Mobile-Menu

„Global Threat Intelligence Report 2025“ von Mimecast Von Phishing bis ClickFix – Cyber­angriffe zielen auf Mitarbeiter

Von Paula Breukel 3 min Lesedauer

Anbieter zum Thema

Mimecast Germany GmbH
FTAPI Software GmbH

Attacken über E-Mail, Kollaborationsplattformen, Chat und Telefon zielen es immer häufiger direkt auf Menschen ab. Der Mimecast-Report zeigt, wie Phishing, ClickFix, Business Email Compromise und der Missbrauch vertrau­enswürdiger Dienste technische Abwehrstrategien außer Kraft setzten.

Laut Mimecast nutzen Angreifer verstärkt Dienste wie DocSend, Signaturplattformen, Cloud-Speicher und Kollaborationsumgebungen und kombinieren sie mit bösartigen Scalable-Vector-Graphics-Dateien, um den Mensch als Schwachstelle auszunutzen.(Bild: © Zamrznuti tonovi - stock.adobe.com)
Laut Mimecast nutzen Angreifer verstärkt Dienste wie DocSend, Signaturplattformen, Cloud-Speicher und Kollaborationsumgebungen und kombinieren sie mit bösartigen Scalable-Vector-Graphics-Dateien, um den Mensch als Schwachstelle auszunutzen.
(Bild: © Zamrznuti tonovi - stock.adobe.com)

Der „Global Threat Intelligence Report 2025“ von Mimecast zeigt einen starken Anstieg von Angriffen, die auf Menschen abzielen: Angreifer nutzen Kommunikationskanäle, die direkt am Menschen ansetzen. Über E-Mail, Kollaborationsplattformen, Chat und Telefon treten sie in Kontakt. Für den Report analysierte Mimecast mehr als 24 Billionen Datenpunkte für seine rund 43.000 Kunden, wobei über 9,13 Milliarden Bedrohungen identifiziert wurden.

Das sind sind die häufigsten Angriffsmethoden

Phishing macht laut Report 77 Prozent aller Attacken aus. 2024 waren es noch 60 Prozent. Künstliche Intelligenz (KI) senkt die Schwelle für überzeugende Köder. Angreifer imitieren Lieferanten, Partner und Kolleginnen, bauen glaubwürdige Mail-Threads auf und ergänzen sie um Deepfake-Stimmen oder Audio-Nachrichten.

Aber auch die „ClickFix“-Masche kommt vermehrt zum Einsatz. Hier setzen Angreifer auf gefälschte Fehlermeldungen oder vermeintliche Verifizierungsdialoge. Nutzer sollen Skripte kopieren und in Kommandozeilen wie PowerShell einfügen und installieren damit Infostealer, Remote-Access-Trojaner oder Ransomware selbst. Die ClickFix-Aktivität stieg laut Mimecast in den ersten sechs Monaten des Jahres 2025 um mehr als 500 Prozent und findet inzwischen in fast acht Prozent der gemeldeten Angriffe statt. Auch hier kommt KI zum Einsatz, aber auch vertrauenswürdige Dienste und Multichannel-Taktiken.

Parellel hierzu enwickeln sich Business Email Compromise (BEC) weiter. Die Kampagnen nutzen automatisierte Konversationsketten, um den Eindruck legitimer Kommunikation zwischen Finanzabteilung, Lieferanten und Management zu erzeugen. Im Fokus stehen Überweisungen, Änderungen von Bankverbindungen und Zahlungsprozesse. Giftkarten und Gutscheine spielen nur noch eine Nebenrolle.

Missbrauch vertrauenswürdiger Dienste

Die Auswertung bestätigt den Trend „Living off Trusted Services“. Angreifer migrieren ihre Infrastruktur auf Dienste, die Unternehmen ohnehin nutzen. Dazu zählen Adobe Sign, DocuSign, PayPal, Intuit oder Salesforce ebenso wie Kollaborationsplattformen und Cloud-Speicher. Besonders sticht DocSend hervor: Der virtuelle Meeting- und Hosting-Dienst ist 2025 der Dienst, der laut Mimecast am meisten missbraucht wurde.

Attacken verstecken sich zunehmend hinter legitimen Schutzmechanismen. Mimecast verzeichnet monatlich Tausende bösartige Captcha-geschützte URLs. Die Gruppe Scattered Spider setzte diese Technik allein in den USA und Großbritannien über 900.000 Mal ein.

Parallel steigt der Missbrauch von Scalable Vector Graphics: Zwischen Mitte Februar und Mitte März 2025 entdeckte Mimecast mehr als zwei Millionen bösartige SVG-Dateien mit eingebettetem JavaScript-Code, häufig kombiniert mit mehrstufigen Weiterleitungen und QR-Codes. SVG-Dateien (Scalable Vector Graphics) sind ein Dateiformat für zweidimensionale Vektorgrafiken. Im Kontext von Phishing-Angriffen liegt die Gefahr darin, dass SVG-Dateien auch aktiven Code enthalten können.

Kollaborationsplattformen geraten ebenfalls in den Fokus. In Microsoft-Teams-, SharePoint- und OneDrive-Umgebungen dominiert laut Report Malware als Angriffsmethode, dahinter folgen Phishing und unsichere Links. Besonders riskant sind Inhalte der Kategorie Schulung und Tools: 96 Prozent der dort erfassten URLs gelten als hoch oder mittel riskant.

Welche Branchen treffen die Kampagnen besonders hart?

Die Angriffe folgen branchenspezifischen Mustern. In der Immobilienwirtschaft sehen Beschäftigte deutlich mehr Phishing-Angriffe als andere Sektoren. Hohe Transaktionsvolumina, enge Fristen und viele Kommunikationspartner bieten einen idealen Anknüpfungspunkt für Social Engineering. Reise- und Gastgewerbe sind davon überdurchschnittlich betroffen.

Im verarbeitenden Gewerbe und im Bereich Kunst und Unterhaltung stehen Malware-Kampagnen im Vordergrund. Hier zielen es Angreifer auf Produktionsunterbrechungen, geistiges Eigentum und komplexe Lieferketten ab. Hotel- und Gastgewerbe-Fachkräfte geraten dagegen ins Visier von Phishing-Kampagnen, die sich Zugriff auf Konten bei Plattformen wie Expedia oder Cloudbeds verschaffen.

Was bedeutet der Report für Verteidigungsstrategien?

Der Report betont, dass Cybersecurity nicht mehr nur als technisches Problem zu betrachten ist. Sicherheitslücken in Anwendungen bleiben relevant, doch Angreifer nutzen vor allem menschliche Schwachstellen, Schatten-IT und unverwaltete Systeme. Verteidiger sollen deshalb Security-Hygiene, Awareness-Programme und robuste Governance in den Mittelpunkt stellen.

Die Telemetrie zeigt auch den Druck, unter dem die Teams stehen, die für das Schließen von Schwachstellen zuständig sind. 2024 meldete die „National Vulnerability Database“ knapp 40.000 Schwachstellen, das entspricht etwa 768 pro Woche. 2025 bewegt sich die Zahl in Richtung 900 neuer Einträge pro Woche. Nur rund 8,4 Prozent gelten als hoch riskant, der Rest erzeuge laut Mimecast Rauschen und erschwere die Priorisierung.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Mimecast plädiert im „Global Threat Intelligence Report“ vor diesem Hintergrund für mehrschichtige Verteidigung, klare Prozesse für Finanz- und Freigabeflüsse sowie für eine stärkere Nutzung von KI in der Verteidigung, sozusagen als Gegenstück zu KI-gestützten Phishing-Kampagnen. Mitarbeitende sollten sich hierbei als erste Verteidigungslinie verstehen und technische Kontrollen eng mit Schulung und Governance verzahnen.

(ID:50625149)

Weiterführende Inhalte