38 Prozent sind nicht 88 Prozent
38 Prozent aller britischen Unternehmen haben laut Cyber Security Breaches Survey 2025/2026 Phishing erkannt. Betrachtet man nur Unternehmen, die überhaupt einen Angriff oder eine Sicherheitsverletzung festgestellt haben, sind es 88 Prozent. Beide Zahlen beschreiben dieselbe Befragung, aber unterschiedliche Gruppen.
Der am 30. April 2026 veröffentlichte Bericht beruht auf einer gewichteten Befragung von 2.112 Unternehmen zwischen August und Dezember 2025. Gefragt wurde nach den jeweils vorangegangenen zwölf Monaten. Erfasste Angriffe sind nicht automatisch erfolgreiche Einbrüche. Unerkanntes fehlt; die Werte gelten für das Vereinigte Königreich. Für die Praxis folgt daraus eine Frage: Welche Handlung soll eine verdächtige Nachricht bei uns auslösen können? [1]
aller britischen Unternehmen
der Unternehmen mit mindestens einem erkannten Angriff oder einer Sicherheitsverletzung
Erkannt bedeutet nicht erfolgreich
Erfasst sind erkannte Phishing-Angriffe, einschließlich Versuchen. Die Werte sind weder Erfolgsquoten der Angreifer noch deutsche oder weltweite Unternehmenszahlen.
Quelle: DSIT · Cyber Security Breaches Survey 2025/2026 · veröffentlicht 30.04.2026
Stichprobe: 2.112 Unternehmen; Teilgruppe mit erkanntem Angriff oder Sicherheitsverletzung: 1.026. Ergebnisse gewichtet.
Vereinigtes Königreich · Befragung August bis Dezember 2025
Anteil der Unternehmen, die Phishing in den zwölf Monaten vor ihrer Befragung erkannt haben. Die Prozentwerte haben unterschiedliche Nenner und werden weder addiert noch als zeitliche Entwicklung gelesen.
Die Domain schützen heißt Absenderfälschung begrenzen
SPF, DKIM und DMARC helfen empfangenden Maildiensten zu prüfen, ob eine Nachricht unter einer Domain berechtigt versendet wurde. DMARC verknüpft die sichtbare Absenderdomain mit einer passenden SPF- oder DKIM-Prüfung und veröffentlicht den gewünschten Umgang mit Fehlschlägen. Eine durchgesetzte Ablehnungsregel erschwert die Fälschung genau dieser Domain. Sie bestätigt weder die Person hinter der Nachricht noch deren Inhalt.
Beginnen Sie deshalb mit Ihren echten Versandwegen: Postfächer, Rechnungssoftware, Newsletter und beauftragte Dienste. Prüfen Sie deren Authentifizierung, bevor Sie die Regel verschärfen. Eine ähnlich geschriebene fremde Domain fällt nicht unter Ihre DMARC-Regel. Auch eine Nachricht aus einem übernommenen echten Postfach kann die Domainprüfung bestehen. [2] [3] [5]
Das Postfach braucht eine eigene Zugangssperre
Für den Kontozugang ist Mehrfaktor-Authentifizierung zuständig. CISA empfiehlt phishingresistente Verfahren wie FIDO2/WebAuthn. Diese binden die Anmeldung an den vorgesehenen Dienst. Ein abgefragter Einmalcode bietet nicht dieselbe Phishingresistenz.
Die praktische Prüfaufgabe lautet daher nicht nur: Ist MFA eingeschaltet? Klären Sie, welche Konten erfasst sind, welche Anmeldeverfahren tatsächlich zugelassen werden und wie die Wiederherstellung funktioniert. Beginnen Sie bei Administratoren und Konten mit Zugriff auf Rechnungen oder sensible Daten. Halten Sie Ausnahmen mit Verantwortlichem und Abschalttermin fest. Eine sichere Anmeldung entscheidet weiterhin nicht darüber, ob eine Rechnung sachlich richtig ist. [4]
Eine neue Bankverbindung braucht eine zweite Quelle
Bei einer geänderten Bankverbindung liegt die entscheidende Kontrolle im Zahlungsprozess. Das FBI empfiehlt, solche Änderungen direkt mit dem Auftraggeber zu verifizieren. Nutzen Sie eine bereits bekannte Telefonnummer oder einen zuvor vereinbarten separaten Kontaktweg. Die Telefonnummer aus der fraglichen E-Mail ist dafür keine unabhängige Quelle.
Eine Antwort in derselben Unterhaltung reicht ebenfalls nicht, wenn jemand das Postfach kontrolliert. Unsere Empfehlung: Kontodaten erst nach dokumentierter Rückfrage ändern; Rückfrage und Zahlungsfreigabe personell trennen, soweit die Teamgröße es erlaubt. Dringlichkeit darf diese Regel nicht außer Kraft setzen. Sonst wird ausgerechnet die Ausnahme zum bequemsten Angriffsweg. [5] [6]
Die Maßnahme folgt dem Angriffsweg
Die Kontrollen ergänzen sich. Diese Zuordnung hilft, eine konkrete Lücke zu schließen, statt von einer einzelnen Einstellung umfassenden Schutz zu erwarten. [2] [3] [4] [5] [6]
Die Tabelle lässt sich seitlich verschieben.
| Angriffsweg | Passende Kontrolle | Grenze |
|---|---|---|
| Eigene Absenderdomain gefälscht | SPF/DKIM mit durchgesetztem DMARC | Schützt keine fremden ähnlichen Domains |
| Zugang zum echten Postfach erschlichen | Phishingresistente MFA | Bestätigt keinen Rechnungsinhalt |
| Ähnliche Domain oder vertrauter Anzeigename | Mailfilter und separater Rückfrageweg | Ein vertrauter Name ist kein Identitätsnachweis |
| Bankverbindung in einer Zahlungsanweisung geändert | Unabhängige Bestätigung vor Freigabe | Hilft nur, wenn auch Ausnahmen geprüft werden |
IT und Buchhaltung sollten denselben Fall durchgehen
Nehmen Sie für eine kurze interne Prüfung einen ausdrücklich fiktiven Lieferantenwechsel der Bankverbindung. Die IT erklärt, welche Absenderprüfung sichtbar wäre. Die Buchhaltung zeigt, woher sie die verlässliche Rückrufnummer nimmt und wer die Änderung freigibt. Verändern Sie dabei keine echten Zahlungsdaten.
Notieren Sie jede offene Zuständigkeit und den nächsten konkreten Schritt. Fehlt die Versandliste, ist das eine andere Aufgabe als eine ungeschützte Anmeldung oder eine ungeprüfte Kontodatenänderung. Genau diese Trennung macht aus der allgemeinen Forderung nach mehr Phishing-Schutz einen bearbeitbaren Auftrag.
Quellen
- DSIT · Cyber security breaches survey 2025/2026 · 30 April 2026
- NCSC UK · Email security and anti-spoofing
- NCSC Netherlands · Protect domains against phishing · version 2.0
- CISA · Implementing Phishing-Resistant MFA
- FBI · Business Email Compromise
- NCSC UK · Phishing attacks: defending your organisation