Mobile-Menu

Vipre E-Mail Threat Trends Report Q2 2025 E-Mail-Angriffe werden unsichtbarer und gezielter

Ein Gastbeitrag von Thomas Joos 3 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Maßgeschneiderte Kampagnen, regionalisierte BEC-Attacken und Malware aus der Cloud prägen die E-Mail-Bedrohungslage im zweiten Quartal 2025. Der neue Vipre-Report analysiert Taktiken und Entwicklungen, die klassische Schutzmechanismen ins Leere laufen lassen.

Vipre hat den E-Mail Threat Trends Report Q2 2025 veröffentlicht und zeigt, wie die Cyberkriminellen im zweiten Quartal ticken.(Bild: © sitthiphong - stock.adobe.com)
Vipre hat den E-Mail Threat Trends Report Q2 2025 veröffentlicht und zeigt, wie die Cyberkriminellen im zweiten Quartal ticken.
(Bild: © sitthiphong - stock.adobe.com)

Cyberkriminelle setzen zunehmend auf Täuschung statt Technik. Der neue E-Mail Threat Trends Report Q2 2025 von Vipre zur Bedrohungslage im E-Mail-Verkehr zeigt, wie sich Angreifer weiterentwickeln, mit personalisierten Methoden, regionaler Anpassung und durchdachter Angriffschoreografie.

Individuell statt industriell: Phishing-Kits ohne Wiedererkennungswert

58 Prozent aller analysierten Phishing-Websites nutzten im zweiten Quartal keine identifizierbaren Kits mehr. Das markiert eine klare Verschiebung weg von generischen Baukastenlösungen hin zu schwer analysierbaren, oft KI-gestützten Einzelanfertigungen. Die klassischen Kits Evilginx (20 Prozent), Tycoon 2FA (10 Prozent) und 16shop (7 Prozent) sind zwar noch vertreten, doch dominieren inzwischen unauffindbare und kaum zu trackende Varianten. Im Vergleich zum ersten Quartal zeichnet sich hier eine strategische Weiterentwicklung ab: Statt auf Masse setzen Angreifer auf Individualisierung und Täuschung.

Bildergalerie
Bildergalerie mit 8 Bildern

Fertigungsbranche erneut vorn, Gesundheitswesen holt auf

Mit 26 Prozent aller erfassten Angriffe bleibt die Fertigungsindustrie zum sechsten Mal in Folge die Hauptzielscheibe. Der Einzelhandel folgt mit 20 Prozent, das Gesundheitswesen mit 19 Prozent. Damit bestätigt sich ein stabiler Trend aus Q1. Laut Vipre sind Phishing, BEC und Malspam in diesen Sektoren die meistgenutzten Einfallstore. Auffällig bleibt: Der Sektor mit der höchsten OT-Durchdringung ist gleichzeitig der am stärksten unter Beschuss stehende.

BEC-Angriffe auf Skandinavien: Regionalisierung nimmt Fahrt auf

Business E-Mail Compromise (BEC) wird immer gezielter eingesetzt. Skandinavische Länder geraten dabei besonders ins Visier. Mit 42 Prozent entfallen die meisten Angriffe auf englischsprachige Führungskräfte, dicht gefolgt von dänischsprachigen mit 38 Prozent. Schweden und Norwegen kommen gemeinsam auf 19 Prozent. Die bevorzugte Sprache bei diesen Attacken ist nicht zufällig gewählt. Gerade im Personal-, Finanz- und Managementbereich dominieren in Skandinavien die jeweiligen Landessprachen. Die Nachahmung interner Kommunikation wirkt dadurch besonders authentisch.

Bildergalerie
Bildergalerie mit 8 Bildern

Die am häufigsten imitierte Rolle bleibt der CEO mit 82 Prozent. Weitere Ziele sind das mittlere Management (9 Prozent), HR-Abteilungen (4 Prozent), IT-Mitarbeiter (3 Prozent) und Schulleitungen (2 Prozent). Im Vergleich zu Q1 zeigt sich ein zunehmender Fokus auf lokalisierte, sprachlich und kulturell angepasste Betrugsversuche.

Lumma Stealer übernimmt: Malware für jedermann

Die dominierende Malware-Familie im zweiten Quartal heißt Lumma Stealer. Sie wird über manipulierte DOCX-, HTML- und PDF-Dateien sowie über Cloud-Dienste wie OneDrive und Google Drive verbreitet. Als Malware-as-a-Service (MaaS) ist sie besonders leicht zugänglich und wegen ihrer niedrigen Kosten auch für Einsteiger attraktiv. Die Schadsoftware kann Zugangsdaten aus Browsern, Krypto-Wallets und Systeminformationen exfiltrieren. Sie verwendet zudem Anti-Analyse-Techniken wie Verschlüsselung, VM-Erkennung und dynamische Payloads. Mitte Mai gelang Microsoft zwar ein gezielter Schlag gegen die Infrastruktur, doch die Verbreitung bleibt hoch.

Die Anatomie eines Angriffs: Vom Köder bis zur Exfiltration

Laut Report zeigen sich klare Muster in der Vorgehensweise der Angreifer. Am Anfang steht meist ein Lockmittel mit Finanzbezug. 35 Prozent der untersuchten E-Mails behandelten Themen wie Rechnungen, Zahlungserinnerungen oder falsche Überweisungen. Dringlichkeitsmails machten 25 Prozent aus, Kontoaktualisierungen 20 Prozent. Daneben traten saisonale Reisethemen (10 Prozent), Paketzustellungen (5 Prozent) sowie rechtliche oder HR-Inhalte (5 Prozent) auf.

Bildergalerie
Bildergalerie mit 8 Bildern

Nach dem Köder folgen technisch raffinierte Umsetzungen. 54 Prozent der Phishing-Links basieren auf Open-Redirect-Mechanismen, die bekannte Domains wie Marketing-Plattformen oder Tracking-Systeme nutzen. Weitere 30 Prozent setzen auf kompromittierte Webseiten, 7 Prozent auf URL-Shortener. PDF-Anhänge führen die Rangliste an (64 Prozent), viele davon enthalten QR-Codes, die auf gefälschte Microsoft-Logins oder Finanzseiten leiten. HTML-Dateien kommen auf 14 Prozent, DOCX auf 13 Prozent und SVG-Dateien auf 9 Prozent – ein Rückgang gegenüber den 34 Prozent im Q1.

Exfiltration in Echtzeit: Datenabfluss per Telegram und POST

Die letzte Phase der Angriffe ist die Datenabführung. 52 Prozent aller kompromittierten Inhalte wurden über HTTP POST an Angreifer-Server gesendet. 30 Prozent der Fälle nutzten E-Mail-Exfiltration, 10 Prozent Telegram-Bots oder WebHooks. Gerade Telegram gewinnt dabei an Bedeutung. Das liegt an der einfachen Einrichtung, der hohen Anonymität und der globalen Erreichbarkeit. Diese Kanäle erschweren Ermittlungen erheblich und ermöglichen eine neue Generation mobiler Angreifer.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung
Bildergalerie
Bildergalerie mit 8 Bildern

Fazit: Die Skalierung menschlicher Manipulation durch KI

Der Vipre-Bericht zeigt, wie gezielt Angreifer menschliche Schwächen ausnutzen. Die Personalisierung ist dabei kein Einzelfall mehr, sondern wird flächendeckend eingesetzt. Dank KI können Techniken des Spear-Phishing nun auf ganze Belegschaften ausgeweitet werden. Seit der Einführung generativer Modelle stieg das Phishing-Volumen laut SOCradar um 4.151 Prozent. Klassische Schutzmechanismen sind dem nicht gewachsen. Lediglich Sicherheitslösungen mit verhaltensbasierter Analyse, semantischer Mustererkennung und integrativer Intelligenz haben eine Chance, dieser Entwicklung etwas entgegenzusetzen.

(ID:50505713)

Weiterführende Inhalte