Glossar · IT-Sicherheit & Backup
Was ist Phishing?
Kurz erklärt
Phishing ist der Versuch, über gefälschte E-Mails, Nachrichten oder Webseiten an Zugangsdaten, Geld oder vertrauliche Informationen zu gelangen. Die Angreifer geben sich dabei als bekannte Absender aus – etwa als Bank, Lieferant oder Geschäftsführung.
Phishing ist eine Betrugsmasche, bei der Kriminelle sich als bekannte Absender ausgeben, um an Passwörter, Geld oder vertrauliche Daten zu kommen. Sie nutzen gefälschte E-Mails, SMS, Anrufe oder Webseiten, die täuschend echt aussehen. Für Unternehmen ist das eines der häufigsten Einfallstore für Cyberangriffe.
Wie funktioniert Phishing?
Der Name setzt sich laut BSI aus den Wörtern „Passwort“ und „Fishing“ zusammen. Die Angreifer werfen gewissermaßen einen Köder aus und hoffen, dass jemand anbeißt. Typisch ist eine Nachricht, die zum Klick auf einen Link oder zum Öffnen eines Anhangs drängt.
Der Link führt dann auf eine nachgebaute Anmeldeseite, etwa von Microsoft 365 oder einer Bank. Wer dort sein Passwort eingibt, übergibt es direkt an die Täter. Anhänge können zudem Malware (Schadsoftware) einschleusen, bis hin zu Ransomware.
Die Täter nutzen dabei menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität. Das BSI zählt Phishing deshalb zum Social Engineering (Manipulation von Menschen).
Die häufigsten Formen von Phishing
| Form | So läuft es ab |
|---|---|
| Massen-Phishing | gefälschte Mails von Paketdiensten, Microsoft oder Banken |
| Spear-Phishing | gezielt auf eine Person zugeschnitten, oft mit echten Namen und Projekten |
| CEO-Fraud | angebliche Anweisung der Geschäftsführung zu einer eiligen Überweisung |
| Rechnungsbetrug | echt wirkende Rechnung mit geänderter Bankverbindung |
| Smishing, Quishing, Vishing | Phishing per SMS, über QR-Codes oder per Telefonanruf |
Beim CEO-Fraud recherchieren die Täter vorher gründlich, etwa über Webseite und soziale Netzwerke. Laut BSI haben zahlreiche Firmen auf diese Weise hohe Geldbeträge verloren.
Woran Sie Phishing erkennen
- Zeitdruck und ungewöhnliche Dringlichkeit, etwa „bis heute 16 Uhr“.
- Die Absenderadresse passt nicht genau zum angeblichen Absender.
- Links führen auf fremde Adressen: vor dem Klicken mit der Maus darüberfahren.
- Aufforderung, Passwörter einzugeben oder Bankdaten zu ändern.
- Unerwartete Anhänge, besonders Office-Dateien mit Makros oder ZIP-Archive.
- QR-Codes in E-Mails, die auf eine Anmeldeseite führen sollen.
Auf Rechtschreibfehler allein können Sie sich nicht mehr verlassen. Viele Nachrichten sind heute sprachlich einwandfrei und übernehmen Logo, Farben und Schriften des echten Absenders. Im Zweifel hilft nur, den Absender über einen bekannten Weg zu kontaktieren, etwa über die Telefonnummer aus Ihren eigenen Unterlagen.
Eine einfache Regel für alle Mitarbeitenden: Niemand wird wegen einer Rückfrage kritisiert. Lieber einmal zu viel nachfragen als einmal zu wenig.
Was tun, wenn jemand hereingefallen ist?
Fehler passieren, auch erfahrenen Mitarbeitenden. Entscheidend ist, schnell und ohne Schuldzuweisung zu handeln. Diese Schritte haben sich bewährt:
- Sofort melden: Die betroffene Person informiert die IT oder die zuständige Ansprechperson.
- Passwort ändern und alle aktiven Sitzungen des Kontos abmelden.
- Postfach prüfen: Haben die Täter Weiterleitungen oder Regeln angelegt, die Mails heimlich umleiten?
- Gerät untersuchen, falls ein Anhang geöffnet wurde, und es bei Verdacht vom Netz trennen.
- Bank kontaktieren, wenn Geld überwiesen wurde, denn manchmal lässt sich eine Zahlung noch stoppen.
Wichtig ist eine offene Fehlerkultur. Wer Angst vor Ärger hat, meldet einen Klick lieber nicht, und genau das verschafft den Angreifern Zeit.
Was bedeutet Phishing für Ihr Unternehmen?
Ein einziger Klick kann reichen, um ein Postfach zu übernehmen oder eine falsche Überweisung auszulösen. Besonders gefährdet sind Buchhaltung, Assistenz und Geschäftsführung. Ein Onlinehändler, dessen Konto übernommen wird, verschickt womöglich selbst Phishing an seine Kunden.
Schutz entsteht aus Technik und Verhalten zugleich. Ein guter Spamfilter fängt viel ab, Multi-Faktor-Authentifizierung macht gestohlene Passwörter weitgehend wertlos. Regelmäßiges Security-Awareness-Training mit simulierten Phishing-Mails schult den Blick.
Organisatorisch hilft ein Vier-Augen-Prinzip bei Zahlungen und geänderten Bankverbindungen. Die Kosten für diese Maßnahmen sind meist deutlich geringer als der Schaden eines erfolgreichen Angriffs. Ein typischer Fehler ist, sich allein auf den Filter zu verlassen.
Passende Schutzmaßnahmen setzen wir im Rahmen unserer Leistung IT-Sicherheit für KMU um.
Häufige Fragen
Muss ich einen Phishing-Vorfall melden?
Das hängt vom Einzelfall ab. Wenn personenbezogene Daten betroffen sein könnten, kann eine Meldepflicht nach der DSGVO bestehen. Sprechen Sie in diesem Fall zeitnah mit Ihrer Datenschutzberatung.
Reicht ein Spamfilter gegen Phishing?
Nein. Gute Filter fangen viel ab, gezielte Angriffe kommen aber durch. Geschulte Mitarbeitende sind die zweite, entscheidende Verteidigungslinie.
Wie erkenne ich CEO-Fraud?
Achten Sie auf ungewöhnliche Zahlungsanweisungen mit Zeitdruck und der Bitte um Verschwiegenheit. Rufen Sie die angebliche Absenderin über eine bekannte Nummer zurück, nie über die Kontaktdaten aus der Nachricht.
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Aus der Praxis
Passende Lösungen zum Thema Phishing
Leistung
IT-Sicherheit für KMU — Angriffe stoppen, bevor sie im Postfach landen
IT-Sicherheit für KMU: E-Mail-Schutz für Microsoft 365, Backup für Postfach & Teams, Endpoint-Schutz und Phishing-Training. Einrichtung ab 990 € netto.
Zur Leistung →Im Shop
Security Awareness Training
Phishing-Simulationen für das gesamte Team, mit Auswertung der Klickraten und begleitendem Reporting. 690 € netto einmalig, wiederholbar als weitere Kampagne.
690,00 € zzgl. MwSt.
Zum Produkt →Reden wir über Ihre IT.
In 30 Minuten ordnen wir Ihre Situation ein und zeigen, wo Cloud, KI und Automatisierung bei Ihnen wirklich etwas bringen — und wo nicht. Kostenlos, unverbindlich, ohne Verkaufsdruck.
oder direkt anrufen: 0871 20 655 600 · Mo–Fr 9–17 Uhr
