Phishing: Angriffsmuster erkennen und Mitarbeitende schützen

Phishing bezeichnet den Versuch, über gefälschte Nachrichten an Zugangsdaten, Zahlungen oder vertrauliche Informationen zu gelangen. Der Angriff richtet sich nicht gegen technische Schwachstellen, sondern gegen die Erwartungshaltung der Empfänger. Für mittelständische Unternehmen ist Phishing nach wie vor ein häufiger Ausgangspunkt schwerwiegender Vorfälle, weil ein einziges erbeutetes Konto genügen kann, um sich anschließend im Unternehmen weiter auszubreiten.

Wie Angriffe heute aussehen

Das Bild der schlecht übersetzten Massenmail ist überholt. Aktuelle Angriffe sind sprachlich einwandfrei, greifen echte Vorgänge auf und verwenden korrekte Namen und Funktionen aus öffentlich zugänglichen Quellen. Verbreitet sind mehrere Ausprägungen, die sich in Aufwand und Zielgenauigkeit unterscheiden.

• Breit gestreute Nachrichten, die zu einer gefälschten Anmeldeseite führen, häufig getarnt als Postfachwarnung, Paketbenachrichtigung oder Dokumentenfreigabe.
• Gezielte Angriffe auf einzelne Personen, die auf Projekte, Lieferanten oder tatsächliche Kommunikationsverläufe Bezug nehmen.
• Angriffe auf Geschäftsleitung oder Buchhaltung mit dem Ziel, Zahlungen umzuleiten oder Bankverbindungen zu ändern.
• Übernahme eines echten Postfachs bei einem Geschäftspartner und Antwort innerhalb eines laufenden E-Mail-Verlaufs, wodurch nahezu alle üblichen Erkennungsmerkmale entfallen.
• Wiederholte Bestätigungsanfragen der Zwei-Faktor-Authentifizierung, bis der Empfänger aus Ermüdung zustimmt.
• Kontaktaufnahme per Telefon oder Kurznachricht, teilweise als vermeintlicher IT-Support, um Anmeldedaten oder Freigaben zu erlangen.

Warum technische Maßnahmen zuerst greifen müssen

Der Schutz darf nicht allein auf der Aufmerksamkeit der Mitarbeitenden aufbauen. Unter Zeitdruck übersieht jeder Mensch gelegentlich ein Merkmal, und gerade die überzeugendsten Angriffe sind an äußeren Auffälligkeiten kaum zu erkennen. Technische Maßnahmen reduzieren die Zahl der Nachrichten, die überhaupt ankommen, und begrenzen den Schaden bei einem erfolgreichen Versuch. Dazu zählen serverseitige Filterung, die Prüfung eingehender Nachrichten anhand der Absenderauthentifizierung mittels SPF, DKIM und DMARC, die Kennzeichnung externer Absender im E-Mail-Programm sowie das Blockieren ausführbarer Anhänge. Entscheidend ist zudem die Absicherung der Anmeldung: Mehrstufige Authentifizierung ist die wichtigste Einzelmaßnahme, und phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys verhindern auch die Verwertung abgefangener Bestätigungen. Zahlencode-Bestätigungen sind einfachen Freigabeaufforderungen vorzuziehen, weil sie eine Zustimmung aus Ermüdung erschweren.

Organisatorische Absicherung

Bei Zahlungs- und Stammdatenänderungen hilft ein fester Ablauf mehr als jede Schulung.

• Änderungen an Bankverbindungen grundsätzlich über einen zweiten, unabhängig beschafften Kommunikationsweg bestätigen, also über eine bereits bekannte Telefonnummer und nicht über die in der Nachricht angegebene.
• Für Zahlungen ab einer definierten Höhe ein Vier-Augen-Prinzip festlegen, das auch bei Zeitdruck und Abwesenheiten gilt.
• Klarstellen, dass Anweisungen der Geschäftsleitung zu eiligen, vertraulichen Zahlungen niemals per E-Mail allein autorisiert werden.
• Rückfragen ausdrücklich erlauben: Niemand darf Nachteile befürchten, weil er eine Anweisung überprüft.

Ebenso wichtig ist eine niedrigschwellige Meldemöglichkeit: Mitarbeitende müssen verdächtige Nachrichten mit einem Klick melden können und dafür eine anerkennende Rückmeldung erhalten. Wer befürchten muss, für einen Fehler kritisiert zu werden, meldet versehentlich eingegebene Zugangsdaten nicht oder zu spät, und genau diese Verzögerung entscheidet über das Ausmaß des Schadens.

Grenzen von Awareness-Schulungen

Schulungen und simulierte Phishing-Kampagnen sind sinnvoll, aber sie erzeugen keine Immunität. Klickraten sinken nach einer Kampagne und steigen anschließend wieder an, weshalb einmalige Maßnahmen wenig bewirken. Problematisch wird es, wenn Simulationen als Kontrollinstrument eingesetzt werden und Betroffene bloßgestellt werden; das beschädigt die Meldebereitschaft nachhaltig. Sinnvoller sind kurze, regelmäßige Einheiten mit konkreten Beispielen aus dem eigenen Haus und die klare Botschaft, dass ein Klick kein Fehlverhalten ist, sondern ein Anlass zur sofortigen Meldung. Planen Sie zudem den Ernstfall: Wer sperrt ein betroffenes Konto, wer prüft Postfachregeln, mit denen Angreifer ihre Spuren verbergen, und wer informiert Geschäftspartner? Diese Schritte sollten vorbereitet sein, bevor sie gebraucht werden.

• Aktuelle Phishing-Nachrichten sind sprachlich fehlerfrei und nehmen Bezug auf echte Vorgänge.
• Mehrstufige Authentifizierung ist die wirksamste Einzelmaßnahme; phishing-resistente Verfahren sind vorzuziehen.
• Absenderprüfung, Kennzeichnung externer Nachrichten und Anhangsfilter senken die Zahl der ankommenden Angriffe.
• Änderungen von Bankverbindungen immer über einen zweiten, unabhängig beschafften Kanal bestätigen.
• Awareness-Schulungen allein genügen nicht; entscheidend ist eine schnelle, sanktionsfreie Meldekultur.