Phishing bezeichnet den Versuch, über gefälschte Nachrichten an Zugangsdaten, interne Informationen oder Geld zu gelangen. E-Mails sind dabei ein besonders häufig genutzter Übertragungsweg. Die Nachricht kann wie eine Mitteilung eines Dienstleisters, einer Bank, einer Behörde, eines Kollegen oder der eigenen IT-Abteilung aussehen. Häufig führt sie zu einer gefälschten Anmeldeseite oder fordert zu einer Zahlung, einer Dateiöffnung oder einer vertraulichen Auskunft auf.
Für Mitarbeitende besteht die Herausforderung darin, dass moderne Phishing-Mails nicht immer durch auffällige Rechtschreibfehler oder eine offensichtlich fremde Absenderadresse zu erkennen sind. Angreifende können öffentliche Informationen verwenden, bestehende Kommunikationsmuster nachahmen und Nachrichten zeitlich passend versenden. Deshalb sollte die Prüfung nicht auf einem einzelnen Merkmal beruhen. Entscheidend ist die Kombination aus Absender, Inhalt, Erwartbarkeit, Verlinkung und geforderter Handlung.
Eine gesunde Vorsicht bedeutet nicht, jede Nachricht pauschal als gefährlich einzustufen. Ziel ist eine kurze, wiederholbare Prüfroutine, die im Arbeitsfluss angewendet werden kann, bevor ein Link geöffnet, ein Anhang gestartet, ein Passwort eingegeben oder eine Zahlung freigegeben wird.
Viele Mailprogramme zeigen neben dem Namen nur einen vertrauten Anzeigenamen an. Dieser Name lässt sich jedoch fälschen. Für die Prüfung muss die vollständige Absenderadresse eingeblendet werden. Relevant sind insbesondere der Teil nach dem @-Zeichen sowie die genaue Schreibweise der Domain.
Eine Domain wie beispiel-support.de ist nicht automatisch dem Anbieter beispiel.de zuzuordnen. Auch eine Adresse mit einem bekannten Begriff im ersten Teil kann zu einer völlig anderen Domain gehören. Bei internationalem Schriftverkehr können außerdem ähnlich aussehende Zeichen aus anderen Zeichensätzen verwendet werden.
Die Absenderadresse liefert einen wichtigen Hinweis, stellt aber keinen Beweis für die Echtheit dar. Auch kompromittierte echte Konten können für Phishing missbraucht werden. Eine erwartete Absenderadresse sollte daher mit dem Inhalt und der geforderten Handlung zusammenpassen.
Phishing-Nachrichten arbeiten oft mit Dringlichkeit. Typische Betreffzeilen kündigen eine Kontosperrung, eine ausstehende Zahlung, eine angebliche Sicherheitsprüfung oder eine kurzfristig zu erledigende Freigabe an. Der zeitliche Druck soll verhindern, dass Empfänger die Nachricht in Ruhe prüfen oder Rücksprache halten.
Verdächtig kann eine ungewohnte Anrede sein, etwa wenn eine Nachricht aus einem vertrauten Prozess plötzlich sehr allgemein formuliert ist. Auch ein unerwarteter Sprachwechsel, ein unpassender Ton oder ungewöhnliche Formulierungen können Hinweise liefern. Fehlerfreie Texte sind allerdings kein Sicherheitsbeweis. Sprachmodelle, Übersetzungsdienste und Vorlagen ermöglichen inzwischen überzeugende Formulierungen.
Hilfreich sind Vergleichsfragen:
Ein dringender Ton ist kein Beweis für Betrug, aber ein Anlass, die Handlung außerhalb der Nachricht zu verifizieren.
Ein Link in einer E-Mail kann zu einer gefälschten Anmeldeseite führen, Schadsoftware bereitstellen oder eine unerwünschte Aktion auslösen. Vor dem Anklicken lässt sich die Zieladresse in vielen Mailprogrammen anzeigen, indem der Mauszeiger über dem Link bleibt. Auf mobilen Geräten kann je nach Anwendung ein längeres Antippen eine Vorschau einblenden. Dabei sollte nicht versehentlich die Zielseite geöffnet werden.
Die sichtbare Linkbeschriftung ist nicht maßgeblich. Hinter dem Text „Konto prüfen“ kann eine völlig andere Adresse liegen. Bei der Bewertung helfen folgende Punkte:
Das Schloss-Symbol im Browser bestätigt eine verschlüsselte Verbindung, nicht die Vertrauenswürdigkeit des Anbieters. Auch betrügerische Seiten können verschlüsselt übertragen werden. Für Anmeldungen sollte die bekannte Webadresse über ein Lesezeichen oder durch manuelle Eingabe aufgerufen werden, nicht über den Link in der verdächtigen Nachricht.
Ein unerwarteter Anhang verdient eine Prüfung, auch wenn der Dateiname zu einem aktuellen Vorgang passt. Gefährlich können ausführbare Dateien, Office-Dokumente mit aktivierbaren Makros, Skripte, Archivdateien und Dateien mit mehrdeutigen Endungen sein. Ein Dateiname wie Rechnung.pdf.exe kann je nach Anzeige so wirken, als handele es sich um ein PDF. Deshalb sollten bekannte Dateiendungen im Betriebssystem eingeblendet werden.
Auch ein PDF oder ein Bild ist nicht automatisch harmlos. Dateien können auf betrügerische Webseiten verweisen oder Sicherheitslücken ausnutzen. Besonders kritisch ist die Aufforderung, Schutzmechanismen zu deaktivieren, Inhalte zu aktivieren oder eine zusätzliche Software zu installieren.
Vor dem Öffnen sollte geprüft werden:
Bei Unsicherheit sollte der Anhang nicht geöffnet werden. Die Datei kann nach dem internen Sicherheitsprozess an die zuständige IT-Stelle oder an den vorgesehenen Meldekanal weitergegeben werden. Eine verdächtige Datei sollte nicht eigenständig an private Konten weitergeleitet werden.
Ein besonders hohes Risiko besteht, wenn eine Nachricht zu einer Überweisung, einer Änderung von Bankdaten oder der Herausgabe vertraulicher Informationen auffordert. Angreifende geben sich dabei beispielsweise als Führungskraft, Lieferant oder Geschäftspartner aus. Der Text kann auf eine laufende Rechnung, eine angebliche Geheimhaltung oder eine kurzfristige Geschäftsentscheidung Bezug nehmen.
Zu schützende Informationen sind unter anderem Passwörter, Wiederherstellungscodes, Kreditkartendaten, Personalinformationen, Kundendaten, interne Dokumente und Zugangsdaten zu Cloud-Diensten. Seriöse Abläufe sollten niemals dadurch ersetzt werden, dass eine vertraute Kontrollstufe aus Zeitgründen entfällt.
Bei finanziellen oder besonders sensiblen Vorgängen sollte eine unabhängige Rückfrage erfolgen. Dafür wird nicht die Telefonnummer aus der E-Mail verwendet. Stattdessen kommt ein bereits bekannter Kontaktweg zum Einsatz, etwa eine Telefonnummer aus dem internen Verzeichnis, ein bestehender Chat oder ein zuvor gespeicherter Geschäftskontakt. Die Rückfrage sollte die gewünschte Handlung ausdrücklich bestätigen lassen, ohne geheime Daten zu übermitteln.
Auch eine Nachricht aus einem echten, bereits kompromittierten Postfach kann eine solche Anfrage enthalten. Die Unabhängigkeit des zweiten Kommunikationswegs ist deshalb wichtiger als ein vertrauter Anzeigename.
Eine feste Reihenfolge reduziert Fehlentscheidungen, besonders wenn die Nachricht unter Zeitdruck eintrifft. Die folgende Routine kann als interne Kurzprüfung verwendet werden:
Wenn mehrere Warnsignale zusammenkommen, sollte die Nachricht als verdächtig behandelt werden. Eine vorsichtige Meldung verursacht in der Regel weniger Schaden als eine ungeprüfte Eingabe von Zugangsdaten.
Ein Fehlklick bedeutet nicht automatisch, dass ein Gerät oder Konto kompromittiert wurde. Entscheidend ist, was danach passiert ist. Wurde nur eine Seite geöffnet, ohne Daten einzugeben oder eine Datei zu starten, bleibt das Risiko anders einzuschätzen als nach der Eingabe eines Passworts oder dem Öffnen eines unbekannten Programms.
Nach einem verdächtigen Vorgang sollten Mitarbeitende den internen Sicherheitskontakt möglichst sofort informieren. Dabei gehören Zeitpunkt, Absender, Betreff, angeklickter Link und die bereits ausgeführten Schritte zur Meldung. Die Originalnachricht sollte nach Möglichkeit erhalten bleiben, statt sie vor der Sicherung zu löschen oder zu verändern.
Wurde ein Passwort eingegeben, muss es über einen bekannten, nicht aus der Nachricht stammenden Zugang geändert werden. Dasselbe Passwort darf nicht bei weiteren Diensten verwendet werden. Falls ein Einmalcode, Wiederherstellungscode oder eine Freigabe bestätigt wurde, sollte dies ausdrücklich gemeldet werden. Die zuständige Stelle kann Sitzungen beenden, Tokens zurücksetzen, Konten prüfen und weitere Schutzmaßnahmen einleiten.
Bei einem geöffneten Anhang sollte das Gerät nicht eigenständig weiter untersucht oder die verdächtige Datei an andere Personen verteilt werden. Netzwerkverbindungen dürfen nur nach dem geltenden Notfallprozess getrennt werden, da eine unkoordinierte Maßnahme die Analyse erschweren kann. Entscheidend ist eine schnelle, sachliche Meldung ohne Schuldzuweisung.
Ein funktionierender Meldeweg muss für alle Mitarbeitenden bekannt und erreichbar sein. Je nach Umgebung kann die Meldung über eine integrierte Funktion im Mailprogramm, ein Ticketsystem oder eine festgelegte interne Adresse erfolgen. Wichtig ist, dass nicht jede Person eigene Regeln entwickelt und verdächtige Nachrichten an beliebige Empfänger weiterleitet.
Für die Analyse sind möglichst vollständige Informationen hilfreich:
Die Nachricht sollte nicht an externe Stellen weitergeleitet werden, wenn sie personenbezogene oder interne Informationen enthält. Ein Screenshot kann ergänzend nützlich sein, ersetzt jedoch nicht immer die Originalnachricht mit ihren technischen Informationen. Nach der Meldung sollte die interne Vorgabe entscheiden, ob die Nachricht gelöscht, isoliert oder zur Untersuchung aufbewahrt wird.
Eine zeitnahe Meldung schützt auch Kolleginnen und Kollegen. Sicherheitsverantwortliche können ähnliche Nachrichten erkennen, Filterregeln anpassen und betroffene Konten gezielt prüfen.
Technische Kontrollen bilden eine wichtige Schutzschicht, verhindern jedoch nicht jede Täuschung. Spam- und Phishing-Filter können verdächtige Nachrichten markieren oder blockieren. Mehrstufige Anmeldung erschwert den Missbrauch gestohlener Passwörter. Aktuelle Systeme, sichere Browser, Zugriffsbegrenzungen und getrennte Berechtigungen reduzieren die möglichen Folgen eines Fehlers.
Für kleine Betriebe ist eine nachvollziehbare Grundausstattung besonders wichtig:
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt in seinen Empfehlungen zur IT-Sicherheit für Unternehmen die Bedeutung organisatorischer und technischer Maßnahmen. Dazu gehört auch, Verantwortlichkeiten festzulegen und Sicherheitsvorfälle zu behandeln. Sicherheitsbewusstsein sollte daher nicht als einmalige Unterweisung verstanden werden, sondern als wiederkehrender Bestandteil des Arbeitsalltags.
| Beobachtung | Warum sie auffällt | Empfohlene Reaktion |
|---|---|---|
| Ungewohnter Absender oder ähnliche Domain | Der Anzeigename kann eine fremde Adresse verdecken. | Vollständige Domain prüfen und bei Bedarf unabhängig nachfragen. |
| Starker Zeitdruck oder Drohung | Stress soll die normale Kontrolle umgehen. | Vorgang unterbrechen und über einen bekannten Kanal bestätigen. |
| Link zu einer Anmeldung | Die Zielseite kann Zugangsdaten abfangen. | Bekannte Webadresse manuell oder über ein gespeichertes Lesezeichen aufrufen. |
| Unerwarteter Anhang | Dateien können Schadsoftware enthalten oder zu weiteren Täuschungen führen. | Nicht öffnen und nach dem internen Prozess melden. |
| Änderung von Bankdaten | Der Vorgang kann auf eine Zahlungsumleitung zielen. | Über einen unabhängigen Kontaktweg bestätigen. |
| Bitte um Passwort oder Einmalcode | Diese Angaben ermöglichen den Zugriff auf Konten. | Nicht übermitteln und Nachricht sofort melden. |
Ja. Ein echtes Postfach kann kompromittiert worden sein. Deshalb müssen Inhalt, Erwartbarkeit, Linkziel und geforderte Handlung ebenfalls geprüft werden.
Nein. Fehler können ein Warnsignal sein, beweisen aber keinen Betrug. Umgekehrt können betrügerische Nachrichten sprachlich professionell wirken. Die Gesamtbewertung ist entscheidend.
Nein. Das Symbol weist auf eine verschlüsselte Verbindung hin. Es sagt nicht aus, dass die aufgerufene Website zu einer vertrauenswürdigen Organisation gehört.
Keine Links öffnen, keine Anhänge starten und keine Daten eingeben. Danach sollte die Nachricht über den festgelegten internen Meldeweg weitergegeben werden.
Eine Antwort auf dieselbe E-Mail kann bei einem kompromittierten Postfach ebenfalls bei der angreifenden Person landen. Ein bereits bekannter, unabhängiger Kontaktweg reduziert dieses Risiko.
