Phishing erkennen: Angriffe durchschauen und richtig reagieren
Phishing zielt nicht auf Technik, sondern auf Menschen. Dieser Leitfaden zeigt, mit welchen psychologischen Hebeln Angreifer arbeiten, über welche Kanäle Angriffe heute laufen, woran Sie Fälschungen konkret prüfen, was nach einem Klick sofort zu tun ist und wie Sie Ihr Team vorbereiten, ohne einzelne bloßzustellen.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung. Für verbindliche Aussagen zu Ihrer Situation wenden Sie sich an eine Kanzlei.
Warum Phishing funktioniert: die Psychologie hinter dem Angriff
Phishing bezeichnet den Versuch, Menschen über gefälschte Nachrichten zur Herausgabe von Zugangsdaten, Geld oder vertraulichen Informationen zu bewegen. Der Angriff richtet sich also nicht gegen eine technische Schwachstelle, sondern gegen menschliche Reaktionsmuster. Genau deshalb hilft auch eine gute Firewall wenig, wenn eine Mitarbeiterin unter Zeitdruck auf einen überzeugend gestalteten Link klickt. Wer Phishing erkennen will, muss zuerst verstehen, mit welchen Hebeln Angreifer arbeiten.
Drei Hebel tauchen in fast jeder Phishing-Nachricht auf. Erstens Druck: Eine Frist läuft ab, ein Konto wird angeblich gesperrt, eine Zahlung platzt. Unter Zeitdruck prüfen Menschen weniger sorgfältig. Zweitens Autorität: Die Nachricht kommt scheinbar von der Bank, einer Behörde oder der eigenen Geschäftsführung. Beim sogenannten CEO-Fraud geben sich Angreifer als Geschäftsleitung aus und fordern eine angeblich dringende, vertrauliche Überweisung. Drittens Neugier oder Hilfsbereitschaft: eine unerwartete Bewerbung, eine Paketankündigung, eine Bitte um einen kleinen Gefallen. Alle drei Hebel zielen darauf, dass der Empfänger handelt, bevor er nachdenkt.
Wichtig für die Einordnung im Unternehmen: Auf Phishing hereinzufallen ist keine Frage von Intelligenz oder Erfahrung. Die Nachrichten erreichen Menschen mitten im Arbeitsalltag, zwischen zwei Terminen, oft auf dem Smartphone mit kleinem Bildschirm. Gut gemachte Fälschungen sind in diesem Moment von echten Nachrichten kaum zu unterscheiden. Diese Erkenntnis ist die Grundlage für alles Weitere, insbesondere für den Umgang mit Mitarbeitern, die geklickt haben.
Aktuelle Maschen: längst nicht mehr nur per E-Mail
Die klassische Phishing-Mail existiert weiter, aber ihre Qualität hat sich nach unserer Beobachtung deutlich verändert. Rechtschreibfehler und krude Formulierungen, lange das wichtigste Erkennungszeichen, sind seltener geworden, auch weil Angreifer Texte heute maschinell in fehlerfreiem Deutsch erzeugen können. Manche Angriffe klinken sich nach unserer Beobachtung sogar in echte, bereits laufende Mailverläufe ein: Die Angreifer haben zuvor das Postfach eines Geschäftspartners übernommen und antworten dort auf bestehende Konversationen. Eine solche Nachricht wirkt zwangsläufig vertrauenswürdig.
Dazu kommen Kanäle jenseits der E-Mail. Beim sogenannten Quishing wird der Schadlink in einem QR-Code versteckt, also in dem quadratischen Muster, das man mit der Handykamera scannt. Das ist für Angreifer doppelt praktisch: Viele Mailfilter prüfen Bilder weniger gründlich als Links, und der Empfänger sieht das Ziel vor dem Scan nicht. QR-Code-Betrug kann auch physisch auftreten, etwa durch überklebte Codes an Parkautomaten oder Ladesäulen. Per SMS läuft das sogenannte Smishing: gefälschte Paketbenachrichtigungen, angebliche Bank-Warnungen oder Nachrichten von einer angeblich neuen Nummer eines Familienmitglieds.
Auch das Telefon gehört wieder zum Werkzeugkasten der Angreifer. Beim sogenannten Vishing, also Phishing per Anruf, gibt sich jemand als IT-Support, Bankmitarbeiter oder Kollege aus und bittet um Zugangsdaten oder die Bestätigung einer Anmeldung. Gewarnt wird zudem vor Fällen, in denen Stimmen mit KI-Werkzeugen nachgeahmt wurden, etwa die Stimme eines Vorgesetzten. Wie häufig solche Angriffe tatsächlich vorkommen, lässt sich seriös schwer beziffern. Die praktische Konsequenz ist trotzdem eindeutig: Eine vertraut klingende Stimme ist allein kein Identitätsnachweis mehr. Ungewöhnliche Bitten am Telefon prüfen Sie grundsätzlich über einen Rückruf auf einer Ihnen bekannten Nummer.
Die konkrete Prüfung: vier Punkte, die jeder kontrollieren kann
Erster Prüfpunkt ist die Absenderadresse. Mailprogramme zeigen zunächst nur den Anzeigenamen, den der Absender frei wählen kann. Entscheidend ist die tatsächliche Adresse dahinter, die Sie per Klick oder Fingertipp auf den Namen sichtbar machen. Lesen Sie die Domain, also den Teil hinter dem @-Zeichen, Buchstabe für Buchstabe: Angreifer nutzen vertauschte Zeichen, zusätzliche Wörter oder ähnlich aussehende Endungen. Eine Nachricht Ihrer Bank von einer frei registrierbaren Adresse eines öffentlichen Mail-Anbieters ist praktisch immer gefälscht.
Zweiter Prüfpunkt sind die Links. Am Rechner fahren Sie mit dem Mauszeiger über den Link, ohne zu klicken. Das tatsächliche Ziel erscheint dann am unteren Fensterrand. Auf dem Smartphone halten Sie den Link gedrückt, statt ihn anzutippen, dann zeigt das Gerät die Zieladresse in einer Vorschau. Maßgeblich ist die eigentliche Domain unmittelbar vor dem ersten einzelnen Schrägstrich, nicht irgendein bekannter Firmenname an anderer Stelle in der Adresse. Bei Kurzlinks, die das Ziel verschleiern, und generell im Zweifel gilt: Tippen Sie die Adresse des Anbieters selbst in den Browser oder nutzen Sie Ihr Lesezeichen, statt dem Link zu folgen.
Dritter und vierter Prüfpunkt sind Anrede und Druckmittel. Eine unpersönliche Anrede wie Sehr geehrter Kunde ist bei angeblich wichtigen Kontoangelegenheiten ein Warnsignal, ebenso ein falsch geschriebener Name. Noch aussagekräftiger ist das Druckmittel: Wird mit Sperrung, Gebühren oder rechtlichen Konsequenzen gedroht, wenn Sie nicht sofort handeln? Weicht die Bitte vom üblichen Ablauf ab, etwa geänderte Kontodaten eines Lieferanten, Gutscheinkarten als Zahlungsmittel oder die Bitte um absolute Vertraulichkeit? Für solche Fälle sollte in Ihrem Unternehmen eine feste Regel gelten: Zahlungs- und Stammdatenänderungen werden immer über einen zweiten, unabhängigen Kanal bestätigt, zum Beispiel telefonisch über die bekannte Nummer des Ansprechpartners.
Was ein Klick auslöst und warum danach jede Minute zählt
Ein Klick allein ist selten die Katastrophe. In den meisten Fällen führt der Link auf eine nachgebaute Anmeldeseite, die Zugangsdaten abgreifen soll. Gefährlich wird es erst, wenn dort tatsächlich Benutzername und Passwort eingegeben werden. Es gibt Angriffswerkzeuge, die sich in Echtzeit zwischen Opfer und echte Anmeldeseite und fangen auch den zweiten Faktor der Multi-Faktor-Authentifizierung ab, also die zusätzliche Bestätigung der Anmeldung per App oder Einmalcode. Multi-Faktor-Authentifizierung bleibt trotzdem eine sehr wirksame Schutzmaßnahme, sie ist nur kein Freifahrtschein für sorgloses Klicken.
Der zweite Weg führt über Anhänge und Downloads. Ein Office-Dokument mit aktivierten Makros, also kleinen eingebetteten Programmen, oder eine als Rechnung getarnte ausführbare Datei kann Schadsoftware installieren. Diese verschafft Angreifern häufig zunächst nur einen unauffälligen Fernzugriff. Der eigentliche Schaden, etwa Datendiebstahl oder Ransomware, also die Verschlüsselung Ihrer Daten mit anschließender Lösegeldforderung, folgt oft erst Tage oder Wochen später, nachdem die Angreifer das Netzwerk in Ruhe erkundet haben.
Aus diesem Ablauf folgt die wichtigste Botschaft dieses Artikels: Zwischen Klick und Schaden liegt fast immer ein Zeitfenster. Wer einen Fehler sofort meldet, gibt der IT die Chance, Passwörter zurückzusetzen, Geräte zu isolieren und den Angriff zu stoppen, bevor er sich ausbreitet. Eine schnelle Meldung ist deshalb wertvoller als eine perfekte Quote an nicht angeklickten Testmails.
Der Ernstfall: die richtigen Schritte nach einem Klick
Wenn Zugangsdaten auf einer gefälschten Seite eingegeben wurden: Ändern Sie das betroffene Passwort sofort, und zwar überall dort, wo dasselbe oder ein ähnliches Passwort verwendet wird. Melden Sie aktive Sitzungen des Kontos ab, sofern der Dienst das anbietet. Informieren Sie parallel Ihre IT oder Ihren IT-Dienstleister, ohne Verzögerung und ohne den Vorfall kleinzureden. Wurde eine verdächtige Datei geöffnet, trennen Sie das Gerät vom Netzwerk, also WLAN deaktivieren oder Netzwerkkabel ziehen, und lassen Sie es eingeschaltet, damit Spuren für die Analyse erhalten bleiben.
Für IT-Verantwortliche gehören danach einige Prüfschritte zum Standard: die Anmeldeaktivitäten des betroffenen Kontos kontrollieren, im Postfach nach neu angelegten Weiterleitungs- oder Löschregeln suchen, die Angreifer gern unauffällig einrichten, prüfen, wer im Unternehmen dieselbe Mail noch erhalten hat, und diese zentral aus den Postfächern entfernen. Je nach Befund folgen Passwort-Zurücksetzungen für weitere Konten und eine genauere Untersuchung des betroffenen Geräts.
Ist bereits Geld geflossen, kontaktieren Sie umgehend Ihre Bank. Bei sehr schneller Reaktion lässt sich eine Überweisung manchmal noch anhalten. Erstatten Sie Anzeige bei der Polizei, das ist in vielen Bundesländern auch online möglich. Und klären Sie, ob personenbezogene Daten betroffen sein könnten: Dann kann eine Meldung an die Datenschutzaufsicht erforderlich sein, für die kurze Fristen gelten. Ziehen Sie dafür Ihren Datenschutzbeauftragten hinzu.
Ihr Team trainieren, ohne es bloßzustellen
Eine sehr wirksame Maßnahme kostet nichts: eine Kultur, in der das Melden eines Verdachts oder eines eigenen Fehlers ausdrücklich erwünscht ist. Wer Spott oder Sanktionen fürchtet, meldet nicht oder zu spät, und genau dann entsteht der große Schaden. Definieren Sie einen einfachen Meldeweg, etwa eine feste interne Adresse oder einen Melden-Knopf im Mailprogramm, und bedanken Sie sich für jede Meldung, auch für Fehlalarme. Ein Fehlalarm ist ein Zeichen von Aufmerksamkeit, nicht von Nachlässigkeit.
Phishing-Simulationen, also intern beauftragte Testmails, können sinnvoll sein, wenn sie richtig aufgesetzt werden. Kündigen Sie das Programm als solches an, ohne einzelne Termine zu verraten. Werten Sie Ergebnisse nur zusammengefasst aus: keine Namenslisten für Führungskräfte, kein Aushang, keine Ansprache vor dem Team. Wer klickt, landet auf einer kurzen, freundlichen Erklärseite und bekommt eine Minute Lernstoff statt einer Rüge. Verzichten Sie außerdem auf Köder, die Vertrauen zerstören, etwa fingierte Nachrichten über Gehaltserhöhungen oder Kündigungen. Solche Tests erzeugen Ärger statt Wachsamkeit.
Ehrlich eingeordnet: Meldeweg, Grundregeln und kurze, regelmäßige Sensibilisierung können Sie intern selbst aufbauen. Für die technische Seite, also Mailfilterung, Multi-Faktor-Authentifizierung und die Auswertung im Ernstfall, sowie für professionell gestaltete Simulationen ist externe Unterstützung meist effizienter, vor allem wenn es intern keine eigene Rolle für IT-Sicherheit gibt. Wichtig ist die Reihenfolge: erst Meldekultur und Basisschutz, dann Simulationen. Wer testet, bevor es einen sicheren Meldeweg gibt, misst vor allem Frust.
Das Wichtigste in Kürze
Phishing zielt auf Menschen unter Zeitdruck, nicht auf unaufmerksame Einzelne. Wer die typischen Hebel kennt, Absender und Links konsequent prüft und Verdachtsfälle ohne Angst melden kann, nimmt den meisten Angriffen die Wirkung. Entscheidend ist das Zeitfenster nach einem Klick: schnelle Meldung, schnelle Reaktion. Wer diese Minuten organisiert, bevor sie gebraucht werden, verliert später Stunden statt Tage.