Laut neuen Daten von Barracuda Research ist jetzt weltweit jede dritte versendete E-Mail bösartig oder unerwünschter Spam. Barracuda analysierte über 3,1 Milliarden E-Mails im Januar 2026 und stellte fest, dass fast die Hälfte aller bösartigen Aktivitäten von Phishing-Angriffen stammt. Die am 12. Mai 2026 veröffentlichten Erkenntnisse entstehen in einem Moment, in dem E-Mail-Provider strengere Authentifizierung denn je durchsetzen und damit einen Druckpunkt schaffen, der jedes Unternehmen betrifft, das E-Mail zur Kundenkommunikation nutzt.
Das Ausmaß der Bedrohung 2026
Im Januar 2026 analysierte Barracuda Research mehr als 3,1 Milliarden E-Mails auf bösartige, Spam- und unerwünschte E-Mails und identifizierte Trends, die zeigen, dass Angreifer Credential-Phishing skalieren, von dateibasierter zu URL-basierter Zustellung übergehen und QR-Codes sowie Account-Takeovers nutzen, um herkömmliche Kontrollen zu umgehen.
Phishing macht mit 48% den größten Anteil der bösartigen E-Mail-Aktivitäten aus. Die zweite wichtige Erkenntnis trifft Unternehmen besonders hart: 34% der Unternehmen berichten von mindestens einem Account-Takeover-Incident monatlich, was eine schnelle Erkennung und Reaktion auf kompromittierte Konten erforderlich macht.
Wenn ein Angreifer Zugriff auf ein Geschäfts-E-Mail-Konto erhält, stiehlt er nicht nur Daten. Barracuda stellte fest, dass 34% der Organisationen jeden Monat mindestens einen Account-Takeover-Incident erleben, und diese Verschiebung macht Phishing schwerer zu erkennen, da bösartige E-Mails oft von vertrauenswürdigen internen oder bekannten Kontakten stammen. Für Vermarkter oder Growth Teams bedeutet das, dass eine Phishing-E-Mail, die anscheinend von einem bekannten Anbieter oder Kollegen stammt, jetzt eine realistische Bedrohung darstellt.
Wie Angreifer Abwehrmechanismen umgehen
Die bedeutendste taktische Verschiebung im Bericht ist die Abkehr von traditioneller dateibasierter Malware. Der Bericht hebt eine Verschiebung der Angreifer-Taktiken hervor, wobei Bedrohungsakteure von dateibasierten Payloads zu URL-basierter Zustellung übergehen und QR-Codes in vertrauenswürdigen Dokumentformaten einbetten, um bösartige Ziele zu verschleiern.
Die Zahlen hinter diesem Trend sind beeindruckend. Etwa 70% der analysierten bösartigen PDFs enthielten QR-Codes, die zu Phishing-Seiten führten, während mehr als 10% der HTML-Anhänge als bösartig identifiziert wurden.
Obwohl nur etwa einer von 200 Links bösartig ist, bleibt die Bedrohung hartnäckig und ernst: Cyberkriminelle nutzen diese Links für Phishing, Identitätsdiebstahl und Malware-Kampagnen und machen sie oft legitim genug aussehend, um traditionelle Sicherheitsfilter zu umgehen.
Phishing-as-a-Service senkt die Einstiegsbarriere für Angriffe
Ein wichtiger Treiber für die Steigerung des Volumens ist Phishing-as-a-Service (PhaaS), ein kriminelles Abonnementmodell, das verändert, wer eine Phishing-Kampagne starten kann. PhaaS ist ein kriminelles Abonnementmodell, das Phishing-Vorlagen, gefälschte Login-Seiten, Hosting und Automatisierung bereitstellt und Credential-Phishing leichter skalierbar macht.
Laut Barracuda nutzen jetzt 90% der hochvolumigen Phishing-Kampagnen Phishing-as-a-Service-Kits. Das bedeutet, Angreifer brauchen keine technischen Fähigkeiten mehr, um überzeugende Kampagnen durchzuführen. Sie abonnieren, wählen ein Ziel und starten.
KI beschleunigt das zusätzlich. KI-Phishing nutzt generative KI-Tools, um überzeugende, personalisierte Nachrichten in großem Maßstab zu erstellen, was es viel schwerer zu erkennen macht als traditionelle Phishing-Angriffe. Die traditionellen Warnsignale, schlechte Grammatik, generische Anreden, verdächtig aussehende Absendernamen, sind nicht mehr zuverlässig. Angreifer können hochgradig personalisierte E-Mails mit echten Namen, Abteilungen, aktuellen Ereignissen oder internem Jargon aus öffentlich verfügbaren Informationen generieren, und was früher Stunden dauerte, dauert jetzt Sekunden.
Erwähnenswert ist auch, dass Adversary-in-the-Middle-Kits das Risiko auch in MFA-Umgebungen erhöhen, indem sie Sessions in Echtzeit abfangen. Authentifizierungsprotokolle allein reichen nicht aus.
Was das für E-Mail-Vermarkter und Geschäftsinhaber bedeutet
Für Unternehmen, die E-Mail-Marketing-Kampagnen durchführen, spielen sich die indirekten Folgen dieser Bedrohungslage bereits auf Inbox-Ebene ab.
Das Publikum ist aufgrund eines ständigen Bombardements mit Spam und ausgefeilten Phishing-Versuchen in Alarmbereitschaft, was bedeutet, dass legitime Marketing-E-Mails oft mit Skepsis begegnet werden. Untersuchungen von Mailjet zeigen, dass 53% der Verbraucher eine legitime E-Mail einer Marke erhalten haben, die sie zunächst für betrügerisch hielten.
Ein besonders frustrierendes Paradoxon hat sich entwickelt: Während legitime Geschäftskommunikation beispiellose Ablehnungsquoten verzeichnet, umgehen ausgefeilte Phishing-Angriffe weiterhin Filter mit zunehmendem Tempo durch KI-Integration.
Die Authentifizierungsumgebung hat sich ebenfalls erheblich verschärft. Analysen zeigen, dass 85,7% der Domains DMARC nicht mit einer Quarantäne- oder Reject-Richtlinie durchsetzen, was sie für Spoofing und Zustellungsprobleme anfällig macht, was sich auch auf die Inbox-Platzierung auswirkt, da ISPs zunehmend authentifizierte Absender priorisieren. Falls Ihre Domain keine durchgesetzte DMARC-Richtlinie hat, sind Sie sowohl anfällig für Identitätsdiebstahl-Angriffe als auch für Inbox-Strafen. 
Was der Bericht empfiehlt
Merium Khalid, Director of SOC Offensive Security bei Barracuda, fasste die Einsätze deutlich zusammen:
"E-Mail ist nicht mehr nur ein Kommunikationskanal. Sie ist die erste Verteidigungslinie für Identität, Vertrauen und Geschäftskontinuität."
E-Mail-Sicherheit muss mit Identitäts- und Endpoint-Kontrollen gepaart werden, um Account-Takeovers und laterale Bewegungen zu reduzieren. Der vollständige Barracuda-Bericht zu E-Mail-Bedrohungen 2026 identifiziert mehrere praktische Schritte:
- Erweitern Sie die Inspektion über Anhänge hinaus. Erhöhen Sie die Überprüfung eingebetteter Links und QR-Codes in Dokumenten und Nachrichten.
- Stärken Sie die Identitätssicherheit. Erzwingen Sie MFA wo möglich, überwachen Sie verdächtige Anmeldungen und verschärfen Sie Zugriffsrichtlinien, um die Auswirkungen gestohlener Anmeldedaten zu begrenzen.
- Automatisieren Sie Erkennung und Reaktion. Automatisieren Sie die Erkennung und Reaktion, um verdächtige Nachrichten schnell unter Quarantäne zu stellen und die Reaktionszeit zu reduzieren, wenn Angriffe durchkommen.
- Überprüfen Sie Konfigurationen regelmäßig. Organisationen sollten regelmäßig E-Mail-Sicherheitskonfigurationen überprüfen, um sicherzustellen, dass Schutzmaßnahmen aktiviert sind, Richtlinien mit aktuellen Bedrohungstrends übereinstimmen und Ausnahmen noch berechtigt sind, einschließlich der Überprüfung von Authentifizierungseinstellungen, Anhang- und Link-Inspektionsrichtlinien sowie automatisierte Response-Workflows.
Für Vermarktungs- und Growth Teams ist die Erkenntnis eindeutig: Starke SPF-, DKIM- und DMARC-Konfiguration ist jetzt sowohl eine Sicherheitsanforderung als auch eine Zustellungsanforderung. In einer Welt von Phishing, Spoofing und wachsendem Misstrauen der Nutzer wird authentifizierte Identität zu einem zentralen Element des Markenvertrauens, nicht nur zu einer technischen Spezifikation. Teams, die E-Mail-Authentifizierung als Marketing-Asset behandeln und nicht nur als IT-Checkliste, werden 2026 einen messbaren Vorteil bei der Inbox-Platzierung und dem Publikumsvertrauen haben.
