Der Aufbau: Die Studie vergleicht vier Ansätze unter demselben Bedrohungsmodell – der Angreifer steht außerhalb der Einrichtung, die Absenderdomänen wirken glaubwürdig, gehören aber nicht zur Institution. Variiert wird nur zweierlei: Zielgenauigkeit (generisch vs. Spear) und Automatisierungsgrad (manuell vs. Sprachmodell). Tabelle 2 des Papers nennt für die vier Gruppen: Spear (LLM) 3.310 versendet, 3.177 zugestellt (96,0 Prozent), 330 Klicks = 10,0 Prozent; Spear (manuell) 100 versendet, 99 zugestellt (99,0 Prozent), 24 Klicks = 24,2 Prozent; Generisch (LLM) 2.165 versendet, 1.735 zugestellt (80,1 Prozent), 65 Klicks = 3,7 Prozent; Generisch (manuell) 2.166 versendet, 1.918 zugestellt (88,6 Prozent), 79 Klicks = 4,1 Prozent.
Die Kernaussage der Autoren im Original: „We compare LLM-based spear phishing against both generic LLM-generated and human-authored phishing emails, showing that personalization yields 2.74× higher click rates than traditional methods.“ Und zur Gegenrichtung: „Human-crafted spear phishing achieves the highest click rate overall, at 24.2%, corresponding to a 2.4× higher success rate than the LLM-based variant (10.0%).“ Bemerkenswert ist auch, dass es zwischen den beiden generischen Varianten praktisch keinen Unterschied gibt – ob ein Mensch oder ein Modell die Massenmail schreibt, ändert an der Klickrate nichts. Die Autoren lesen das als Zeichen wachsender Routine im Erkennen von Vorlagen-Phishing.
Die Kette, die das ermöglicht, ist unspektakulär und genau deshalb der Punkt. Aus der Ziel-E-Mail-Adresse wird per Websuche Material gesammelt, daraus ein Profil gebaut, dazu eine plausible Absenderidentität gewählt und schließlich die Mail geschrieben. Tabelle 4 nennt die eingesetzten Modelle je Schritt: Datenextraktion llama3.2:3b (15:16:38 Laufzeit), Zielprofilierung deepseek-r1:14b (14:21:56), Absenderwahl phi4:14b (09:42:40), Mailerzeugung phi4:14b (11:00:19) – Gesamtlaufzeit 50:21:34. Betrieben wurden sie über Ollama; in Vorversuchen wurden zusätzlich mistral:7b, llama3.2:1b und llama3.2:3b geprüft.
Die Kostenrechnung steht ausdrücklich im Paper: 20 Dollar für die Google-Custom-Search-API zur Beschleunigung der Recherche, dazu die Rechenzeit – „Assuming a rental cost of $2 per hour, processing for 50.5 hours results in an estimated expense of roughly $100.“ Zusammen: „generating 4010 personalized emails thus costs approximately $120, corresponding to less than $0.03 per email, including search, inference, and generation.“ Für den Zeitvergleich nennen die Autoren rund 45 Sekunden je Mail auf einer NVIDIA A40 gegen knapp zwölf Stunden für 100 handgeschriebene Mails – „nearly nine times faster than the human baseline“ – und weisen darauf hin, dass die Kette vollständig parallelisierbar ist.
Der Abwehrbefund ist der härteste Satz der Arbeit: „In our study, the university’s commercial spam filter and unified threat management system flagged only 1 out of 3949 emails when exposed to our attacks.“ Die Begründung der Autoren: Weil die Mails – ob von Hand oder maschinell verfasst – wie normale menschliche Kommunikation aussehen, trägt eine rein sprachliche Erkennung nicht weit.
Zur Ethik und zu den Grenzen. Das Experiment lief an der TU Braunschweig als Partneruniversität, im Rahmen der regulären Phishing-Awareness-Schulung; Verwaltung und Personalrat haben es genehmigt, einschließlich der Pflichtteilnahme („The council approved the mandatory nature of the awareness training, including the fact that participants could not withdraw from it as part of the university’s security measures“). Alle Teilnehmenden wurden vorab per Briefing informiert, dass eine Kampagne folgt – ohne Zeitpunkt – und im Anschluss aufgeklärt. Genau das ist auch die wichtigste Einschränkung: Wer weiß, dass eine Phishing-Übung ansteht, klickt seltener; die gemessenen Raten dürften die reale Wirksamkeit eher unter- als überschätzen. Code und Daten geben die Autoren bewusst nicht frei – die Daten aus Datenschutzgründen, das Werkzeug, weil es „could be directly misused by cybercriminals and malicious actors“.
⚠️ Was wir nicht behaupten: Die Studie misst eine Universitätsbelegschaft, kein Unternehmen und keine Privatpersonen; die Übertragbarkeit auf andere Organisationsformen ist nicht belegt. Die Zahl der Teilnehmenden wird im Abstract mit „7700“ gerundet und in der Vergleichstabelle der verwandten Arbeiten mit 7.741 angegeben – wir führen beide. Eine Angabe dazu, welcher Hersteller hinter dem geprüften Spamfilter steht, enthält das Paper nicht. Die Seite des USENIX Security Symposiums ist für unseren Abruf gesperrt (HTTP 403); wir stützen uns auf die Autorenfassung des angenommenen Papers, deren Text wir lokal aus der PDF extrahiert und wörtlich gegengelesen haben.