Die gefährlichste Sicherheitslücke in Ihrem Unternehmen hat keine Versionsnummer und lässt sich nicht patchen: Es ist die E-Mail, die morgens um 8:40 Uhr im Posteingang eines Mitarbeiters landet und täuschend echt aussieht. Phishing – also der Versuch, über gefälschte Nachrichten an Zugangsdaten zu gelangen oder Schadsoftware einzuschleusen – ist seit Jahren der mit Abstand häufigste Ausgangspunkt erfolgreicher Angriffe auf Unternehmen. Nicht, weil die Technik dahinter besonders raffiniert wäre, sondern weil sie auf etwas zielt, das kein Virenscanner schützen kann: menschliche Aufmerksamkeit im hektischen Arbeitsalltag. In diesem Beitrag erklären wir, wie moderne Phishing-Angriffe aufgebaut sind, an welchen Merkmalen Sie sie erkennen und welche technischen und organisatorischen Maßnahmen Ihr Unternehmen wirksam schützen.
Warum Phishing so gut funktioniert
Um sich zu schützen, muss man die Mechanik verstehen. Phishing funktioniert nicht, weil Menschen dumm wären – es funktioniert, weil die Angreifer gezielt Situationen konstruieren, in denen selbst aufmerksame Menschen reflexhaft handeln. Die Zutaten sind immer dieselben: eine vertrauenswürdig wirkende Absenderidentität, ein plausibler Anlass und Zeitdruck.
Die vertrauenswürdige Identität kann vieles sein: die Bank, ein Paketdienst, Microsoft, das Finanzamt – oder, bei gezielteren Angriffen, der eigene Chef, ein Kollege oder ein echter Lieferant. Der plausible Anlass knüpft an reale Abläufe an: eine angeblich fehlgeschlagene Zustellung, eine auslaufende Passwort-Gültigkeit, eine offene Rechnung, ein geteiltes Dokument. Und der Zeitdruck sorgt dafür, dass das kritische Nachdenken übersprungen wird: „Ihr Konto wird in 24 Stunden gesperrt“, „bitte heute noch überweisen“, „der Chef braucht das vor seinem Flug“.
Dazu kommt: Die Qualität hat sich dramatisch verbessert. Die Zeiten, in denen Phishing-Mails an holprigem Deutsch und exotischen Absendern zu erkennen waren, sind vorbei. Aktuelle Kampagnen verwenden fehlerfreie Sprache, kopieren Corporate Designs pixelgenau und nutzen Absenderadressen, die dem Original zum Verwechseln ähnlich sehen. Auch Werkzeuge auf Basis künstlicher Intelligenz tragen dazu bei, dass sprachliche Auffälligkeiten als Erkennungsmerkmal weitgehend ausfallen.
Die Spielarten, die Unternehmen kennen müssen
Klassisches Massen-Phishing streut breit: Dieselbe gefälschte Bank- oder Paket-Mail geht an Millionen Empfänger, und schon eine winzige Erfolgsquote lohnt sich für die Absender. Für Unternehmen gefährlicher sind aber die gezielten Varianten.
Beim Spear-Phishing wird die Nachricht auf das konkrete Unternehmen oder sogar eine konkrete Person zugeschnitten. Die Angreifer recherchieren vorab – Website, Impressum, soziale Netzwerke, Presseberichte liefern alles Nötige: Wer ist Geschäftsführer, wer sitzt in der Buchhaltung, mit welchen Lieferanten arbeitet man? Eine Mail, die den richtigen Ansprechpartner mit Namen anspricht und sich auf ein reales Projekt bezieht, überwindet die Skepsis fast jedes Empfängers.
Die Königsdisziplin ist der sogenannte CEO-Fraud oder Business E-Mail Compromise: Die Buchhaltung erhält eine Mail, scheinbar vom Geschäftsführer, mit der dringenden Bitte um eine Überweisung – vertraulich, eilig, der Chef ist gerade nicht erreichbar. Die Schäden aus dieser Masche gehen weltweit in die Milliarden, und sie trifft keineswegs nur Konzerne: Gerade in KMU, wo Anweisungen vom Chef selten hinterfragt werden, funktioniert sie erschreckend gut. Eine verwandte Variante ist der Rechnungsbetrug: Angreifer fangen echte Rechnungskorrespondenz ab oder fälschen sie und ändern lediglich die Kontonummer – die Rechnung selbst ist korrekt, nur das Geld landet woanders.
Und schließlich das Credential-Phishing, das auf Zugangsdaten zielt: Ein Link führt auf eine perfekt nachgebaute Login-Seite – häufig eine gefälschte Microsoft-365-Anmeldemaske –, und wer dort Benutzername und Passwort eingibt, übergibt sie direkt den Angreifern. Mit einem gekaperten Firmenpostfach beginnt dann oft erst der eigentliche Angriff: Von der echten Adresse eines echten Mitarbeiters lassen sich Kollegen, Kunden und Lieferanten nahezu perfekt täuschen.
Woran Sie Phishing trotzdem erkennen
Auch wenn die Fälschungen besser geworden sind – es gibt Prüfpunkte, die zuverlässig funktionieren, wenn man sie sich zur Gewohnheit macht.
Der wichtigste Blick gilt der tatsächlichen Absenderadresse, nicht dem angezeigten Namen. Der Anzeigename ist frei wählbar – dahinter kann jede beliebige Adresse stecken. Tippen Sie am Smartphone auf den Absender, am PC fahren Sie mit der Maus darüber: Steht dort wirklich die bekannte Domain des Absenders, oder eine Abwandlung – ein zusätzlicher Bindestrich, eine andere Endung, ein Buchstabendreher, eine Freemail-Adresse? Der zweite Blick gilt den Links: Auch hier zeigt das Überfahren mit der Maus (ohne zu klicken!) das echte Ziel. Führt der „Microsoft-Login“ auf eine kryptische Adresse, die mit Microsoft nichts zu tun hat, ist der Fall klar.
Misstrauen verdient außerdem alles, was Druck aufbaut oder Vertraulichkeit einfordert – seriöse Institutionen drohen nicht per Mail mit Kontosperrung binnen Stunden, und kein echter Geschäftsführer wickelt Überweisungen unter Umgehung aller üblichen Abläufe per E-Mail ab. Vorsicht auch bei unerwarteten Anhängen, insbesondere Office-Dokumenten, die zur „Aktivierung von Inhalten“ auffordern, und bei jeder Mail, die zur Eingabe von Zugangsdaten führt: Loggen Sie sich grundsätzlich nie über Links aus E-Mails ein, sondern rufen Sie die betreffende Seite selbst im Browser auf.
Und die goldene Regel für alles, was mit Geld oder Zugangsdaten zu tun hat: Rückversicherung über einen zweiten Kanal. Eine angebliche Kontoänderung des Lieferanten? Ein Anruf unter der bekannten (nicht der in der Mail angegebenen!) Nummer schafft in zwei Minuten Klarheit. Eine ungewöhnliche Zahlungsanweisung vom Chef? Kurz persönlich oder telefonisch nachfragen – kein vernünftiger Vorgesetzter wird das übelnehmen, im Gegenteil.
Technische Schutzmaßnahmen: Die Vorfilter
So wichtig geschulte Mitarbeiter sind – die erste Verteidigungslinie ist technisch, und hier lässt sich viel gewinnen, bevor überhaupt ein Mensch die Mail sieht.
Ein professionell betriebenes E-Mail-Hosting filtert Spam und bekannte Phishing-Muster bereits auf Serverebene aus, sodass der Großteil der Angriffe die Postfächer nie erreicht. Ebenso wichtig sind die Absender-Authentifizierungsstandards SPF, DKIM und DMARC für Ihre eigene Domain: Sie legen fest, welche Server berechtigt sind, in Ihrem Namen zu senden, und erschweren es Angreifern massiv, Ihre Adresse zu fälschen – ein Schutz, der übrigens auch Ihre Kunden und Partner davor bewahrt, in Ihrem Namen betrogen zu werden. Bei Gratis-Postfächern haben Sie auf diese Einstellungen keinen Einfluss; mit eigener Domain und professionellem Hosting gehören sie zur Grundkonfiguration.
Die zweite unverzichtbare Maßnahme ist Mehrfaktor-Authentifizierung (MFA) für alle wichtigen Zugänge – E-Mail, Cloud-Dienste, Fernzugriffe. MFA bedeutet: Neben dem Passwort ist ein zweiter Faktor nötig, etwa eine Bestätigung am Smartphone. Der Effekt ist enorm, denn selbst ein erfolgreich abgephishtes Passwort ist für den Angreifer dann weitgehend wertlos. Wenn Sie nur eine einzige Sicherheitsmaßnahme aus diesem Beitrag umsetzen, dann diese.
Dazu kommen aktuelle Systeme und Virenschutz auf allen Geräten – falls doch einmal ein Anhang geöffnet wird – sowie ein sauberes Rechtekonzept, damit ein kompromittiertes Benutzerkonto nicht gleich Zugriff auf alles gewährt. Und für den Fall der Fälle: getestete Backups, denn Phishing ist auch das häufigste Einfallstor für Ransomware.
Organisation: Prozesse schlagen Bauchgefühl
Technik filtert viel, aber nicht alles – deshalb braucht es organisatorische Leitplanken. Die wirksamste ist ein festes Vier-Augen- und Rückruf-Prinzip für Zahlungsvorgänge: Kontoänderungen von Lieferanten und ungewöhnliche Überweisungen werden grundsätzlich über einen zweiten, unabhängigen Kanal verifiziert – ohne Ausnahme, auch wenn es eilig ist, und gerade dann. Wenn dieser Prozess einmal etabliert ist, läuft der CEO-Fraud ins Leere, egal wie überzeugend die Mail formuliert war.
Genauso wichtig ist eine offene Fehlerkultur: Mitarbeiter müssen wissen, an wen sie verdächtige Mails melden – und sie müssen sich trauen, auch einen bereits erfolgten Klick sofort zu melden. Die ersten Stunden nach einem Vorfall entscheiden über das Schadensausmaß; ein Mitarbeiter, der aus Angst vor Ärger schweigt, ist das teuerste Szenario überhaupt. Regelmäßige kurze Sensibilisierungen – keine Ganztagsseminare, sondern konkrete aktuelle Beispiele, gerne aus dem eigenen Spam-Ordner – halten das Thema präsent.
Wenn es doch passiert ist
Falls Zugangsdaten eingegeben oder ein verdächtiger Anhang geöffnet wurde, zählt Geschwindigkeit: Betroffene Passwörter sofort ändern (und überall dort, wo dasselbe Passwort verwendet wurde), aktive Sitzungen des Kontos beenden, MFA aktivieren, das Gerät prüfen lassen und – je nach Fall – Bank, IT-Betreuung und gegebenenfalls die Datenschutzbehörde einschalten, denn ein kompromittiertes Postfach voller Kundenkorrespondenz kann eine meldepflichtige Datenschutzverletzung darstellen. Bei Überweisungsbetrug gilt: sofort die Bank kontaktieren – in den ersten Stunden lässt sich eine Zahlung manchmal noch stoppen – und Anzeige erstatten.
Fazit
Phishing ist kein Technikproblem, das man einmal löst, sondern ein Dauerthema, das man managt – mit einer Kombination aus serverseitiger Filterung, Absender-Authentifizierung, Mehrfaktor-Authentifizierung, klaren Prozessen für Zahlungen und wachen Mitarbeitern. Keine dieser Maßnahmen ist teuer oder kompliziert. Teuer ist nur ihre Abwesenheit.
