Phishing erkennen: worauf Ihre Mitarbeitenden achten sollten

Die meisten ernsthaften IT-Sicherheitsvorfälle beginnen nicht mit einem raffinierten technischen Angriff, sondern mit einer ganz gewöhnlichen E-Mail. Phishing – der Versuch, über gefälschte Nachrichten an Zugangsdaten zu gelangen oder Schadsoftware einzuschleusen – ist deshalb so wirksam, weil es beim Menschen ansetzt, nicht bei der Technik.

Woran sich Phishing erkennen lässt

Es gibt keine einzelne todsichere Regel, aber eine Reihe von Warnzeichen, die in der Summe stutzig machen sollten:

• Unerwarteter Handlungsdruck. „Ihr Konto wird gesperrt”, „letzte Mahnung”, „sofort bestätigen” – Dringlichkeit soll das Nachdenken ausschalten.
• Ungewöhnlicher Absender. Die angezeigte Bezeichnung wirkt vertraut, die eigentliche Adresse dahinter passt aber nicht zum angeblichen Unternehmen.
• Links, die woanders hinführen. Fährt man mit der Maus über einen Link (ohne zu klicken), zeigt sich das echte Ziel. Weicht es von der erwarteten Adresse ab, ist Vorsicht geboten.
• Anhänge, die niemand angekündigt hat. Besonders Office-Dateien oder ZIP-Archive aus unerwarteten Nachrichten sollten nicht ungeprüft geöffnet werden.
• Unpersönliche oder holprige Anrede. Auch wenn Phishing sprachlich besser geworden ist, verraten sich viele Nachrichten noch durch Fehler oder allgemeine Formulierungen.

Der gefährlichste Fall: die gezielte Nachricht

Besonders heikel sind Nachrichten, die scheinbar von der Geschäftsführung oder einem bekannten Geschäftspartner stammen und zu einer konkreten Handlung auffordern – etwa einer Überweisung oder der Weitergabe von Zugangsdaten. Hier hilft eine einfache Regel: Bei ungewöhnlichen Aufforderungen den vermeintlichen Absender über einen bekannten, zweiten Weg kontaktieren – nicht per Antwort auf die fragliche Mail.

Was Unternehmen tun können

Aufmerksamkeit lässt sich fördern. Wichtig ist, eine Kultur zu schaffen, in der Nachfragen erwünscht ist. Wer im Zweifel lieber einmal zu viel fragt, sollte nie das Gefühl haben, sich damit zu blamieren – im Gegenteil.

Konkret bewährt haben sich:

• Kurze, regelmäßige Sensibilisierung statt einer einmaligen Schulung, die schnell wieder in Vergessenheit gerät.
• Ein klarer Meldeweg. Mitarbeitende sollten wissen, an wen sie eine verdächtige Nachricht weiterleiten können.
• Technische Unterstützung. Spam- und Phishing-Filter, Warnhinweise bei externen Absendern und die bereits erwähnte Mehr-Faktor-Authentifizierung fangen vieles ab, bevor es überhaupt zum Menschen durchdringt.

Fazit

Phishing lässt sich nicht allein mit Technik lösen – aber die Kombination aus aufmerksamen Mitarbeitenden und sinnvollen technischen Schutzmaßnahmen macht es Angreifern deutlich schwerer. Der wichtigste Schritt ist, das Thema präsent zu halten, ohne Angst zu verbreiten: Ein Team, das die typischen Muster kennt und Nachfragen selbstverständlich findet, ist der wirksamste Schutz.

Wenn Sie Ihre Mitarbeitenden für den Umgang mit verdächtigen E-Mails sensibilisieren möchten, unterstützen wir Sie dabei gern.