Es ist ein ganz normaler Dienstagvormittag. Eine E-Mail von der Sparkasse: „Ungewöhnliche Kontoaktivität festgestellt. Bitte bestätigen Sie Ihre Zugangsdaten." Die E-Mail sieht aus wie immer. Logo, Schriftart, Fußzeile. Alles stimmt. Ihre Mitarbeiterin klickt auf den Link und gibt ihr Passwort ein.
Sekunden später haben Kriminelle Zugriff auf Ihr E-Mail-Postfach, Ihre Kontakte. Und alles, was dahinterliegt. Das war keine Sparkassen-E-Mail.
Laut BSI-Lagebericht 2024 beginnen über 90 Prozent aller erfolgreichen Cyberangriffe auf Unternehmen mit einer Phishing-E-Mail. Kein Softwarefehler, keine Zero-Day-Lücke. Ein Klick reicht.
Phishing ist keine Frage der Dummheit. Es ist eine Frage der Täuschung. Moderne Angriffe sind so präzise auf Ihre Organisation zugeschnitten, dass selbst IT-erfahrene Mitarbeiter darauf hereinfallen. Technischer Schutz allein reicht nicht.
Was ist Phishing. Und wie hat es sich verändert?
Phishing bezeichnet den Versuch, durch gefälschte E-Mails, Webseiten oder Nachrichten vertrauliche Daten zu stehlen oder Schadsoftware zu installieren. Der Begriff leitet sich vom englischen „fishing" ab. Die Angreifer werfen einen Köder aus und warten, bis jemand anbeißt.
Was vor zehn Jahren noch leicht erkennbar war (schlechtes Deutsch, generische Anrede, verdächtige Links), ist heute hochgradig professionalisiert:
| Angriffstyp | Ziel | Gefährdung |
|---|---|---|
| Massen-Phishing | Beliebige Empfänger, Zugangsdaten stehlen | Mittel |
| Spear-Phishing | Gezielt auf Person/Unternehmen, täuschend echt | Sehr hoch |
| CEO-Fraud / BEC | Mitarbeiter zur Überweisung verleiten | Existenzbedrohend |
| Smishing | Phishing per SMS (Paketbenachrichtigungen etc.) | Mittel |
| Vishing | Phishing per Telefon (Bankmitarbeiter etc.) | Hoch |
Besonders gefährlich ist Spear-Phishing: Angreifer recherchieren vorab auf LinkedIn, der Website und in sozialen Netzwerken. Die E-Mail kennt Ihren Namen, Ihre Rolle, Ihren Vorgesetzten und verweist auf aktuelle Projekte. Der Absendername ist identisch mit dem Ihres Steuerberaters. Nur die E-Mail-Adresse weicht um einen einzigen Buchstaben ab. Und wer prüft das schon?
Woran erkennen Sie eine Phishing-Mail?
Auch wenn moderne Angriffe immer schwerer zu entlarven sind. Es gibt Muster, die zuverlässig auf Phishing hindeuten. Schulen Sie sich und Ihre Mitarbeiter auf diese Warnsignale:
- 1 Künstliche Dringlichkeit: „Ihr Konto wird in 24 Stunden gesperrt", „Sofortige Aktion erforderlich", „Letzte Warnung". Druck soll das kritische Denken ausschalten. Seriöse Institutionen drohen nicht per E-Mail.
- 2 Absenderadresse genau prüfen: Der Anzeigename kann frei gewählt werden. Entscheidend ist die tatsächliche Adresse. „sparkasse@spar-kasse-online.de" ist nicht die Sparkasse. Achten Sie auf Tippfehler, Bindestriche und ungewöhnliche Domains.
- 3 Links vor dem Klick prüfen: Fahren Sie mit der Maus über einen Link. Ohne zu klicken. Die tatsächliche Zieladresse erscheint in der Statusleiste. Stimmt sie nicht mit dem angezeigten Text überein, ist es Phishing.
- 4 Anfragen nach Zugangsdaten oder Zahlungen: Keine Bank, kein Softwareanbieter und kein Dienstleister wird Sie per E-Mail auffordern, Passwörter einzugeben oder Überweisungen zu tätigen. Niemals. Ohne Ausnahme.
- 5 Unerwartete Anhänge: Wurde die Datei bestellt? Wenn nicht, nicht öffnen. Besonders gefährlich: .docx, .pdf und .zip. Formate, die harmlos wirken, aber Makros oder Schadsoftware enthalten können.
- 6 Ungewöhnlicher Kontext: Eine E-Mail von Ihrem Steuerberater außerhalb der üblichen Kommunikation? Ein Lieferant, mit dem Sie nie digital kommuniziert haben, schickt plötzlich eine Rechnung? Im Zweifel: anrufen. Nicht antworten.
CEO-Fraud: Wenn der Chef Geld überweisen lässt
Business E-Mail Compromise (BEC) ist die kostspieligste Phishing-Variante. Das FBI schätzt den weltweiten Schaden auf über 50 Milliarden US-Dollar allein in den letzten zehn Jahren. Und Deutschland ist eines der Hauptziele in Europa.
Das Prinzip: Angreifer geben sich als Geschäftsführer, Partner oder Lieferant aus und veranlassen Mitarbeiter zu einer dringenden Überweisung. Meist kurz vor Feierabend, kurz vor einem Wochenende. Wenn niemand mehr nachfragen kann.
Eine Rechtsanwaltskanzlei erhält eine E-Mail vom „Mandanten": Eine Immobilientransaktion stehe kurz vor dem Abschluss, das Geld müsse noch heute auf ein neues Treuhandkonto überwiesen werden. Die E-Mail-Adresse weicht nur um einen Buchstaben ab. Der zuständige Sachbearbeiter überweist 240.000 €. Das Geld ist binnen Stunden auf Konten in Drittländern verschwunden.
Schutz: Etablieren Sie ein Vier-Augen-Prinzip für Überweisungen ab einem definierten Betrag. Wichtig: Bestätigungen niemals per E-Mail einholen. Immer telefonisch, auf einer bekannten, selbst herausgesuchten Nummer.
Technische Schutzmaßnahmen. Und ihre Grenzen
Moderne E-Mail-Sicherheitstechnologien können viele Phishing-Mails abfangen, bevor sie den Posteingang erreichen. Sie sollten in jeder Organisation aktiv sein:
| Maßnahme | Was sie tut | Schützt vor |
|---|---|---|
| SPF / DKIM / DMARC | E-Mail-Authentifizierung für Ihre Domain | Domain-Spoofing (jemand sendet als Sie) |
| Spam-Filter (KI-basiert) | Erkennt Muster bekannter Phishing-Kampagnen | Massen-Phishing, bekannte Varianten |
| Multi-Faktor-Authentifizierung (MFA) | Konto bleibt gesperrt, selbst wenn Passwort gestohlen | Credential-Theft (gestohlene Passwörter) |
| Link-Sandboxing | Prüft Links auf schädliche Ziele vor dem Öffnen | Viele. Aber nicht alle. Schädlichen Links |
| Mitarbeiterschulung | Menschen lernen, Phishing zu erkennen | Spear-Phishing, CEO-Fraud, neuartige Angriffe |
Das entscheidende Problem: MFA schützt das Konto, aber nicht das Geld. Wenn ein Mitarbeiter durch CEO-Fraud eine Überweisung auslöst, greift keine technische Maßnahme mehr. Und selbst mit MFA kann ein Angreifer, der Zugang zu einem E-Mail-Konto erlangt, Monate lang im Verborgenen Kommunikation mitlesen, Transaktionen umleiten und Vertrauen aufbauen. Bis er zuschlägt.
Was tun, wenn jemand auf eine Phishing-Mail hereingefallen ist?
Schnelles Handeln begrenzt den Schaden. Die ersten Minuten sind entscheidend.
- 1 Ruhe bewahren und IT informieren: Kein Herunterfahren, kein Neustart. IT-Verantwortlichen oder externen Dienstleister sofort anrufen. Nicht per E-Mail, da das Postfach möglicherweise kompromittiert ist.
- 2 Gerät vom Netzwerk trennen: LAN-Kabel ziehen, WLAN deaktivieren. Verhindert, dass sich Schadsoftware im gesamten Netzwerk ausbreitet.
- 3 Passwörter ändern. Von einem anderen Gerät: Alle betroffenen Konten über ein sauberes Gerät (Smartphone, anderer Rechner) sichern. Beginnen Sie mit E-Mail, dann Bankkonto, dann alles Weitere.
- 4 Bank kontaktieren: Wurde eine Überweisung ausgelöst? Sofort anrufen. Innerhalb der ersten Stunden lassen sich Transaktionen häufig noch stoppen oder rückbuchen.
- 5 Cyberversicherung. Notfall-Hotline anrufen: Falls eine Cyberversicherung besteht: Das ist jetzt Ihr wichtigster Anruf. Der Versicherer koordiniert IT-Forensiker, Anwälte und Krisenkommunikation. Und übernimmt die Kosten.
- 6 DSGVO prüfen: Wurden personenbezogene Daten abgeflossen? Dann gilt die 72-Stunden-Meldepflicht nach Art. 33 DSGVO. Die Frist läuft ab dem Moment, in dem Sie von dem Vorfall erfahren.
Was Cyberversicherung bei Phishing leistet
Phishing ist kein Randproblem. Es ist der häufigste Einstiegsweg für schwere Cyberangriffe. Eine spezialisierte Cyberversicherung deckt die Folgeschäden ab, die technische Maßnahmen nicht verhindern konnten:
| Schadensszenario | Ohne Versicherung | Mit Cyberversicherung |
|---|---|---|
| Ransomware via Phishing-Link | IT-Forensik + Wiederherstellung: 20.000-60.000 € | Gedeckt inkl. Forensiker-Koordination |
| Gestohlene Zugangsdaten | Datenverlust, Missbrauch, Behördenbuße | Forensik + DSGVO-Beratung gedeckt |
| CEO-Fraud / Überweisung | Vermögensschaden oft unrettbar | Teilweise gedeckt (je nach Police) |
| Betriebsunterbrechung | Umsatzausfall über Wochen | Betriebsunterbrechungsschaden gedeckt |
| Reputationsschaden | Krisenkommunikation selbst organisieren | PR-Krisenmanagement inkludiert |
Ein wichtiger Hinweis zur CEO-Fraud-Abdeckung: Nicht jede Cyberversicherung deckt den direkten Vermögensschaden durch Überweisungsbetrug ab. Manche Policen schließen das explizit aus oder begrenzen die Summe stark. Genau hier lohnt sich ein produktneutraler Vergleich. Bevor der Schaden eintritt.
Phishing lässt sich nicht vollständig verhindern. Aber der Schaden lässt sich begrenzen. Technische Maßnahmen (MFA, SPF/DKIM/DMARC) reduzieren das Risiko. Mitarbeiterschulungen erhöhen die Erkennungsrate. Und eine spezialisierte Cyberversicherung sorgt dafür, dass ein erfolgreicher Angriff kein existenzielles Ereignis wird.
Häufige Fragen zu Phishing
Woran erkenne ich eine Phishing-E-Mail zuverlässig?
Typische Merkmale: künstliche Dringlichkeit, leicht abweichende Absenderadressen, Links die nicht zur genannten Domain führen, Anfragen nach Passwörtern oder Zahlungen. Modernes Spear-Phishing ist jedoch oft täuschend echt. Im Zweifel: den Absender telefonisch auf einer bekannten Nummer kontaktieren. Niemals per Antwort-E-Mail.
Was tun, wenn ich auf eine Phishing-Mail hereingefallen bin?
Sofort: Gerät vom Netzwerk trennen (LAN-Kabel, WLAN aus), IT informieren, betroffene Passwörter über ein sicheres Gerät ändern, Bank kontaktieren falls Zugangsdaten für Finanzsysteme betroffen sind. Falls eine Cyberversicherung besteht: Notfall-Hotline anrufen. Die koordiniert alle weiteren Schritte und übernimmt die Kosten.
Zahlt die Cyberversicherung bei einem Phishing-Schaden?
Ja, wenn die Police entsprechende Klauseln enthält. Abgedeckt sind typischerweise: IT-Forensik, Systemwiederherstellung, Betriebsunterbrechungsschaden und DSGVO-Rechtsbeistand. Bei CEO-Fraud und direktem Vermögensschaden durch Überweisungsbetrug kommt es stark auf die individuelle Police an. Nicht jeder Tarif deckt das ab. Ein produktneutraler Vergleich lohnt sich.
Reicht Multi-Faktor-Authentifizierung als Schutz vor Phishing?
MFA ist unverzichtbar und schützt sehr effektiv vor Credential-Theft. Also davor, dass ein gestohlenes Passwort allein zum Kontenzugang reicht. MFA schützt jedoch nicht vor CEO-Fraud (Überweisungsbetrug), vor dem versehentlichen Download von Schadsoftware oder vor dem Abfluss von Daten, die im Browser geöffnet waren. MFA ist eine Schicht von mehreren. Kein Allheilmittel.