Phishing erkennen: sechs Merkmale, die Ihr Team kennen sollte

Warum es funktioniert

Phishing hat sich professionalisiert. Die Zeiten holpriger Übersetzungen sind vorbei; Texte sind fehlerfrei, Logos stimmen, und oft bezieht sich die Nachricht auf einen echten Vorgang – weil der Angreifer bereits in einem Postfach Ihres Geschäftspartners mitliest. Die Mail kommt dann tatsächlich von der Adresse, die Sie kennen, und hängt an einem Verlauf, den es wirklich gibt.

Deshalb ist die wichtigste Botschaft an Ihr Team nicht „Achtet auf Rechtschreibfehler", sondern: Nicht der Absender entscheidet, sondern was verlangt wird.

Sechs Merkmale

1. Die Absenderadresse weicht minimal ab. Nicht der angezeigte Name zählt, sondern die Adresse dahinter – und dort besonders der Teil hinter dem @. Vertauschte Buchstaben, ein zusätzliches Wort, eine andere Endung: rechnung@firma-gmbh.at statt rechnung@firma.at. Auf dem Handy ist der Name oft alles, was man sieht; das machen sich Angreifer zunutze.
2. Zeitdruck und Konsequenzen. „Innerhalb von 24 Stunden", „letzte Mahnung", „Konto wird gesperrt". Druck soll das Nachdenken abkürzen. Kein seriöser Partner braucht eine Entscheidung in zehn Minuten.
3. Das Linkziel passt nicht zum Text. Mit der Maus über den Link fahren, ohne zu klicken – unten links steht das echte Ziel. Auf dem Handy: lange gedrückt halten. Weicht die Domain vom erwarteten Anbieter ab, ist die Sache erledigt.
4. Unerwarteter Anhang. Besonders bei Office-Dateien, die Makros aktivieren wollen, bei Archiven und bei Dateien, die nach Doppelklick „nichts tun". Eine Rechnung, die Sie nicht erwarten, ist zuerst eine Frage, kein Dokument.
5. Eine ungewöhnliche Bitte von oben. Die Geschäftsführung, angeblich in einer Besprechung, braucht dringend eine Überweisung oder Gutscheincodes – und bitte diskret. Genau diese Kombination aus Autorität, Eile und Geheimhaltung ist das Muster.
6. Eine Seite fragt nach Ihrem Passwort. Der häufigste Fall: ein Link führt auf eine perfekt nachgebaute Microsoft-Anmeldeseite. Faustregel: Anmeldemasken werden nie über einen Link aus einer E-Mail geöffnet, sondern über das Lesezeichen oder die eingetippte Adresse.

Die eine Regel für den Zweifelsfall

Wenn eine Nachricht eine Zahlung, eine Änderung von Bankdaten oder ein Passwort verlangt: Rückruf über eine Nummer, die Sie bereits haben. Nicht über die Nummer aus der E-Mail, nicht per Antwort auf die Mail. Ein Anruf von dreißig Sekunden verhindert die überwiegende Mehrheit dieser Schäden – vorausgesetzt, im Betrieb ist klar, dass dieser Anruf ausdrücklich erwünscht ist.

Das ist der eigentliche Kern: Ihre Mitarbeiterinnen und Mitarbeiter müssen wissen, dass Nachfragen nie ein Fehler ist. Wo Rückfragen als Zeitverschwendung gelten, wird nicht nachgefragt.

Was Technik abfängt – und was nicht

Ein guter Teil lässt sich technisch entschärfen, und dieser Teil gehört gemacht:

• SPF, DKIM und DMARC für Ihre eigene Domain. Sie verhindern, dass Fremde in Ihrem Namen schreiben – das schützt vor allem Ihre Kunden und Ihren Ruf.
• Filter für Anhänge und Links, die verdächtige Ziele vor dem Öffnen prüfen.
• Eine sichtbare Kennzeichnung externer Nachrichten. Wenn jede Mail von außen einen Hinweis trägt, fällt die angebliche interne Anweisung sofort auf.
• Mehr-Faktor-Anmeldung. Sie verhindert nicht das Phishing, aber sie entwertet die Beute – ein erbeutetes Passwort allein nützt nichts mehr. Details dazu im Beitrag Microsoft 365 ohne MFA.

Was Technik nicht abfängt: die echte Nachricht aus dem echten, aber übernommenen Postfach eines Lieferanten, in der die Bankverbindung geändert wird. Dagegen hilft nur der Rückruf.

Es ist passiert – was jetzt?

Der wichtigste Faktor ist die Zeit zwischen Klick und Meldung. Halten Sie den Weg deshalb kurz und angstfrei:

1. Gerät vom Netz nehmen, aber nicht neu starten oder „aufräumen".
2. Sofort melden – intern an eine feste Stelle, extern an Ihre IT-Betreuung. Ohne Schuldfrage; die kostet nur Minuten, die zählen.
3. Betroffene Passwörter ändern und aktive Anmeldesitzungen beenden, damit der Angreifer nicht angemeldet bleibt.
4. Postfach auf neu angelegte Weiterleitungs- und Löschregeln prüfen.
5. Wurde tatsächlich Geld überwiesen: umgehend die eigene Bank kontaktieren und Anzeige erstatten – eine Rückholung ist nur in den ersten Stunden realistisch.
6. Prüfen, ob personenbezogene Daten betroffen sind; dann läuft die 72-Stunden-Frist für die Meldung an die Datenschutzbehörde.

Kurz gesagt: Trainieren Sie nicht das Misstrauen gegen Absender, sondern die Rückfrage bei ungewöhnlichen Bitten. Und sorgen Sie dafür, dass ein erbeutetes Passwort allein wertlos ist.