Phishing 2026 Advanced — Quishing, Browser-in-the-Browser & MFA Fatigue

Moderne Phishing-Techniken — jenseits der klassischen E-Mail

Quishing (QR-Code-Phishing) ist 2025/2026 der am schnellsten wachsende Phishing-Vektor. Das Prinzip: Anstatt einer anklickbaren URL enthält die Phishing-E-Mail einen QR-Code, den das Opfer mit dem Smartphone scannen soll. Warum es funktioniert: 1) E-Mail-Security-Gateways (Proofpoint, Mimecast, Microsoft Defender for Office 365) erkennen bösartige URLs in Text und Links — aber einen QR-Code als Bild analysieren die meisten nicht (oder erst seit kurzem). 2) Das Opfer scannt den Code mit dem privaten Smartphone, das außerhalb der Unternehmens-Security liegt (kein EDR, kein Proxy, kein Conditional Access). 3) Auf dem kleinen Smartphone-Bildschirm ist die URL schwerer zu überprüfen. Typische Szenarien: „Ihre MFA-Methode muss aktualisiert werden — scannen Sie diesen Code“, „Ihre Gehaltsabrechnung ist bereit“, „Parkticket bezahlen“.

Browser-in-the-Browser (BitB) (entdeckt von Sicherheitsforscher mr.d0x, 2022) ist eine täuschend echte Phishing-Technik: Der Angreifer simuliert ein Browser-Popup-Fenster innerhalb der Webseite — inklusive realistischer Adressleiste mit der echten URL (z. B. accounts.google.com), SSL-Schloss, und sogar dem richtigen Favicon. Das „Popup“ ist in Wirklichkeit ein HTML/CSS-Element auf der Phishing-Seite — die angezeigte URL in der „Adressleiste“ ist reines HTML und hat mit der echten URL nichts zu tun. Besonders effektiv bei OAuth-Flows („Sign in with Google/Microsoft“), wo Benutzer Popup-Fenster erwarten.

• KI-generiertes Spear Phishing: LLMs (GPT-4, Claude, Gemini) generieren fehlerfreie, personalisierte Phishing-E-Mails in Sekunden. Der Angreifer füttert das LLM mit dem LinkedIn-Profil des Ziels, der Firmenwebsite, aktuellen Pressemitteilungen — und erhält eine E-Mail, die sich auf ein konkretes, reales Projekt bezieht. Studie 2025: KI-generierte Phishing-E-Mails hatten eine Klickrate von 37 % (vs. 14 % für manuell erstellte). Vishing (Voice Phishing) mit Voice Cloning: 3 Sekunden Audio genügen, um eine überzeugende Stimme zu klonen — perfekt für CEO-Fraud-Anrufe („Bitte überweisen Sie sofort 50.000 € an dieses Konto“).
• Consent Phishing über Microsoft Teams: Midnight Blizzard (Nobelium) nutzte 2023/2024 Microsoft Teams für Phishing: Der Angreifer kompromittiert einen kleinen Tenant, erstellt dort eine Azure-AD-App mit vertrauenswürdigem Namen, und sendet über Teams „Consent-Links“ an Mitarbeiter großer Unternehmen. Da Teams-Nachrichten von einer verifizierten Organisation kommen und die Consent-Seite die echte Microsoft-Domain ist, ist die Akzeptanzrate hoch. Der Angreifer erhält dauerhaften API-Zugriff auf E-Mails, Dateien und Kalender.
• HTML Smuggling: HTML Smuggling umgeht E-Mail-Gateways, die Anhänge scannen: Die Phishing-E-Mail enthält eine HTML-Datei als Anhang. Beim Öffnen baut JavaScript im Browser die eigentliche Payload dynamisch zusammen (z. B. eine .iso-, .img- oder .zip-Datei) und bietet sie zum Download an. Da die Payload nie als Datei über das Netzwerk übertragen wurde (sie wird clientseitig generiert), erkennen Netzwerk-Scanner und E-Mail-Gateways sie nicht. Nobelium, QakBot und IcedID nutzen diese Technik seit 2022 intensiv.
• Callback Phishing (TOAD — Telephone-Oriented Attack Delivery): Kein Link, kein Anhang — nur eine Telefonnummer. Die Phishing-E-Mail warnt vor einer angeblichen Abbuchung („Ihre Kreditkarte wurde mit 499,99 € belastet“) und fordert das Opfer auf, eine Telefonnummer anzurufen, um zu stornieren. Am Telefon führt der Angreifer das Opfer durch die Installation einer Remote-Access-Software (AnyDesk, TeamViewer) und übernimmt den Computer. BazarCall und Luna Moth nutzen diese Technik seit 2021 — 2026 verstärkt mit KI-gestützten Call-Center-Stimmen.

MFA-Bypass-Methoden — warum MFA allein nicht reicht

Multi-Faktor-Authentifizierung ist eine essenzielle Sicherheitsschicht — aber nicht alle MFA-Methoden sind gleich sicher. 2026 umgehen Angreifer regelmäßig MFA mit folgenden Techniken: AitM (Adversary-in-the-Middle) mit EvilGinx2 oder Modlishka: Ein Reverse-Proxy zwischen Benutzer und Microsoft/Google-Login spiegelt die echte Seite, leitet alles weiter und fängt nach erfolgreicher MFA das Session-Cookie/Token ab. Ergebnis: Der Angreifer hat ein gültiges Token, ohne Passwort oder MFA-Code zu kennen. MFA-Methoden die gegen AitM schützen: Nur Passkeys/FIDO2 (Origin-gebunden, funktioniert auf Fake-Domain nicht) und Certificate-based Authentication. SMS-OTP, App-OTP, Push-Notifications — alle anfällig.

• MFA Fatigue / MFA Bombing: Der Angreifer kennt bereits das Passwort des Opfers (aus einem Data Breach, Credential Stuffing, oder Brute Force). Er löst wiederholt MFA-Push-Notifications aus — hunderte Male, oft mitten in der Nacht. Das übermüdete/genervte Opfer genehmigt schließlich eine Anfrage, um die Benachrichtigungen zu stoppen. Uber-Hack 2022: Ein Teenager verschaffte sich über MFA Fatigue Zugang zu Ubers internem Netzwerk. Verteidigung: Number Matching (der Benutzer muss eine angezeigte Zahl eingeben, nicht nur „Genehmigen“ drücken — seit 2023 Default in Microsoft Authenticator), Passkeys (kein Push, kein Code), Rate Limiting auf MFA-Attempts (max. 3 Versuche pro 10 Minuten).
• SIM Swapping: Der Angreifer überzeugt den Mobilfunkanbieter, die Telefonnummer des Opfers auf eine neue SIM-Karte zu übertragen — durch Social Engineering der Hotline-Mitarbeiter, gefälschte Ausweisdokumente, oder durch Bestechung/Kompromittierung von Insider-Mitarbeitern. Ergebnis: Alle SMS-OTP-Codes gehen an den Angreifer. T-Mobile, AT&T und andere Carrier waren in großangelegte SIM-Swap-Ringe verwickelt (SEC, FBI). Verteidigung: SMS-OTP eliminieren — auf TOTP-Apps (Microsoft Authenticator, Google Authenticator) oder besser Passkeys/FIDO2 umstellen. Bei Carriern: PIN/Passwort für Kontomanagement setzen.
• Adversary-in-the-Middle (AitM) im Detail: EvilGinx2 — das Standard-Tool: Go-basierter Reverse-Proxy mit vorgefertigten „Phishlets“ für Microsoft 365, Google Workspace, LinkedIn, GitHub. Registrierung einer ähnlichen Domain + Let's-Encrypt-Zertifikat (SSL-Schloss im Browser!). Der Benutzer sieht die echte Microsoft-Loginseite (durch den Proxy), gibt Passwort ein, bestätigt MFA — und der Proxy fängt das resultierende Session-Cookie ab. Tycoon 2FA (PhaaS — Phishing-as-a-Service) — kommerzieller AitM-Dienst im Darknet, der EvilGinx-Infrastruktur als Managed Service verkauft (ab 120 USD/Monat).
• Die MFA-Hierarchie (schwach → stark): SMS-OTP — Schwächste Methode: SIM Swapping, SS7 Interception, Social Engineering der Hotline. E-Mail-OTP — Fast genauso schwach: E-Mail-Account-Kompromittierung = MFA-Bypass. TOTP-App (Google Authenticator, Microsoft Authenticator) — Besser: Kein SIM Swap möglich, aber anfällig für AitM (der Code wird durch den Proxy weitergeleitet). Push-Notification — Ähnlich wie TOTP, aber anfällig für MFA Fatigue. Mit Number Matching: deutlich sicherer. Passkeys/FIDO2 — Stärkste Methode: Origin-gebunden (AitM-resistent), kein Code zum Abfangen, kein SIM Swap möglich, kein Fatigue möglich. NIST-Empfehlung 2026: Phishing-resistant MFA (Passkeys/FIDO2 oder CBA) für alle privilegierten Accounts.

Verteidigung & Awareness — der mehrschichtige Schutz

Gegen modernes Phishing gibt es keine einzelne Lösung — nur ein mehrschichtiger Ansatz funktioniert: Technische Schicht (E-Mail-Gateway, DMARC, Conditional Access, Passkeys), Menschliche Schicht (Security Awareness Training, Phishing-Simulationen), Prozess-Schicht (Incident-Response-Playbook, Meldewege). Die wichtigste Erkenntnis 2026: Training allein reicht nicht — selbst Security-Experten fallen auf professionelles AitM-Phishing herein. Die technische Schicht muss so stark sein, dass ein menschlicher Fehler nicht automatisch zur Kompromittierung führt.

• E-Mail-Security-Stack (Best Practice 2026): 1) SPF + DKIM + DMARC (p=reject) — verhindert Domain-Spoofing. 2) E-Mail-Gateway (Proofpoint, Mimecast, Microsoft Defender for Office 365) — URL-Rewriting, Attachment-Sandboxing, QR-Code-Scanning (neue Funktion 2025). 3) Anti-Phishing-Policies — Impersonation Protection (warnt bei E-Mails, die interne Absender imitieren), First-Contact Safety Tips. 4) Safe Links + Safe Attachments — Time-of-Click URL-Prüfung (auch beim Öffnen, nicht nur beim Empfang). 5) ZAP (Zero-hour Auto Purge) — entfernt E-Mails aus Postfächern nachträglich, wenn sie später als bösartig erkannt werden.
• Conditional Access als Anti-Phishing-Maßnahme: Require compliant device — gestohlene Tokens funktionieren nur auf verwalteten Geräten (nicht auf dem Angreifer-Laptop). Require phishing-resistant MFA for admins — erzwingt Passkeys/FIDO2, blockiert SMS/Push. Named Locations — Logins nur aus bestimmten Ländern/IP-Ranges. Sign-in Risk Policy — bei erhöhtem Risiko (anonyme IP, atypischer Standort, Token-Anomalie) automatisch zusätzliche Verifikation anfordern oder blockieren. Token Protection — bindet Tokens kryptographisch an das Gerät (gestohlene Tokens sind auf anderen Geräten wertlos).
• Phishing-Simulationen (Red Team): Regelmäßige simulierte Phishing-Kampagnen sind der beste Weg, die Resilienz der Mitarbeiter zu testen und zu verbessern. Tools: GoPhish (Open Source), KnowBe4, Proofpoint Security Awareness, Microsoft Attack Simulation Training. Best Practices: Monatliche Kampagnen mit steigendem Schwierigkeitsgrad, keine Bestrafung für Fehlklicks (fördert Vertuschung statt Meldung), sofortiges Teaching Moment nach Klick (Erklärung, woran die E-Mail erkennbar war), Positive Verstärkung für Meldungen („Report Phishing“-Button in Outlook), Tracking der Klickrate über Zeit als KPI.
• Incident Response bei erfolgreichem Phishing: Sofortmaßnahmen (erste 15 Minuten): 1) Betroffenes Konto sperren (Entra ID: Revoke Sessions). 2) Passwort zurücksetzen. 3) MFA-Methoden zurücksetzen (Angreifer könnte eigene Methode registriert haben). 4) E-Mail aus allen Postfächern löschen (Compliance Search + Purge). Investigation (erste 4 Stunden): 5) Sign-In-Logs prüfen (von welcher IP wurde das Token genutzt?). 6) Mailbox-Regeln prüfen (Angreifer erstellen oft Weiterleitungsregeln). 7) OAuth-App-Consents prüfen (Illicit Consent Grant?). 8) Aktivität in SharePoint/OneDrive/Teams prüfen (Datenexfiltration?). 9) Lateral Movement prüfen (wurden andere Konten kompromittiert?).