Was bedeutet „Phishing“?

Phishing ist ein Betrugsversuch, bei dem Angreifer über gefälschte Nachrichten, Websites, QR-Codes oder Anrufe Zugangsdaten, Geld oder vertrauliche Informationen stehlen wollen. Für KMU ist dieser Betrugsversuch relevant, weil kleine Teams oft schnell entscheiden müssen: eine Rechnung freigeben, einen Login bestätigen, einen Anhang öffnen oder eine angebliche Anfrage beantworten.

Der Kern ist immer gleich: Menschen werden durch Social Engineering zu einer Handlung gedrängt, die sie bei ruhiger Prüfung nicht setzen würden. Deshalb behandle ich digitale Sicherheit in der Arbeit mit KMU nicht als Angstthema, sondern als Strukturthema: klare Abläufe, geschulte Menschen und technische Grundabsicherung reduzieren Risiken oft wirksamer als ein einzelnes Sicherheitstool.

Ein Phishing-Angriff ist kein reines IT-Problem. Er ist ein Prozessproblem, ein Kompetenzproblem und ein Vertrauensproblem zugleich.

Phishing erkennen: typische Formen und Beispiele

Solche Angriffe kommen nicht nur als schlecht geschriebene E-Mail daher. Moderne Täuschungsversuche wirken oft professionell, sprachlich sauber und visuell glaubwürdig. Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass gefälschte E-Mails und Webseiten immer professioneller aussehen und unter anderem über ungewöhnliche InternetadressenEine URL, ausgeschrieben Uniform Resource Locator, ist eine Adresse, die angibt, wo eine Ressource erreichbar ist und über welches Verfahren darauf zugegriffen wird. Eine... Klicken und mehr erfahren erkannt werden können.

• E-Mail-Phishing: Eine gefälschte Bankmail fordert Dich auf, Dein Konto zu „verifizieren“.
• Spear-Phishing: Eine gezielte Nachricht nutzt echte Namen, Projekte oder Lieferantenbeziehungen aus Deinem Unternehmen.
• Whaling: Angreifer geben sich als Geschäftsführung aus und verlangen eine dringende Zahlungsfreigabe.
• Smishing: Eine Paket-SMS enthält einen Link zu einer angeblichen Nachzahlung oder Sendungsverfolgung.
• Vishing: Ein Anruf täuscht Support, Bank, Behörde oder IT-Dienstleister vor.
• QR-Phishing: Ein QR-Code auf einer gefälschten Rechnung führt zu einer manipulierten Zahlungs- oder Login-Seite.
• Gefälschte Login-Seite: Eine Seite sieht aus wie Microsoft 365, Google, Bank oder Shop-System, sammelt aber Deine Zugangsdaten.

Warum Phishing für KMU so gefährlich ist

Der Verizon Data Breach Investigations Report 2024 nennt den Diebstahl von Zugangsdaten mit 38 % als häufigsten Initial-Access-Vektor bei Datenpannen; Phishing wird bei 15 % der Datenpannen als Initial-Access-Vektor ausgewiesen. Das zeigt: Zugangsdaten sind ein zentrales Angriffsziel.

Auch ENISA, die Agentur der Europäischen Union für CybersicherheitCybersicherheit schützt digitale Systeme, Netzwerke, Geräte und Daten vor Angriffen, Missbrauch, Ausfall und Datenverlust. Für KMU ist Cybersicherheit kein Luxus und kein reines IT-Thema,... Klicken und mehr erfahren, führt Social Engineering im Threat Landscape 2024 als eine der hervorgehobenen Bedrohungskategorien. Für kleine Unternehmen ist das besonders kritisch, weil ein kompromittiertes E-Mail-Konto oft Zugriff auf Angebote, Rechnungen, Kundendaten, Projektinformationen und interne Freigaben ermöglicht.

In der Praxis sehe ich häufig: Das Problem ist nicht fehlender guter Wille. Das Problem ist fehlende Klarheit. Wenn niemand weiß, welcher Meldeweg gilt, wer Zahlungsfreigaben prüft oder wie eine verdächtige Domain kontrolliert wird, entscheiden Menschen unter Zeitdruck allein.

Woran Du Phishing im Alltag erkennst

Wenn Du verdächtige Nachrichten prüfen willst, bewerte nicht nur die Optik. Prüfe den Kontext, den Absender und die geforderte Handlung.

• Absenderadresse: Passt die Adresse wirklich zum bekannten Unternehmen oder ist nur der Anzeigename korrekt?
• Domain: Steht dort zum Beispiel „microsoft.com“ oder eine ähnlich aussehende Variante mit Zusatzzeichen?
• Druck: Formulierungen wie „sofort“, „letzte Warnung“ oder „Konto wird gesperrt“ sollen Dich beschleunigen.
• Zahlungsaufforderung: Unerwartete Bankdatenänderungen und dringende Überweisungen brauchen immer eine zweite Prüfung.
• Anhänge: Unerwartete ZIP-, Office- oder PDF-Dateien können Malware enthalten.
• Login-Links: Öffne wichtige Dienste lieber über gespeicherte Lesezeichen oder den Passwortmanager.
• Prozessabweichung: Wenn eine Zahlungsfreigabe plötzlich per E-Mail statt über den üblichen Weg kommt, ist das ein Warnsignal.

Phishing-Prävention: einfache Schutzmaßnahmen für kleine Teams

Gute Prävention besteht aus Technik, Prozessen und Bewusstsein. Eine Microsoft-Research-Studie kommt zum Ergebnis, dass Multi-Faktor-Authentifizierung das Risiko einer Kontoübernahme insgesamt um 99,22 % reduziert. Für KMU heißt das: Zwei-Faktor-Authentifizierung gehört auf E-Mail-Konten, Cloud-Tools, Website-Logins, Buchhaltung und Administrationszugänge.

• Zwei-Faktor-Authentifizierung aktivieren: Besonders für E-Mail, Website, Zahlungsdienste und zentrale Cloud-Konten.
• Passwortmanager nutzen: Ein Passwortmanager erkennt oft, ob Du auf der echten Domain bist, und verhindert Passwort-Wiederverwendung.
• Zahlungsfreigaben definieren: Neue Bankdaten, hohe Beträge und Eilüberweisungen brauchen einen zweiten Kanal, zum Beispiel Rückruf über bekannte Nummern.
• Updates und Backups pflegen: So sinkt das Risiko, dass ein Klick zu Malware oder Ransomware führt.
• Awareness-Schulung durchführen: Nicht als Schuldzuweisung, sondern als gemeinsames Training für echte Alltagssituationen.
• Meldeweg festlegen: Jeder im Team muss wissen, wem eine verdächtige Nachricht weitergeleitet wird und was danach passiert.

Digitale Sicherheit ist ein Teil der Cybersicherheit, aber auch ein Teil der UnternehmenskulturCorporate Culture ist einfach erklärt die gelebte Unternehmenskultur eines Unternehmens. Corporate Culture zeigt sich im Verhalten, in Entscheidungen, in der Führung und in der... Klicken und mehr erfahren. Wenn Du mit Deinem Team digitale Werkzeuge sicherer nutzen willst, ist Digital Literacy genauso wichtig wie technische Absicherung. Bei Berger+Team verbinden wir solche Fragen in der strategischen Digitalisierungsberatung mit klaren Prozessen, Website-Strukturen und sinnvollen Verantwortlichkeiten.

FAQ zu Phishing

Was soll ich tun, wenn ich auf einen verdächtigen Link geklickt habe?

Lösche keine Belege, sondern handle strukturiert: Passwort sofort über die echte Website ändern, aktive Sitzungen abmelden, Zwei-Faktor-Authentifizierung prüfen und den internen Meldeweg nutzen. Wenn Bankdaten, Kundendaten oder Admin-Zugänge betroffen sind, müssen Bank, IT-Verantwortliche und gegebenenfalls Datenschutzverantwortliche informiert werden.

Ist Phishing strafbar?

Phishing dient in der Regel Betrug, Identitätsmissbrauch, Datendiebstahl oder unbefugtem Zugriff und kann strafrechtlich relevant sein. Für Dich als KMU ist wichtig: Verdächtige Nachrichten dokumentieren, nicht weiter interagieren und bei Schaden professionelle Unterstützung oder Behördenkontakt prüfen.

Wie erkenne ich eine gefälschte Domain?

Prüfe die Domain Zeichen für Zeichen, besonders vor dem ersten Schrägstrich. „login.microsoft.com.sicher-konto.example“ ist nicht Microsoft, sondern eine Unterseite einer fremden Domain.

Was ist der Unterschied zwischen Spam und Phishing?

Spam ist meist unerwünschte Massenwerbung, während Phishing gezielt Zugangsdaten, Geld oder vertrauliche Informationen erschleichen will. Eine SpamnachrichtSpam – ein Wort, das Du vielleicht schon einmal gehört hast, aber was steckt wirklich dahinter? Im digitalen Zeitalter, in dem wir leben, ist... Klicken und mehr erfahren kann lästig sein, eine Phishing-Nachricht kann zu Datenverlust, Malware oder Ransomware führen.

Warum sind KMU von Phishing betroffen?

KMU haben oft wertvolle Daten, echte Zahlungsflüsse und direkte Entscheidungswege, aber weniger formalisierte Sicherheitsprozesse als große Organisationen. Deshalb helfen klare Regeln, einfache Prüfprozesse und eine gesunde digitale Struktur besonders stark.

Quellen

1. Bundesamt für Sicherheit in der Informationstechnik: Wie erkenne ich Phishing-E-Mails und -Webseiten? — bsi.bund.de
2. Verizon 2024 Data Breach Investigations Report — verizon.com (2024)
3. ENISA Threat Landscape 2024 — enisa.europa.eu (2024)
4. Microsoft Research: How effective is multifactor authentication at deterring cyberattacks? — microsoft.com