Phishing erkennen und verhindern: So schützen Sie sich wirklich

Was ist Phishing eigentlich?

Phishing ist im Grunde ein Trick. Jemand gibt sich als jemand anderes aus, um an Ihre Daten zu kommen. Passwörter, Kreditkartennummern, Zugangsdaten zum Online-Banking. Das Prinzip ist simpel: Sie bekommen eine Nachricht, die aussieht, als käme sie von einer vertrauenswürdigen Quelle. Ihre Bank, Ihr Paketdienst, Ihr Arbeitgeber. In der Nachricht werden Sie aufgefordert, auf einen Link zu klicken oder einen Anhang zu öffnen. Und genau da liegt die Falle.

Das Wort kommt von "fishing" – also Angeln. Und das beschreibt es ziemlich gut. Der Angreifer wirft den Köder aus und hofft, dass jemand anbeißt. Das Erschreckende: Es funktioniert. Laut dem BSI (Bundesamt für Sicherheit in der Informationstechnik) ist Phishing seit Jahren die mit Abstand häufigste Angriffsmethode im Internet. Nicht weil die Technik so ausgefallen ist, sondern weil Menschen eben Menschen sind.

Warum Phishing so gut funktioniert

Hier ist das Problem: Phishing zielt nicht auf Ihre Firewall oder Ihren Virenscanner. Es zielt auf Sie. Auf Ihre Emotionen. Und da sind wir alle verwundbar.

Angreifer nutzen gezielt psychologische Hebel:

Zeitdruck: "Ihr Konto wird in 24 Stunden gesperrt!" – Wenn Sie unter Druck stehen, denken Sie nicht nach. Sie handeln. Und genau das wollen die Angreifer.
Autorität: Eine Mail vom Geschäftsführer, von der Polizei, von Microsoft. Wenn eine scheinbar wichtige Person oder Institution schreibt, hinterfragen wir seltener.
Angst: "Wir haben verdächtige Aktivitäten auf Ihrem Konto festgestellt." Sofort schrillen die Alarmglocken. Und statt ruhig zu überlegen, klicken Sie auf den Link.
Neugier: "Schauen Sie sich dieses Foto von der letzten Firmenfeier an!" Manchmal reicht pure Neugier, um den Klick auszulösen.
Hilfsbereitschaft: "Können Sie bitte schnell diese Rechnung prüfen?" Gerade im Arbeitskontext wollen wir helfen und reagieren schnell.

Und genau das ist der Punkt: Es geht nicht darum, ob Sie technisch versiert sind. Phishing funktioniert bei jedem. Auch bei IT-Profis. Der Unterschied liegt darin, wie aufmerksam Sie in dem Moment sind.

Die verschiedenen Arten von Phishing

Phishing ist nicht gleich Phishing. Die Methoden haben sich über die Jahre weiterentwickelt. Hier ein Überblick.

E-Mail-Phishing (der Klassiker)

Die Massen-Mail. Geht an tausende Empfänger gleichzeitig raus. "Ihr PayPal-Konto wurde eingeschränkt", "Ihre DHL-Sendung konnte nicht zugestellt werden". Die Mails sehen oft erstaunlich echt aus – mit Logo, Corporate Design, korrektem Footer. Aber sie sind es nicht.

Beispiel: Sie bekommen eine Mail von [email protected]. Fällt Ihnen die Null statt dem "o" auf? Auf den ersten Blick oft nicht. Und genau damit rechnen die Angreifer.

Spear Phishing (gezielt und persönlich)

Hier wird es unangenehm. Beim Spear Phishing hat der Angreifer Vorarbeit geleistet. Er kennt Ihren Namen, Ihre Position, vielleicht sogar aktuelle Projekte. Die Mail kommt dann nicht von "Sehr geehrter Kunde", sondern: "Hallo Marco, bezüglich des Meetings am Mittwoch – können Sie bitte die angehängte Agenda prüfen?"

Diese Infos finden Angreifer über LinkedIn, die Firmenwebsite oder frühere Datenlecks. Spear Phishing ist deutlich gefährlicher als gewöhnliches Massen-Phishing, weil es so persönlich und glaubwürdig wirkt.

Smishing (Phishing per SMS)

"Ihr Paket konnte nicht zugestellt werden. Bestätigen Sie die Lieferung hier: [Link]". Wer hat solche SMS nicht schon bekommen? Smishing nutzt die Tatsache, dass wir auf dem Handy oft weniger vorsichtig sind. Die Bildschirme sind klein, die URLs kaum lesbar, und wir tippen schneller als wir denken.

Vishing (Phishing per Telefon)

Der Anruf kommt angeblich von Ihrer Bank oder vom Microsoft-Support. "Wir haben ein Sicherheitsproblem auf Ihrem Computer festgestellt." Am Telefon baut der Angreifer Druck auf, klingt professionell und kompetent. Gerade ältere Menschen fallen darauf rein – aber nicht nur.

Wichtig zu wissen: Ihre Bank wird Sie niemals anrufen und nach Passwörtern oder TANs fragen. Nie. Wenn das passiert, legen Sie auf.

Clone Phishing

Bei Clone Phishing nimmt der Angreifer eine echte, legitime E-Mail, die Sie bereits erhalten haben, und erstellt eine fast identische Kopie. Der Unterschied: Die Links oder Anhänge wurden durch schädliche Versionen ersetzt. Die Mail kommt dann als "aktualisierte Version" oder "Korrektur" der vorherigen Nachricht. Besonders fies, weil Sie die ursprüngliche Mail ja tatsächlich kennen.

Woran Sie Phishing erkennen

Jetzt wird es praktisch. Hier sind die konkreten Warnsignale, auf die Sie achten sollten.

1. Die Absenderadresse genau prüfen

Das ist der wichtigste Schritt. Schauen Sie nicht nur auf den angezeigten Namen, sondern auf die tatsächliche E-Mail-Adresse dahinter. Viele E-Mail-Programme zeigen standardmäßig nur den Namen an. Klicken oder tippen Sie auf den Absender, um die vollständige Adresse zu sehen.

[email protected] statt [email protected]
[email protected] statt [email protected]
[email protected] – die echte Domain ist hier customer-verify.com, nicht deutsche-bank

Tipp: Achten Sie besonders auf die Domain nach dem @-Zeichen. Alles vor dem @ kann beliebig gewählt werden. Entscheidend ist, was danach kommt – und zwar der Teil direkt vor der Top-Level-Domain (.de, .com, etc.).

2. Grammatik und Rechtschreibung

Früher waren Phishing-Mails leicht an katastrophaler Grammatik zu erkennen. Das ist leider nicht mehr so zuverlässig, weil Angreifer mittlerweile KI-Tools für die Texterstellung nutzen. Trotzdem: Achten Sie auf ungewöhnliche Formulierungen, seltsame Zeichensetzung oder Mischungen aus förmlicher und informeller Anrede in derselben Mail. Seriöse Unternehmen haben Lektoren.

3. Dringlichkeit und Drohungen

"Handeln Sie sofort!", "Letzte Warnung!", "Ihr Konto wird dauerhaft gelöscht!" – Wenn eine Mail Sie unter Druck setzt, ist das ein massives Warnsignal. Kein seriöses Unternehmen droht Ihnen per E-Mail mit sofortiger Kontosperrung, ohne Ihnen vorher mehrfach postalisch geschrieben zu haben.

Also: Tief durchatmen. Wenn es wirklich dringend wäre, würde Ihre Bank Sie anrufen oder Ihnen einen Brief schicken.

4. Verdächtige Links

Bevor Sie auf einen Link klicken: Halten Sie den Mauszeiger darüber (am Desktop) oder halten Sie den Link gedrückt (am Handy). Dann sehen Sie die tatsächliche URL. Prüfen Sie:

Stimmt die Domain? sparkasse.de ist nicht das Gleiche wie sparkasse.de.login-verify.com
Verwendet der Link HTTPS? Kein Garantiezeichen, aber ohne HTTPS ist es definitiv verdächtig.
Ist die URL auffällig lang mit vielen Parametern und zufälligen Zeichenketten?
Wird ein URL-Shortener wie bit.ly oder tinyurl.com verwendet? In geschäftlichen E-Mails ist das unüblich.

Faustregel: Wenn Sie sich unsicher sind, klicken Sie nicht auf den Link. Öffnen Sie stattdessen Ihren Browser und navigieren Sie selbst zur Website des Anbieters. Geben Sie die Adresse manuell ein oder nutzen Sie ein Lesezeichen.

5. Unerwartete Anhänge

Sie bekommen eine Rechnung, die Sie nicht erwarten? Einen Lebenslauf, obwohl Sie keine Stelle ausgeschrieben haben? Besondere Vorsicht bei diesen Dateitypen:

.exe, .bat, .cmd – ausführbare Dateien, immer gefährlich
.zip, .rar – Archive können schädliche Dateien verstecken
.docm, .xlsm – Office-Dateien mit Makros
.html – kann auf Phishing-Seiten weiterleiten

Wenn Sie einen Anhang erwarten, fragen Sie im Zweifel beim Absender nach – aber nicht, indem Sie auf die verdächtige Mail antworten, sondern über einen anderen Kanal (Telefon, separate E-Mail).

Was tun, wenn Sie darauf hereingefallen sind?

Okay, es ist passiert. Sie haben auf den Link geklickt, vielleicht sogar Daten eingegeben. Keine Panik, aber handeln Sie schnell. Hier sind die Sofortmaßnahmen:

Passwort sofort ändern. Und zwar für den betroffenen Dienst. Falls Sie dasselbe Passwort woanders verwenden (was Sie nicht tun sollten), ändern Sie es dort auch.
Multi-Faktor-Authentifizierung aktivieren, falls noch nicht geschehen. Damit ist ein gestohlenes Passwort allein wertlos.
Bank kontaktieren, falls Sie Zahlungsdaten eingegeben haben. Lassen Sie Karten sperren und informieren Sie die Bank über den Vorfall.
Gerät scannen. Lassen Sie einen vollständigen Virenscan laufen, wenn Sie einen Anhang geöffnet haben. Besser noch: Lassen Sie die IT-Abteilung drüberschauen.
Vorfall melden. Im Unternehmen: IT-Sicherheit oder den Vorgesetzten informieren. Privat: Bei der Polizei Anzeige erstatten und den Vorfall bei der Verbraucherzentrale melden.
Kontoaktivitäten überwachen. Behalten Sie in den nächsten Wochen Ihre Kontobewegungen und Login-Benachrichtigungen im Blick.

Wichtig: Schämen Sie sich nicht, wenn es Sie erwischt hat. Phishing-Angriffe werden immer professioneller. Es kann wirklich jedem passieren. Je schneller Sie reagieren, desto besser können Sie den Schaden begrenzen.

Wie Unternehmen sich schützen können

Einzelpersonen können viel tun. Aber Unternehmen tragen eine besondere Verantwortung. Ein einziger Klick eines Mitarbeiters kann das gesamte Netzwerk kompromittieren. Hier sind die wichtigsten Maßnahmen.

Security Awareness Training

Der wichtigste Punkt. Technik allein reicht nicht, wenn die Mitarbeiter nicht wissen, worauf sie achten müssen. Regelmäßige Schulungen – nicht einmal im Jahr eine PowerPoint-Präsentation, sondern kontinuierliche, praxisnahe Trainings. Zeigen Sie den Leuten echte Beispiele. Lassen Sie sie Phishing-Mails analysieren. Machen Sie es greifbar.

Und ganz wichtig: Schaffen Sie eine Kultur, in der Mitarbeiter verdächtige E-Mails melden können, ohne Angst vor Konsequenzen zu haben. Wer Fehler vertuscht, macht es nur schlimmer.

E-Mail-Filter und SPF/DKIM/DMARC

Technische Maßnahmen auf Server-Seite können einen Großteil der Phishing-Mails abfangen, bevor sie überhaupt im Postfach landen.

SPF (Sender Policy Framework): Legt fest, welche Mailserver berechtigt sind, E-Mails für Ihre Domain zu versenden.
DKIM (DomainKeys Identified Mail): Signiert ausgehende E-Mails kryptografisch, sodass der Empfänger prüfen kann, ob die Mail tatsächlich vom angegebenen Server stammt.
DMARC (Domain-based Message Authentication, Reporting and Conformance): Baut auf SPF und DKIM auf und definiert, was mit E-Mails passieren soll, die die Prüfung nicht bestehen.

Klingt technisch? Ist es auch. Aber es lohnt sich. Ohne diese drei Protokolle ist Ihre Domain ein offenes Scheunentor für E-Mail-Spoofing.

Multi-Faktor-Authentifizierung (MFA)

MFA ist keine Option, sondern Pflicht. Punkt. Selbst wenn ein Mitarbeiter auf eine Phishing-Mail reinfällt und sein Passwort auf einer Fake-Seite eingibt – ohne den zweiten Faktor kann der Angreifer trotzdem nicht rein. Authenticator-Apps sind dabei sicherer als SMS-Codes, weil SMS abgefangen werden können.

Phishing-Simulationen

Theorie ist gut, Praxis ist besser. Mit simulierten Phishing-Angriffen können Sie testen, wie gut Ihre Mitarbeiter aufgestellt sind. Aber Achtung: Das Ziel ist nicht, Leute bloßzustellen. Es geht darum, Schwachstellen zu identifizieren und gezielt zu schulen. Wer auf die Simulation reinfällt, bekommt ein kurzes Training – keinen Rüffel.

Gute Simulationen variieren in der Schwierigkeit. Von der offensichtlichen "Sie haben 1 Million gewonnen"-Mail bis zum gezielten Spear-Phishing mit internen Informationen. So bekommen Sie ein realistisches Bild.

Fazit

Phishing wird nicht verschwinden. Die Angriffe werden sogar immer besser, professioneller und schwerer zu erkennen. Aber Sie sind dem nicht hilflos ausgeliefert.

Die drei wichtigsten Regeln:

Misstrauen ist gesund. Hinterfragen Sie jede unerwartete Nachricht, die Sie zu einer Handlung auffordert.
Nehmen Sie sich Zeit. Phishing lebt von Hektik. Wer kurz nachdenkt, fällt seltener rein.
Im Zweifel: Nicht klicken. Gehen Sie lieber den Umweg über die offizielle Website oder rufen Sie an.

Und für Unternehmen: Investieren Sie in Ihre Mitarbeiter. Die beste Firewall bringt nichts, wenn jemand aus der Buchhaltung seine Zugangsdaten auf einer Fake-Seite eingibt. Security Awareness ist kein einmaliges Projekt, sondern ein fortlaufender Prozess.

Wenn Sie Fragen haben oder Unterstützung bei Security Awareness Trainings brauchen – melden Sie sich gerne bei mir.