Warum SMS, Messenger und QR-Codes für Cyberkriminelle an Bedeutung gewinnen
Phishing gehört seit Jahren zu den häufigsten Methoden von Cyberkriminellen. Doch die Angriffsmuster verändern sich. SMS, Messenger, soziale Medien und QR-Codes spielen eine größere Rolle, während künstliche Intelligenz die Erstellung professioneller Betrugsseiten und personalisierter Nachrichten erleichtert. Das Smartphone rückt damit stärker in den Fokus. Gleichzeitig verändern sich die Anforderungen an einen wirksamen Schutz.
Der auf mobile Sicherheit spezialisierte Anbieter Zimperium hatte Ende Juli seinen „2026 Global Mobile Threat Report“ veröffentlicht. Demnach ist die Zahl der auf Smartphones von Beschäftigten registrierten Phishing-Ereignisse seit Januar 2025 um 380 Prozent gestiegen. Noch aussagekräftiger ist eine zweite Zahl: 2025 nahm die Zahl der mobilen Geräte, auf denen Nutzer tatsächlich einen schädlichen Link anklickten, gegenüber dem Vorjahr um 110 Prozent zu.
Die Daten stammen aus der Telemetrie des US-Sicherheitsanbieters und lassen sich deshalb nicht auf sämtliche Phishing-Angriffe weltweit übertragen. Sie zeigen aber, wie stark mobile Endgeräte inzwischen in den Fokus der Angreifer geraten.
Für viele Menschen ist das Smartphone zum zentralen Zugang zum Internet geworden. Kommunikation, Online-Banking, Einkäufe, soziale Netzwerke und zunehmend auch berufliche Anwendungen laufen über ein einziges Gerät. Gleichzeitig treffen dort zahlreiche Kommunikationskanäle zusammen. Eine Nachricht kann per E-Mail, SMS oder Messenger eintreffen, ein Link über soziale Medien oder Online-Werbung. Hinzu kommen QR-Codes, die mit der Smartphone-Kamera gescannt werden.
Für Cyberkriminelle vergrößert sich damit die Zahl der Möglichkeiten, potenzielle Opfer zu erreichen.
Der Köder kommt über immer mehr Kanäle
Diese Entwicklung beobachtet auch die cyan AG. Das österreichische Unternehmen entwickelt seit vielen Jahren Cybersecurity-Lösungen für Telekommunikationsanbieter und deren Kunden.
„Ja, wir sehen aktuell, dass sich Phishing-Angriffe auf mobile Kanäle verlagern. Während E-Mails nach wie vor eine wichtige Rolle spielen, nutzen Angreifer immer häufiger SMS, Messenger-Dienste oder Online-Werbung, um Nutzer auf gefälschte Webseiten zu locken. Besonders erfolgreich sind dabei Kampagnen, die sich zum Beispiel als bekannte Paketdienste, Banken oder Behörden ausgeben und gezielt auf lokale Gegebenheiten zugeschnitten sind“, sagt Markus Cserna, CEO und CTO der cyan AG.
Ein weiteres Problem sei die Geschwindigkeit, mit der die Angreifer ihre Infrastruktur verändern. „Gleichzeitig werden die eingesetzten Phishing-Seiten immer kurzlebiger und können innerhalb weniger Stunden wieder verschwinden und durch neue ersetzt werden. Für Nutzer wird es dadurch deutlich schwieriger, betrügerische Inhalte von legitimen Angeboten zu unterscheiden“, so Cserna.
Dass Phishing längst nicht mehr auf die klassische E-Mail beschränkt ist, zeigen auch die Daten der Anti-Phishing Working Group (APWG). Im ersten Quartal 2026 registrierte die Organisation 971.181 Phishing-Angriffe. Gegenüber dem Schlussquartal 2025 entspricht das einem Anstieg von 13,8 Prozent. Auf sämtlichen von der APWG untersuchten Social-Media-Plattformen nahm das Bedrohungsvolumen zu.
QR-Codes werden zum Einfallstor
Wie schnell sich einzelne Angriffstechniken verbreiten können, zeigt eine aktuelle Untersuchung von Microsoft. Der Softwarekonzern registrierte allein im ersten Quartal 2026 rund 8,3 Milliarden E-Mail-basierte Phishing-Bedrohungen, 78 Prozent davon arbeiteten mit Links.
Besonders auffällig entwickelte sich das Phishing über QR-Codes, häufig als „Quishing“ bezeichnet. Microsoft registrierte im Januar 2026 rund 7,6 Millionen solcher Angriffe. Im März waren es bereits 18,7 Millionen. Innerhalb von zwei Monaten erhöhte sich das monatliche Volumen damit um 146 Prozent.
QR-Codes sind für Angreifer aus mehreren Gründen interessant. Eine Internetadresse lässt sich darin verbergen und ist für den Empfänger zunächst nicht sichtbar. Vor allem aber führt das Scannen häufig zu einem Gerätewechsel. Eine Phishing-Mail wird beispielsweise am Firmenrechner geöffnet, der darin enthaltene QR-Code anschließend mit dem Smartphone gescannt. Der Nutzer setzt den Vorgang damit auf einem anderen Gerät und möglicherweise außerhalb der Sicherheitsinfrastruktur seines Arbeitgebers fort.
Damit verschwimmen die Grenzen zwischen den verschiedenen Angriffskanälen.
KI erhöht Geschwindigkeit und Qualität
Eine zweite Entwicklung kommt hinzu: künstliche Intelligenz. Phishing hatte lange Zeit ein Qualitätsproblem. Holprige Übersetzungen, Rechtschreibfehler oder unpassende Formulierungen machten viele Betrugsversuche vergleichsweise leicht erkennbar. Generative KI kann solche Schwächen erheblich reduzieren.
„Künstliche Intelligenz verändert die Phishing-Landschaft grundlegend. Angreifer können heute innerhalb kürzester Zeit überzeugende Nachrichten, gefälschte Webseiten und andere Inhalte erstellen, die sprachlich und optisch kaum noch von echten beziehungsweise legitimen Angeboten oder Webseiten zu unterscheiden sind“, erklärt Cserna.
Hinzu kommt die Skalierbarkeit. „Gleichzeitig lassen sich Kampagnen mit wenig Aufwand an verschiedene Länder, Sprachen oder Zielgruppen anpassen und in großem Stil ausrollen. Die Verwendung von künstlicher Intelligenz macht Phishing-Angriffe nicht nur glaubwürdiger, sondern auch deutlich effektiver.“
Zimperium zufolge enthielten fast 86 Prozent der vom Unternehmen untersuchten Phishing-Angriffe bereits KI-generierte Elemente. Die Zahl basiert auf der spezifischen Datenbasis des Sicherheitsanbieters und lässt sich nicht ohne Weiteres auf sämtliche Phishing-Attacken übertragen. Sie zeigt jedoch, wie schnell generative KI inzwischen auch von Angreifern eingesetzt wird.
Für Sicherheitsanbieter entsteht daraus eine zusätzliche Herausforderung. Wenn sich Texte, Webseiten und Domains schneller erzeugen und austauschen lassen, verlieren Systeme an Wirksamkeit, die hauptsächlich auf bereits bekannten Bedrohungen basieren.
Cserna sieht deshalb Handlungsbedarf: „Für mobile Sicherheitslösungen bedeutet das, dass klassische Ansätze mit statischen Blocklisten allein nicht mehr ausreichen. Gefragt sind intelligente Schutzmechanismen, die neue Bedrohungen in Echtzeit erkennen und automatisch darauf reagieren können.“
Die Domain bleibt ein zentraler Ansatzpunkt
So unterschiedlich die Kontaktwege der Angreifer inzwischen sind, technisch führen viele Phishing-Versuche am Ende an denselben Punkt. Das Opfer soll eine Website aufrufen, auf der beispielsweise Zugangsdaten, Kreditkartendaten oder andere persönliche Informationen abgegriffen werden.
Für Cserna ist das ein entscheidender Ansatzpunkt bei der Abwehr: „Der gemeinsame Nenner: die bösartige Domain. Was alle diese Angriffe verbindet, ist, dass das Opfer am Ende fast immer auf eine betrügerische Website geleitet werden soll – unabhängig davon, ob der Köder per E-Mail, SMS, Messenger oder QR-Code kam.“
Auch KI ändert an diesem grundsätzlichen Mechanismus zunächst wenig. „Wirksam bleibt der Schutz auf der Ebene, die der Angreifer nicht beliebig fälschen kann: die Infrastruktur, auf die ein Angriff letztlich abzielt. Eine KI kann eine perfekte Nachricht formulieren, aber das Opfer soll am Ende fast immer auf eine bösartige Domain geleitet werden.“
Damit rückt neben Sicherheitslösungen auf dem jeweiligen Endgerät eine weitere Ebene in den Blick: das Telekommunikationsnetz selbst.
Schutz bereits im Netz
Netzwerkbasierte Sicherheitslösungen setzen nicht erst auf dem Smartphone oder Computer des Nutzers an. Sie werden direkt in die Infrastruktur des Telekommunikationsanbieters integriert und können Verbindungen zu als gefährlich erkannten Domains blockieren.
cyan verfolgt diesen Ansatz unter anderem mit seiner Lösung OnNet Core.
Cserna sieht darin gerade angesichts der zunehmenden mobilen Nutzung einen Vorteil: „Netzwerkbasierter Schutz – also Sicherheitsmechanismen, die direkt im Netzwerk eines Telekommunikationsanbieters integriert sind, wie zum Beispiel unsere OnNet Core Lösung – gewinnt vor allem deshalb an Bedeutung, weil Bedrohungen gestoppt werden können, bevor Nutzer überhaupt mit ihnen in Kontakt kommen.“
Auch die technische Qualität von Phishing-Seiten habe sich verändert. „Moderne Phishing-Seiten wirken heute oft vollkommen legitim: Sie nutzen HTTPS-Verschlüsselung und sehen bekannten Marken oder echten Webseiten täuschend ähnlich. Gleichzeitig wechseln Angreifer ihre Domains und Infrastrukturen immer schneller.“
Der Schutz auf Netzwerkebene hat zudem einen praktischen Vorteil. Er verlangt dem einzelnen Kunden vergleichsweise wenig ab.
„Ein netzwerkbasierter Ansatz schützt Nutzer unabhängig davon, welches Gerät oder Betriebssystem sie verwenden und wie ausgeprägt ihr Sicherheitsbewusstsein ist. Außerdem erfordert eine netzwerkbasierte Sicherheitslösung keine aktiven Schritte durch den Nutzer – es muss zum Beispiel keine App heruntergeladen werden“, erläutert Cserna. „Gerade bei mobilen Angriffen über SMS, Messenger oder den Browser kann der Schutz direkt im Netz eingreifen und schädliche Verbindungen frühzeitig blockieren.“
Netzwerkbasierter Schutz ist dabei kein Ersatz für sämtliche anderen Sicherheitsmaßnahmen. Nicht jeder Cyberangriff führt über eine schädliche Domain. Die Entwicklung zeigt jedoch, warum Telekommunikationsanbieter als Teil der Sicherheitsinfrastruktur stärker in den Fokus rücken.
Cybersecurity wird zum zusätzlichen Geschäftsfeld
Das hat auch wirtschaftliche Konsequenzen. Telekommunikationsanbieter verfügen bereits über die technische Infrastruktur und die direkte Beziehung zu Millionen Mobilfunk- und Breitbandkunden. Sicherheitsfunktionen lassen sich auf dieser Basis als zusätzlicher Bestandteil von Mobilfunk- und Internetangeboten integrieren.
Entsprechende Modelle sind bereits im Markt zu beobachten. cyan arbeitet bei seinen netzwerkbasierten Sicherheitslösungen mit verschiedenen Telekommunikationsunternehmen zusammen. Ende Juli startete beispielsweise Orange Romania ein erweitertes Cybersecurity-Angebot für Mobilfunk- und Festnetzkunden. Im Mai vereinbarte cyan eine Zusammenarbeit mit ONATi, dem größten Telekommunikationsanbieter Französisch-Polynesiens.
Für die Cybersecurity-Branche entsteht damit ein interessantes Geschäftsfeld. Mobile Sicherheit muss nicht ausschließlich über eine zusätzlich installierte Software verkauft werden. Sicherheitsfunktionen können zunehmend Bestandteil der Telekommunikationsdienstleistung selbst werden.
Davon können neben den großen internationalen Cybersecurity-Konzernen auch spezialisierte Anbieter profitieren, die einzelne Bereiche der Sicherheitsarchitektur abdecken und ihre Technologie über Telekommunikationspartner einer großen Zahl von Nutzern zur Verfügung stellen.
Auf der Bedrohungsseite spricht derzeit wenig dafür, dass die Anforderungen geringer werden. Phishing verteilt sich auf mehr Kanäle, KI erleichtert die schnelle Produktion professioneller und lokal angepasster Kampagnen, während die eingesetzten Domains und Infrastrukturen schneller wechseln.
Für die Sicherheitsbranche verschiebt sich damit die Aufgabe. Bekannte Gefahren zu identifizieren und zu katalogisieren bleibt notwendig. Gleichzeitig wird es wichtiger, neue Bedrohungen möglichst schnell zu erkennen und den Zugriff zu unterbinden, bevor der Nutzer auf einer betrügerischen Seite landet.
