Phishing erkennen: Warnzeichen und richtige Reaktion im Unternehmen

Phishing-Mails sind gefälschte Nachrichten, die zu einer Handlung verleiten sollen: einen Link öffnen, Zugangsdaten eingeben, eine Datei starten oder eine Zahlung freigeben. Sie kommen per E-Mail, aber auch per SMS, als QR-Code oder als Anruf. Dieser Beitrag zeigt, woran Sie Phishing erkennen, wie ein Meldeweg im Unternehmen aussieht und was nach einem Fehlklick zu tun ist. Dabei kommt es darauf an, wie weit es gekommen ist: angeklickt, Daten eingegeben, Datei ausgeführt oder Konto übernommen.

Wie Sie das Erkennen mit Übungsmails trainieren, beschreibt unser Beitrag zu Phishing-Simulationen. Einen besonders schwer erkennbaren Fall, die Mail aus dem echten Postfach eines Geschäftspartners, erklärt der Beitrag Phishing aus dem Postfach Ihres Geschäftspartners.

Warum Phishing schwerer zu erkennen ist

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) beschreibt in seinem Lagebericht zu Phishing-Mails eine Verschiebung. Bis einschließlich 2023 wurden vor allem Nachrichten im Namen von Banken und Zahlungsdienstleistern gemeldet. Seit 2024 betreffen Phishing-Mails immer häufiger andere Branchen, darunter Online-Handel und Logistik. Erzeugen Kriminelle die Nachrichten mit Künstlicher Intelligenz, genügen gewohnte Erkennungsmerkmale wie schlechtes Deutsch laut BSI oft nicht mehr.

Ein Bank-Logo oder Rechtschreibfehler sind deshalb keine verlässlichen Kriterien. Entscheidend ist, ob die Nachricht zu einem erwarteten Vorgang passt und ob sie Sie zu einer ungewöhnlichen Handlung drängt.

Warnzeichen in E-Mails und auf Webseiten

Das BSI nennt auf seiner Seite Wie erkenne ich Phishing? unter anderem diese Merkmale. Keines davon beweist für sich einen Angriff. Treffen mehrere zusammen, sollten Sie anhalten.

• Handlungsdruck und Drohungen: etwa „Ihr Konto wird gesperrt“ oder „Ihre Daten gehen verloren“.
• Abfrage vertraulicher Daten: Kennwort, PIN oder Kreditkartennummer sollen über einen Link oder ein Formular eingegeben werden.
• Ungewöhnliches Anliegen eines bekannten Absenders: Der Name wirkt vertraut, das Anliegen passt aber nicht zur bisherigen Zusammenarbeit.
• Abweichende Absenderadresse: Hinter dem angezeigten Namen kann eine andere Adresse stehen. Prüfen Sie die vollständige Adresse in den Absenderdetails.
• Auffällige Linkziele: Fahren Sie mit der Maus über den Link, ohne zu klicken. Zahlen oder Zeichenfolgen im Domainnamen, etwa kombiniert mit dem Namen einer Bank, sind ein Warnsignal. Kurz-URLs verbergen das eigentliche Ziel.
• Riskante Anhänge: Dateien mit Endungen wie .exe oder .scr können Schadsoftware starten. Doppelte Endungen wie .pdf.exe sollen täuschen.

Auch die Zielseite gibt Hinweise. „https://“ in der Adresse bedeutet laut BSI nicht automatisch, dass eine Seite vertrauenswürdig ist. Fragt eine Seite nach der Anmeldung bekannte Daten erneut ab, etwa Name, Adresse oder IBAN, befinden Sie sich wahrscheinlich auf einer gefälschten Seite.

Der 30-Sekunden-Check

Bevor Sie klicken, eine Datei öffnen oder zahlen, stellen Sie sich fünf Fragen:

1. Erwarte ich diese Nachricht, und passt sie zu einem laufenden Vorgang?
2. Passt die vollständige Absenderadresse zur angeblichen Organisation?
3. Führt der Link zu der Domain, die ich erwarte?
4. Ist der Anhang für diesen Vorgang üblich?
5. Kann ich die Anfrage über einen Weg bestätigen, den ich selbst kenne?

Bleibt eine Antwort unklar, klicken Sie nicht. Lassen Sie sich die Echtheit telefonisch bestätigen, aber nicht über die Nummer aus der Nachricht: Das BSI rät, die Nummer selbst herauszusuchen. Für Änderungen an Bankverbindungen empfehlen wir eine feste Regel: Bestätigung nur per Rückruf über eine Nummer aus Ihren eigenen Unterlagen.

Phishing außerhalb der E-Mail

QR-Codes (Quishing)

Ein QR-Code funktioniert wie ein Link. Das BSI rät, QR-Codes nicht unüberlegt zu öffnen, weil sie zu gefälschten Internetseiten führen können. Lassen Sie sich die Zieladresse vor dem Öffnen anzeigen, wenn Ihre Kamera-App das unterstützt, und prüfen Sie sie wie einen Link in einer Mail. Fragt die Seite nach Anmeldedaten, obwohl der Anlass das nicht erfordert, brechen Sie ab.

Anrufe (Voice-Phishing)

Am Telefon geben sich Betrüger zum Beispiel als IT-Support, Bank oder Lieferant aus. Das BSI beschreibt eine Masche, bei der Kriminelle bereits ein Kennwort erbeutet haben und ihre Opfer dann anrufen. Unter einem Vorwand fordern sie dazu auf, den zweiten Faktor zu bestätigen, etwa in einer Smartphone-App. Bestätigen Sie eine Anmeldung nur, wenn Sie sie selbst ausgelöst haben. Beenden Sie im Zweifel das Gespräch und rufen Sie über eine Nummer aus dem internen Verzeichnis oder von der offiziellen Website zurück.

Der Meldeweg im Unternehmen

Ein Verdacht hilft nur, wenn er die richtige Stelle erreicht. Die IT-Notfallkarte des BSI nennt drei Grundsätze: Die Ansprechpartner für IT-Notfälle und ihre Erreichbarkeit sind bekannt. Entscheidende Informationen werden sofort weitergegeben. Gegenmaßnahmen erfolgen nur nach Absprache mit den zuständigen Ansprechpartnern. Für Phishing empfehlen wir:

• Ein fester Meldeweg: In Microsoft 365 mit Exchange Online können Beschäftigte verdächtige Mails in unterstützten Outlook-Versionen über die integrierte Schaltfläche zum Melden als Phishing kennzeichnen. Die IT legt fest, ob diese Meldungen an ein eigenes Meldepostfach, an Microsoft oder an beide gehen.
• Melden statt nur löschen: Eine gemeldete Nachricht kann die IT auswerten und andere Empfängerinnen und Empfänger warnen.
• Schnell und ohne Vorwurf: Wer einen Fehler gemacht hat, meldet ihn sofort, am besten telefonisch. Ein früher Hinweis ist wichtiger als die Frage, wer geklickt hat.
• Nicht auf eigene Faust: Beschäftigte ergreifen keine eigenen technischen Gegenmaßnahmen, sondern folgen den Anweisungen der IT.

Nach dem Klick: vier Lagen, vier Reaktionen

Nicht jeder Klick ist eine Kontoübernahme. Die Reaktion hängt davon ab, wie weit es gekommen ist. In allen vier Fällen gilt: sofort der IT melden. Die folgenden Schritte sind Mindestpunkte. Die Untersuchung im Einzelfall ersetzen sie nicht.

1. Link angeklickt, nichts eingegeben

Schließen Sie die Seite und geben Sie dort nichts ein. Melden Sie die Nachricht trotzdem, damit die IT sie auswerten kann. Ein Grund: Manche Seiten versuchen schon beim Aufruf, im Hintergrund Code auszuführen oder Informationen über Sie zu sammeln. Microsoft bezeichnet diese Technik als Drive-by-URL. Ob das Gerät geprüft werden muss, entscheidet die IT.

2. Zugangsdaten eingegeben oder Anmeldung bestätigt

Jetzt zählt Tempo. Die Phishing-Checkliste des BSI nennt für Benutzerkonten diese Schritte: schnellstmöglich ein neues Kennwort vergeben, unmittelbar danach alle aktiven Sitzungen beenden und prüfen, ob Einstellungen geändert wurden. Außerdem sollten Sie prüfen, ob weitere Konten betroffen sein können. Das ist laut BSI besonders dann der Fall, wenn die E-Mail-Adresse zum Zurücksetzen anderer Kennwörter hinterlegt ist oder wenn Sie sich über dieses Konto bei anderen Diensten anmelden (Single Sign-on). Haben Sie dasselbe Kennwort an anderer Stelle verwendet, ändern Sie es auch dort.

Bei einem Firmenkonto in Microsoft 365 übernimmt diese Schritte die IT. Wurde auf einer gefälschten Seite auch eine Anmeldung bestätigt, kann der Angreifer bereits angemeldet sein: Microsoft beschreibt Angriffe, bei denen Kriminelle das Sitzungscookie abgreifen und so die Mehr-Faktor-Authentifizierung umgehen. Dann gilt das Vorgehen aus Lage 4. Wie dieser Angriff abläuft, erklärt unser Beitrag Phishing aus dem Postfach Ihres Geschäftspartners.

3. Datei geöffnet oder ausgeführt

Ein Anhang kann beim Öffnen Code ausführen, zum Beispiel über ein Makro, und damit weitere Schadsoftware nachladen. Arbeiten Sie an dem Gerät nicht weiter und melden Sie den Vorfall sofort. Ob das Gerät vom Netz getrennt wird, entscheidet die IT. Das BSI rät auf seiner IT-Notfallkarte bewusst nicht pauschal dazu, Netzwerk- oder Netzstecker zu ziehen: Laptops laufen im Akkubetrieb zunächst weiter, und bei WLAN gibt es kein Kabel. Weitere Maßnahmen sind laut BSI im Einzelfall festzulegen.

Die IT prüft dann das Gerät und entscheidet, ob es bereinigt oder neu aufgesetzt wird. Wurden auf dem Gerät Kennwörter gespeichert oder eingegeben, behandeln Sie diese wie in Lage 2.

4. Konto übernommen

Microsoft nennt unter anderem diese Anzeichen für ein übernommenes Postfach: Der Versand von E-Mails ist blockiert, Nachrichten fehlen, es gibt verdächtige Posteingangsregeln oder Weiterleitungen, im Ordner „Gesendete Elemente“ liegen fremde Nachrichten, oder es kommt zu unerklärlichen Kennwortänderungen und Kontosperrungen. Für Microsoft-365-Konten beschreibt Microsoft im Artikel Antworten auf ein kompromittiertes E-Mail-Konto diese Schritte für die Administration:

1. Konto deaktivieren für die Dauer der Untersuchung. Ist das nicht möglich, ist das Zurücksetzen des Kennworts der nächstbeste Schritt. Das neue Kennwort nicht per E-Mail mitteilen. App-Kennwörter werden beim Zurücksetzen nicht automatisch widerrufen und müssen neu erstellt werden. Wird das Konto aus einem lokalen Active Directory synchronisiert, setzen Sie das Kennwort dort zurück, laut Microsoft zweimal.
2. Aktive Sitzungen widerrufen, damit bestehende Anmeldungen und Aktualisierungstoken ungültig werden.
3. Registrierte MFA-Methoden und Geräte prüfen und alles entfernen, was niemand zuordnen kann. MFA steht für Mehr-Faktor-Authentifizierung, also die Anmeldung mit einem zweiten Nachweis.
4. App-Zustimmungen prüfen und Anwendungen entfernen, die keinen Zugriff haben sollen.
5. Administratorrollen prüfen und Rollen entfernen, die das Konto nicht haben soll.
6. Weiterleitungen und Posteingangsregeln prüfen, einschließlich ausgeblendeter Regeln, und verdächtige entfernen.
7. Untersuchen: Anmelde- und Überwachungsprotokolle ab Beginn der verdächtigen Aktivität auswerten und die in diesem Zeitraum gesendeten Nachrichten prüfen.
8. Abschließen: Kennwort zurücksetzen und das Konto wieder aktivieren. Wurde das Postfach etwa nach Massenversand für den Versand gesperrt, muss die Administration es ausdrücklich wieder freigeben.

Microsoft empfiehlt außerdem dringend, die Mehr-Faktor-Authentifizierung für das Konto zu aktivieren und zu erzwingen. Wurden aus dem Postfach Phishing-Mails verschickt, empfehlen wir, Ihre Kontakte zu warnen. Welche technischen Maßnahmen Kontoübernahmen zusätzlich erschweren, beschreibt der oben verlinkte Beitrag zum Phishing aus dem Partnerpostfach.

Melde- und Dokumentationspflichten

Betrifft der Vorfall personenbezogene Daten, etwa Kundendaten in einem übernommenen Postfach, prüfen Sie mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten, ob eine Meldung nötig ist. Nach Art. 33 DSGVO meldet das Unternehmen eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde. Das gilt nicht, wenn sie voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt.

Besonders wichtige und wichtige Einrichtungen nach dem BSI-Gesetz melden erhebliche Sicherheitsvorfälle zusätzlich nach § 32 BSIG: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser Meldung. Was davon für Ihr Unternehmen gilt, beschreibt unsere Seite zu NIS2 und Risikomanagement. Das BSI empfiehlt Betroffenen in seiner Phishing-Checkliste außerdem, Anzeige bei der Polizei zu erstatten. Dieser Abschnitt beschreibt Pflichten, eine Rechtsberatung ersetzt er nicht.

Aus dem Ablauf eine Routine machen

Halten Sie die vier Lagen, die Ansprechpartner und ihre Erreichbarkeit in einem kurzen Notfallplan fest. Neue Beschäftigte lernen den Meldeweg beim Einstieg kennen. Führungskräfte gehen mit gutem Beispiel voran und bestätigen dringende Zahlungsanweisungen selbst über bekannte Kanäle. Mit Phishing-Simulationen üben Sie Erkennen und Melden im gewohnten Postfach.

Aufmerksamkeit allein reicht nicht, wenn eine Übernahme unbemerkt bleibt. Auffällige Anmeldungen, neue Posteingangsregeln oder unbekannte MFA-Methoden fallen oft erst auf, wenn jemand die Protokolle auswertet. Dafür gibt es Managed Detection and Response (MDR), also die laufende Überwachung auf Angriffe mit Reaktion als Dienstleistung. Wie wir die IT-Sicherheit kleiner und mittelständischer Unternehmen prüfen, lesen Sie auf unserer Seite zur IT-Sicherheit. Die laufende Betreuung Ihrer IT zum monatlichen Festpreis bieten unsere Managed Services.

Sie möchten Ihren Meldeweg und Ihre Notfallschritte für Phishing überprüfen? Sprechen Sie uns an.