohungsfaktoren ist – weit über scherzhafte Bemerkungen hinaus, dass Probleme „zwischen Stuhl und Tastatur“ liegen. Daher sollte menschliches Versagen genauso angegangen werden wie jede andere Ebene der Cybersicherheitsabwehr:
Schulungen sollten in erster Linie effektiv sein – Wenn sich Ihre Mitarbeiter während einer Schulung langweilen und sich eine Stunde nach dem Beantworten der obligatorischen Testfragen an nichts mehr erinnern können, ist der gesamte Aufwand sinnlos. Wie bei jeder Art des Lernens sollten Cybersicherheitsschulungen ansprechend gestaltet sein und bleibende Erinnerungen und Assoziationen schaffen.
Behandeln Sie die neuesten Bedrohungen – Genau wie Ihre Endgerätesicherheit sollten Sensibilisierungsschulungen die neuesten Bedrohungen abdecken, darunter KI-generierte Phishing-Inhalte, Deepfakes und ausgefeilte Betrugsmaschen.
Einfache Einführung und Verwaltung – KMUs verfügen über begrenzte Ressourcen, und das IT-Personal kann nicht jeden Mitarbeiter Schritt für Schritt zum Bewusstsein für Cybersicherheit führen. Das Schulungsprogramm sollte einfach einzuführen und zu verwalten sein, vollständige Transparenz über den Wissensstand der Mitarbeiter bieten und es ermöglichen, Phishing-Simulationen mit nur wenigen Klicks zu starten.
Unterstützung bei der Compliance – Da es bei Cybersicherheitsschulungen nicht nur darum geht, Compliance-Kriterien abzuhaken, sollten sie auch dazu beitragen, Anforderungen von Cyberversicherungen und Aufsichtsbehörden zu erfüllen, um einen reibungslosen Geschäftsbetrieb zu gewährleisten.
Das ESET Cybersecurity Awareness Training ist eine umfassende Lösung, mit der Sie Ihre Mitarbeiter effektiv schulen können, ohne Ihre IT-Administratoren unnötig zu belasten.
Es besteht aus interaktiven Modulen, darunter Rollenspiele und Aufgaben, die Themen wie Phishing, Malware, Passwortverwaltung, Datenschutz, Risiken durch KI/ChatGPT, Social Engineering und vieles mehr abdecken. Um Wiederholungen zu vermeiden, aktualisiert ESET die Schulungsinhalte regelmäßig. Der Phishing-Simulator ermöglicht es Unternehmen, unbegrenzt viele Phishing-Tests mit Hunderten von regelmäßig aktualisierten Vorlagen durchzuführen. Mitarbeiter, die das spielerisch gestaltete Training abschließen, erhalten eine branchenweit anerkannte Zertifizierung und ein LinkedIn-Abzeichen, was ihre berufliche Glaubwürdigkeit stärkt.
Gleichzeitig ist die Schulung unternehmensfreundlich gestaltet. Das ESET Cybersecurity Awareness Training ist so konzipiert, dass es von jedem eingerichtet werden kann, auch ohne technische Vorkenntnisse. Es lässt sich in viele beliebte cloudbasierte Dienste integrieren, darunter Microsoft 365, Google Workspace und Slack, und verfügt über ein benutzerfreundliches Dashboard für die einfache Anmeldung von Mitarbeitern, Echtzeit-Berichterstellung, Terminplanung und Fortschrittsüberwachung – sogar auf der Ebene einzelner Mitarbeiter.
Beschreibung: 2026 ECAT ESET Cybersecurity Awareness Training – Demo
Wissen ist der Schlüssel, Übung macht den Meister
KMUs bewegen sich in einer Welt, in der ein schwaches Passwort innerhalb von Millisekunden geknackt werden kann, Deepfakes kaum zu erkennen sind und automatisierte Phishing-Kampagnen jeden Mitarbeiter überraschen können – selbst solche mit IT-Kenntnissen.
Die KI-Revolution bedeutet, dass alte Bedrohungen zwar nach wie vor bestehen, aber gefährlicher geworden sind, während neue Bedrohungen oft übersehen werden – was die Wahrscheinlichkeit erhöht, dass ein Mitarbeiter einen Fehler begeht, der zu einer Datenpanne führt.
Bereiten Sie Ihre Mitarbeiter mit dem ESET Cybersecurity Awareness Training auf die heutige Cyberbedrohungslandschaft vor.
Häufig gestellte Fragen (FAQs)
Warum gehört Phishing nach wie vor zu den größten Cybersicherheitsbedrohungen für KMU?
Phishing ist nach wie vor die Hauptursache für Cybervorfälle, da die meisten Angriffe mit einer menschlichen Interaktion beginnen, beispielsweise durch das Anklicken eines bösartigen Links oder die Weitergabe sensibler Informationen. Auch wenn fortschrittliche Malware mehr Aufmerksamkeit erhält, ist Phishing für den größten Anteil der Vorfälle verantwortlich und nimmt sowohl an Umfang als auch an Raffinesse weiter zu.
Hat KI Phishing-Angriffe gefährlicher gemacht?
Ja. KI hat die Wirksamkeit von Phishing erheblich verbessert, indem sie hochgradig personalisierte Spear-Phishing-Nachrichten, realistische Deepfakes und automatisierte Angriffskampagnen ermöglicht. Diese Verbesserungen machen Phishing-Versuche schwerer zu erkennen und für die Opfer überzeugender.
Wie tragen Schulungen zum Thema Cybersicherheit dazu bei, Risiken zu verringern?
Schulungen verringern das Risiko, indem sie Mitarbeitern vermitteln, wie sie Bedrohungen wie Phishing und Social Engineering erkennen und darauf reagieren können. Unternehmen mit soliden Schulungsprogrammen und Phishing-Simulationen verzeichnen wahrscheinlich weniger Vorfälle, die zu schwerwiegenden Sicherheitsverletzungen eskalieren, was die allgemeine Widerstandsfähigkeit verbessert. Wenn man beispielsweise bedenkt, dass die durchschnittlichen Kosten einer Datenschutzverletzung 4,44 Millionen US-Dollar betragen, senken Cybersicherheitsschulungen diese Zahl laut dem „Cost of a Data Breach Report 2025“ von IBM und dem Ponemon Institute um mehr als 192.000 US-Dollar.
Was macht ein effektives Schulungsprogramm zur Sensibilisierung für Cybersicherheit aus?
Ein effektives Programm sollte ansprechend gestaltet und auf dem neuesten Stand der aktuellen Bedrohungen (einschließlichKI-gestützter Angriffe) sein und aufrealitätsnahen Simulationenbasieren. AusSicht kleiner und mittlerer Unternehmen ist es zudem wichtig, ein Schulungsprogramm zu haben, das einfach zu verwalten ist, eine messbare Fortschrittsverfolgung ermöglicht und die Einhaltung von Compliance-Anforderungen unterstützt.
