Phishing-Schutz für KMU: Angriffe stoppen, bevor Schaden entsteht
🇩🇪 Made in Germany · 💻 100 % remote · 🔒 DSGVO-konform · 🤝 Fester Ansprechpartner
Inhaltsverzeichnis
Wirksamer Phishing-Schutz für KMU besteht aus vier Bausteinen: einem E-Mail-Filter mit Link- und Anhangsprüfung, Multi-Faktor-Authentifizierung für alle Konten, korrekt gesetzten SPF-, DKIM- und DMARC-Einträgen gegen gefälschte Absender und regelmäßigen, kurzen Awareness-Trainings. Dazu gehört ein klarer Meldeweg, damit verdächtige Mails in Minuten statt Tagen gemeldet werden.
📊 Lage: 16 % der Unternehmen wurden 2026 Opfer von Phishing, 25 % von Ransomware (Bitkom)
🔐 Wirksamster Einzelschutz: MFA senkt das Risiko einer Kontoübernahme um 99,22 % (Microsoft Research)
✉️ Absender-Schutz: SPF, DKIM und DMARC – bei Microsoft, Google und Yahoo für Massenversender Pflicht
🗓️ Stand: September 2026
Die meisten Angriffe auf kleine und mittlere Unternehmen beginnen nicht mit einem Hacker im Serverraum, sondern mit einer E-Mail: eine gefälschte Rechnung, eine angebliche Paketbenachrichtigung, eine „dringende“ Bitte des Chefs um eine Überweisung. Dieser Ratgeber zeigt, wie groß das Risiko ist, woran Sie Phishing erkennen und welcher Phishing-Schutz technisch und organisatorisch wirklich hilft.
Wie groß ist die Gefahr durch Phishing für KMU?
Die Bitkom-Studie Wirtschaftsschutz 2026 beziffert den Schaden für die deutsche Wirtschaft durch Datendiebstahl, Spionage und Sabotage auf 211 bis 271 Milliarden Euro pro Jahr; 76 % davon entfallen auf Cyberangriffe. 96 % der befragten Unternehmen waren betroffen oder vermuten es. 16 % meldeten Phishing-Angriffe, 25 % Ransomware – und Ransomware kommt häufig über eine Phishing-Mail ins Netz.
82 % der Unternehmen erwarten laut Bitkom, dass Angreifer verstärkt KI einsetzen. Phishing-Mails sind dadurch fehlerfrei formuliert und persönlich zugeschnitten; das klassische Erkennungsmerkmal „schlechtes Deutsch“ fällt weg.
Woran erkennt man eine Phishing-Mail?
- Druck und Dringlichkeit: „Ihr Konto wird heute gesperrt“, „Überweisung bis 12 Uhr“.
- Abweichende Absenderadresse: Der Anzeigename stimmt, die Domain nicht (z. B. rechnung@newmountains-it.co).
- Links mit fremdem Ziel: Mit der Maus über den Link fahren – die angezeigte Adresse passt nicht zum Absender.
- Ungewöhnliche Anhänge: ZIP-, HTML- oder Office-Dateien mit Makros, „Rechnung.pdf.html“.
- Geänderte Bankverbindung: Ein Lieferant meldet per Mail neue Kontodaten – immer telefonisch unter bekannter Nummer prüfen.
- Anmeldeseiten nach Klick: Eine Microsoft-365-Anmeldung, die nach einem Mail-Link erscheint, ist ein Alarmzeichen.
Phishing-Schutz: Welche Maßnahmen wirken für KMU?
Im Phishing-Schutz hat MFA die größte Wirkung pro investiertem Euro: Eine Auswertung von Microsoft Research zeigt, dass MFA das Risiko einer Kontoübernahme um 99,22 % senkt, bei bereits geleakten Zugangsdaten um 98,56 %. Für Absender-Authentifizierung gibt es inzwischen auch Druck von außen: Microsoft lehnt seit dem 05.05.2025 Mails von Massenversendern (über 5.000 Mails pro Tag) ohne SPF, DKIM und DMARC ab; Google und Yahoo verlangen das seit Februar 2024.
Was tun, wenn jemand auf einen Phishing-Link geklickt hat?
Nicht verheimlichen
Sofort die IT informieren. Schnelligkeit zählt mehr als Schuldfragen.
Passwort ändern und Sitzungen beenden
Im Microsoft-365-Admin-Center alle Anmeldesitzungen des Kontos widerrufen.
Weiterleitungsregeln prüfen
Angreifer richten oft heimlich Weiterleitungen oder Posteingangsregeln ein.
Gerät prüfen
Bei geöffnetem Anhang das Gerät vom Netz nehmen und scannen lassen.
Dokumentieren und melden
Bei Datenabfluss gilt die 72-Stunden-Meldepflicht nach Art. 33 DSGVO; NIS2-Einrichtungen melden erhebliche Vorfälle binnen 24 Stunden an das BSI.
Häufige Fragen zum Phishing-Schutz
Reicht der Spamfilter von Microsoft 365?
Der Basisschutz (Exchange Online Protection) filtert viel, aber nicht alles. Business Premium ergänzt Defender for Office 365 mit Link- und Anhangsprüfung; ein zusätzliches Gateway wie Hornetsecurity bietet weitere KI-Erkennung, Verschlüsselung und Archivierung.
Wie oft sollten Mitarbeitende geschult werden?
Kurz und regelmäßig wirkt besser als einmal jährlich lang: monatliche Micro-Trainings von wenigen Minuten plus gelegentliche Phishing-Simulationen.
Was ist CEO-Fraud?
Beim CEO-Fraud (Business E-Mail Compromise) geben sich Angreifer als Geschäftsführung oder Lieferant aus und veranlassen Überweisungen. Das FBI verzeichnete dafür 2025 gemeldete Schäden von rund 3 Milliarden US-Dollar. Schutz: Rückruf unter bekannter Nummer und Vier-Augen-Prinzip.
Fazit
Guter Phishing-Schutz ist keine einzelne Wundermaßnahme, sondern eine Kombination aus Filter, MFA, Absender-Authentifizierung und geschulten Menschen. Das meiste davon ist in wenigen Tagen umgesetzt. Newmountains.IT richtet E-Mail-Sicherheit mit Hornetsecurity und Microsoft 365 ein und übernimmt das Security-Awareness-Training. Mehr dazu auf unserer Seite IT-Sicherheit für KMU oder im kostenlosen IT-Sicherheits-Check.
Quellen
- Bitkom: Studie Wirtschaftsschutz 2026 (26.08.2026)
- Verizon: Data Breach Investigations Report 2026 und DBIR 2025 SMB Snapshot
- FBI: Internet Crime Report 2025
- Microsoft Research: How effective is multifactor authentication at deterring cyberattacks? (2023)
- Microsoft: Outlook’s new requirements for high-volume senders (2025)
- Google: E-Mail-Absender-Richtlinien
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Beitrag teilen über
Verwandte Beiträge
Raphael Neuberger
Das könnte Sie auch interessieren
Sind noch Fragen offen?
Im kostenlosen Erstgespräch finden wir die passende Lösung für Ihr Unternehmen.
oder direkt anrufen: 0871 20 655 600 · Mo–Fr 9–17 Uhr
