Phishing in der Chefetage: Wie Führungskräfte zur Sicherheitslücke werden
Einleitung
Phishing-Angriffe auf die Führungsebene sind deutlich raffinierter geworden, und die wirtschaftlichen Gründe dafür liegen auf der Hand. Führungskräfte verfügen über umfassende Systemzugriffe, Befugnisse für Finanztransaktionen und die Autorität, Anfragen zu genehmigen, die andere erst eskalieren müssten. Ein einziger erfolgreicher Angriff kann daher weitaus schwerwiegendere Folgen haben als die Kompromittierung eines Kontos auf niedrigerer Ebene.
Die neuesten Daten zeigen, dass Phishing nichts von seiner Effektivität eingebüßt hat. Der „Cost of a Data Breach Report 2026“ von IBM, der auf der Untersuchung von 602 Unternehmen mit Sicherheitsverletzungen zwischen März 2025 und Februar 2026 basiert, identifiziert Phishing bereits im vierten Jahr in Folge als den häufigsten initialen Angriffsvektor. Der „Phishing Trends Report 2026“ von Hoxhunt, der auf über 50 Millionen Datenpunkten von mehr als 4 Millionen Nutzern basiert, konzentriert sich auf Bedrohungen, die E-Mail-Filter umgehen und den Posteingang erreichen – genau dort, wo Führungskräfte unter Zeitdruck schnelle Entscheidungen treffen müssen.
Was sich geändert hat, ist die Qualität der Angriffe. Diese Entwicklung zwingt Führungsteams dazu, ihre Verifizierungsprozesse für eingehende Anfragen grundlegend zu überdenken.
Wichtige Erkenntnisse
- Phishing ist laut der Sicherheitsforschung von IBM seit vier Jahren in Folge der häufigste initiale Angriffsvektor. Führungskräfte bleiben aufgrund ihrer Zugriffsrechte und Befugnisse hochattraktive Ziele.
- Laut Hoxhunt stieg der Anteil KI-generierter Phishing-Angriffe von 1–4 % auf 56 % im Dezember 2025. IBM stellte zudem fest, dass KI-gestützte Angriffe bei mehr als jedem vierten böswilligen Sicherheitsvorfall eine Rolle spielten.
- Voice- und SMS-Phishing verursachten laut dem IBM-Bericht 2026 mit durchschnittlich 5,29 Millionen US-Dollar die höchsten Kosten pro Sicherheitsverletzung.
- Die durchschnittlichen Kosten pro Sicherheitsverletzung erreichten weltweit einen Rekordwert von 4,99 Millionen US-Dollar, und die gemeldeten Verluste durch kompromittierte geschäftliche E-Mails (Business Email Compromise) beliefen sich in den USA im Jahr 2025 auf rund 3,05 Milliarden US-Dollar.
- Die effektivsten Verteidigungsstrategien kombinieren rollenspezifische Simulationen, verhaltensbasierte Erkennung und Verifizierungsregeln, die für das Führungsteam genauso streng gelten wie für alle anderen Mitarbeiter.
Wie KI die Angriffe verändert
IBM hat festgestellt, dass KI-gestützte Angriffe mittlerweile für mehr als jeden vierten böswilligen Sicherheitsvorfall verantwortlich sind – ein Anstieg von 56 % gegenüber dem Vorjahr, der die durchschnittlichen Kosten einer Sicherheitsverletzung um etwa 1 Million US-Dollar erhöht. Die Daten von Hoxhunt zeigen, wie schnell dieser Wandel vonstatten ging: KI-generierte Phishing-E-Mails machten bis Dezember 2025 konstant 1–4 % aller gemeldeten Bedrohungen aus, bevor sie auf 56 % hochschnellten und sich im Januar 2026 bei 40 % einpendelten. Nachrichten, die sich früher durch holprige Formulierungen verrieten, wirken heute personalisiert, kontextbezogen präzise und sind kaum noch von legitimer Korrespondenz zu unterscheiden.
Die Stimme hat sich zu einem ebenso ernstzunehmenden Kanal entwickelt. Frei verfügbare Tools zum Stimmenklonen benötigen nur eine kurze Audioaufnahme, etwa eine Mailbox-Begrüßung oder einen Ausschnitt aus einem Konferenzvortrag, um eine überzeugende Imitation einer Führungskraft zu erzeugen. Die Daten von IBM aus dem Jahr 2026 beziffern dies: Sicherheitsverletzungen, die mit Voice- oder SMS-Phishing begannen, verursachten mit 5,29 Millionen US-Dollar die höchsten durchschnittlichen Kosten aller Einfallstore. Callback-Phishing, bei dem eine E-Mail das Ziel dazu auffordert, eine vom Angreifer kontrollierte Nummer anzurufen, erweitert diese Taktik, und Hoxhunt berichtet, dass 27 % der analysierten Callback-E-Mails Finanzdienstleister imitierten.
QR-Code-Phishing verlagert den Angriff vollständig vom Firmenlaptop weg. Ein in eine E-Mail oder ein PDF eingebetteter Code leitet das Opfer auf einen mobilen Browser um, wo die URL-Überprüfung schwächer ist und Unternehmens-E-Mail-Gateways kaum Einblick haben.
Video-Deepfakes haben sich bereits von der Theorie zur dokumentierten Schadensursache entwickelt. Anfang 2024 überwies ein Finanzmitarbeiter im Hongkonger Büro des Ingenieurunternehmens Arup rund 25,6 Millionen US-Dollar (200 Millionen HK$), nachdem er an einem Videoanruf teilgenommen hatte, bei dem sich der CFO und mehrere Kollegen als Deepfakes entpuppten. Dieser Fall ist für Vorstände lehrreich, da der Mitarbeiter die Anfrage zunächst für Phishing hielt und erst der Videoanruf selbst diese Zweifel ausräumte.
Führungskräfte, die unter ständigem Zeitdruck und einer hohen Informationsdichte arbeiten, bleiben besonders anfällig für Taktiken, die auf Vertrauen und Autorität basieren. Der klassische Rat, auf Rechtschreibfehler zu achten, gilt nicht mehr, da KI-generiertes Phishing grammatikalisch korrekt, kontextbezogen und auf den Empfänger zugeschnitten ist.
Was ein erfolgreicher Angriff kostet
Die Kosten für Sicherheitsverletzungen steigen nach einem kurzen Rückgang wieder an. Der Bericht 2026 von IBM beziffert die weltweiten Durchschnittskosten einer Datenpanne auf rekordverdächtige 4,99 Millionen US-Dollar, ein Anstieg von 12 % gegenüber dem Vorjahr, während der US-Durchschnitt 11,5 Millionen US-Dollar erreichte. Für regulierte Branchen ist der Trend noch deutlicher: die durchschnittliche Sicherheitsverletzung im Finanzdienstleistungssektor kostete 6,29 Millionen US-Dollar,verglichen mit 5,56 Millionen US-Dollar im Vorjahr. Damit liegt der Sektor knapp hinter dem Gesundheitswesen, das mit 6,64 Millionen US-Dollar die teuerste Branche bleibt. IBM berichtet zudem, dass die durchschnittliche Zeit bis zur Identifizierung und Eindämmung einer Sicherheitsverletzung auf 247 Tage gestiegen ist – der erste Anstieg seit fünf Jahren. Dies ist von Bedeutung, da die Dauer einer der stärksten Faktoren für die Gesamtkosten ist.
Der Betrug mit geschäftlichen E-Mails (Business Email Compromise) bleibt der deutlichste Maßstab für die Kosten von Angriffen auf Führungskräfte. Der Internet Crime Report 2025 des FBI,der im April 2026 veröffentlicht wurde, verzeichnete 24.768 BEC-Beschwerden mit gemeldeten Verlusten von rund 3,05 Milliarden US-Dollar, gegenüber 2,77 Milliarden US-Dollar im Jahr 2024. Derselbe Bericht führte KI-bezogene Beschwerden erstmals als eigene Kategorie auf und registrierte etwa 22.000 Beschwerden mit einem Schaden von 893 Millionen US-Dollar. Beide Zahlen decken nur die beim FBI gemeldeten Vorfälle ab, sodass die tatsächlichen Verluste mit ziemlicher Sicherheit höher liegen.
Ransomware folgt weiterhin dem Phishing als Einfallstor. IBM hat festgestellt, dass Ransomware-Vorfälle im Vergleich zum Vorjahr zugenommen haben und Angreifer vermehrt auf mehrstufige Erpressung setzen. 41 % der betroffenen Unternehmen berichteten von Drohungen gegen ihren Ruf – die im Rahmen der Studie am häufigsten genutzte Drucktaktik.
Diese Zahlen erfassen lediglich die direkten Kosten. Die Gesamtauswirkungen umfassen zudem betriebliche Ausfallzeiten, Wiederherstellungsaufwand, Reputationsschäden, Kundenabwanderung sowie potenzielle regulatorische Konsequenzen gemäß NIS2, DORA, dem revidierten Schweizer Datenschutzgesetz oder anderen nationalen Regelwerken.
So bauen Sie Resilienz auf
Die folgenden Maßnahmen erschweren CEO-Betrug, Spear-Phishing und Whaling erheblich.
- Rollenspezifische Schulungen und Simulationen für Führungskräfte. Allgemeine jährliche Sensibilisierungstrainings bereiten Führungskräfte nicht auf die tatsächlichen Angriffe vor, denen sie gegenüberstehen. Effektive Programme nutzen realistische Simulationen von Deepfake-Anrufen, Rückruf-Fallen, QR-Code-Phishing und BEC-Szenarien, die häufig und in kleinen Dosen durchgeführt werden, um den tatsächlichen Verantwortungsbereich jeder Führungskraft widerzuspiegeln.
- Der Überheblichkeitsfalle entgegenwirken. Der Glaube, Phishing-E-Mails zuverlässig erkennen zu können, ist selbst eine Schwachstelle, die bei Führungskräften besonders stark ausgeprägt ist. Gemessene Simulationsergebnisse, die transparent an das Führungsteam kommuniziert werden, helfen dabei, die Lücke zwischen wahrgenommener und tatsächlicher Anfälligkeit zu schließen.
- Verhaltensbasierte technische Kontrollen. User and Entity Behavior Analytics (UEBA) können Anomalien in Führungskräftekonten erkennen. Zudem sind Tools zur Erkennung nach der Zustellung, die das Verhalten statt statischer Signaturen analysieren, besser für KI-generierte Nachrichten geeignet, die herkömmliche Perimeter-Filter umgehen. Der Bericht 2026 von IBM ergab, dass Unternehmen, die verstärkt auf Sicherheits-KI und Automatisierung setzen, die durchschnittlichen Kosten für Sicherheitsverletzungen um 1,93 Millionen US-Dollar senken und die Dauer der Vorfälle um 65 Tage verkürzen konnten.
- Stärkere BEC-spezifische Schutzmaßnahmen. Verlangen Sie für Konten von Führungskräften und Finanzabteilungen eine phishing-resistente Multi-Faktor-Authentifizierung, wie etwa Passkeys oder Hardware-Sicherheitsschlüssel. Schreiben Sie für jede Überweisung oder Änderung von Zahlungsdaten eine Out-of-Band-Verifizierung vor, beispielsweise durch einen Rückruf an eine bereits hinterlegte Nummer, und wenden Sie diese Regel auch auf Anfragen per Video oder Sprache an.
- Aufsicht auf Vorstandsebene. Cyber-Risiken gehören neben finanziellen und operativen Risiken auf die Agenda der Unternehmensführung. Wenn das Führungsteam die gleichen Verifizierungsregeln, die es von den Mitarbeitern fordert, sichtbar selbst einhält, lassen sich diese Regeln im gesamten Unternehmen wesentlich leichter durchsetzen.
- Externe Audits und Compliance-Ausrichtung. Regelmäßige unabhängige Bewertungen und die Ausrichtung an NIS2, DORA oder geltenden nationalen Rahmenwerken sind für regulierte Branchen mittlerweile Standard. Sie reduzieren das regulatorische Risiko und liefern die dokumentierten Nachweise, die von Wirtschaftsprüfern, Regulierungsbehörden und Cyber-Versicherern zunehmend gefordert werden.
- Ransomware-Vorsorge statt Lösegeldzahlung. Investieren Sie in die Planung der Reaktion auf Vorfälle, getestete und segmentierte Backups, Cyber-Versicherungen und dokumentierte Wiederherstellungspläne. Die Geschwindigkeit der Wiederherstellung bestimmt die Gesamtkosten eines Vorfalls stärker als die Bereitschaft zur Zahlung.
Fazit
Phishing ist seit vier Jahren in Folge das Haupteinfallstor für Sicherheitsverletzungen, und KI macht Angriffe auf Führungskräfte schneller, überzeugender und bei Erfolg kostspieliger. Die Unternehmen, die am besten bestehen, sind diejenigen, die Phishing auf Führungsebene als Governance-Thema behandeln und rollenspezifische Schulungen, Verhaltensanalysen sowie Verifizierungsregeln kombinieren, die für das Führungsteam genauso streng gelten wie für alle anderen.
Wie sensible Informationen durch ein Unternehmen fließen, ist Teil desselben Risikos. Wenn Vorstandspapiere, Verträge und Mandatsdokumente als E-Mail-Anhänge versendet werden, wird jede weitergeleitete Nachricht zu einer weiteren Angriffsfläche. Die Verlagerung dieses Austauschs in kontrollierte Kanäle mit definierten Zugriffsberechtigungen verkleinert die Angriffsfläche, die Phishing ausnutzt.
SecureSafe bietet verschlüsselte Dokumentenspeicherung und sicheren Austausch mit granularen Zugriffskontrollen und unterstützt Unternehmen dabei, die Angriffsfläche bei sensibler Kommunikation auf Führungsebene zu minimieren.
Related Articles
Das Schweizer Transparenzregister ist ein Datengovernance-Problem, nicht nur eine Meldepflicht
Ein neues Bundesregister geht am 1. Oktober 2026 live. Die Meldung selbst ist einfach. Die eigentliche Herausforderung zeigt sich sechs Monate später, wenn Unternehmen ihre Eigentümerdaten belegen müssen.
DORA im Jahr 2026: Was uns 15 Monate der Durchsetzung gelehrt haben
Der Digital Operational Resilience Act (DORA) ist seit dem 17. Januar 2025 vollständig anwendbar. In den seither vergangenen 15 Monaten wurden die ersten Einreichungen für das Informationsregister gesammelt, die ersten kritischen IKT-Drittdienstleister (CTPPs) benannt, und die operative Realität der Verordnung hat begonnen, Gestalt anzunehmen. Für die betroffenen Finanzunternehmen geht es 2026 nicht mehr um die Bereitschaft, sondern um die Qualität der Umsetzung.
Von Papier zu Digital: warum es in den nächsten zehn Jahren mehr um das „Wie“ als um das „Ob“ gehen wird
Der Wandel von Papier zu Digital ist nicht länger eine Frage, ob Unternehmen papierlos werden, sondern wie sie es tun: mit datenschutzorientierter Architektur, regulatorischer Klarheit, zuverlässigem Langzeitzugriff und messbaren Nachhaltigkeitsvorteilen. Für Unternehmen, die sensible Finanz-, Rechts- oder Personaldokumente verwalten, sind die Anforderungen gestiegen. Papierlose Arbeitsabläufe müssen heute sicher, auditierbar, interoperabel und widerstandsfähig sein.