King Phisher im Jahr 2026 - gepflegter Fork oder riskantes Legacy-Tool?

King Phisher ist nach wie vor ein bekannter Name in der Open-Source-Phishing-Simulation, aber für die meisten Awareness-Programme im Jahr 2026 ist es keine gute Standardwahl. Auf der ursprünglichen Projektseite heißt es: "King Phisher is no longer being maintained." Ein Community-Fork unter CrimsonForge-io/king-phisher zeigt aktuelle Aktivitäten und mehr als 2.500 GitHub-Sterne, aber das macht aus dem Tool noch keine moderne, governance-orientierte Phishing-Awareness-Plattform.

Die praktische Frage lautet nicht: "Kann King Phisher noch eine Kampagne ausführen?" Die bessere Frage ist, ob Ihr Team ein Toolkit für Phishing-Kampagnen betreiben, seine Abhängigkeiten pflegen, die Administrationsoberfläche absichern, Mitarbeiterdaten verwalten und die Reporting- und Policy-Ebene darum herum aufbauen sollte.

Für ein Labor, einen Red-Team-Einsatz oder einen kontrollierten Migrations-Check kann King Phisher noch nützlich sein. Für wiederkehrende Awareness-Schulungen für Mitarbeitende sollten die meisten Teams es als Legacy-Infrastruktur behandeln und stattdessen mit sichereren Phishing-Simulationsplattformen vergleichen.

Wenn Sie bereits ältere Open-Source-Tools vergleichen, bietet AutoPhishs Leitfaden zu Open-Source-Phishing-Simulationstools vs. Managed Solutions den breiteren Entscheidungsrahmen. Dieser Artikel grenzt diesen Rahmen speziell auf King Phisher ein.

Warum nach King Phisher immer noch gesucht wird

King Phisher hat Aufmerksamkeit gewonnen, weil es zu einer Zeit ein vollständiges Toolkit für Phishing-Kampagnen bot, als viele Teams Kampagnen noch manuell zusammenstückelten. Im öffentlichen README werden Funktionen wie parallele Kampagnen, E-Mail-Vorlagen, Landing-Page-Inhalte, Besucher-Tracking, SPF-Prüfungen, Geolokalisierung, Kalendereinladungen, Plugins und optionale Zwei-Faktor-Authentifizierungsabläufe beschrieben.

Das erklärt die Suchnachfrage. Ein Security-Team, das nach "king phisher" sucht, will möglicherweise eine von mehreren Fragen beantworten:

• Wird King Phisher noch gepflegt?
• Gibt es eine King-Phisher-Alternative mit weniger Einrichtungsaufwand?
• Ist King Phisher besser als GoPhish?
• Können wir ein Open-Source-Phishing-Simulationstool für Awareness-Schulungen nutzen?
• Was tun wir mit einer alten King-Phisher-Installation?

Das sind unterschiedliche Absichten. Eine gute Antwort muss den historischen Nutzen vom aktuellen operativen Fit trennen.

Wird King Phisher 2026 noch gewartet?

Die ehrliche Antwort ist gemischt.

Die ursprüngliche Kommunikation des King-Phisher-Projekts ist eindeutig: Das Projekt wird nicht mehr gepflegt. Das allein ist wichtig, weil viele Suchende den Namen weiterhin mit dem ursprünglichen securestate/king-phisher-Projekt, seiner Dokumentation, seinem Wiki und seinen historischen Releases verbinden.

Es gibt außerdem einen aktiven öffentlichen Fork, CrimsonForge-io/king-phisher, mit sichtbaren aktuellen Commits im Jahr 2026. Dieser Fork könnte einige Risiken durch Abkündigung verringern, und es lohnt sich, ihn vor einer endgültigen Entscheidung zu prüfen. Aber ein Fork beseitigt die grundlegenden Bewertungsfragen nicht:

• Wer pflegt den Fork und wie konstant?
• Werden Abhängigkeits-Updates systematisch oder nur gelegentlich eingespielt?
• Werden Sicherheitsprobleme schnell triagiert?
• Sind Installationspfade sicher und reproduzierbar?
• Verfügt das Projekt über die Datenschutz-, Reporting- und Governance-Kontrollen, die Ihre Organisation braucht?
• Kann Ihr Team den Stack unterstützen, ohne selbst zum de-facto Produktpfleger zu werden?

Für ein normales Awareness-Programm reicht "es gibt einen aktiven Fork" nicht aus. Das Tool muss sicher betreibbar, einfach zu steuern und für Mitarbeiterschulungen geeignet sein — nicht nur für die Ausführung von Kampagnen.

Das Legacy-Abhängigkeitsproblem

Ein deutliches Warnsignal ist das Abhängigkeitsprofil, das im aktiven Fork sichtbar wird. Dessen Pipfile pinnt viele alte Python-Pakete fest, darunter ältere Versionen sicherheitsrelevanter Bibliotheken sowie Web-/Anwendungsabhängigkeiten. Das bedeutet nicht automatisch, dass die Software in Ihrer Umgebung ausnutzbar ist, aber es bedeutet, dass Ihr Team Prüfaufwand übernimmt.

Das ist besonders wichtig, weil Phishing-Simulationsinfrastruktur sensible Bereiche berühren kann:

• Mitarbeiterkennungen und E-Mail-Adressen
• Daten zur Kampagnenteilnahme
• Interaktionen mit Landing Pages
• Tracking-Ereignisse
• Administratorkonten
• Sendedomains und Mail-Infrastruktur
• Berichte für Führungskräfte oder Management

Ein altes internes Wiki-Tool ist das eine. Ein Phishing-Kampagnensystem mit Mitarbeiterdaten und E-Mail-Zustellungsaufgaben ist etwas anderes.

Wenn Ihr Security-Team King Phisher wählt, sollte es von Tag eins an mit Abhängigkeitsprüfung, Isolation, Backups, Zugriffskontrolle, Logging, Patchen und Außerbetriebnahme planen. Das ist eine Menge Betriebsaufwand für ein Tool, das vor allem gewählt wurde, weil es bekannt oder kostenlos ist.

Kampagnenbetrieb ist nicht dasselbe wie Awareness-Schulung

King Phisher ist ein Toolkit für Kampagnen. Ein ausgereiftes Phishing-Awareness-Programm ist breiter angelegt als die bloße Ausführung von Kampagnen.

Moderne Programme brauchen klare Antworten auf Fragen wie:

• Wer genehmigt eine Simulation vor dem Start?
• Welche Köderkategorien sind verboten?
• Wie werden Betriebsrat, Datenschutz und HR berücksichtigt?
• Wie lange werden Ergebnisse auf Einzelpersonenebene aufbewahrt?
• Wer darf Daten auf Mitarbeiterebene sehen?
• Was passiert, nachdem jemand geklickt oder gemeldet hat?
• Wie werden wiederkehrende Muster behandelt, ohne öffentlich bloßzustellen?
• Kann die Führung Verbesserungstrends sehen, ohne Klickquoten zu überinterpretieren?
• Kann die Organisation Nachweise für Audits oder interne Governance exportieren?

Diese Kontrollen sind keine Nebenfunktionen. Sie machen ein Simulationsprogramm erst belastbar.

Das Risiko älterer Open-Source-Kampagnentools besteht darin, dass sie den Versandteil sichtbar machen und den Governance-Teil unsichtbar lassen. Ein motivierter Administrator kann zwar etwas Realistisches starten, aber der Organisation fehlen möglicherweise trotzdem die Leitplanken für Richtlinien, Freigaben, Aufbewahrung und Reporting.

King Phisher vs. GoPhish: der falsche Vergleich, wenn Governance zählt

Viele Teams vergleichen King Phisher mit GoPhish, weil beide bekannte Open-Source-Phishing-Tools sind. Dieser Vergleich ist hilfreich, wenn die einzige Frage die selbst gehostete Kampagnenausführung ist.

Wenn das Ziel jedoch wiederkehrende Awareness-Schulungen sind, ist der bessere Vergleich:

• selbst gehostete Angriffstools vs. verwalteter Awareness-Workflow
• rohe Kampagnenkontrolle vs. sichere Standardeinstellungen
• Infrastrukturverantwortung vs. Plattformverantwortung
• Klick-Tracking vs. Lernen und Reporting
• Lizenzkosten gleich null vs. tatsächliche Betriebskosten

GoPhish ist für viele Teams womöglich einfacher einzusteigen als King Phisher. King Phisher kann andere Flexibilität und einen anderen historischen Funktionsumfang bieten. Keines der beiden löst das Gesamtproblem eines Awareness-Programms von allein.

Wenn Sie Open-Source-Optionen vergleichen, beziehen Sie den operativen Aufwand mit ein. Rechnen Sie die Zeit zum Absichern des Stacks, Pflegen der Abhängigkeiten, Konfigurieren der Sendedomains, Prüfen der Vorlagen, Handhaben der Aufbewahrung, internen Erklären des Programms und Erstellen von Berichten ein, denen Führungskräfte vertrauen können.

Wann King Phisher noch sinnvoll sein kann

Es gibt legitime, eng umrissene Einsatzfälle:

• ein Labor, in dem keine echten Mitarbeiterdaten gespeichert werden
• ein Red-Team-Einsatz mit ausdrücklicher Autorisierung und erfahrenen Operatoren
• eine forensische Aufarbeitung alter Kampagnenabläufe
• ein Migrationsprojekt, bei dem die frühere Nutzung von King Phisher verstanden werden muss
• ein kurzer Proof of Concept, isoliert von Produktionssystemen

In diesen Fällen sollten Sie King Phisher als sicherheitskritische Infrastruktur behandeln. Halten Sie es isoliert, minimieren Sie gespeicherte Daten, vermeiden Sie das Erfassen echter Geheimnisse und definieren Sie vor Testbeginn einen Entsorgungsplan.

Für ein dauerhaftes Awareness-Programm ist das meist zu viel Aufwand für zu wenig Mehrwert.

Was eine King-Phisher-Alternative bieten sollte

Eine starke King-Phisher-Alternative sollte nicht einfach nur das gleiche Toolkit mit einer saubereren Oberfläche nachbilden. Sie sollte die Risiken reduzieren, die legacy Phishing-Infrastrukturen schwer betreibbar machen.

Achten Sie auf:

• Kampagnenfreigaben vor dem Start
• datenschutzbewusstes Reporting und Aufbewahrungssteuerung
• rollenbasierte Zugriffskontrolle
• klare, trainingsorientierte Landing-Erlebnisse
• sichere Vorlagenprüfung und Szenario-Leitplanken
• wiederkehrende Kampagnenplanung
• Reporting von Verhaltensmetriken, nicht nur Klicks
• Trends nach Kohorten und Abteilungen
• Evidenzexporte für Security, Compliance und Führung
• Unterstützung für moderne Szenarien wie QR-, Collaboration- und Mobile-First-Köder

Die beste Lösung ist die, die den verantwortungsvollen Workflow einfacher macht als den riskanten Shortcut.

Migrations-Checkliste für alte King-Phisher-Nutzer

Wenn Ihre Organisation bereits eine King-Phisher-Installation oder ein altes Kampagnenarchiv hat, lassen Sie es nicht einfach auf einem Server liegen.

Führen Sie eine kontrollierte Migration durch:

1. Inventarisieren Sie Kampagnen, Vorlagen, Landing Pages, Domains, Benutzer und gespeicherte Ergebnisse.
2. Prüfen Sie, ob jemals Passwörter, Tokens oder sensible Formularwerte erfasst wurden.
3. Exportieren Sie nur die historischen Daten, die Sie wirklich brauchen.
4. Löschen oder anonymisieren Sie Mitarbeiterdaten, für die kein Aufbewahrungszweck mehr besteht.
5. Widerrufen Sie ungenutzte Admin-Konten und API-Zugriffe.
6. Überprüfen Sie Sendedomains und DNS-Einträge.
7. Dokumentieren Sie, welche Simulationskategorien künftig erlaubt sein sollen.
8. Führen Sie die nächste Kampagne in einem sichereren Workflow mit expliziten Freigaben und Reporting-Regeln aus.
9. Stellen Sie die alte Infrastruktur außer Betrieb, sobald die Migration abgeschlossen ist.

Diese Migrationsarbeit ist zugleich ein nützlicher Zwangstest. Sie zeigt, wie viel operativer Ballast das alte Toolkit außerhalb der sichtbaren Kampagnenoberfläche erzeugt hat.

Wie AutoPhish in das sicherere Ersatzmuster passt

AutoPhish ist für Teams gedacht, die kontrollierte Phishing-Simulationen wollen, ohne Legacy-Angriffs-Tool-Infrastruktur betreiben zu müssen.

Der Plattformansatz ist wichtig, weil die meisten Organisationen nicht maximale offensive Flexibilität brauchen. Sie brauchen wiederholbare Awareness-Workflows, sichere Simulationsgrenzen, nützliches Reporting und eine Möglichkeit, Fortschritte zu zeigen, ohne Schulung in ein Schuldzuweisungsritual zu verwandeln.

Im Vergleich zum internen Betrieb von King Phisher konzentriert sich AutoPhish auf:

• sicherere Simulations-Workflows
• wiederkehrende Awareness-Operationen
• Reporting für Security- und Leadership-Zielgruppen
• datenschutzbewussten Umgang mit Ergebnissen
• praktische Nachbereitung nach Kampagnen
• geringeren Infrastrukturaufwand im laufenden Betrieb

Das ist das eigentliche Argument für den Ersatz. Der Vorteil besteht nicht nur darin, ein altes Tool zu vermeiden. Es geht darum, von einem Kampagnen-Toolkit zu einem verwalteten Awareness-Programm zu wechseln.

FAQ

Ist King Phisher aufgegeben?

Das ursprüngliche King-Phisher-Projekt erklärt, dass es nicht mehr gepflegt wird. Es gibt aktive Forks, darunter CrimsonForge-io/king-phisher, aber Teams sollten Fork-Pflege, Abhängigkeiten, Governance-Funktionen und operativen Support bewerten, bevor sie es für echte Awareness-Schulungen einsetzen.

Ist King Phisher sicher für Phishing-Simulationen?

Es kann in kontrollierten, autorisierten Umgebungen von erfahrenen Betreibern verwendet werden, ist aber nicht die sicherste Standardwahl für wiederkehrende Awareness-Programme für Mitarbeitende. Das größere Risiko ist nicht nur, ob das Tool läuft; es geht darum, ob Ihr Team den gesamten Workflow absichern, steuern, warten und erklären kann.

Was ist die beste Alternative zu King Phisher?

Für die meisten Organisationen ist die beste Alternative eine gepflegte Phishing-Simulationsplattform mit Freigaben, Reporting, Datenschutzkontrollen, Trainingsnachbereitung und Evidenzexporten. Wenn Sie weniger Infrastrukturverantwortung wollen, passt AutoPhish besser als ein weiteres selbst gehostetes Kampagnen-Toolkit.

Sollten wir GoPhish statt King Phisher verwenden?

GoPhish kann für manche selbst gehosteten Kampagnen einfacher sein, beseitigt aber nicht den Bedarf an Governance, Datenschutzprüfung, sicherem Reporting und anschließender Schulung. Wenn das die eigentlichen Anforderungen sind, vergleichen Sie verwaltete Awareness-Plattformen statt nur Open-Source-Toolkits.

Fazit

King Phisher bleibt als Suchbegriff relevant, weil es einst ein bekanntes Open-Source-Toolkit für Phishing-Kampagnen war. Im Jahr 2026 sollte diese Bekanntheit aber ein besseres Gespräch anstoßen: Wollen Sie eine alte Phishing-Infrastruktur betreiben oder ein sichereres Awareness-Programm aufsetzen?

Wenn die Antwort Awareness lautet, wählen Sie den Workflow, der Ihnen Simulationen, Reporting, Governance und Nachbereitung liefert, ohne dass Ihr Team einen alten, angriffsähnlichen Stack pflegen muss.

Registrieren Sie sich, um Phishing-Simulationen mit AutoPhish auszuführen, ohne Legacy-Phishing-Infrastruktur betreiben zu müssen.