Cyberkriminelle umgehen routinemäßig alle E-Mail-Authentifizierungshürden und liefern Angriffe trotzdem ab. Die neu veröffentlichte Q1 2026 Email Threat Trends Report der VIPRE Security Group zeigt: 84% der Malspam-E-Mails nutzen Link-basierte Zustellung, während Callback-Phishing-Kampagnen von authentifizierter Microsoft-Infrastruktur aus versendet wurden und SPF-, DKIM- und DMARC-Checks ohne eine einzige Warnung passierten.
Der am 23. April 2026 veröffentlichte VIPRE Report basiert auf der Analyse von 1,8 Milliarden E-Mails im ersten Quartal 2026 und dokumentiert, wie Angreifer legitime Plattformen, Systeme und Ökosysteme ausnutzen, um konventionelle Abwehrmechanismen zu umgehen. Die Erkenntnisse senden eine klare Botschaft an jedes Unternehmen, das auf E-Mail angewiesen ist: Ordnungsgemäße Authentifizierung ist notwendig, aber sie ist nicht mehr ausreichend.
Authentifizierung erfolgreich, Angriffe auch
Die bedeutsamste Erkenntnis des Reports für E-Mail-Marketer und Growth Teams ist, wie gründlich Angreifer gelernt haben, den Authentifizierungs-Stack zu umgehen, den die meisten Organisationen als Sicherheits-Grundstandard behandeln.
Callback-Phishing-Kampagnen aus Q1 wurden von authentifizierter Microsoft-Infrastruktur aus versendet und passierten SPF-, DKIM- und DMARC-Checks. In diesen Kampagnen entfielen auf Microsoft 41% der gefälschten Marken, gefolgt von PayPal mit 17% und Geek Squad mit 15%.
Das ist wichtig, weil SPF, DKIM und DMARC dieselben Protokolle sind, die große Inbox-Provider jetzt für Massenversender vorschreiben. Diese drei Standards helfen, E-Mail-Absender zu authentifizieren, indem sie überprüfen, dass E-Mails wirklich vom Absender stammen, der angegeben ist. Sie sind wichtig für die Verhinderung von Spam, Phishing und anderen E-Mail-Sicherheitsrisiken. Das Problem: Authentifizierung prüft nur die Quelle, nicht den Inhalt oder die Absicht hinter der Nachricht.
Wie IRONSCALES-Forschung es deutlich ausdrückt: "Authentifizierung ist notwendig. Sie ist nicht ausreichend. Wenn Angreifer Plattformen mieten, registrieren oder missbrauchen können, die vollständig authentifizierte E-Mails versendet, werden SPF, DKIM und DMARC zur Mindestvorraussetzung, nicht zur Ziellinie."
Open Redirects und vertrauenswürdige Plattformen als Deckung
Angreifer in Q1 2026 bevorzugten "Open Redirects", die mit einer legitimen Domain beginnen und dann über Parameter zu einer bösartigen Website weiterleiten. Missbrauchte URLs machten über 89% der Phishing-URLs im Quartal aus.
Cloudflare wurde als einer der Services identifiziert, mit dem Angreifer Phishing-Links verschleieren, indem sie die CAPTCHA- und Bot-Schutzsysteme der Plattform ausnutzen, um zu verhindern, dass automatisierte Scanner die hinter bösartigen Nachrichten liegenden finalen Landing Pages erreichen.
Ein im Report hervorgehobenes Beispiel betraf den Missbrauch von TestFlight, Apples Beta-App-Test-Plattform. Angreifer verteilten Malware über Beta-Channel-Anwendungen und sendeten dann Nutzern E-Mails mit TestFlight-Links, um das Vertrauen in den Service für bessere Inbox-Zustellung zu nutzen.
Neu registrierte Domains verloren während des Quartals an Bedeutung. VIPRE führte den Wechsel auf wirksamere Domain-Scannung durch Sicherheitstools zurück, was Angreifer offenbar dazu drängt, angesehene und vertraute Web-Adressen zu nutzen, die weniger Verdacht erregen. Dies ist eine direkte Reaktion auf verbesserte Abwehrmechanismen: Wenn eine Tür geschlossen wird, gehen Angreifer durch eine vertrauenswürdigere.
Wie der Angriffsaufbau aussieht
Während Q1 2026 erschienen eingebettete Links in 50,59% der Phishing-E-Mails, 26,69% enthielten Anhänge, 19,17% nutzten Callback-Systeme und 3,55% verließen sich auf QR-Code-basiertes Phishing.
Bei Anhängen dominierten PDF-Dateien mit 63% des Gesamtanteils, wobei Cyberkriminelle zunehmend QR-Codes in diese PDFs einfügten, um standardmäßige URL- und Text-basierte Scan-Methoden zu umgehen. EML-Dateien waren auch auf dem Vormarsch und erschienen in 13,15% der Fälle, wobei Bedrohungsakteure komplette E-Mails anhängten, um das Format echter interner Gespräche nachzuahmen und sichere E-Mail-Gateways zu umgehen.
BEC-Taktiken ändern sich ebenfalls
Das Muster von Business Email Compromise (BEC) änderte sich in Q1 deutlich. Die CEO-Impersonation fiel von 73% der BEC-Versuche in Q1 2025 auf 54% in Q1 2026, ein Wechsel, der darauf hindeutet, dass Angreifer realistischere Kommunikationsverhalten nachahmen, da Führungskräfte typischerweise über eine Befehlskette arbeiten, anstatt direkt Kontakt aufzunehmen.
Englisch blieb die primäre Sprache für BEC-Angriffe mit 88%, doch Schwedisch rückte an zweite Stelle vor Spanisch. VIPRE verwies auf das hohe Pro-Kopf-Einkommen der nordischen Länder, die bargeldlose Zahlungsnutzung und das hohe öffentliche Vertrauen als Faktoren, die die Region zu einem attraktiven Ziel machen.
Was das für Ihr E-Mail-Programm bedeutet
Für Geschäftsinhaber und Marketer bekräftigen die Q1 2026 Daten einen Punkt, der in Standard-E-Mail-Sicherheits-Checklisten zu wenig Gewicht hat: Ihr Authentifizierungs-Setup schützt den Ruf und die Zustellbarkeit Ihrer Domain, aber es schützt Ihr Publikum nicht vor Angriffen, die über legitime Infrastruktur geleitet werden.
E-Mail bleibt einer der primären Einstiegspunkte für Cyberangriffe, und Verizons 2025 Data Breach Investigations Report zeigt, dass die meisten Verstöße noch ein menschliches Element beinhalten, wie Anmeldedaten, die durch Phishing gestohlen werden. Dieses menschliche Element ist genau das, was diese authentifizierten, Plattform-missbrauchenden Kampagnen anvisieren.
Einige konkrete Schritte, die es wert sind, Priorität zu setzen:
- Überprüfen Sie jede Plattform, die E-Mails im Namen Ihrer Domain versendet. Das umfasst offensichtliche Systeme wie Marketing-Plattformen sowie weniger sichtbare wie HR-Tools oder Finance-Anwendungen.
- Trainieren Sie Ihr Publikum und Team, Dringlichkeit-getriebene E-Mail-Anfragen skeptisch zu behandeln, unabhängig von der sendenden Domain oder Marke.
- Überwachen Sie DMARC-Reports aktiv. DMARC bietet Sichtbarkeit durch Aggregat- und Forensik-Reports, die zeigen, wer E-Mails mit Ihrer Domain versendet und ob diese Nachrichten Authentifizierung passieren. Diese Daten offenbaren unbefugte Nutzung Ihrer Marke, bevor Ihre Kunden davon erfahren.
- Gehen Sie über Header-Vertrauen hinaus. Verhaltensbasierte Absender-Analyse über Header-Vertrauen, einschließlich Erkennung erstmaliger Absender, Zuordnung von Absender-Empfänger-Beziehungen und Domain-Alter-Signale, erfasst, was Authentifizierung nicht kann.
"Angreifer nutzen kühn ausgefeilte Techniken zur Erkennung-Umgehung, während sie zu emotionalen Triggern greifen, um Vertrauen zu manipulieren und zu brechen", sagte Usman Choudhary, General Manager der VIPRE Security Group. "Organisationen müssen ihre E-Mail-Verteidigungen stärken und überdenken, wie Vertrauen über jeden Kanal hinweg etabliert wird."
Ab März 2026 haben nur 10,7% der Domains vollständigen DMARC-Schutz mit strikter Reject-Policy bei 100% Durchsetzung, während 70,9% der Domains überhaupt keinen wirksamen DMARC-Schutz haben. Wenn Ihre Domain zu dieser Mehrheit gehört, sind die Q1 2026 Daten eine praktische Erinnerung an das Risiko, das diese Lücke für Ihre Zustellbarkeit und für jeden, der E-Mails erhält, die angeblich von Ihnen stammen, darstellt.
