Wie der aktuelle Phishing-Report von Barracuda für das Jahr 2025 zeigt, hat sich die Anzahl der bekannten Phishing-as-a-Service-Kits (PhaaS, Phishing-Kits) im Jahr 2025 verdoppelt, was den Druck auf Sicherheitsteams in Unternehmen, die sich gegen diese Art von kontinuierlich weiterentwickelnder Cyberbedrohung schützen wollen, noch einmal erhöht.

Aggressive neue Varianten wie Whisper 2FA und GhostFrame haben innovative und schwer zu erkennende neue Tools und Taktiken mit sich gebracht, darunter eine Reihe von Techniken, um die Analyse von Schadcode zu verhindern, während etablierte Varianten wie Mamba und Tycoon sich kontinuierlich weiterentwickelt und Erfolge gefeiert haben. Jedes PhaaS-Kit war dabei für Millionen von Angriffen verantwortlich.

Laut der Analyse von Barracuda waren die am häufigsten genutzten Tools und Techniken von Phishing-Kits im Jahr 2025:

Techniken zur Umgehung von Multi-Faktor-Authentifizierung (MFA), beobachtet bei 48 Prozent der verzeichneten Angriffe.
Techniken zur URL-Verschleierung, ebenfalls bei 48 Prozent der verzeichneten Angriffe beobachtet.
Missbrauch von CAPTCHAs zur Erkennungsvermeidung, beobachtet bei 43 Prozent aller verzeichneten Angriffe.
Polymorphe Techniken und Nutzung schädlicher QR-Codes, jeweils beobachtet bei rund 20 Prozent aller verzeichneten Angriffe.
Schädliche Anhänge, beobachtet bei 18 Prozent der verzeichneten Angriffe.
Missbrauch vertrauenswürdiger Online-Plattformen und Nutzung generativer KI-Tools wie Zero-Code-Entwicklungsseiten, beobachtet bei jeweils zehn Prozent aller verzeichneten Angriffe.

Die Themen, die am häufigsten für Phishing-E-Mails verwendet werden, ähneln denen der Vorjahre, haben sich aber dennoch durch Nutzung generativer KI und anderer Tools weiterentwickelt. So bezog sich jede fünfte Phishing-E-Mail im Jahr 2025 (19 Prozent) auf einen Betrugsversuch im Zusammenhang mit Zahlungen und Rechnungen. Phishing-E-Mails mit Betrugsversuchen über digitale Signaturen und Dokumentenüberprüfungen machten 18 Prozent der Angriffsversuche aus, wobei HR-bezogene Dokumente in 13 Prozent der Fälle vorkamen. Viele nutzten legitime Markennamen und ahmten legitime Websites und Logos mit zunehmender Genauigkeit nach.

Phishing-Kits nehmen in Anzahl und Komplexität zu

„Phishing-Kits haben im Jahr 2025 sowohl in ihrer Anzahl als auch in ihrer Komplexität zugenommen. Dadurch stehen nun auch weniger erfahrene Cyberkriminelle fortschrittliche Full-Service-Angriffsplattformen zur Verfügung, mit denen sie ausgefeilte Angriffe in grossem Massstab durchführen können“, sagt Ashok Sakthivel, Director of Software Engineering bei Barracuda.

„Die Kits verfügen über Techniken, die es für Nutzer und Sicherheitsverantwortliche schwieriger machen, Betrugsversuche zu erkennen und zu verhindern. Um sich dennoch zu schützen, können Unternehmen nicht länger auf statische Schutzmassnahmen setzen, sondern müssen mehrschichtige Strategien nutzen: Benutzerschulungen, Phishing-resistente Multi-Faktor-Authentifizierung und kontinuierliche Überwachung. Sie müssen zudem sicherstellen, dass E-Mail-Sicherheit den Mittelpunkt einer integrierten, ganzheitlichen Sicherheitsstrategie darstellt», sagt Sakthivel.

Mehr Informationen über die Entwicklung von Phishing-Kits im Jahr 2025 finden Sie auf dem Barracuda-Blog: hier.