KI-generierte Phishing-Mails erkennen – auch wenn sie keine Rechtschreibfehler mehr enthalten

Veröffentlicht: 03. November 2026 · Lesezeit: ca. 12 Minuten

Donnerstagnachmittag, kurz vor Feierabend. Ihre Kanzleisekretärin öffnet eine E-Mail, die auf den ersten Blick vom DATEV-Support stammt: professionelle Anrede, korrekte Formulierungen, ein plausibler Betreff über eine ausstehende Bestätigung zur SmartLogin-Einrichtung. Ein Link, ein Hinweis auf eine kurze Frist – und die Bitte, die Zugangsdaten zu verifizieren. Die Mail liest sich wie jede andere Systemnachricht. Kein Tippfehler, kein seltsamer Satzbau, keine verdächtige Absenderadresse auf den zweiten Blick. Die Sekretärin zögert kurz – und klickt dann doch. Was in den nächsten Minuten passiert, hängt davon ab, was Sie vorher eingerichtet haben.

Die Frage, wie man eine KI Phishing Mail erkennen und ihre Merkmale einordnen kann, hat sich in den letzten Monaten grundlegend verändert. Früher galt: Wer auf Rechtschreibfehler, holprige Übersetzungen und unpersönliche Anreden achtet, ist auf der sicheren Seite. Diese Logik greift nicht mehr. KI-gestützte Angriffswerkzeuge erzeugen heute Mails, die sprachlich nicht von legitimer Unternehmenskommunikation zu unterscheiden sind – und das in großem Maßstab.

Für Steuer- und Anwaltskanzleien ist das Risiko besonders greifbar. Ihre Mitarbeiter kommunizieren täglich mit Mandanten, Behörden, dem DATEV-Rechenzentrum und Gerichten – per E-Mail, oft unter Zeitdruck. Eine Phishing-Mail, die wie eine dringende Nachricht vom Finanzamt oder vom beA-System wirkt, trifft auf fruchtbaren Boden. Das Berufsgeheimnis nach § 203 StGB schützt Mandantendaten rechtlich – aber nur dann, wenn die technischen und organisatorischen Schutzmaßnahmen stimmen.

Dieser Beitrag zeigt, was wir in der täglichen Arbeit mit Kanzleien immer wieder beobachten: welche Muster bei KI-Phishing tatsächlich noch erkennbar sind, wo die häufigsten Fehler passieren und was Sie konkret tun können – ohne umfangreiche IT-Kenntnisse und ohne Ihren Kanzleibetrieb zu unterbrechen.

Was wir beim Thema KI-Phishing in Kanzleien immer wieder antreffen

Wenn wir mit Kanzleiinhabern über das Thema sprechen, erleben wir fast immer dieselbe Ausgangslage: Das Bewusstsein für Phishing ist vorhanden, die Einschätzung der aktuellen Bedrohung aber veraltet. Die meisten Inhaber gehen davon aus, dass ihre Mitarbeiter eine Phishing-Mail erkennen – weil sie „ja auf Fehler achten“. Genau diese Annahme ist heute das eigentliche Risiko.

Der KnowBe4 Phishing Threat Trends Report 2025 belegt, dass über 82 % der analysierten KI-generierten Phishing-Mails fehlerfrei formuliert sind – ohne Grammatikfehler, ohne Tippfehler, ohne die holprigen Formulierungen, die früher das Erkennungsmerkmal schlechthin waren. Gleichzeitig zeigt der Phishing Impact Report 2024, dass Phishing bei über 84 % aller erfolgreichen Cyberangriffe der Einstiegspunkt war. Die Kombination aus steigender Angriffszahl und sinkender Erkennbarkeit macht KI Phishing Mail erkennen Merkmale zu einer der wichtigsten Fähigkeiten, die Ihre Kanzlei heute braucht.

Was wir darüber hinaus beobachten: Kanzleien, die bereits ein grundlegendes Sicherheitsbewusstsein entwickelt haben, sind häufig besser aufgestellt als größere Unternehmen mit komplexen IT-Strukturen. Der Grund ist einfach – überschaubare Teamgrößen erlauben direkte Kommunikation, und eine einzige Verhaltensregel („Ruf kurz an, bevor du klickst“) kann tatsächlich durchgehalten werden.

Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH arbeiten wir nach einem Sicherheitsstandard, der nicht nur Technik, sondern auch Prozesse und Mitarbeiterverhalten einschließt. Was wir dabei gelernt haben: Technische Maßnahmen allein reichen nicht. Entscheidend ist, welche Erkennungslogik Ihre Mitarbeiter im Kopf haben – und ob diese Logik noch zur heutigen Bedrohungslage passt.

Fragen Sie sich ehrlich: Worauf achten Ihre Mitarbeiter bei verdächtigen Mails – und ist das noch zeitgemäß?
Prüfen Sie, ob Ihr Team weiß, dass sprachliche Qualität kein Sicherheitsmerkmal mehr ist.
Klären Sie, welche E-Mail-Absender in Ihrer Kanzlei als „vertrauenswürdig“ gelten – und ob diese Liste regelmäßig hinterfragt wird.
Identifizieren Sie die zwei oder drei Mitarbeiter, die am häufigsten externe Mails empfangen – sie sind Ihre erste Verteidigungslinie.

Typische Ausgangssituation: Wie Kanzleien in die Phishing-Falle geraten

Der häufigste Ausgangspunkt ist kein technisches Versagen – es ist ein organisatorisches. In vielen Steuer- und Anwaltskanzleien existiert keine klare Regel dafür, was passiert, wenn eine ungewöhnliche Anfrage per E-Mail eintrifft. Und genau das nutzen Angreifer gezielt aus.

KI-generierte Phishing-Mails zielen heute nicht mehr auf zufällige Klicks. Sie sind kontextuell stimmig: Eine Mail, die vorgibt, vom DATEV-Rechenzentrum zu stammen und auf eine angebliche Unterbrechung der Unternehmen-online-Anbindung hinweist, trifft bei einer Steuerkanzlei mitten in der Jahresabschlusssaison auf maximale Aufmerksamkeit – und maximalen Zeitdruck. Wer an diesem Tag fünf Mandate gleichzeitig betreut, prüft keine Absenderadressen mehr mit der nötigen Sorgfalt.

Erschwerend kommt hinzu, was Kognitionspsychologen seit Jahrzehnten wissen: Unser Gehirn entscheidet unter Zeitdruck nicht rational, sondern nach Heuristiken. Wirkt eine Anfrage glaubwürdig (Autoritätsheuristik) und drängt sie auf eine schnelle Reaktion (Zeitdruck), ist die kritische Prüfung bereits überwältigt, bevor sie beginnt. KI-Phishing ist darauf ausgelegt, genau diese beiden Hebel zu aktivieren – mit sprachlich perfekten Mails, die Dringlichkeit vermitteln und Autorität imitieren.

Die IT-Sicherheitslösungen der TTG GmbH setzen deshalb auf eine Kombination aus technischer Absicherung und einfachen organisatorischen Regeln, die im Kanzleialltag funktionieren – nicht nur auf dem Papier. Mehr dazu, welche konkreten Maßnahmen das sind, lesen Sie in den folgenden Abschnitten.

Definieren Sie eine verbindliche Rückrufpflicht: Jede E-Mail-Anfrage zu Zahlungen, Zugangsdaten oder vertraulichen Mandantendaten wird grundsätzlich telefonisch über eine bekannte Nummer verifiziert – bevor gehandelt wird.
Besprechen Sie im Team: Welche Absender gelten als vertrauenswürdig, und wie wird das geprüft?
Sensibilisieren Sie besonders für Mails, die Dringlichkeit erzeugen („sofort handeln“, „Frist läuft ab“) – das ist das häufigste psychologische Mittel bei KI-Phishing.
Führen Sie eine einfache Meldeprozedur ein: Wer eine verdächtige Mail erhält, leitet sie an eine feste interne Adresse weiter – ohne sie zu löschen.

Das BSI – IT-Grundschutz für Unternehmen hält dazu praxisnahe Empfehlungen bereit, die auch ohne IT-Abteilung umsetzbar sind.

Der häufigste Fehler: Auf Sprache vertrauen, statt auf Verhalten achten

Fehler Nummer eins ist nicht Leichtgläubigkeit – es ist eine veraltete Erkennungslogik. Wer Phishing-Mails noch immer an schlechter Grammatik, falschen Umlauten oder unpersönlicher Anrede festmacht, hat die Entwicklung der letzten Monate verpasst. Die Frage, wie man KI Phishing Mail erkennen und ihre Merkmale zuordnen kann, lautet heute nicht mehr: „Ist die Mail gut formuliert?“ Sondern: „Verhält sich diese Anfrage ungewöhnlich?“

Fehler Nummer zwei: E-Mail-Authentifizierung fehlt – und niemand merkt es

Es gibt einen technischen Schutz, der verhindert, dass Angreifer E-Mails im Namen Ihrer eigenen Kanzlei versenden – und der in erschreckend vielen Fällen nicht eingerichtet ist. Die Rede ist von SPF, DKIM und DMARC: drei E-Mail-Authentifizierungsverfahren, die zusammen sicherstellen, dass eine Mail, die von Ihrer Domain stammt, auch wirklich von Ihnen kommt.

Was das konkret bedeutet: Ohne diese Einstellungen kann ein Angreifer eine E-Mail versenden, die für den Empfänger aussieht, als käme sie von Ihrer Kanzlei-Domain – etwa von „partner@musterkanzlei.de“. Ein Mandant, der eine solche Mail erhält, hat kaum eine Chance, die Fälschung zu erkennen. Für KI Phishing Mail erkennen Merkmale gilt damit: Was Sie nach außen schützt, schützt auch Ihre Mandanten vor Ihrem Namen.

Das Einrichten dieser drei Protokolle ist keine Frage des Budgets – ein strukturiertes Light-Audit inklusive Konfiguration kostet in der Regel zwischen 1.500 und 4.000 Euro netto, einmalig. Im Vergleich zu einem einzigen erfolgreichen Phishing-Angriff – mit potenziellem Datenverlust, Haftungsrisiken nach § 203 StGB und Reputationsschaden bei Mandanten – ist das eine überschaubare Investition.

Ein zweiter technischer Baustein, der kaum Aufwand erfordert: der Externer-Absender-Banner. Dabei werden alle Mails, die von außerhalb Ihrer Kanzlei-Domain kommen, automatisch mit einem sichtbaren Hinweis versehen („Diese Mail stammt von einem externen Absender“). Das kostet in Microsoft-365-Umgebungen kaum mehr als eine kurze Konfiguration – und reduziert das Risiko erheblich, dass intern wirkende Phishing-Mails unerkannt bleiben.

Klären Sie mit Ihrem IT-Dienstleister, ob SPF, DKIM und DMARC für Ihre Kanzlei-Domain korrekt konfiguriert sind – und ob regelmäßige Überprüfungen stattfinden.
Lassen Sie einen DMARC-Report einrichten: Er zeigt Ihnen, ob jemand Ihre Domain bereits für Phishing-Versuche missbraucht.
Aktivieren Sie den Externer-Absender-Banner in Ihrem E-Mail-System – das geht in Microsoft 365 ohne großen Aufwand.
Fragen Sie nach einem schriftlichen Nachweis, dass diese Protokolle aktiv und korrekt konfiguriert sind – nicht nur „eingerichtet“.

Wenn Sie Ihren IT-Dienstleister mit solchen Aufgaben beauftragen, achten Sie auf eine berufsrechtlich saubere Verschwiegenheitsvereinbarung. Ein einfacher Auftragsverarbeitungsvertrag (AVV) nach DSGVO reicht für Kanzleien nicht aus – das Berufsgeheimnis nach § 203 StGB stellt weitergehende Anforderungen an die vertragliche Absicherung. Die IT-Dienstleistungen der TTG GmbH berücksichtigen diese Besonderheiten bei der Vertragsgestaltung.

KI Phishing Mail erkennen Merkmale: Was sich ändert, wenn Kanzleien diese Schritte umsetzen

Typisch ist folgende Konstellation, die wir in unserer Arbeit mit Kanzleien regelmäßig sehen: Eine mittelgroße Steuerkanzlei in Leinefelde-Worbis betreut mehrere Hundert Mandate, arbeitet täglich mit DATEV Unternehmen online und nutzt SmartLogin für die sichere Anmeldung am Rechenzentrum. Die Mitarbeiter haben grundlegendes Bewusstsein für Phishing – aber keine dokumentierte Reaktionsprozedur und keine technische E-Mail-Authentifizierung. Als wir gemeinsam eine simulierte Phishing-Mail (mit KI erzeugt, angeblich vom DATEV-Support) an das Team sendeten, klickte rund ein Drittel der Mitarbeiter auf den enthaltenen Link – trotz des vorhandenen Grundbewusstseins.

Nach der Einführung von drei Maßnahmen – Externer-Absender-Banner, quartalsweiser Kurzschulung (je 90 Minuten) und einer schriftlichen Rückrufpflicht für ungewöhnliche Anfragen – sank die Klickrate bei der nächsten Simulation deutlich. Keine Erfolgszahl, die wir garantieren – aber eine Verschiebung, die sich in der Praxis regelmäßig zeigt.

Was dabei entscheidend ist: KI Phishing Mail erkennen Merkmale lässt sich trainieren – aber nur, wenn das Training die aktuellen Angriffsmuster abbildet. Quartalsweise Auffrischungen sind deshalb sinnvoller als eine einmalige Jahresschulung. KI-gestützte Angriffe entwickeln sich schnell weiter; das BSI im aktuellen Lagebericht Cybersicherheit bestätigt diesen Trend und empfiehlt regelmäßige Mitarbeitersensibilisierung als eine der wirksamsten Basismaßnahmen.

Besonders in der Jahresabschlusssaison – wenn Fristenkalender und Mandantenfristen jeden Spielraum aufbrauchen – ist der Schutz durch klare Verhaltensregeln besonders wertvoll. Technische Systeme laufen im Hintergrund weiter; geschulte Mitarbeiter helfen auch dann, wenn Wartungsfenster nicht möglich sind. Die TTG GmbH begleitet Kanzleien dabei mit über 25 Jahren Erfahrung im IT-Betrieb für berufsrechtlich sensible Umgebungen.

Über TTG GmbH – Ihr regionaler IT-Partner erfahren Sie mehr darüber, wie wir Kanzleien und andere Unternehmen mit besonderen Datenschutzanforderungen betreuen.

Planen Sie quartalsweise Kurzschulungen von 60–90 Minuten – das ist die effektivste Investition gegen KI-Phishing.
Führen Sie eine dokumentierte Meldeprozedur für Phishing-Verdacht ein – Mitarbeiter müssen wissen, wohin sie sich wenden.
Testen Sie regelmäßig: Simulierte Phishing-Mails (mit Einverständnis und klarer Kommunikation) zeigen, wo Schulungsbedarf besteht.
Stellen Sie sicher, dass Ihr IT-Dienstleister die Verhaltensregeln gemeinsam mit Ihnen erarbeitet – nicht nur die Technik konfiguriert.

Was wir Ihrer Kanzlei konkret empfehlen – ohne Umwege

Wenn Sie heute einen einzigen Schritt umsetzen wollen, dann diesen: Führen Sie die Rückrufpflicht ein. Jede E-Mail-Anfrage zu Überweisungen, Zugangsdaten, Mandantenakten oder vertraulichen Informationen wird grundsätzlich telefonisch über eine bekannte, nicht in der Mail enthaltene Nummer verifiziert. Diese Regel kostet nichts, braucht keine IT und verhindert die häufigsten Angriffe – weil KI Phishing Mail erkennen Merkmale am sichersten durch eine menschliche Rückfrage enttarnt wird.

Darüber hinaus empfehlen wir drei technische Maßnahmen, die wir als Grundausstattung für jede Kanzlei betrachten: E-Mail-Authentifizierung per SPF, DKIM und DMARC, den Externer-Absender-Banner und eine saubere Vertragsgrundlage mit Ihrem IT-Dienstleister – nicht nur ein AVV, sondern eine Verschwiegenheitsvereinbarung, die den Anforderungen des § 203 StGB gerecht wird.

Aktuell sollten Sie außerdem sicherstellen, dass Ihre eingesetzten Softwaresysteme auf dem neuesten Stand sind. Heise Security berichtete kürzlich über aktiv ausgenutzte Zero-Day-Lücken in verbreiteter Infrastruktursoftware – ein Hinweis, dass veraltete Systeme im Kanzleiumfeld ein unmittelbares Angriffsziel darstellen. Updates sind kein IT-Luxus, sondern Bestandteil Ihrer Sorgfaltspflicht.

Was viele Kanzleiinhaber unterschätzen: Die GoBD und die Aufbewahrungsfristen der Abgabenordnung verlangen nicht nur, dass Daten vorhanden sind – sie verlangen, dass diese Daten integer, also unverändert und nachweislich geschützt, aufbewahrt werden. Ein erfolgreicher Phishing-Angriff, der Zugriff auf DATEV-Buchungsdaten ermöglicht, gefährdet diese Integrität direkt. Das ist kein abstraktes Risiko, sondern ein konkretes Haftungsproblem.

Führen Sie die telefonische Rückrufpflicht als schriftliche Kanzleianweisung ein – heute noch.
Beauftragen Sie ein E-Mail-Authentifizierungs-Audit (SPF, DKIM, DMARC) bei Ihrem IT-Dienstleister.
Prüfen Sie, ob Ihr IT-Dienstleister eine kanzleigerechte Verschwiegenheitsvereinbarung vorlegen kann.
Stellen Sie sicher, dass alle eingesetzten Softwaresysteme – einschließlich RA-MICRO, DATEV und beA-Clients – aktuell gepatcht sind.

Jetzt unverbindlich Kontakt aufnehmen – wir besprechen mit Ihnen, welche dieser Maßnahmen in Ihrer Kanzlei bereits umgesetzt sind und wo der sinnvollste nächste Schritt liegt.

Ihre Checkliste: So starten Sie jetzt

Führen Sie eine schriftliche Rückrufpflicht ein: Jede ungewöhnliche Anfrage per E-Mail zu Zahlungen, Zugangsdaten oder Mandantendaten wird telefonisch über eine bekannte Nummer bestätigt – bevor gehandelt wird.
Schulen Sie Ihr Team auf Verhaltensmerkmale statt Sprachqualität: Zeitdruck, Abweichung vom normalen Ablauf und Anfragen zu Zugangsdaten sind die heutigen Warnsignale bei KI-generierten Phishing-Mails.
Aktivieren Sie den Externer-Absender-Banner in Ihrem E-Mail-System, damit Mails von außerhalb der eigenen Domain automatisch gekennzeichnet werden.
Beauftragen Sie Ihren IT-Dienstleister mit einem Audit Ihrer E-Mail-Authentifizierung (SPF, DKIM, DMARC) – und lassen Sie sich das Ergebnis schriftlich bestätigen.
Üben Sie den Hover-Check mit Ihrem Team: Vor jedem Klick auf einen Link die tatsächliche Zieladresse prüfen – abweichende URL bedeutet: nicht klicken, intern melden.
Planen Sie quartalsweise Kurzschulungen von 60–90 Minuten ein – KI-Phishing entwickelt sich schnell weiter, das Wissen Ihres Teams muss mithalten.
Prüfen Sie, ob Ihr IT-Dienstleister eine Verschwiegenheitsvereinbarung vorlegen kann, die über einen einfachen Auftragsverarbeitungsvertrag hinausgeht und den Anforderungen des § 203 StGB entspricht.
Stellen Sie sicher, dass alle Softwaresysteme Ihrer Kanzlei – DATEV, RA-MICRO, beA-Client – regelmäßig aktualisiert werden und keine offenen Sicherheitslücken bestehen.

Häufig gestellte Fragen

Wie erkenne ich eine KI-generierte Phishing-Mail, wenn sie keine Fehler mehr enthält?

Sprachliche Qualität ist kein verlässliches Merkmal mehr. Achten Sie stattdessen auf Verhaltensmerkmale: Wird ungewöhnlicher Zeitdruck erzeugt? Weicht die Anfrage vom normalen Ablauf ab – zum Beispiel eine Bitte um Zugangsdaten, die normalerweise nie per Mail kommt? Ist die Absenderadresse bei genauerem Hinsehen minimal verändert? Diese Muster bleiben erkennbar, auch wenn die Sprache perfekt ist. Der Hover-Check vor jedem Link ist eine einfache, sofort einsetzbare Methode.

Meine Mitarbeiter nutzen täglich DATEV – wie kann ich verhindern, dass eine gefälschte DATEV-Mail geglaubt wird?

Erarbeiten Sie gemeinsam eine kurze Liste: Wie kommuniziert DATEV wirklich mit Ihrer Kanzlei – und was fordert das DATEV-Rechenzentrum niemals per Mail an? SmartLogin-Bestätigungen, Zugangsdaten und Passwortänderungen werden von DATEV nicht über E-Mail-Links initiiert. Diese Klarheit ist Ihr bester Schutz. Ergänzend hilft die E-Mail-Authentifizierung (SPF, DKIM, DMARC), die verhindert, dass Angreifer Ihre eigene Domain imitieren.

Was kostet mich der Schutz gegen KI-Phishing tatsächlich?

Die wirksamsten Maßnahmen sind keine Frage des Budgets. Die Rückrufpflicht kostet nichts. Der Externer-Absender-Banner in Microsoft 365 erfordert kaum Konfigurationsaufwand. Ein E-Mail-Authentifizierungs-Audit liegt einmalig bei ca. 1.500–4.000 Euro netto. Quartalsschulungen von 90 Minuten sind für kleine Kanzleiteams kostengünstig umsetzbar. Im Vergleich zu einem erfolgreichen Angriff – mit Datenverlust, Haftungsrisiken und Mandantenabwanderung – sind das überschaubare Beträge.

Reicht ein Auftragsverarbeitungsvertrag mit unserem IT-Dienstleister aus?

Für Kanzleien in der Regel nicht. Ein AVV nach DSGVO regelt die datenschutzrechtliche Seite – aber das anwaltliche und steuerrechtliche Berufsgeheimnis nach § 203 StGB stellt weitergehende Anforderungen. Ihr IT-Dienstleister braucht eine ausdrückliche Verschwiegenheitsvereinbarung, die diesen berufsrechtlichen Kontext berücksichtigt. Prüfen Sie, ob Ihre aktuelle Vertragsgrundlage das abdeckt – und fordern Sie bei Bedarf eine Ergänzung an.

Wie dringend ist das Thema – oder kann ich das noch ein halbes Jahr warten?

Der Phishing Impact Report 2024 verzeichnete über 37 Millionen Phishing-Versuche allein in Deutschland – ein Anstieg von rund 16 % gegenüber dem Vorjahr. Gleichzeitig setzen laut Bitkom Wirtschaftsschutz 2025 bereits die Hälfte aller Angreifer KI ein. Die TTG GmbH empfiehlt, zumindest die Rückrufpflicht und den Externer-Absender-Banner sofort einzuführen – das dauert keinen Tag und schließt die größten Lücken, ohne den Kanzleibetrieb zu unterbrechen.

Lesetipps – weitere Ratgeber der TTG GmbH

Über den Autor
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.

Kontakt aufnehmen · Über TTG GmbH

Wissen Sie heute mit Sicherheit, dass keine einzige Phishing-Mail Ihre DATEV-Anbindung oder Ihre Mandantendaten gefährden kann – oder verlassen Sie sich noch auf eine Erkennungslogik, die KI längst ausgehebelt hat?

Ihre IT-Sicherheit jetzt stärken

Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.