VBSpam Q3 2026: Warum E-Mail-Gateways allein gegen modernes Phishing nicht reichen

Phishing-Mails brauchen heute weder einen schädlichen Anhang noch eine offensichtlich dubiose Absenderadresse, um gefährlich zu sein. Der VBSpam-Vergleichstest von Virus Bulletin für das dritte Quartal 2026 zeigt Kampagnen, die glaubwürdige Versand-Infrastruktur und harmlos wirkende HTML-Nachrichten nutzten. Der eigentliche Betrug begann erst später – in Weiterleitungsketten und Code, der im Browser des Opfers ausgeführt wird. Führende Unternehmenslösungen schnitten im Test zwar sehr stark ab. Die Ergebnisse unterstreichen aber auch: Ein E-Mail-Gateway kann nicht die einzige Schutzschicht gegen Phishing sein. 2021

Die E-Mail ist nur noch die erste Etappe

Der öffentliche Test lief 16 Tage und prüfte 11 öffentlich getestete E-Mail-Sicherheitsprodukte mit 103.969 Nachrichten, darunter 103.380 Spam-Mails. Den Berichten zufolge lagen die Phishing-Erkennungsraten der führenden Enterprise-Gateways nahe bei 100 Prozent. Net at Work NoSpamProxy erreichte demnach den höchsten Gesamtscore von 99,995, erkannte 100 Prozent der Malware und 99,990 Prozent der Phishing-Mails – bei keinen Fehlalarmen. 2021

Das bedeutet nicht, dass E-Mail-Filter wirkungslos geworden wären. Es zeigt vielmehr, wie sich Angreifer anpassen: Statt den eindeutig schädlichen Inhalt direkt in die Nachricht zu packen, verschicken sie anhanglose E-Mails über plausibel wirkende Versandwege. Die verlinkte Adresse kann ihr Verhalten dann erst nach dem Klick ändern.

VBSpam ist ein Vergleichsprogramm für geschäftlich eingesetzte E-Mail-Sicherheitslösungen. Es bewertet Schutz gegen Spam, Phishing und Malware und berücksichtigt zugleich Fehlklassifizierungen legitimer E-Mails. Die Tests arbeiten mit aktuellen, realen Bedrohungen statt mit einem statischen Archiv alter Proben. 61213

Drei Kampagnen, die den Wandel zeigen

Deutsche Mahnung über Amazon SES

Eine deutschsprachige Kampagne mit dem Betreff- beziehungsweise Inhaltsthema „Mahnschreiben“ nutzte Berichten zufolge Amazon SES sowie die DKIM-ausgerichtete Domain moolaah[.]com. Die Nachricht enthielt keinen Anhang. Der Link führte zunächst auf eine Seite, die automatisierte Prüfungen weniger verdächtig erscheinen sollte: mit Köder-Markup, verstecktem Text, einem unsichtbaren Zero-Size-Iframe und verschleiertem JavaScript.

Die Seite erfasste offenbar Browser- und Zeitzonenmerkmale und leitete Besucher anschließend per versteckter POST-Anfrage zu opensea[.]io weiter. Die Bewertung lautete auf eine getarnte Betrugsroute im Umfeld von Kryptowährungen oder NFTs – nicht auf eine bestätigte Malware-Auslieferung. Entscheidend ist dieser Unterschied: Die Betrugslogik kann bewusst zurückgehalten werden, bis ein Besucher wie ein echtes und passend profiliertes Ziel wirkt. 20

Niederländischer Abo-Betrug im Namen von McAfee und TotalAV

Eine niederländischsprachige HTML-Mail gab sich als Nachricht von McAfee und TotalAV aus. Sie behauptete, auf dem Gerät seien „631 gefährliche Viren“ gefunden worden, drohte mit Kontoschließung und lockte mit 90 Prozent Rabatt auf eine Verlängerung.

Statt auf eine feste Phishing-Seite zu setzen, nutzte die Kampagne getrennte Tracking-, Abmelde- und Call-to-Action-Pfade über Weiterleitungs-Infrastruktur. Solche Pfade können ihr Ziel ändern, ablaufen oder je nach Zeitpunkt und Standort andere Inhalte liefern. Eine einmalige URL-Prüfung am Gateway ist deshalb weniger verlässlich als eine Analyse genau dann, wenn jemand klickt. Als Ziel wurden Verlängerungs- oder Affiliate-Betrug sowie möglicher Diebstahl von Zahlungsdaten eingeschätzt – nicht ein bestätigter Malware-Download. 20

Rumänischer PSD2-Vorwand im Namen von BCR

Eine weitere Kampagne imitierte BCR S.A. und erzeugte mit einem angeblichen PSD2-Zustimmungsverfahren Zeitdruck. PSD2 steht für die zweite EU-Zahlungsdiensterichtlinie und ist damit ein plausibler Vorwand für Bankkunden. Laut Bericht kodierte die Kampagne ihr Ziel mit einer IPv6-gemappten Adressdarstellung. Diese Verschleierungstechnik kann einfache URL-Parser oder Reputationsprüfungen umgehen.

Die Kampagne wurde als wahrscheinlicher Versuch zum Diebstahl von Zugangsdaten bewertet. Die vorliegenden Berichte belegen jedoch weder eine bestätigte finale Zielseite noch eine weitergehende Attribution. 20

Was die Ergebnisse aussagen – und was nicht

Die Berichterstattung zu Q3 weist auf einen deutlichen Abstand zwischen den besten Enterprise-Gateways und der öffentlich getesteten Open-Source-Rspamd-Installation hin. Ein Bericht beziffert deren Phishing-Erkennungsrate auf 62,550 Prozent – deutlich unter den führenden Unternehmensprodukten. 21

Diese Zahl lässt sich nicht pauschal auf jede Rspamd-Installation oder auf Open-Source-Werkzeuge insgesamt übertragen. Konfiguration, Threat-Feeds, Feinabstimmung und zusätzliche Schutzschichten beeinflussen die Leistung im praktischen Betrieb erheblich. Sie verdeutlicht aber einen operativen Punkt: Schnell wechselnde Weiterleitungs-Infrastruktur und browserbewusste Phishing-Abläufe sind für eine Standardkonfiguration oder eine eng begrenzte E-Mail-Schutzschicht schwer einzuordnen.

Zum Vergleich: Im separaten VBSpam-Review für Q2 2026 lag Rspamds Phishing-Erkennungsrate bei 54,810 Prozent; auch dort blieb die Phishing-Erkennung hinter den führenden Produkten zurück. Die Tests stammen aus unterschiedlichen Zeiträumen, daher sind die Prozentwerte nicht als einheitlicher Benchmark zu lesen. 5

Was Verteidiger zusätzlich zum Mail-Gateway brauchen

Die wichtigste praktische Lehre aus dem Test: Die Analyse muss von der Zustellung bis zum Klickzeitpunkt reichen.

• Authentifizierung als Identitätssignal verstehen, nicht als Sicherheitsgarantie. SPF- oder DKIM-Ausrichtung und ein seriöser Versanddienst können zeigen, wie eine Mail versendet wurde. Sie beweisen nicht, dass ihr Angebot oder ihr Link legitim ist.
• Weiterleitungsketten vollständig verfolgen. Jede Station sollte geprüft werden. URLs sollten beim Klick erneut bewertet werden, da Ziel und Reputation sich nach der Zustellung ändern können.
• Browserfähige Sandboxen einsetzen. Eine wirksame Analyse muss JavaScript ausführen sowie versteckte Formulare, Iframe-Aktivität, Fingerprinting und bedingte Redirects erkennen können – nicht nur den Mailtext oder die sichtbare URL scannen.
• Ungewöhnliche URL-Formate normalisieren. Sicherheitskontrollen sollten kodierte Adressen und IPv6-gemappte Darstellungen sicher auflösen, bevor Reputations- und Sperrregeln greifen.
• Änderungen an der Infrastruktur beobachten. Dazu zählen DNS-Wechsel, neue Domains, HTTP-Weiterleitungen und die Entwicklung der Zielreputation.
• Folgen eines erfolgreichen Klicks begrenzen. Phishingresistente Anmeldeverfahren und Endpoint-Schutz können eine Kontoübernahme erschweren, selbst wenn eine Seite zum Abgreifen von Zugangsdaten einen Empfänger erreicht.

Auch Nutzerinnen und Nutzer bleiben eine wichtige letzte Schutzinstanz. Zahlungsaufforderungen, Bankzustimmungen und Warnungen vor auslaufenden Abonnements sollten über die bekannte Website, die App oder einen verifizierten Supportkanal geprüft werden – nicht über den Link in der E-Mail.

Fazit

VBSpam Q3 2026 belegt nicht, dass klassische E-Mail-Sicherheit flächendeckend versagt hätte. Spitzenprodukte erzielten weiterhin außergewöhnlich hohe Testergebnisse. 2021 Die Untersuchung zeigt etwas Spezifischeres: Phishing-Akteure verlagern ihre wirksamste Täuschung in personalisierte, browsergestützte Schritte, die ein klassisches Gateway bei der Zustellung möglicherweise nicht vollständig beobachten kann.

Die dauerhafte Antwort ist ein mehrschichtiger Schutz: leistungsfähige E-Mail-Filter, ergänzt um Redirect-Analyse, browserbewusste Prüfung und Kontoschutz, der gestohlene Passwörter weniger wertvoll macht.