Es ist ein ganz normaler Dienstagvormittag. Eine E-Mail von der Sparkasse: „Ungewöhnliche Kontoaktivität festgestellt — bitte bestätigen Sie Ihre Zugangsdaten." Die E-Mail sieht aus wie immer. Logo, Schriftart, Fußzeile — alles stimmt. Ihre Mitarbeiterin klickt auf den Link und gibt ihr Passwort ein.
Sekunden später haben Kriminelle Zugriff auf Ihr E-Mail-Postfach, Ihre Kontakte — und alles, was dahinterliegt. Das war keine Sparkassen-E-Mail.
Laut BSI-Lagebericht 2024 beginnen über 90 Prozent aller erfolgreichen Cyberangriffe auf Unternehmen mit einer Phishing-E-Mail. Kein Softwarefehler, keine Zero-Day-Lücke — ein Klick reicht.
Phishing ist keine Frage der Dummheit — es ist eine Frage der Täuschung. Moderne Angriffe sind so präzise auf Ihre Organisation zugeschnitten, dass selbst IT-erfahrene Mitarbeiter darauf hereinfallen. Technischer Schutz allein reicht nicht.
Was ist Phishing — und wie hat es sich verändert?
Phishing bezeichnet den Versuch, durch gefälschte E-Mails, Webseiten oder Nachrichten vertrauliche Daten zu stehlen oder Schadsoftware zu installieren. Der Begriff leitet sich vom englischen „fishing" ab — die Angreifer werfen einen Köder aus und warten, bis jemand anbeißt.
Was vor zehn Jahren noch leicht erkennbar war (schlechtes Deutsch, generische Anrede, verdächtige Links), ist heute hochgradig professionalisiert:
| Angriffstyp | Ziel | Gefährdung |
|---|---|---|
| Massen-Phishing | Beliebige Empfänger, Zugangsdaten stehlen | Mittel |
| Spear-Phishing | Gezielt auf Person/Unternehmen, täuschend echt | Sehr hoch |
| CEO-Fraud / BEC | Mitarbeiter zur Überweisung verleiten | Existenzbedrohend |
| Smishing | Phishing per SMS (Paketbenachrichtigungen etc.) | Mittel |
| Vishing | Phishing per Telefon (Bankmitarbeiter etc.) | Hoch |
Besonders gefährlich ist Spear-Phishing: Angreifer recherchieren vorab auf LinkedIn, der Website und in sozialen Netzwerken. Die E-Mail kennt Ihren Namen, Ihre Rolle, Ihren Vorgesetzten und verweist auf aktuelle Projekte. Der Absendername ist identisch mit dem Ihres Steuerberaters. Nur die E-Mail-Adresse weicht um einen einzigen Buchstaben ab — und wer prüft das schon?
Woran erkennen Sie eine Phishing-Mail?
Auch wenn moderne Angriffe immer schwerer zu entlarven sind — es gibt Muster, die zuverlässig auf Phishing hindeuten. Schulen Sie sich und Ihre Mitarbeiter auf diese Warnsignale:
- 1 Künstliche Dringlichkeit: „Ihr Konto wird in 24 Stunden gesperrt", „Sofortige Aktion erforderlich", „Letzte Warnung" — Druck soll das kritische Denken ausschalten. Seriöse Institutionen drohen nicht per E-Mail.
- 2 Absenderadresse genau prüfen: Der Anzeigename kann frei gewählt werden. Entscheidend ist die tatsächliche Adresse. „sparkasse@spar-kasse-online.de" ist nicht die Sparkasse. Achten Sie auf Tippfehler, Bindestriche und ungewöhnliche Domains.
- 3 Links vor dem Klick prüfen: Fahren Sie mit der Maus über einen Link — ohne zu klicken. Die tatsächliche Zieladresse erscheint in der Statusleiste. Stimmt sie nicht mit dem angezeigten Text überein, ist es Phishing.
- 4 Anfragen nach Zugangsdaten oder Zahlungen: Keine Bank, kein Softwareanbieter und kein Dienstleister wird Sie per E-Mail auffordern, Passwörter einzugeben oder Überweisungen zu tätigen. Niemals. Ohne Ausnahme.
- 5 Unerwartete Anhänge: Wurde die Datei bestellt? Wenn nicht, nicht öffnen. Besonders gefährlich: .docx, .pdf und .zip — Formate, die harmlos wirken, aber Makros oder Schadsoftware enthalten können.
- 6 Ungewöhnlicher Kontext: Eine E-Mail von Ihrem Steuerberater außerhalb der üblichen Kommunikation? Ein Lieferant, mit dem Sie nie digital kommuniziert haben, schickt plötzlich eine Rechnung? Im Zweifel: anrufen — nicht antworten.
CEO-Fraud: Wenn der Chef Geld überweisen lässt
Business E-Mail Compromise (BEC) ist die kostspieligste Phishing-Variante. Das FBI schätzt den weltweiten Schaden auf über 50 Milliarden US-Dollar allein in den letzten zehn Jahren — und Deutschland ist eines der Hauptziele in Europa.
Das Prinzip: Angreifer geben sich als Geschäftsführer, Partner oder Lieferant aus und veranlassen Mitarbeiter zu einer dringenden Überweisung. Meist kurz vor Feierabend, kurz vor einem Wochenende — wenn niemand mehr nachfragen kann.
Eine Rechtsanwaltskanzlei erhält eine E-Mail vom „Mandanten": Eine Immobilientransaktion stehe kurz vor dem Abschluss, das Geld müsse noch heute auf ein neues Treuhandkonto überwiesen werden. Die E-Mail-Adresse weicht nur um einen Buchstaben ab. Der zuständige Sachbearbeiter überweist 240.000 €. Das Geld ist binnen Stunden auf Konten in Drittländern verschwunden.
Schutz: Etablieren Sie ein Vier-Augen-Prinzip für Überweisungen ab einem definierten Betrag. Wichtig: Bestätigungen niemals per E-Mail einholen — immer telefonisch, auf einer bekannten, selbst herausgesuchten Nummer.
Technische Schutzmaßnahmen — und ihre Grenzen
Moderne E-Mail-Sicherheitstechnologien können viele Phishing-Mails abfangen, bevor sie den Posteingang erreichen. Sie sollten in jeder Organisation aktiv sein:
| Maßnahme | Was sie tut | Schützt vor |
|---|---|---|
| SPF / DKIM / DMARC | E-Mail-Authentifizierung für Ihre Domain | Domain-Spoofing (jemand sendet als Sie) |
| Spam-Filter (KI-basiert) | Erkennt Muster bekannter Phishing-Kampagnen | Massen-Phishing, bekannte Varianten |
| Multi-Faktor-Authentifizierung (MFA) | Konto bleibt gesperrt, selbst wenn Passwort gestohlen | Credential-Theft (gestohlene Passwörter) |
| Link-Sandboxing | Prüft Links auf schädliche Ziele vor dem Öffnen | Viele — aber nicht alle — schädlichen Links |
| Mitarbeiterschulung | Menschen lernen, Phishing zu erkennen | Spear-Phishing, CEO-Fraud, neuartige Angriffe |
Das entscheidende Problem: MFA schützt das Konto, aber nicht das Geld. Wenn ein Mitarbeiter durch CEO-Fraud eine Überweisung auslöst, greift keine technische Maßnahme mehr. Und selbst mit MFA kann ein Angreifer, der Zugang zu einem E-Mail-Konto erlangt, Monate lang im Verborgenen Kommunikation mitlesen, Transaktionen umleiten und Vertrauen aufbauen — bis er zuschlägt.
Was tun, wenn jemand auf eine Phishing-Mail hereingefallen ist?
Schnelles Handeln begrenzt den Schaden. Die ersten Minuten sind entscheidend.
- 1 Ruhe bewahren und IT informieren: Kein Herunterfahren, kein Neustart. IT-Verantwortlichen oder externen Dienstleister sofort anrufen — nicht per E-Mail, da das Postfach möglicherweise kompromittiert ist.
- 2 Gerät vom Netzwerk trennen: LAN-Kabel ziehen, WLAN deaktivieren. Verhindert, dass sich Schadsoftware im gesamten Netzwerk ausbreitet.
- 3 Passwörter ändern — von einem anderen Gerät: Alle betroffenen Konten über ein sauberes Gerät (Smartphone, anderer Rechner) sichern. Beginnen Sie mit E-Mail, dann Bankkonto, dann alles Weitere.
- 4 Bank kontaktieren: Wurde eine Überweisung ausgelöst? Sofort anrufen. Innerhalb der ersten Stunden lassen sich Transaktionen häufig noch stoppen oder rückbuchen.
- 5 Cyberversicherung — Notfall-Hotline anrufen: Falls eine Cyberversicherung besteht: Das ist jetzt Ihr wichtigster Anruf. Der Versicherer koordiniert IT-Forensiker, Anwälte und Krisenkommunikation — und übernimmt die Kosten.
- 6 DSGVO prüfen: Wurden personenbezogene Daten abgeflossen? Dann gilt die 72-Stunden-Meldepflicht nach Art. 33 DSGVO. Die Frist läuft ab dem Moment, in dem Sie von dem Vorfall erfahren.
Was Cyberversicherung bei Phishing leistet
Phishing ist kein Randproblem — es ist der häufigste Einstiegsweg für schwere Cyberangriffe. Eine spezialisierte Cyberversicherung deckt die Folgeschäden ab, die technische Maßnahmen nicht verhindern konnten:
| Schadensszenario | Ohne Versicherung | Mit Cyberversicherung |
|---|---|---|
| Ransomware via Phishing-Link | IT-Forensik + Wiederherstellung: 20.000–60.000 € | Gedeckt inkl. Forensiker-Koordination |
| Gestohlene Zugangsdaten | Datenverlust, Missbrauch, Behördenbuße | Forensik + DSGVO-Beratung gedeckt |
| CEO-Fraud / Überweisung | Vermögensschaden oft unrettbar | Teilweise gedeckt (je nach Police) |
| Betriebsunterbrechung | Umsatzausfall über Wochen | Betriebsunterbrechungsschaden gedeckt |
| Reputationsschaden | Krisenkommunikation selbst organisieren | PR-Krisenmanagement inkludiert |
Ein wichtiger Hinweis zur CEO-Fraud-Abdeckung: Nicht jede Cyberversicherung deckt den direkten Vermögensschaden durch Überweisungsbetrug ab. Manche Policen schließen das explizit aus oder begrenzen die Summe stark. Genau hier lohnt sich ein unabhängiger Vergleich — bevor der Schaden eintritt.
Phishing lässt sich nicht vollständig verhindern — aber der Schaden lässt sich begrenzen. Technische Maßnahmen (MFA, SPF/DKIM/DMARC) reduzieren das Risiko. Mitarbeiterschulungen erhöhen die Erkennungsrate. Und eine spezialisierte Cyberversicherung sorgt dafür, dass ein erfolgreicher Angriff kein existenzielles Ereignis wird.
Häufige Fragen zu Phishing
Woran erkenne ich eine Phishing-E-Mail zuverlässig?
Typische Merkmale: künstliche Dringlichkeit, leicht abweichende Absenderadressen, Links die nicht zur genannten Domain führen, Anfragen nach Passwörtern oder Zahlungen. Modernes Spear-Phishing ist jedoch oft täuschend echt. Im Zweifel: den Absender telefonisch auf einer bekannten Nummer kontaktieren — niemals per Antwort-E-Mail.
Was tun, wenn ich auf eine Phishing-Mail hereingefallen bin?
Sofort: Gerät vom Netzwerk trennen (LAN-Kabel, WLAN aus), IT informieren, betroffene Passwörter über ein sicheres Gerät ändern, Bank kontaktieren falls Zugangsdaten für Finanzsysteme betroffen sind. Falls eine Cyberversicherung besteht: Notfall-Hotline anrufen — die koordiniert alle weiteren Schritte und übernimmt die Kosten.
Zahlt die Cyberversicherung bei einem Phishing-Schaden?
Ja, wenn die Police entsprechende Klauseln enthält. Abgedeckt sind typischerweise: IT-Forensik, Systemwiederherstellung, Betriebsunterbrechungsschaden und DSGVO-Rechtsbeistand. Bei CEO-Fraud und direktem Vermögensschaden durch Überweisungsbetrug kommt es stark auf die individuelle Police an — nicht jeder Tarif deckt das ab. Ein unabhängiger Vergleich lohnt sich.
Reicht Multi-Faktor-Authentifizierung als Schutz vor Phishing?
MFA ist unverzichtbar und schützt sehr effektiv vor Credential-Theft — also davor, dass ein gestohlenes Passwort allein zum Kontenzugang reicht. MFA schützt jedoch nicht vor CEO-Fraud (Überweisungsbetrug), vor dem versehentlichen Download von Schadsoftware oder vor dem Abfluss von Daten, die im Browser geöffnet waren. MFA ist eine Schicht von mehreren — kein Allheilmittel.