Inhalt
- 1. Was ist Phishing?
- 2. Typische Merkmale einer Phishing-Mail
- 3. Spear-Phishing: Die gefährlichere Variante
- 4. Technische Schutzmaßnahmen
- 5. Schulungen als wichtigste Maßnahme
- 6. Neu: Phishing mit KI und gefälschten Stimmen
- 7. So melden Mitarbeitende richtig
- 8. Ein typisches Szenario: der gefälschte Lieferant
- 9. Fünf Fragen vor jedem Klick
- 10. Aufwand realistisch einschätzen
- 11. Technische Schutzschichten
- 12. Kurz zusammengefasst
Mehr als 90 Prozent aller Cyberangriffe beginnen mit einer Phishing-Mail. Die gute Nachricht: Gut geschulte Mitarbeitende sind die effektivste Verteidigung gegen diese Angriffe.
Was ist Phishing?
Phishing ist der Versuch, durch gefälschte E-Mails, Websites oder Nachrichten an vertrauliche Informationen wie Passwörter, Kreditkartendaten oder Zugangsdaten zu gelangen. Moderne Phishing-Angriffe sind oft täuschend echt und zielgerichtet (Spear-Phishing): Der Angreifer kennt Ihren Namen, Ihren Chef und aktuelle Projekte.
Typische Merkmale einer Phishing-Mail
Dringlichkeit ("Ihr Konto wird in 24 Stunden gesperrt"). Unerwartete Anfragen nach Zugangsdaten oder Zahlungen. Abweichende Absenderadresse (z.B. support@paypa1.com statt paypal.com). Links, die beim Überfahren eine andere URL zeigen als angekündigt. Anhänge in unerwarteten Formaten.
Spear-Phishing: Die gefährlichere Variante
Beim Spear-Phishing wird die E-Mail individuell auf das Opfer zugeschnitten. Der Angreifer hat vorab Informationen gesammelt: LinkedIn-Profile, Unternehmenswebsite, öffentliche Pressemitteilungen. Die gefälschte Mail wirkt dadurch viel glaubwürdiger. CEO-Fraud ist eine besondere Form, bei der Angreifer als Geschäftsführer auftreten und Überweisungen anfordern.
Technische Schutzmaßnahmen
E-Mail-Authentifizierung (SPF, DKIM, DMARC) verhindert, dass Angreifer Ihre Domain für Phishing missbrauchen. Advanced Threat Protection filtert bekannte Phishing-URLs heraus. URL-Sandboxing analysiert verlinkte Seiten, bevor Mitarbeitende darauf klicken können.
Schulungen als wichtigste Maßnahme
Phishing-Simulationen senden gefälschte Testmails an Mitarbeitende und messen, wer darauf hereinfällt. Betroffene werden direkt im Moment des Fehlers geschult, was deutlich effektiver ist als theoretische Schulungen. Führen Sie solche Simulationen regelmäßig, mindestens vierteljährlich durch.
Neu: Phishing mit KI und gefälschten Stimmen
Generative KI macht Phishing-Mails fehlerfrei und persönlicher. Auch Anrufe mit nachgeahmter Stimme einer Führungskraft sind möglich. Die wichtigste Gegenmaßnahme bleibt deshalb ein klarer Prozess: Zahlungen, Kontoänderungen und Passwortanfragen werden immer über einen zweiten, bekannten Kanal bestätigt, zum Beispiel per Rückruf unter der gespeicherten Telefonnummer.
So melden Mitarbeitende richtig
- Nicht auf Links klicken und keine Anhänge öffnen.
- Mail über den Melde-Knopf weiterleiten oder an die festgelegte Adresse senden.
- Wer bereits geklickt hat: sofort Bescheid geben, nicht verheimlichen.
- Passwort bei Verdacht umgehend ändern lassen.
- Kollegen warnen, wenn die Mail an mehrere ging.
Ein typisches Szenario: der gefälschte Lieferant
Ein häufiges Beispiel: Die Buchhaltung erhält eine E-Mail eines bekannten Lieferanten. Darin steht, die Bankverbindung habe sich geändert, die nächste Rechnung bitte auf das neue Konto überweisen. Absendername, Logo und Tonfall stimmen, nur die Absenderadresse weicht in einem Buchstaben ab. Wird nicht nachgefragt, landet die Zahlung bei Betrügern und ist meist verloren. Ein einfacher Rückruf unter der bekannten Telefonnummer des Lieferanten hätte den Betrug sofort aufgedeckt.
Fünf Fragen vor jedem Klick
- Erwarte ich diese Nachricht überhaupt?
- Stimmt die tatsächliche Absenderadresse, nicht nur der angezeigte Name?
- Wird Druck aufgebaut, etwa mit Fristen oder Drohungen?
- Führt der Link wirklich zur erwarteten Website? (Mit der Maus darüberfahren, ohne zu klicken.)
- Werden Zugangsdaten, Zahlungen oder Bankänderungen verlangt?
Aufwand realistisch einschätzen
Technische Schutzmaßnahmen wie E-Mail-Filter, Linkprüfung und Absender-Authentifizierung sind einmalig einzurichten. Schulungen wirken am besten, wenn sie kurz und regelmäßig sind: lieber vierteljährlich zehn Minuten als einmal im Jahr einen halben Tag. Phishing-Simulationen zeigen, wo das Team steht, und machen Fortschritte sichtbar.
Technische Schutzschichten
Aufmerksame Mitarbeitende sind wichtig, aber sie sollten nicht die einzige Verteidigung sein. Mehrere technische Schichten fangen den Großteil der Angriffe ab, bevor sie überhaupt im Postfach landen.
- E-Mail-Filter, die Anhänge und Links vor der Zustellung prüfen.
- SPF, DKIM und DMARC gegen gefälschte Absender der eigenen Domain.
- Warnhinweise bei E-Mails von externen Absendern.
- MFA, damit gestohlene Passwörter allein nicht reichen.
- Ein Melde-Button in Outlook, der verdächtige Nachrichten mit einem Klick weiterleitet.
Kurz zusammengefasst
- Phishing wird durch KI glaubwürdiger.
- Zahlungs- und Kontoänderungen immer über einen zweiten Kanal bestätigen.
- Meldungen loben statt bestrafen.
- Technik und Schulung wirken nur gemeinsam.
Häufige Fragen
Woran erkenne ich Phishing, wenn die Mail fehlerfrei ist?
An Druck und ungewöhnlichen Wünschen: dringende Zahlungen, geänderte Bankverbindungen, Anmeldeaufforderungen über Links. Prüfen Sie die tatsächliche Absenderadresse und das Linkziel, bevor Sie handeln.
Was tun, wenn jemand Zugangsdaten eingegeben hat?
Sofort das Passwort ändern, aktive Sitzungen beenden und prüfen, ob Weiterleitungsregeln im Postfach angelegt wurden. Informieren Sie Ihren IT-Dienstleister.
Bringen Phishing-Simulationen etwas?
Ja, wenn sie mit kurzen Lerneinheiten verbunden sind. Mitarbeitende erkennen echte Angriffe danach deutlich zuverlässiger.
Was ist Smishing und Vishing?
Phishing per SMS (Smishing) und per Anruf (Vishing). Die Regeln sind dieselben: keine Zugangsdaten herausgeben, bei Zahlungen über einen bekannten Kanal rückfragen.
Wie oft sollten Mitarbeitende geschult werden?
Kurze Einheiten mehrmals im Jahr wirken besser als eine lange Schulung. Ergänzend helfen Hinweise, wenn neue Betrugsmaschen auftauchen.
Was tun, wenn jemand bereits auf einen Link geklickt hat?
Sofort melden, ohne Scham. Wurden Zugangsdaten eingegeben, wird das Passwort geändert und alle aktiven Sitzungen beendet. Bei geöffneten Anhängen wird das Gerät vom Netzwerk getrennt und geprüft.
Warum ist Phishing durch KI gefährlicher geworden?
Früher verrieten sich viele Phishing-Mails durch holprige Sprache und Rechtschreibfehler. Mit KI entstehen fehlerfreie, persönlich zugeschnittene Texte in jeder Sprache. Deshalb sollte man sich nicht mehr auf solche äußeren Merkmale verlassen, sondern auf den Inhalt achten: Druck, ungewöhnliche Bitten und Zahlungsänderungen.
Passende Leistung
IT-Sicherheit bei DigiVillage GmbH
Firewall, Endpoint-Schutz, Backup und DSGVO.
Mehr erfahren