Kurz gesagt: Misstrauen Sie Nachrichten, die vom gewohnten Ablauf abweichen und zur Eile drängen, und prüfen Sie sie auf einem zweiten, bekannten Weg. Technische Filter, eine geschützte Anmeldung und ein klarer Meldeweg fangen auf, was trotzdem durchrutscht.
Phishing erkennen: Typische Merkmale gefälschter Nachrichten
Phishing nutzt den Arbeitsalltag als Tarnung: eine freigegebene Datei, eine Rechnungskorrektur oder die angebliche Sperrung eines Kontos. Als sicheres Erkennungszeichen taugen Tippfehler laut Bundesamt für Sicherheit in der Informationstechnik kaum noch (BSI-Hinweise zum Erkennen von Phishing (externe Website), Stand: Oktober 2026). Prüfen Sie deshalb fünf Stellen:
- Absender: Der angezeigte Name ist frei wählbar, entscheidend ist die Adresse dahinter. Achten Sie auf Domains, die einem bekannten Namen nur ähneln, etwa durch einen zusätzlichen Bindestrich.
- Anliegen: Drohungen, knappe Fristen oder die Bitte um Vertraulichkeit sind Warnsignale, besonders wenn eine bekannte Person plötzlich etwas Ungewohntes verlangt.
- Links: Zeigen Sie das Ziel an, bevor Sie klicken. Ein Schloss oder „https“ belegt nur eine verschlüsselte Verbindung, nicht die Echtheit der Seite. Bei verkürzten Links bleibt das Ziel verborgen.
- Anhänge: Vorsicht bei gepackten Archiven, Dateien mit doppelter Endung und Dokumenten, die zum Aktivieren von Inhalten auffordern.
- Anmeldeseiten: Fragt eine Seite nach dem Klick auf einen Link nach Ihrem Kennwort, schließen Sie sie. Öffnen Sie den Dienst stattdessen über die gewohnte App oder eine selbst eingetippte Adresse.
Helfen kann eine Gegenprobe: Habe ich diese Nachricht erwartet? Würde der Absender diesen Weg wählen? Was passiert, wenn ich eine Stunde abwarte und nachfrage? Lautet die Antwort auf die letzte Frage „nichts“, war der Zeitdruck vermutlich gespielt.
Wie KI Phishing und CEO-Fraud glaubwürdiger macht
Laut einer IT-Sicherheitsinformation des BSI vom 22. Juni 2026 lassen sich mit künstlicher Intelligenz zielgerichtete, schwer erkennbare Phishing-Kampagnen effizient umsetzen, gestützt auf Angaben von Firmenwebsite und sozialen Netzwerken. Das Amt nennt außerdem Deepfake-Videos in Online-Meetings und gefälschte Stimmen am Telefon (BSI-IT-Sicherheitsinformation zu KI (externe Website), Stand: Oktober 2026).
Besonders deutlich wird das beim CEO-Fraud: Die Täter treten als Chefin oder Chef auf. Ein denkbarer Fall: Die Prokuristin eines Landmaschinenhändlers wird kurzfristig in eine Online-Besprechung gebeten, in der scheinbar ihr Geschäftsführer sitzt. Bild und Stimme wirken echt, und sie soll noch heute die Bankverbindung eines wichtigen Lieferanten ändern. Auf ihre Frage nach dem vereinbarten Stichwort für Eilfälle weicht er aus und beendet das Gespräch. Ein Rückruf auf seiner bekannten Mobilnummer zeigt: Der echte Geschäftsführer wusste von nichts.
Verlassen Sie sich deshalb nicht auf Augen und Ohren, sondern sichern Sie den Ablauf:
- Zahlungen und Änderungen von Bankverbindungen nur nach Rückruf über eine bereits bekannte Nummer
- Freigabe ungewöhnlicher Überweisungen durch eine zweite Person, auch wenn die Geschäftsführung drängt
- ein vereinbartes Stichwort für echte Ausnahmefälle, das nirgends schriftlich in Postfächern steht
Hinter all dem steckt Social Engineering: Die Täter nutzen Respekt, Hilfsbereitschaft und Zeitdruck aus.
Technische Schutzschichten: Filter, DMARC, MFA
Technik stoppt nicht jede Fälschung, nimmt Ihrem Team aber viele Entscheidungen ab. Drei Schichten ergänzen sich:
- Filter vor dem Postfach: Ein vorgelagerter Filter sortiert Spam und Schadsoftware aus, prüft Links und Anhänge und legt Zweifelsfälle in eine Quarantäne. Ein Hinweis bei externen Absendern macht gefälschte „interne“ Nachrichten leichter erkennbar.
- Absender-Authentifizierung: Mit SPF, DKIM und DMARC legen Sie für Ihre Domain fest, welche Server in Ihrem Namen senden dürfen und wie Empfänger mit Fälschungen umgehen sollen. Nachrichten, die Ihre Absenderadresse missbrauchen, können diese dann eher aussortieren. Eine fremde Domain, die Ihrer nur ähnelt, erfasst DMARC dagegen nicht. Die aktuelle Fassung des Standards erschien 2026 als RFC 9989 (externe Website) (Stand: Oktober 2026).
- Geschützte Anmeldung: Eine Multi-Faktor-Authentifizierung sorgt dafür, dass ein erbeutetes Kennwort allein nicht genügt. Einmalcodes und Bestätigungen über einen zweiten Kanal wie eine App lassen sich allerdings über eine gefälschte Seite weiterreichen. Das US-Normungsinstitut NIST stuft solche Verfahren in seiner Richtlinie SP 800-63B-4 (externe Website) vom Juli 2025 deshalb nicht als phishing-resistent ein (Stand: Oktober 2026). Diese Eigenschaft erfüllen etwa Passkeys und Hardware-Sicherheitsschlüssel: Sie prüfen kryptografisch, für welche Domain die Anmeldung gilt, und liefern einer nachgebauten Seite keinen gültigen Nachweis.
Wie wir Filter, Domaineinträge und Anmeldeschutz einrichten, beschreibt unsere Seite zur E-Mail-Sicherheit für Unternehmen.
Richtig reagieren: melden statt klicken
Ein Verdacht kostet nichts, ein Klick unter Umständen viel. Legen Sie deshalb fest, wohin verdächtige Nachrichten gehen: eine Meldeschaltfläche im Mailprogramm, eine feste Adresse oder die Rufnummer Ihrer IT-Betreuung. Leiten Sie eine verdächtige Mail nicht zur Rückfrage an Kolleginnen und Kollegen weiter, denn mit jeder Weiterleitung kann eine weitere Person klicken.
Ist es doch passiert, gilt diese Reihenfolge, die alle vorab kennen sollten:
- Melden: Sagen Sie Ihrer IT-Betreuung Bescheid, was angeklickt, geöffnet oder eingegeben wurde.
- Gerät trennen: Wurde ein Anhang geöffnet, nehmen Sie das Gerät vom Netz – Netzwerkkabel ziehen, WLAN aus –, lassen es aber eingeschaltet, bis die IT entscheidet.
- Kennwort ändern: Wurden Zugangsdaten eingegeben, ändern Sie das Kennwort von einem anderen, unverdächtigen Gerät aus. Die IT beendet offene Sitzungen und prüft, ob neue Weiterleitungen oder Anmeldemethoden hinzugekommen sind.
- Festhalten: Notieren Sie Uhrzeit, Absender und Betreff. Löschen Sie die Mail nicht, sie hilft bei der Auswertung.
Dafür braucht es eine Kultur ohne Schuldzuweisung: Wer zehn Minuten nach dem Klick Bescheid gibt, hilft mehr als jemand, der aus Scham schweigt. Welche weiteren Schutzbausteine dazugehören, zeigt unsere Seite zur IT-Sicherheit für Unternehmen.
Sensibilisierung im Team
Kurze, wiederkehrende Formate wirken nachhaltiger als eine jährliche Pflichtschulung:
- Fünf Minuten in der Teamrunde: Eine echte, anonymisierte Betrugsmail aus dem eigenen Postfach wird gemeinsam auseinandergenommen.
- Einweisung für neue Mitarbeitende: Meldeweg, Rückrufregel und Ansprechperson gehören in die ersten Arbeitstage.
- Mehr Tiefe für exponierte Rollen: Buchhaltung, Personalabteilung und Assistenz der Geschäftsführung lernen die Maschen ihres Bereichs kennen.
- Rückmeldung auf Meldungen: Wer eine verdächtige Mail meldet, erfährt, ob sie gefährlich war.
Mehr zum Begriff Security Awareness steht im Glossar. Richten wir Ihre E-Mail-Sicherheit ein, zeigen wir Ihrem Team auf Wunsch in einer kurzen Einweisung Warnsignale und Meldeweg.
Möchten Sie wissen, wie Ihr Team auf eine realistische Betrugsmail reagiert? Phishing-Simulationen und Schulungskampagnen bietet unser Partner für offensive IT-Sicherheit, die Rootsektor IT-Security GmbH: Security Awareness und Phishing-Simulation bei Rootsektor (externe Website).
Checkliste: Phishing-Schutz im Unternehmen
- Vorgelagerter Filter mit Quarantäne und Hinweis auf externe Absender ist eingerichtet
- SPF, DKIM und DMARC sind eingerichtet, SPF und DMARC auch für Domains ohne Mailversand
- Alle Konten sind mit einem zweiten Faktor geschützt, Administratorkonten möglichst phishing-resistent
- Automatische Weiterleitungen nach außen sind gesperrt oder lösen eine Warnung aus
- Ein Meldeweg für verdächtige Nachrichten ist bekannt und erreichbar
- Rückruf über bekannte Nummer und Freigabe durch eine zweite Person sind für Zahlungen festgelegt
- Kurze Auffrischungen finden regelmäßig statt, neue Mitarbeitende werden eingewiesen
Wie weit Ihre Maßnahmen schon reichen, klärt ein IT-Sicherheitscheck, der auch Filter, Anmeldeschutz und Meldewege betrachtet.
Fazit: Auf den Ablauf achten, nicht auf die Optik
Setzen Sie auf feste Regeln statt auf das Bauchgefühl: Rückruf über bekannte Wege, zweite Freigabe bei Zahlungen, ein Meldeweg ohne Schuldzuweisung – ergänzt um Filter, DMARC und einen zweiten Anmeldefaktor. Beginnen Sie mit dem Punkt der Checkliste, der bei Ihnen am deutlichsten fehlt. Für den ersten Schritt bieten wir eine kostenlose Beratung an.
Häufige Fragen
Was ist bei Phishing-Simulationen im eigenen Unternehmen zu beachten?
Kündigen Sie Simulationen zumindest allgemein an und werten Sie die Ergebnisse nur zusammengefasst aus. Einen Betriebsrat binden Sie früh ein. Eine Simulation kann als technische Einrichtung gelten, die das Verhalten der Beschäftigten überwacht, und dann der Mitbestimmung unterliegen (§ 87 Abs. 1 Nr. 6 BetrVG). Beteiligen Sie auch Ihre Datenschutzansprechperson. Diese Hinweise ersetzen keine Rechtsberatung.
Sind QR-Codes in E-Mails ein Phishing-Risiko?
Ja, denn hinter einem QR-Code kann ebenso eine gefälschte Anmeldeseite stecken wie hinter einem Link. Das Ziel ist vor dem Scannen nicht zu sehen, und geöffnet wird es mit der Kamera des Smartphones, also außerhalb des Arbeitsplatzrechners und seiner Schutzprogramme. Nicht jeder Filter kann den Inhalt eines Bildes auswerten. Verlangt eine Mail per QR-Code eine Anmeldung oder Zahlung, rufen Sie den Dienst besser über die gewohnte App auf.
Muss ein Phishing-Vorfall der Datenschutzaufsicht gemeldet werden?
Ja, wenn dabei der Schutz personenbezogener Daten verletzt wurde, etwa weil Unbefugte ein Postfach einsehen konnten. Die Meldung an die zuständige Aufsichtsbehörde ist dann ohne Verzögerung fällig, nach Möglichkeit binnen 72 Stunden ab Kenntnis (Art. 33 DSGVO). Ausgenommen sind Fälle, in denen den Betroffenen voraussichtlich kein Risiko für ihre Rechte und Freiheiten droht. Dokumentieren Sie den Vorfall trotzdem und klären Sie die Meldepflicht mit Ihrer Ansprechperson für Datenschutz nach DSGVO. Eine Rechtsberatung ersetzt diese Antwort nicht.
Was tun wir, wenn Kunden gefälschte E-Mails in unserem Namen erhalten?
Warnen Sie die betroffene Kundschaft auf einem bekannten Weg und bitten Sie, Zahlungsaufforderungen mit neuer Bankverbindung telefonisch bei Ihnen zu bestätigen. Prüfen Sie dann, ob die Mails Ihre eigene Domain missbrauchen oder von einer ähnlich geschriebenen stammen. Im ersten Fall erschwert eine strenge DMARC-Richtlinie weitere Fälschungen. Im zweiten Fall helfen vor allem Aufklärung und, nach rechtlicher Prüfung, ein Vorgehen gegen die fremde Domain.
Kostenlose Beratung
Weiß in Ihrem Team jeder, wohin eine verdächtige Mail gehört?
Für Filter, Anmeldeschutz und Meldeweg schlagen wir Ihnen die nächsten sinnvollen Schritte vor.
Transparenzhinweis: Dieser Beitrag ist mit Unterstützung von KI-Werkzeugen entstanden. Die redaktionelle Verantwortung für Inhalt und Aussagen liegt bei der ProNet Systems GmbH.
