Phishing

Wie funktioniert Phishing?

Der Angreifer gibt sich als vertrauenswürdiger Absender aus - Bank, Paketdienst, Microsoft, Kollege oder Geschäftspartner - und verleitet das Opfer zu einer Handlung: Login-Daten auf einer nachgebauten Seite eingeben, einen infizierten Anhang öffnen oder eine Zahlung freigeben. Die Qualität der Fälschungen hat durch KI-Textgenerierung stark zugenommen; die früher typischen Rechtschreibfehler sind kein verlässliches Erkennungsmerkmal mehr.

Neben der breit gestreuten Massen-Mail gibt es gezielte Varianten: Beim Spear-Phishing wird die Nachricht auf eine konkrete Person zugeschnitten, beim Whaling stehen Führungskräfte im Visier. Auch die Kanäle diversifizieren sich - von SMS (Smishing) über Anrufe (Vishing) bis zu QR-Codes (Quishing).

Woran erkennt man Phishing-Versuche?

Verlässlicher als der Text sind die Metadaten: abweichende Absenderdomains, Links, deren Ziel nicht zur angezeigten URL passt, unerwarteter Zeitdruck („Ihr Konto wird in 24 Stunden gesperrt”) und ungewöhnliche Bitten um Vertraulichkeit. Die wichtigste Regel: Zugangsdaten nie über einen Link aus einer Nachricht eingeben, sondern die Seite selbst aufrufen.

Wie schützen sich Unternehmen?

Technisch: E-Mail-Authentifizierung (SPF, DKIM, DMARC), moderne Mail-Filter und vor allem phishing-resistente Anmeldeverfahren wie Passkeys, bei denen gestohlene Passwörter wertlos sind. Organisatorisch: regelmäßige Awareness-Schulungen mit Phishing-Simulationen und eine Meldekultur ohne Schuldzuweisung. Konkrete Maßnahmen bündelt der Beitrag zur E-Mail-Sicherheit im Unternehmen.