Am 11. Mai 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) seinen Cybersicherheitsmonitor 2026 vorgelegt. Die nüchternen Zahlen aus der Befragung von 3.060 Personen sind das eine: 27 Prozent aller deutschen Internetnutzer waren bereits einmal von Cyberkriminalität betroffen, 11 Prozent allein im vergangenen Jahr. Phishing landet stabil auf Platz drei der häufigsten Vorfälle. Die wirklich bemerkenswerte Zahl steht weiter unten in der Auswertung: 86 Prozent aller Phishing-Mails sind 2026 KI-generiert. Damit ist das, was lange als individuell-handwerkliche Disziplin galt, in der Industrialisierung angekommen – und der zweite Faktor, auf den sich viele Unternehmen seit Jahren verlassen, wackelt sichtbar.
Diese Wissens-Analyse zeigt, was sich technisch verändert hat, warum klassische 2FA dem KI-getriebenen Phishing nicht mehr standhält, und wie ein mittelständisches Unternehmen den Umstieg auf phishing-resistente Authentifizierung – FIDO2 und Passkeys – in den nächsten 90 Tagen schaffen kann, ohne die Produktivität abzuwürgen. Begleitet wird das Ganze von einem realistischen Beispielunternehmen, das den Weg gerade geht.
Einstiegsszenario: Donnerstag, 13:42 Uhr, ein Anruf
Dr. Andrea Hoffmann ist seit drei Jahren CIO der fiktiven Mertens Antriebstechnik GmbH, einem inhabergeführten Maschinenbauer aus dem Raum Bielefeld mit 280 Beschäftigten, 4 Tochtergesellschaften in Polen, Tschechien und den USA und einer schlanken IT-Abteilung von acht Personen. Ihr Mailserver läuft über Microsoft 365, ihre ERP-Welt liegt auf einer SAP-S/4HANA-Private-Cloud, die Konstruktion arbeitet mit Siemens NX. Ein typischer, gut geführter deutscher Mittelständler.
An diesem Donnerstag im Mai klingelt um 13:42 Uhr das Telefon ihrer Buchhalterin Sabine Pfeiffer. Am anderen Ende: Andrea Hoffmann, die CIO. Die Stimme stimmt – Tonalität, der leichte ostwestfälische Einschlag, sogar der typische Räusperer am Satzanfang. Andrea bittet Sabine, das angehängte Sicherheits-Update kurz zu prüfen und sich noch einmal beim Single Sign-On einzuloggen, weil eine Konferenz mit BAFA gleich beginnt und es davor noch eine letzte Token-Rotation brauche. Sabine klickt. Das Anmeldefenster sieht aus wie immer. Sie tippt ihr Passwort, bestätigt die Push-Benachrichtigung auf ihrem Handy, weil ja Andrea persönlich am Telefon ist. Drei Sekunden später hat eine fremde Sitzung in Vilnius eine gültige Token aus dem Conditional-Access-Pool von Mertens.
Niemand bei Mertens hat einen Fehler gemacht. Das Passwort war stark, die MFA war aktiv, das Conditional-Access-Setup lief mit Geo-Filter. Trotzdem ist die Identität in den ersten 90 Sekunden gefallen. Was hier zusammengetroffen ist: KI-generierte Stimmkopie (Voice-Cloning aus zwei öffentlichen Vorträgen Andrea Hoffmanns auf einem Maschinenbau-Kongress), KI-orchestrierter AiTM-Phishing-Proxy (Evilginx-artige Infrastruktur, die in Echtzeit zwischen Opfer und legitimer Microsoft-Anmeldemaske vermittelt) und der menschliche Reflex, eine vertraute Stimme nicht in Frage zu stellen.
Technische Analyse: Was sich am Phishing 2026 wirklich verändert hat
Phishing als Angriffsklasse ist alt. Was 2026 neu ist, sind drei industrielle Übergänge, die zusammen das Risiko-Niveau verschieben.
1. Inhaltliche Perfektion zum Stückpreis
Die Zeiten holperiger Übersetzungen sind vorbei. Aktuelle Sprachmodelle generieren juristisch sauberes Deutsch in unterschiedlichen Registern – formell für Behördenstücke, leger für interne CC-Mails, technisch korrekt für angebliche IT-Tickets. Tonalität, Anrede und Signaturblock werden kontextspezifisch zusammengesetzt. Wer aus drei öffentlichen Pressemitteilungen eines Unternehmens 50 individualisierte Mails pro Beschäftigtem ableitet, hat 2026 ein Maschinen-Workflow-Problem, keine handwerkliche Anstrengung.
2. Voice-Cloning unterhalb der Hörerschwelle
Mit 30 Sekunden öffentlich verfügbarem Audio-Material erzeugen Open-Source-Werkzeuge wie XTTS oder VALL-E heute Stimmsynthesen, die in einer 4-Minuten-Konversation für untrainierte Ohren ununterscheidbar bleiben. Vishing – die telefonische Variante des Phishings – wird damit zur Standardkomponente moderner Initial-Access-Kampagnen. Die Bedrohungslage in der Informationssicherheit hat sich an genau dieser Stelle in den letzten zwölf Monaten radikal verschoben.
3. AiTM-Proxies industrialisieren das Token-Abgreifen
Klassisches 2FA – TAN, SMS-Code, Push-Bestätigung – funktioniert nur, wenn der Angreifer zwischen Opfer und Authentifikator nicht in Echtzeit sitzen kann. Genau diese Annahme bricht der Adversary-in-the-Middle-Proxy. Tools wie Evilginx2 oder Modlishka klonen die echte Anmeldeseite, leiten Eingaben transparent an Microsoft, Google oder Okta weiter, fangen die ausgegebenen Session-Tokens ab und reichen sie an die Angreifer-Sitzung weiter. Push-Bestätigungen werden vom Opfer selbst genehmigt – schließlich ist es ja "im Login-Prozess". Damit fällt nicht das Passwort, sondern der vollständige OAuth-Refresh-Token. Wer den hat, kontrolliert die Identität auch nach dem nächsten Passwortwechsel.
Genau hier wird klar, warum das BSI seit Anfang 2026 deutlicher denn je auf phishing-resistente Authentifizierung drängt. SMS-OTP, TOTP-Codes aus dem Authenticator und sogar simple Push-Bestätigungen sind nicht mehr "die zweite Mauer" – sie sind ein Schiebefenster, das in dieser Architektur per Definition geöffnet werden kann.
FIDO2/WebAuthn: das technische Gegenstück
FIDO2 (FIDO Alliance + W3C WebAuthn) löst das Problem nicht durch ein "noch besseres Passwort", sondern durch eine fundamentale Architekturänderung. Ein FIDO2-Authentifikator – Hardware-Token wie YubiKey, Titan Key oder integrierte Plattform-Keys via Windows Hello, iCloud Keychain, Android Credential Manager – speichert ein privates Schlüsselpaar pro Service. Bei der Anmeldung signiert der Authentifikator eine Challenge, die zwei entscheidende Eigenschaften besitzt:
Origin-Bindung: Der Browser fordert die Signatur explizit für die Origin login.unternehmen.de. Ein AiTM-Proxy auf login-unternehmen.de oder secure-mertens-login.com bekommt die Signatur nicht ausgehändigt. Punkt. Es gibt keinen Workaround, weil die Origin Teil der signierten Daten ist.
Challenge-Response statt Geheimnis-Übertragung: Es gibt kein OTP, kein Passwort, keinen Klartext, der über die Leitung wandert. Nur eine signierte Challenge, die für genau diese Sitzung gilt.
Damit wird der zentrale Hebel der KI-Phishing-Welle – die perfekte Imitation und der echtzeit-vermittelnde Proxy – wertlos.
User Story Teil 2: Wie Mertens den Umstieg in 90 Tagen geschafft hat
Zurück zu Mertens Antriebstechnik. Drei Wochen nach dem Vorfall – die Buchhaltung wurde glücklicherweise von einem aufmerksamen Stripe-Webhook ausgebremst, bevor eine echte SEPA-Überweisung floss – trifft Andrea Hoffmann zwei Entscheidungen. Erstens: Mertens migriert vollständig auf phishing-resistente Authentifizierung. Zweitens: Es wird kein Big-Bang-Projekt, sondern ein 90-Tage-Programm mit klar priorisierten Wellen.
Welle 1 (Tag 1–14): Privilegierte Accounts
Die ersten 22 Identitäten, die migriert werden, sind Tier-0- und Tier-1-Admins: die zwei Domain-Admins, die SAP-Basis-Admins, die M365-Global-Admins, die Backup-Operatoren, die Firewall-Administratoren. Jeder dieser Accounts bekommt zwei Hardware-Schlüssel: einen primären YubiKey 5 NFC am Schlüsselbund, einen zweiten Schlüssel im verschlossenen Tresor des Hausmeisterbüros als Recovery-Faktor. Kostenpunkt pro Identität: rund 110 Euro (zwei Schlüssel, kein laufendes Lizenzbudget). Die Conditional-Access-Policy in Entra ID wird parallel angepasst: für privilegierte Rollen wird die Anmeldung über SMS, Voice, E-Mail-OTP und Authenticator-App vollständig deaktiviert. Nur noch FIDO2 oder Windows-Hello-for-Business mit FIDO2-Profil.
Andrea bemerkt im Review-Termin nach 14 Tagen: Drei der 22 Admins haben einen ihrer Schlüssel zwischenzeitlich verloren oder zu Hause vergessen. Das Recovery-Verfahren über den Tresor-Schlüssel hat funktioniert. Wichtiger ist der psychologische Effekt: Wer den eigenen Hardware-Schlüssel verliert, denkt zwei Wochen lang sehr bewusst über Authentifizierung nach.
Welle 2 (Tag 15–45): Risikorollen aus der Fachseite
Buchhaltung, Einkauf, HR, Geschäftsführung, Vertriebsleitung. Insgesamt 31 Identitäten. Hier wird die Mischung aus Hardware-Token (für Personen, die viel zwischen Geräten wechseln) und Plattform-Passkeys (für Personen mit festem Notebook und Diensthandy) gewählt. Passkeys via Windows Hello kosten faktisch nichts und sind FIDO2-konform – sie sitzen im TPM des Geräts, sind biometrisch geschützt und genauso origin-gebunden wie ein YubiKey. Das Onboarding läuft in Gruppensessions à 45 Minuten, geführt vom IT-Helpdesk mit einem ausgedruckten Foto-Leitfaden. Keine PowerPoint, keine E-Learning-Pflicht – nur "wir setzen das jetzt zusammen an Ihrem Rechner ein". Akzeptanz: 30 von 31 beim ersten Termin, eine Person beim zweiten.
Welle 3 (Tag 46–75): Breite Belegschaft
Die restlichen 220 Beschäftigten kommen über die nächste reguläre Update-Welle der Firmen-Endpoints dazu. Wer ein Diensthandy oder einen Diensttablet hat, bekommt automatisch einen Passkey eingerichtet. Wer ausschließlich mit Shared Workstations in der Produktion arbeitet, erhält einen FIDO2-Schlüssel mit USB-A und NFC am Schlüsselbund. Die Policy in Entra wird stufenweise umgestellt: zunächst auf "FIDO2 bevorzugt, fallback Authenticator-App", nach 30 Tagen vollständig auf "FIDO2 erforderlich".
Welle 4 (Tag 76–90): Externe und Notfallprozesse
Externe Dienstleister – Steuerberater, Wirtschaftsprüfer, Lohnbüro, Logistikpartner – sind die heikelste Gruppe. Mertens lässt zwei Optionen zu: Entweder die Partner stellen ihren Mitarbeitern selbst FIDO2-fähige Authentifikatoren bereit und werden via SAML-Federation eingebunden, oder sie nutzen einen dezidierten Guest-Account mit gestelltem Hardware-Schlüssel, der bei Beendigung zurückgegeben wird. Parallel dokumentiert das Sicherheitsteam ein Break-Glass-Verfahren: Drei "Notfall-Accounts" liegen mit physisch versiegelten Schlüsseln im Tresor, sind exempted von der FIDO2-Policy, lösen aber bei jeder Nutzung eine SOC-Eskalation aus.
Ergebnis nach 90 Tagen
Mertens hat 282 Identitäten auf phishing-resistente Authentifizierung migriert. Die Gesamtkosten – Hardware, externe Beratung, interner Aufwand – belaufen sich auf rund 34.000 Euro. Das entspricht etwa dem Tagesumsatz einer mittleren Fertigungslinie. Die laufenden Lizenzkosten steigen nicht, weil FIDO2 bereits in den vorhandenen Microsoft-365-E3-Lizenzen enthalten ist. Die Anzahl erfolgreicher Phishing-Klicks in der internen Simulation der Folgequartale geht nicht auf null – das wäre Augenwischerei –, aber ein erfolgreicher Klick führt nicht mehr zu einem ausgehändigten Session-Token. Das ist die Differenz zwischen peinlich und existenzbedrohend.
Breitere Einordnung: Was bedeutet das für die Mittelstands-Architektur?
Der Mertens-Fall ist kein Einzelfall. Drei strukturelle Beobachtungen verdienen Aufmerksamkeit:
Identität ist die neue Perimeter
Klassische Sicherheitsarchitekturen verteidigten den Netzwerkrand. Mit Cloud-Diensten, hybriden Arbeitsplätzen und SaaS-getriebener Geschäftsprozess-Realität ist diese Mauer porös geworden. Was bleibt, ist die Identität – und damit der Authentifizierungspfad. Wer 2026 in Anmeldewegen denkt wie 2018, verteidigt ein Schloss, dessen Mauern längst nicht mehr stehen. Diese Verschiebung passt auch zur Diskussion rund um Zero Trust, die in den vergangenen zwei Jahren in vielen mittelständischen IT-Strategien angekommen ist.
KI ist beidseitig unterwegs
Während Angreifer KI für Inhaltsgenerierung, Stimmsynthese und Echtzeit-Manipulation einsetzen, gewinnt die Verteidigerseite ebenfalls durch KI: SIEM-Plattformen korrelieren mit Sprachmodellen Auffälligkeiten über Logsysteme hinweg, EDR-Lösungen erkennen verhaltensauffällige Prozesse besser, und Awareness-Trainings werden mit KI-generierten Phishing-Simulationen passgenauer. Die strategische Frage ist nicht mehr "Setzen wir KI ein?", sondern "Wo verschafft uns KI in der Verteidigung den größten Hebel?" – ein Punkt, den wir in unseren Beratungen zur KI-Strategie und KI-Integration sowie auf der KI-Seite regelmäßig durchspielen.
NIS2 schiebt mit
Das deutsche NIS2-Umsetzungsgesetz, seit dem 5. Dezember 2025 in Kraft, fordert für "besonders wichtige" und "wichtige" Einrichtungen explizit Risikomanagement-Maßnahmen, zu denen die Authentifizierungsarchitektur gehört. Die BSI-Empfehlungen zur phishing-resistenten Anmeldung sind kein Wunschkonzert – sie werden 2026 zunehmend zum Prüfgegenstand bei NIS2-Audits. Wer als Geschäftsleitung 2026 noch SMS-OTP für administrative Zugänge zulässt, bewegt sich in einer Grauzone, die schnell zur persönlichen Haftungsfrage werden kann.
Handlungsempfehlungen: ein realistischer 90-Tage-Plan
Aus dem Mertens-Fall und einem Dutzend ähnlicher Projekte aus den letzten Monaten lässt sich folgender pragmatischer Plan ableiten – kein Lehrbuch, sondern eine in der Praxis erprobte Abfolge.
Tag 1–7: Bestandsaufnahme. Identitätsinventar erstellen: Welche Konten existieren wo, wer hat welche Rollen, wo läuft welche MFA-Methode? Realistisch sind in einem typischen Mittelständler 1.500 bis 4.000 Identitäten inklusive Service-Accounts. Wichtig: Schatten-IT-Identitäten in SaaS-Tools wie Slack, Notion, Jira, Asana nicht vergessen.
Tag 8–14: Pilot mit privilegierten Konten. Maximal 25 Tier-0-/Tier-1-Identitäten umstellen. Zwei Hardware-Schlüssel pro Person. Conditional-Access-Policy auf "nur FIDO2" für diese Rollen.
Tag 15–45: Risikorollen. Buchhaltung, HR, Geschäftsführung, Vertrieb, Einkauf. Mix aus Hardware-Token und Plattform-Passkeys, je nach Gerätelandschaft.
Tag 46–75: Breite Belegschaft. Über reguläre Endpoint-Updates und kurze Helpdesk-Sessions. Policy stufenweise verschärfen.
Tag 76–90: Externe und Notfallprozesse. Federation oder Guest-Accounts mit gestellten Schlüsseln. Break-Glass-Accounts dokumentiert, versiegelt, SOC-überwacht.
Begleitend: Awareness-Module entschlacken. Wer FIDO2 hat, braucht keine Schulung mehr zu "Achten Sie auf das Schloss in der URL-Leiste". Aber er braucht Training zu Voice-Cloning und CEO-Fraud – die Phishing-Vektoren wandern vom Browser ins Telefon und in WhatsApp-Direktnachrichten.
Kostenseite: Was kostet das einen 250-Personen-Betrieb?
Eine grobe Kalkulation – belastbar genug für ein erstes Vorstandsgespräch.
Hardware: Bei 250 Identitäten mit je zwei Hardware-Schlüsseln à 30 Euro im Mittel: 15.000 Euro. Realistisch sind die Hälfte der Identitäten Plattform-Passkey-fähig, also lediglich rund 7.500 Euro Hardware.
Interner Aufwand: Etwa 90 Personentage IT-Aufwand für Planung, Pilotierung, Rollout, Dokumentation. Bei einem internen Verrechnungssatz von 600 Euro pro Personentag ergibt das 54.000 Euro – die in der Realität in vielen Häusern nicht "neu" sind, sondern aus anderen Sicherheitsprojekten umgeschichtet werden.
Externe Begleitung: Je nach Reifegrad zwischen 15.000 und 40.000 Euro für Architekturberatung, Policy-Engineering, Wave-Planung.
Gegenwert: Ein einziger erfolgreich abgewehrter AiTM-Vorfall in der Buchhaltung kompensiert die Gesamtinvestition typischerweise in der ersten Stunde nach Erkennung – der durchschnittliche CEO-Fraud im deutschen Mittelstand bewegt sich in der Größenordnung 200.000 bis 800.000 Euro pro Vorfall.
Ausblick: Wohin geht die Reise nach Passkey?
FIDO2 und Passkeys sind 2026 keine Bleeding-Edge-Technologie mehr. Sie sind Standard in jeder modernen Identity-Plattform – Microsoft Entra ID, Okta, Google Workspace, Ping Identity, ForgeRock. Was sich bis 2027 deutlicher abzeichnen wird, sind drei Entwicklungen:
1. Synced Passkeys über Plattformgrenzen hinweg. Apple, Google und Microsoft arbeiten am Passkey-Austausch zwischen Ökosystemen. Damit löst sich das alte Problem, dass ein Passkey im iCloud-Schlüsselbund nicht im Android-Credential-Manager verfügbar ist. Für mittelständische IT-Abteilungen bedeutet das: weniger Recovery-Anrufe.
2. Device-Bound Passkeys mit Attestation. Für höhere Schutzbedürfnisse (Zahlungsverkehr, Industriespionage-Risiko, Kritis-Sektor) werden Passkeys verbindlich an ein bestimmtes Gerät gebunden, mit kryptografisch nachweisbarer Hardware-Attestierung. Das ist konzeptionell näher an Smartcard-Lösungen, aber mit dem deutlich besseren Nutzererlebnis von WebAuthn.
3. Agentic-AI-Identitäten. Mit dem Aufkommen autonomer KI-Agenten in Geschäftsprozessen entsteht eine neue Identitätsklasse: nicht-menschliche Identitäten, die selbst entscheiden, sich anmelden und Aktionen auslösen. Hier reichen die heutigen FIDO-Mechanismen nicht aus – die Branche arbeitet an mTLS-, OAuth-DPoP- und Workload-Identity-Mustern für KI-Agenten. Wer diese Diskussion verfolgen möchte, findet bei unserer Softwareentwicklungs-Praxis und unserem Projektmanagement die operativen Anschlusspunkte.
Fazit
Der BSI-Cybersicherheitsmonitor 2026 ist mehr als eine Statistik. Er ist der Hintergrundton zu einer Veränderung, die in vielen Sicherheitsteams längst angekommen ist: Phishing ist 2026 ein KI-getriebener, hochskalierter, multimodaler Angriffsvektor – und klassische 2FA ist kein verlässliches Gegenmittel mehr. Die gute Nachricht: Das technische Werkzeug ist da. FIDO2 und Passkeys sind reif, leistbar und in der bestehenden Microsoft- oder Google-Suite eines typischen Mittelständlers bereits enthalten. Was fehlt, ist meist ein Plan, der den Umstieg in 90 Tagen ohne Großstörung bewältigt – und ein Team, das die Wellen sauber orchestriert.
Mertens Antriebstechnik hat das in 90 Tagen geschafft. Es gibt keinen technischen Grund, warum ein vergleichbares Unternehmen es nicht auch schafft. Es gibt allerdings genau einen guten Grund, jetzt anzufangen: Der nächste Anruf um 13:42 Uhr klingelt bereits.
Wer den Umstieg konkret durchspielen möchte – mit Architektur, Wave-Planung, Lizenz- und Hardware-Kalkulation – findet bei pleXtec einen Partner mit operativer Praxis. Mehr unter Leistungen oder direkt über das Kontaktformular.
Stand: 12. Mai 2026. Diese Analyse basiert auf dem BSI-Cybersicherheitsmonitor 2026 (Veröffentlichung 11. Mai 2026), eigenen Mandantenprojekten und Threat-Intelligence-Quellen aus dem laufenden zweiten Quartal.