AI-Phishing: Mail-Filter werden blind

Die Spear-Phishing-Mail, die letzte Woche bei einem DACH-Mittelständler durch das Mail-Gateway gegangen ist, war grammatikalisch sauber, kontextuell präzise und enthielt keinen einzigen Heuristik-Marker, den Proofpoint, SpamAssassin oder Microsoft Defender als verdächtig kennen. Geschrieben hat sie ein LLM, instruiert von einem Threat-Actor mit dreißig Minuten Recherche zur Empfänger-Rolle. Die Detection-Schicht, die seit zwanzig Jahren auf Pattern-Matching und URL-Reputation gebaut ist, sieht solche Mails nicht mehr und CISOs müssen 2026 nicht das Filter-Update eskalieren, sondern die Architektur neu denken.

10.05.2026

Verwandt:KI-Agent findet Linux-Zero-Day in einer Stunde  /  ITDR neben SIEM und EDR: Detection-Architektur 2026

Wo der klassische Mail-Filter heute reisst

Was ist AI-Phishing? AI-Phishing ist eine Klasse von Phishing-Angriffen, bei denen Inhalte (Anschreiben, Pretext, Links und Anhänge) von einem großen Sprachmodell wie GPT-5, Claude 4.7 oder einem feinabgestimmten Open-Source-Modell generiert oder umgeschrieben werden. Ziel ist die Umgehung Pattern-basierter Detection, die seit Jahren auf Tipp-Fehler, Template-Fingerprints und auffällige Phrasen trainiert ist.

Die ersten unabhängigen Tests aus den Threat-Reports von Mimecast, Proofpoint und Group-IB zeigen ein klares Muster. Eine handgeschriebene Phishing-Mail wird von Standard-Profilen mit 70 bis 85 Prozent Wahrscheinlichkeit gestoppt, eine LLM-umgeschriebene Variante derselben Mail nur noch in 15 bis 35 Prozent der Fälle. Das ist kein Tuning-Problem, das ist ein Architektur-Problem, denn die Filter sehen schlicht keine verdächtigen Marker mehr.

Hinzu kommt eine Asymmetrie auf der Angreiferseite. Ein Threat-Actor kann mit dreissig Minuten Recherche zur Empfänger-Rolle fünfzig Varianten desselben Pretexts generieren, jede leicht anders formuliert. Wer das nicht auf Verhaltens-Ebene erkennt, sondern auf Pattern-Ebene, scheitert mathematisch.

Was die neue Detection-Schicht wirklich braucht

Die Detection-Architektur verschiebt sich auf drei parallele Layer, von denen jeder einzelne notwendig, aber nicht hinreichend ist.

Die offene Frage in den meisten Mittelstands-Setups ist nicht die Tool-Wahl, sondern die Integration. Wer Sender-DNA in der Mail-Plattform misst, Behavioral-Analytics im SIEM und LLM-Klassifikation im EDR, hat drei Datentöpfe, die nicht miteinander reden. Genau diese Lücke beschreibt der ITDR-Architekturwechsel: Identity-Detection als zentrale Schicht, die quer zu Mail, Endpoint und Cloud sieht.

Wer 2026 zuerst aufrüstet, wer wartet

In den Pilot-Setups der letzten Monate sind drei Profile auffällig schnell unterwegs. Versicherer und Finanzdienstleister, die schon BAFIN-getriebene MaRisk-Vorgaben umsetzen müssen und die AI-Phishing-Welle als logische Erweiterung sehen. Healthcare-Systeme, die nach den Datenleaks von 2024 und 2025 unter externer Audit-Beobachtung stehen. Und IT-Dienstleister mit Kunden im öffentlichen Sektor, deren Verträge konkrete Reaktionszeiten zur Erkennung von Spear-Phishing fordern.

Drei weitere Profile bewegen sich langsamer, als sie sollten. Klassische Industrie-Mittelständler ohne BSI-relevante Lieferketten, die das Mail-Filter-Update als kosmetisches Thema einordnen. Familien- und Eigentümergeführte Häuser, die das Thema beim externen IT-Dienstleister parken. Und IT-Bestandsabteilungen, die in Outlook-Centric-Setups eine Microsoft-only-Strategie fahren und damit auf eine Schicht reduzieren, die isoliert Lücken hat.

Die zwei Bewegungen treffen sich 2026 in der Versicherungs-Police. Cyber-Versicherer fragen den Detection-Stack inzwischen detailliert ab und ein nicht beantworteter Fragebogen zur Mail-Phishing-Defense kostet 2026 zwischen 8 und 15 Prozent der Police-Prämie zusätzlich. Der parallele Druck aus dem Linux-Kernel-Bereich, etwa nach dem KI-Agent-Zero-Day-Fund vom Mai, beschleunigt diesen Trend nur.

90-Tage-Plan für CISOs

Wer jetzt nicht warten will, hat in einem Quartal eine messbar bessere Schicht.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.