Phishing (E-Mail-Betrug)
Was ist Phishing? Einfach erklärt
Unter Phishing versteht man den gezielten Versuch von Cyberkriminellen, über gefälschte E-Mails, Nachrichten oder Nachbildungen echter Webseiten an vertrauliche Daten zu gelangen. Der Begriff leitet sich vom englischen Wort fishing (Angeln) ab: Kriminelle werfen digitale „Köder“ aus, in der Hoffnung, dass unbedarfte Nutzer anbeißen.
Das Ziel der Angreifer ist meist der Diebstahl von Zugangsdaten (z. B. für Microsoft 365, Online-Banking oder Firmen-Server), die Installation von Schadsoftware (Ransomware) oder das direkte Veranlassen gefälschter Überweisungen.
Gefährliche Phishing-Formen im Unternehmensumfeld
Gefälschte Nachrichten beschränken sich heute längst nicht mehr auf fehlerhafte Massen-Mails. Kriminelle nutzen hochspezialisierte Methoden:
- Massen-Phishing: Tausende identische E-Mails im Namen bekannter Marken (z. B. DHL, Microsoft, Banken), die behaupten, ein Paket könne nicht zugestellt werden oder ein Konto müsse verifiziert werden.
- Spear Phishing: Maßgeschneiderte Angriffe auf eine bestimmte Firma oder Person. Die Täter recherchieren vorher auf LinkedIn oder der Firmenwebsite, um täuschend echte E-Mails im Namen von Kollegen oder Geschäftspartnern zu verfassen.
- CEO Fraud (Geschäftsführer-Betrug): Die Angreifer geben sich als Inhaber oder Geschäftsführer aus und weisen Mitarbeiter in der Buchhaltung unter höchster Geheimhaltung und Dringlichkeit an, große Geldbeträge auf ausländische Konten zu überweisen.
Wie können sich kleine Unternehmen vor Phishing schützen?
Ein wirksamer Schutz gegen Phishing besteht immer aus einer Kombination aus technischem Schild und aufmerksamen Mitarbeitern:
- E-Mail-Filter & DNS-Schutz (SPF, DKIM, DMARC): Technische Filter stoppen gefälschte Absenderadressen bereits, bevor sie das Postfach der Mitarbeiter erreichen.
- Zwei-Faktor-Authentifizierung (2FA): Selbst wenn ein Mitarbeiter sein Passwort auf einer Phishing-Seite eingibt, verhindert der zweite Faktor (z. B. Authenticator-App), dass der Angreifer sich einloggen kann.
- Mitarbeiter-Schulungen (Security Awareness): Regelmäßige Sensibilisierung hilft dem Team, kritische Anzeichen (wie abweichende Absender-Domains oder unübliche Dringlichkeit) sofort zu erkennen.
Praxis-Anwendungsbeispiel für KMU
Die gefälschte Lieferanten-Rechnung
In einem Kemptener Handwerksbetrieb trifft am Donnerstagvormittag eine E-Mail des langjährigen Baustoff-Lieferanten ein. Betreff: „Dringend: Geänderte Bankverbindung für Rechnung #88492“. Die E-Mail sieht optisch exakt wie gewohnt aus, enthält das Originallogo und bezieht sich auf ein reales Bauprojekt.
Die Rettung durch Wachsamkeit & Prozess: Die Buchhalterin stutzt wegen der geänderten IBAN. Statt auf die E-Mail zu antworten, greift sie zum Hörer und ruft ihren bekannten Ansprechpartner beim Lieferanten über die fest im Telefonbuch hinterlegte Nummer an.
Das Ergebnis: Der Lieferant bestätigt, dass sein Mailkonto gehakt wurde und er keine neue Bankverbindung hat. Durch das kurze Nachfragen verhinderte die Mitarbeiterin einen Schaden von über 12.000 Euro. Der Vorfall wird umgehend der IT gemeldet, um die Absenderadresse firmenseitig zu sperren.
Möchten Sie Ihre Firmen-Mails effektiv absichern?
Schützen Sie Ihr Unternehmen und Ihr Team vor teuren Fehlern. Als IT-Spezialist in Kempten und dem Allgäu richte ich für Sie moderne E-Mail-Sicherheitsfilter ein, aktiviere die Zwei-Faktor-Authentifizierung und schule Ihre Mitarbeiter im sicheren Umgang mit digitalen Bedrohungen.
IT-Sicherheits-Check anfragen