Phishing gehört seit Jahren zu den häufigsten Einfallstoren für Cyberangriffe. Doch die Art der Angriffe verändert sich. Statt dieselbe betrügerische Nachricht tausendfach zu versenden, erstellen Kriminelle zunehmend zahlreiche, leicht abgewandelte Varianten. Mal unterscheiden sich Betreffzeile, Absendername oder Formulierung. Mal verändern sich Links, Weiterleitungen, Layout oder Dateianhänge. Das Ziel bleibt dabei identisch: Mitarbeitende zum Klick, zur Preisgabe von Zugangsdaten oder zum Öffnen einer Schadsoftware zu bewegen.

Diese Entwicklung wird als polymorphes Phishing bezeichnet. Für Unternehmen bedeutet sie eine neue Herausforderung, denn klassische Erkennungsmechanismen stoßen dabei schneller an ihre Grenzen.

Polymorphes Phishing beschreibt Kampagnen, bei denen Angreifer automatisiert viele einzigartige Varianten einer betrügerischen Nachricht erzeugen. Die einzelnen E-Mails sehen nicht vollkommen gleich aus, gehören aber zur selben Kampagne und verfolgen dasselbe Angriffsziel. Verändert werden können Betreffzeilen, Anreden und Textbausteine, Absendernamen, E-Mail-Adressen und Antwortadressen, Links, Domains und Weiterleitungsketten, die HTML-Formatierung sowie Logos und visuelle Gestaltung, aber auch Dateinamen und technische Eigenschaften schädlicher Anhänge.

Klassische Phishing-Kampagnen setzten häufig auf Wiederholung: gleiche Nachricht, gleicher Link, gleicher Anhang. Viele Sicherheitssysteme suchen genau nach solchen bekannten Mustern, etwa verdächtigen Domains, Links oder Datei-Hashes. Polymorphe Kampagnen zielen darauf ab, diese Gleichförmigkeit gezielt zu vermeiden.

Wenn jede Nachricht anders aussieht, wirken verdächtige Mails im Unternehmen zunächst wie voneinander unabhängige Einzelfälle. Tatsächlich können sie aber Teil einer koordinierten Angriffswelle sein. Für Security-Teams entsteht dadurch eine Sichtbarkeitslücke: Eine Variante wird blockiert, andere gelangen dennoch in Postfächer. Einzelne Warnungen werden getrennt bearbeitet, obwohl sie zusammengehören. Die Suche nach identischen Betreffzeilen, URLs oder Hashes reicht dafür nicht mehr aus.

Automatisierung, zunehmend auch generative KI, kann diese Entwicklung verstärken. Sie ermöglicht es Angreifern, Inhalte schneller zu variieren, sprachlich zu überarbeiten und an unterschiedliche Zielgruppen anzupassen.

Der Unterschied wird deutlich, wenn man beide Ansätze nebeneinanderstellt. Bei klassischem Phishing sind die Nachrichten oft weitgehend identisch, Signaturen, bekannte URLs und Hashes helfen bei der Erkennung, der Versand erfolgt als Massenversand einer einzigen Vorlage, ein typisches Beispiel ist „Rechnung öffnen“ mit derselben Datei an alle Empfänger. Beim polymorphen Phishing entstehen dagegen viele leicht unterschiedliche Varianten, genau diese erkennbaren Merkmale werden gezielt verändert, die Skalierung erfolgt über automatisierte Massenpersonalisierung, und jeder Empfänger erhält einen anderen Betreff, Dateinamen, Link und Text bei gleichem Ziel.

Auch wenn sich einzelne Mails unterscheiden, folgen polymorphe Phishing-Kampagnen oft einem ähnlichen Ablauf. Angreifer richten zunächst Domains, Hosting, Weiterleitungen und Phishing-Seiten ein. Anschließend versenden sie zahlreiche Varianten einer E-Mail. Werden einzelne Elemente erkannt oder blockiert, ändern sie Links, Inhalte, Absender oder technische Merkmale. Empfänger werden auf täuschend echte Login-Seiten geführt oder zum Öffnen eines Anhangs bewegt. Am Ende können Zugangsdaten abgegriffen oder Nutzende zur Freigabe einer Anmeldung verleitet werden. Auch Einmalcodes können bei Echtzeit-Phishing über manipulierte Anmeldeprozesse kompromittiert werden. Die sichtbaren Details ändern sich dabei ständig. Das Vorgehen und das kriminelle Ziel bleiben gleich.

Awareness bleibt ein wichtiger Schutzfaktor. Der Fokus sollte dabei weniger auf einzelnen Warnsignalen wie Rechtschreibfehlern liegen, denn moderne Phishing-Mails können sprachlich korrekt, optisch professionell und scheinbar passgenau formuliert sein. Wichtiger sind Fragen zum Kontext: Erwarte ich diese Nachricht oder diese Aufforderung wirklich? Passt die Anfrage zum üblichen Prozess? Warum soll ich mich über einen Link aus einer E-Mail anmelden? Entspricht die Absenderdomain tatsächlich dem genannten Unternehmen? Wird künstliche Dringlichkeit aufgebaut? Handelt es sich um eine ungewöhnliche Zahlungs-, Freigabe- oder Passwortanfrage? Wer unsicher ist, sollte nicht klicken, keine Zugangsdaten eingeben und die Nachricht über den vorgesehenen Meldeweg an IT oder Informationssicherheit weitergeben.

Der Schutz vor polymorphem Phishing braucht mehr als einen E-Mail-Filter. Unternehmen sollten technische Schutzmaßnahmen, klare Prozesse und Awareness miteinander verbinden. Dazu gehören eine mehrschichtige E-Mail-Sicherheit sowie die konsequente Umsetzung von SPF, DKIM und DMARC, um insbesondere den Missbrauch der eigenen Domain beim E-Mail-Versand zu erschweren. Ergänzend sind URL- und Anhangprüfungen, einfach nutzbare Meldewege für verdächtige E-Mails und eine kampagnenorientierte Auswertung von Hinweisen sinnvoll. Wo es zur Risikolage und Systemlandschaft passt, sollte phishing-resistente Mehrfaktor-Authentisierung, etwa mit Passkeys oder FIDO2-Sicherheitsschlüsseln, eingesetzt werden. Ebenso wichtig sind klare Incident-Response-Prozesse für den Fall, dass Zugangsdaten eingegeben oder Anhänge geöffnet wurden.

Welche Maßnahmen im Einzelfall angemessen sind, hängt unter anderem von Risiko, Unternehmensgröße, eingesetzten Systemen und rechtlichen Anforderungen ab. Organisationen sollten ihre Schutzmaßnahmen regelmäßig überprüfen und an ihre individuelle Gefährdungslage anpassen.

Polymorphes Phishing verändert nicht das Ziel von Phishing, aber die Art, wie Angriffe skalieren und Sicherheitsmechanismen umgehen können. Unternehmen sollten deshalb nicht nur nach einzelnen verdächtigen E-Mails suchen. Entscheidend ist, Zusammenhänge zu erkennen: Welche Nachrichten, Domains, Weiterleitungen und Nutzerinteraktionen gehören möglicherweise zu derselben Kampagne? Wer technische Erkennung, kampagnenorientierte Analyse und gelebte Awareness kombiniert, verbessert die Chancen, auch wandelbare Phishing-Angriffe frühzeitig zu stoppen.