Phishing einfach erklärt
Das Kunstwort leitet sich vom englischen „fishing“ ab. Als Lockmittel dienen Nachrichten, die in den Arbeitsalltag passen: eine angeblich überfällige Rechnung, ein freigegebenes Dokument „zur Ansicht“ oder die Meldung, das Postfach sei voll. Wer dem Link folgt oder den Anhang öffnet, landet auf einer gefälschten Seite oder holt sich Schadsoftware auf den Rechner.
Phishing ist eine Form von Social Engineering, also der Manipulation von Menschen statt Technik. Je nach Kanal und Vorgehen gibt es eigene Bezeichnungen:
- Spear-Phishing: auf eine Person oder Abteilung zugeschnitten, etwa mit echten Namen aus dem Kollegenkreis oder Bezug auf ein laufendes Projekt
- Smishing: per SMS, oft getarnt als Zustellnachricht oder Kontowarnung
- Vishing: am Telefon, zum Beispiel durch Anrufer, die sich als IT-Support ausgeben
- Quishing: über QR-Codes, die etwa auf einem Schreiben oder in einer E-Mail zu einer gefälschten Anmeldeseite führen
Direkt auf Geld zielt der CEO-Fraud. Dabei gibt sich der Täter als Geschäftsführung aus und fordert eine dringende, vertrauliche Überweisung.
So läuft ein typischer Phishing-Angriff ab
Am Anfang kann eine kurze Recherche stehen. Wer arbeitet in der Buchhaltung, welche Lieferanten nennt die Website? Daraus entsteht eine Nachricht, die zum Alltag des Empfängers passt. Sie führt auf eine Anmeldeseite, die etwa der von Microsoft 365 täuschend ähnlich sieht.
Gibt jemand dort Benutzername und Passwort ein, landen die Daten direkt bei den Tätern. Diese melden sich im echten Postfach an, lesen mit und richten unauffällige Weiterleitungen ein. Später verschicken sie aus dem gekaperten Konto Rechnungen mit geänderter Bankverbindung an Kunden oder neue Phishing-Nachrichten an Geschäftspartner. Selbst ein Bestätigungscode oder eine Freigabe per App hilft nicht immer: Einige Angriffe reichen die Anmeldung live über einen eigenen Server weiter und übernehmen danach die gültige Sitzung.
Warnzeichen im Arbeitsalltag
Verdächtig ist vor allem, was vom gewohnten Ablauf abweicht: eine Zahlungsbitte ohne Vorgeschichte, eine plötzlich neue Bankverbindung oder die Aufforderung, sich über einen Link statt über die bekannte Adresse anzumelden. Fehlerhaftes Deutsch ist dagegen kein verlässliches Merkmal mehr, denn viele Betrugsnachrichten sind inzwischen sprachlich sauber formuliert. Konkrete Prüfschritte für Absender, Links und Anhänge fasst unser Ratgeber Phishing erkennen zusammen.
Schutz in mehreren Schichten
Kein einzelnes Mittel hält jede Phishing-Nachricht auf. Wirksam ist das Zusammenspiel von Technik, Menschen und klaren Abläufen.
Technik: E-Mail-Filter sortieren einen großen Teil der Betrugsversuche aus, bevor sie das Postfach erreichen. Die Einträge SPF, DKIM und DMARC im DNS Ihrer Domain bestimmen, von welchen Servern Ihre Mails stammen dürfen, wie sie signiert werden und was empfangende Systeme mit Fälschungen tun sollen. Mit Multi-Faktor-Authentifizierung reicht ein abgegriffenes Passwort allein nicht mehr aus; besonders widerstandsfähig sind Verfahren, die nur auf der echten Anmeldeseite funktionieren. Hinweise auf externe Absender helfen, gefälschte interne Nachrichten zu erkennen.
Menschen: Wer typische Maschen kennt, hält öfter kurz inne. Regelmäßige, kurze Schulungen unter dem Stichwort Security Awareness frischen dieses Wissen auf. Ebenso wichtig ist ein klarer Meldeweg: Jede Person sollte wissen, wohin sie eine verdächtige Nachricht weiterleitet, und einen Fehlklick sofort melden können, ohne sich dafür rechtfertigen zu müssen.
Abläufe: Geänderte Kontodaten von Lieferanten gelten erst nach einer Rückfrage über einen zweiten, bereits bekannten Kontaktweg. Überweisungen ab einer festgelegten Höhe gibt eine zweite Person frei. Weitere Schutzbausteine stellt der Bereich IT-Sicherheit für Unternehmen vor.
Vom vollen Postfach zur falschen Bankverbindung
Angenommen, bei einem Elektroinstallationsbetrieb erhält die Buchhaltung eine E-Mail: Das Postfach sei voll, bitte über den Link anmelden. Die Mitarbeiterin gibt ihr Passwort ein, ein zweiter Faktor ist nicht eingerichtet. Wochen später ruft ein Kunde an und fragt, warum sich die Bankverbindung geändert habe. Die Täter hatten eine Weiterleitungsregel eingerichtet und Rechnungen abgefangen.
Nach dem Vorfall wird die Anmeldung mit zweitem Faktor für alle Konten Pflicht. Neue Weiterleitungsregeln nach außen lösen eine Warnung aus, und Kunden erhalten einen Hinweis, dass sich die Bankverbindung nicht per E-Mail ändert.
Wie ProNet unterstützt
Wir richten vorgelagerte E-Mail-Filter und die Absender-Authentifizierung für Ihre Domain ein und schützen Postfächer sowie Chats in Microsoft Teams vor Phishing. Außerdem helfen wir Ihrem Team mit den Grundlagen, verdächtige Nachrichten zu erkennen. Details zu Filtern und Postfachschutz finden Sie bei der E-Mail-Sicherheit für Unternehmen.