Was ist Phishing? Gefälschte E-Mails erkennen
Wir zeigen die verräterischen Merkmale von Phishing-Mails, was nach einem Klick zu tun ist und wie Sie Mitarbeitende praxisnah gegen solche Angriffe schulen.
Aurora YazılımRedaktionsteam
6 Min. Lesezeit
Die Antwort auf die Frage Was ist Phishing?: Es ist ein Angriff per Köder, bei dem E-Mails, SMS oder Nachrichten, die wie von einer vertrauenswürdigen Organisation oder Person aussehen, Nutzer zur Preisgabe von Passwörtern, Kartendaten oder zu Geldüberweisungen verleiten sollen. Die häufigsten Hinweise sind eine Sprache, die Dringlichkeit erzeugt, ähnlich aussehende gefälschte Domains, unerwartete Anhänge und Links, die zur Anmeldung auffordern.
Wie funktioniert ein Phishing-Angriff?
Der Begriff Phishing leitet sich vom englischen Wort “fishing” (Angeln) ab: Angreifer werfen bei sehr vielen Personen einen Köder aus und warten, bis jemand anbeißt. Dabei nutzt der Angriff weniger eine technische Lücke als die menschliche Psyche; Angst, Neugier, Dringlichkeit und Vertrauen in Autorität sind die am häufigsten eingesetzten Hebel.
Ein typisches Szenario läuft so ab: Es kommt eine Nachricht, die aussieht, als stamme sie von einer Bank, einem Paketdienst, einem Behördenportal oder dem eigenen Vorgesetzten. Die Nachricht fordert Sie auf, auf einen Link zu klicken, einen Anhang zu öffnen oder eine dringende Zahlung zu leisten. Der Link führt zu einer gefälschten Anmeldeseite, die dem Original aufs Haar gleicht, und die eingegebenen Daten gehen direkt an den Angreifer.
Angreifer müssen längst keine Nachrichten mehr voller Rechtschreibfehler verschicken, die leicht auffallen. Mit KI-Werkzeugen ist es einfach geworden, fließenden Text und personalisierte Inhalte zu erzeugen. Deshalb sollte man sich nicht auf die Grammatik, sondern darauf konzentrieren, was die Nachricht verlangt.
Arten von Phishing
Für Unternehmen ist die teuerste Art meist der Zahlungsanweisungsbetrug. Der Angreifer imitiert die E-Mail eines Lieferanten, behauptet “unsere Bankverbindung hat sich geändert” und erreicht, dass die nächste Zahlung auf sein Konto geht. Es gibt keine technische Schadsoftware, nur eine glaubwürdige Nachricht.
| Art | Wie kommt es an? | Typisches Ziel |
|---|---|---|
| Massen-Phishing | Dieselbe E-Mail an Tausende | Passwörter und Kartendaten |
| Gezieltes Phishing (Spear Phishing) | E-Mail, die mit Name, Funktion und Geschäftspartner der Person personalisiert ist | Unternehmenskonten |
| CEO-/Lieferantenbetrug | Zahlungsaufforderung im Namen einer Führungskraft oder eines Lieferanten | Buchhaltung und Finanzteam |
| Smishing | Per SMS: Benachrichtigung über Paket, Bußgeld oder Erstattung | Kartendaten, Installation von Apps |
| Vishing | Anruf im Namen einer Bank oder Behörde | Bestätigungscode, Überweisung |
| QR-Phishing | Gefälschter QR-Code auf Plakat, E-Mail oder Rechnung | Gefälschte Zahlungs- und Anmeldeseite |
Wie erkennt man eine gefälschte E-Mail?
Ein einzelnes Anzeichen reicht nicht immer aus; kommen mehrere zusammen, sollten die Alarmglocken läuten. Im Verdachtsfall ist der beste Reflex, innezuhalten und die Nachricht beim Absender über einen anderen Kanal zu bestätigen.
- Dringlichkeit und Drohung: “Wenn Sie nicht innerhalb von 24 Stunden handeln, wird Ihr Konto gesperrt”
- Absenderadresse passt nicht zum angezeigten Namen oder weicht um einen einzigen Buchstaben ab (0rnek.com statt ornek.com)
- Die Adresse, die beim Überfahren des Links erscheint, hat nichts mit der genannten Organisation zu tun
- Eine Rechnung, Paket- oder Gewinnbenachrichtigung, die Sie nicht erwartet haben
- Nachricht, die nach Passwort, Kartendaten oder Bestätigungscode fragt
- Dokument, das Sie zum Ausführen von Makros auffordert, oder ein passwortgeschütztes Archiv als Anhang
- Allgemeine Anrede (“Sehr geehrter Kunde”) oder ein ungewohnter Ton
Was tun, wenn Sie geklickt haben?
Jedem kann irgendwann ein unachtsamer Moment passieren. Wichtig ist, schnell und ruhig zu handeln und den Vorfall sofort zu melden, statt ihn zu verschweigen. Ein früh bemerkter Vorfall endet oft als kleine Störung.
- Haben Sie auf der gefälschten Seite ein Passwort eingegeben, ändern Sie das Passwort dieses Kontos sofort auf der echten Website
- Ändern Sie auch andere Konten, bei denen Sie dasselbe Passwort verwenden
- Haben Sie Kartendaten eingegeben, rufen Sie Ihre Bank an und lassen Sie die Karte sperren
- Haben Sie einen Anhang geöffnet, trennen Sie das Gerät vom Netzwerk und informieren Sie die IT-Verantwortlichen
- Beenden Sie die Sitzungen in Ihren Konten und aktivieren Sie die Zwei-Faktor-Authentifizierung
- Melden Sie den Vorfall im Team; dieselbe Nachricht kann auch andere erreicht haben
Schutzebenen über das Passwort hinaus
Die stärkste technische Maßnahme gegen Phishing ist, ein gestohlenes Passwort allein nutzlos zu machen. Die Zwei-Faktor-Authentifizierung erschwert Angreifern die Anmeldung, selbst wenn das Passwort in ihre Hände gelangt. Noch einen Schritt weiter geht die Anmeldung ohne Passwort per Passkey, die an die Domain gebunden ist und deshalb auf gefälschten Websites gar nicht funktioniert.
Auch ein Passwortmanager schützt unauffällig: Das automatische Ausfüllen greift nur bei der gespeicherten Domain. Schlägt der Manager das Passwort nicht vor, nehmen Sie die Möglichkeit ernst, dass die Adresse falsch ist. Für einzigartige Passwörter lohnt sich ein Blick in unseren Ratgeber Sicheres Passwort erstellen.
Wie schult man Mitarbeitende?
Weil Phishing ein menschliches Problem ist, liegt auch der größte Teil der Lösung beim Menschen. Ein einmaliger langer Vortrag ist aber nach wenigen Wochen vergessen. Wirksame Schulungen sind kurz, regelmäßig und praxisnah.
Ziel der Schulung ist nicht, Mitarbeitende zu beschuldigen, sondern dafür zu sorgen, dass sie verdächtige Situationen schnell melden. Wer einen Fehler macht, aber sofort Bescheid gibt, ist die Person, die den Angriff früh stoppt; dieses Verhalten sollte belohnt werden.
- Mehrmals im Jahr Sitzungen von 15–20 Minuten, ergänzt durch reale Beispiele
- Ein einziger, einfacher Kanal zum Melden verdächtiger E-Mails
- Regel der doppelten Kontrolle bei Zahlungs- und Kontoänderungen per Telefon unter einer bekannten Nummer
- Kurze Sicherheitseinführung für neue Mitarbeitende
- Aktuelle Phishing-Beispiele, die mit dem Team geteilt werden
Zusätzliche Regeln für das Buchhaltungsteam
Jede E-Mail, die eine Änderung der Bankverbindung meldet, sollte durch einen Rückruf unter der hinterlegten Telefonnummer bestätigt werden. Für die erste Zahlung auf eine neue IBAN kann die Freigabe einer zweiten befugten Person verlangt werden. Diese beiden einfachen Regeln gehören zu den wirksamsten Hürden gegen Zahlungsanweisungsbetrug. Wichtig ist auch, dass die Regeln schriftlich festgehalten sind; angesichts der Nachricht eines eiligen “Vorgesetzten” scheut sich der Mitarbeitende dann nicht, unter Verweis auf die Regel zu prüfen. Worauf der Angreifer am meisten setzt, ist die Annahme, dass niemand wagt, übergeordnete Stellen zu hinterfragen.
Schützen Sie Ihre Domain vor Nachahmung
Angreifer versuchen nicht nur Sie, sondern auch Ihre Kunden in Ihrem Namen zu täuschen. Wenn Sie für Ihre Unternehmensdomain die SPF-, DKIM- und DMARC-Einträge korrekt setzen, hilft das, dass in Ihrem Namen versandte gefälschte E-Mails von den Empfangsservern abgelehnt werden oder im Spam-Ordner landen.
Ein sicherer Weg ist, die DMARC-Richtlinie zunächst im Überwachungsmodus zu starten und sie nach Auswertung der Berichte Schritt für Schritt zu verschärfen. Die Anbieteradresse in den Einträgen hängt vom genutzten E-Mail-Dienst ab.
ornek.com. TXT v=spf1 include:_spf.eposta-saglayicisi.com ~all
_dmarc.ornek.com. TXT v=DMARC1; p=none; rua=mailto:dmarc@ornek.comMaßnahmen auf Ihrer Website
Um das Risiko zu verringern, dass Ihre Kunden auf gefälschte Seiten stoßen, sollte auch Ihre eigene Website Vertrauen vermitteln. Alle Seiten über HTTPS, eine einzige einheitliche Domain und schlichte, vertraute Anmeldeseiten erleichtern es Nutzern, Unterschiede zu erkennen. Auch einheitliche Vorlagen für die E-Mails, die ein Shopsystem an Kunden sendet, helfen, gefälschte Nachrichten leichter zu unterscheiden.
Bei individuellen Softwarelösungen für Ihr Unternehmen lassen sich Zwei-Faktor-Authentifizierung für Administrator-Logins, eine Begrenzung der Sitzungsdauer und Warnungen bei verdächtigen Anmeldungen von Anfang an einplanen. Ihre bestehende Website aktuell zu halten und Zertifikat- und Verbindungseinstellungen regelmäßig zu prüfen, gehört zur Wartung im Rahmen der Speed- & Performance-Optimierung.
Stoßen Sie auf eine gefälschte Website, können Sie sie beim türkischen nationalen Zentrum für Cybervorfälle USOM melden und die nachgeahmte Organisation über deren offiziellen Kanal informieren.
Häufig gestellte Fragen
01Ist es gefährlich, eine E-Mail nur zu öffnen?
In einem aktuellen E-Mail-Programm ist es meist für sich genommen nicht gefährlich, eine Nachricht nur zu öffnen und zu lesen. Das eigentliche Risiko besteht darin, auf Links zu klicken, Anhänge zu öffnen oder verlangte Daten einzugeben; das Blockieren des Nachladens externer Bilder ist dennoch eine zusätzliche Vorsichtsmaßnahme.
02Wohin melde ich eine Betrugsmail?
Leiten Sie sie an den im Unternehmen festgelegten Meldekanal weiter und nutzen Sie die Phishing-Meldefunktion Ihres E-Mail-Programms. Kam sie im Namen einer Bank oder Behörde, informieren Sie deren offizielle Kanäle; gefälschte Websites können Sie beim türkischen USOM melden.
03Verhindert ein Antivirenprogramm Phishing?
Sicherheitssoftware und E-Mail-Filter können bekannte gefälschte Websites und schädliche Anhänge abfangen, erkennen aber eine frisch eingerichtete gefälschte Seite nicht immer. Deshalb müssen technische Maßnahmen zusammen mit aufmerksamen Nutzergewohnheiten wirken.
Weil Phishing weniger auf technische Lücken als auf menschliche Aufmerksamkeit zielt, ist die wirksamste Verteidigung das Zusammenspiel aus geschulten Mitarbeitenden, Zwei-Faktor-Authentifizierung und Domainschutz. Aurora Yazılım entwirft sichere Anmeldung und Berechtigungen bei individuellen Softwarelösungen für Ihr Unternehmen von Grund auf; auch bei Projekten für Unternehmenswebsites gehören HTTPS, eine einheitliche Domain und sichere Formulare zum Standard. Bei Fragen erreichen Sie uns über unsere Kontaktseite.
