Kaum ein Angriffsweg begegnet Unternehmen so häufig wie Phishing. Gefälschte Rechnungen, angebliche Paketmeldungen und nachgeahmte Anmeldeaufforderungen erreichen geschäftliche Postfächer täglich. Ein einziger unüberlegter Klick reicht mitunter, um Angreifern Zugangsdaten zu liefern oder Schadsoftware ins Netzwerk zu lassen.
Für IT-Verantwortliche ist das Thema deshalb weit mehr als lästiger Spam: Phishing gehört zu den häufigsten Einstiegspunkten in Unternehmensnetze und steht am Beginn vieler Ransomware-Vorfälle. Kampagnen treffen Organisationen jeder Größe, vom Handwerksbetrieb bis zum Konzern. Wer die Mechanik der Angriffe kennt und mehrere Schutzebenen kombiniert, senkt das Risiko schwerer Vorfälle deutlich.
Was ist Phishing?
Phishing umfasst Betrugsversuche, bei denen sich Angreifer als vertrauenswürdige Absender tarnen, um Empfänger zu einer schädlichen Handlung zu verleiten: Zugangsdaten auf einer nachgebauten Seite eintippen, einen präparierten Anhang öffnen oder eine Zahlung anweisen. Der Name spielt auf das englische Wort für Angeln an – die Täter legen Köder aus und warten auf den Biss.
Die klassische Form ist der Massenversand per E-Mail. Daneben existieren gezieltere Spielarten. Beim Spear-Phishing recherchieren die Täter ihre Opfer vorab und schreiben individuell zugeschnittene Nachrichten, etwa an die Buchhaltung oder an Administratoren. Smishing verlagert die Masche in SMS und Messenger-Dienste, oft als Paket- oder Bankbenachrichtigung getarnt. Beim Business Email Compromise (BEC) treten Angreifer als Geschäftsführung, Lieferant oder Geschäftspartner auf und veranlassen Überweisungen oder ändern hinterlegte Kontoverbindungen – häufig ganz ohne Schadsoftware.
Der gemeinsame Nenner aller Varianten: Ausgenutzt wird menschliches Vertrauen, technische Schwachstellen sind zweitrangig. Genau das macht Phishing so beständig. Es funktioniert überall dort, wo Menschen unter Zeitdruck kommunizieren und entscheiden.
Ablauf eines Angriffs
Die meisten Kampagnen folgen demselben Grundmuster:
- Vorbereitung: Adressen und Hintergrundwissen stammen aus öffentlichen Quellen wie Unternehmenswebsites und sozialen Netzwerken oder aus früheren Datenlecks. Bei gezielten Angriffen entsteht so ein präzises Bild von Rollen, Projekten und internen Abläufen.
- Köder: Eine Nachricht ahmt einen bekannten Absender nach und baut Handlungsdruck auf, etwa über eine angeblich gesperrte Mailbox oder eine offene Rechnung mit knapper Frist. Absenderadresse, Logo und Tonfall wirken täuschend echt.
- Klick: Der Link führt auf eine kopierte Anmeldeseite, oder der Anhang trägt Schadcode. Eingetippte Zugangsdaten landen unmittelbar bei den Tätern. Moderne Angriffswerkzeuge fangen zusätzlich Sitzungs-Cookies ab und unterlaufen damit auch manche Multi-Faktor-Verfahren.
- Übernahme: Mit den erbeuteten Daten melden sich die Angreifer an, lesen Postfächer mit, hinterlegen unauffällige Weiterleitungsregeln und arbeiten sich zu weiteren Systemen vor.
- Ausbreitung und Monetarisierung: Vom übernommenen Konto aus folgen Angriffe auf Kollegen und Geschäftspartner, der Diebstahl vertraulicher Daten oder die Vorbereitung eines Ransomware-Angriffs.
Warum das Thema wichtig ist
- Türöffner für Ransomware: Viele Verschlüsselungsangriffe beginnen mit einer einzigen überzeugenden Mail. Die Folgekosten eines Vorfalls übertreffen den Präventionsaufwand erheblich.
- Unmittelbarer Geldschaden: BEC führt zu realen Überweisungen auf Täterkonten. Eine Rückholung gelingt selten, vor allem bei Auslandsüberweisungen.
- Lange Nachwirkung: Kompromittierte Konten werden über Wochen für Folgeangriffe missbraucht, oft ohne dass es jemand bemerkt.
- Technik allein reicht nicht: Filter fangen viele Angriffe ab, gut gemachte Einzelangriffe kommen trotzdem durch. Der Mensch bleibt Teil der Verteidigungslinie.
- Steigende Qualität: KI-gestützte Werkzeuge erzeugen fehlerfreie, sprachlich überzeugende Nachrichten in jeder Sprache. Holprige Formulierungen als verlässliches Warnsignal fallen damit zunehmend weg.
- Recht und Reputation: Erfolgreiche Angriffe können Meldepflichten nach DSGVO auslösen und das Vertrauen von Kunden und Partnern dauerhaft beschädigen.
Typische Szenarien
- Nachgebaute Anmeldeseite: Eine Mail verlangt die erneute Anmeldung am Cloud-Postfach. Die verlinkte Seite ist eine optisch identische Kopie und greift die Zugangsdaten ab.
- Chef-Masche: Die angebliche Geschäftsführung bittet per Mail um eine dringende, vertrauliche Überweisung. Der Ton drängt, Rückfragen werden abgeblockt.
- Lieferanten-Trick: Ein vertrauter Lieferant teilt scheinbar eine neue Bankverbindung mit. Die nächste reguläre Zahlung fließt an die Täter.
- Bewerbung mit Anhang: Eine vermeintliche Bewerbung enthält ein präpariertes Dokument, das beim Öffnen eine Hintertür auf dem Rechner installiert.
- Paket-SMS: Eine Kurznachricht meldet eine aufgehaltene Sendung und lotst auf eine Seite, die persönliche Daten abfragt oder zur Installation einer App drängt.
Phishing als Teil des Social Engineering
Phishing ist die verbreitetste Ausprägung von Social Engineering – der gezielten Manipulation von Menschen zu sicherheitskritischen Handlungen. Dazu gehören außerdem Telefonanrufe mit erfundenen Geschichten (Vishing), erschlichener Zutritt zu Gebäuden oder präparierte USB-Sticks. Der Kanal wechselt, das Prinzip bleibt: Ausgenutzt werden Vertrauen, Hilfsbereitschaft und Zeitdruck.
Wirksame Abwehr setzt deshalb doppelt an. Technische Kontrollen reduzieren die Zahl der Köder, die Mitarbeitende überhaupt erreichen; geschulte Teams erkennen und melden die Versuche, die durch die Filter kommen. Klare Prozesse, etwa das Vier-Augen-Prinzip bei Zahlungsfreigaben und Stammdatenänderungen, nehmen selbst gelungenen Täuschungen die Wirkung. Kurze, regelmäßige Übungen mit realistischen Beispielen erzielen dabei erfahrungsgemäß mehr als seltene Pflichtschulungen. Auf der Netzwerkebene blockieren Web-Filter und Zero-Trust-Zugriffe, wie sie SASE/SSE-Plattformen bündeln, den Zugriff auf bekannte Phishing-Seiten und verhindern, dass gestohlene Zugangsdaten allein bereits Zugang zu internen Anwendungen eröffnen; interne Segmentierung begrenzt die Ausbreitung nach einer Kontoübernahme zusätzlich.
Häufige Fragen
Wie lässt sich eine Phishing-Mail erkennen?
Warnzeichen sind erzeugter Zeitdruck, unerwartete Zahlungs- oder Anmeldeaufforderungen, abweichende Absenderadressen und Links, deren tatsächliches Ziel nicht zum angezeigten Text passt. Auch fehlerfreie, professionell gestaltete Mails können gefälscht sein. Im Zweifel gilt: nicht antworten, nichts anklicken und den angeblichen Absender über einen bekannten, separaten Kanal prüfen, etwa telefonisch.
Was ist nach einem Klick auf einen Phishing-Link zu tun?
Der Vorfall gehört sofort an die IT gemeldet, auch bei bloßem Verdacht. Betroffene Passwörter werden von einem sauberen Gerät aus geändert, aktive Sitzungen und App-Freigaben beendet. Die IT kontrolliert Postfachregeln, Anmeldeprotokolle und das betroffene Gerät. Eine offene Meldekultur ohne Schuldzuweisungen sorgt dafür, dass Vorfälle früh auffallen und der Schaden klein bleibt.
Genügt ein Spamfilter als Schutz vor Phishing?
Ein Filter ist notwendig, für sich genommen aber zu wenig. Gut gemachte Einzelangriffe, kompromittierte echte Absenderkonten und Links, die erst nach der Zustellung scharfgeschaltet werden, überwinden Filter immer wieder. Tragfähig ist erst das Zusammenspiel aus E-Mail-Filter, Web-Filter auf Netzwerkebene, Multi-Faktor-Authentifizierung, klaren Freigabeprozessen für Zahlungen und regelmäßiger Schulung.
Worin unterscheiden sich Phishing und Spear-Phishing?
Klassisches Phishing geht massenhaft und ungezielt hinaus, die Nachrichten bleiben generisch. Spear-Phishing zielt auf ausgewählte Personen oder Abteilungen und verwendet recherchierte Details wie reale Projektnamen, Kollegen oder Lieferanten. Solche Nachrichten wirken glaubwürdig und werden von Filtern wie von Empfängern deutlich schlechter erkannt. Besonders im Fokus stehen Führungskräfte und Buchhaltung.
Stoppt Multi-Faktor-Authentifizierung jedes Phishing?
Sie hebt die Hürde deutlich an und gehört zur Grundausstattung. Angreifer kontern jedoch mit der Echtzeit-Weiterleitung von Codes oder dem Abfangen von Sitzungs-Cookies über nachgebaute Anmeldeseiten. Phishing-resistente Verfahren wie hardwarebasierte Sicherheitsschlüssel und ergänzende Kontrollen auf Netzwerkebene, etwa ZTNA, schließen diese Lücke weitgehend.