Phishing ist nach wie vor einer der häufigsten Wege, über die Angreifer sich Zugang zu Unternehmensnetzwerken verschaffen. Eine einzige angeklickte E-Mail kann ausreichen, um Zugangsdaten zu stehlen oder Schadsoftware einzuschleusen. Der wirksamste Schutz besteht aus zwei Bausteinen: technischer Filterung und aufmerksamen Mitarbeitern, die verdächtige Nachrichten erkennen, bevor Schaden entsteht.

Woran Du Phishing-Mails erkennst

Der Absender passt nicht

Prüfe nicht nur den angezeigten Namen, sondern die tatsächliche E-Mail-Adresse. Häufige Warnsignale:

Die Domain weicht minimal vom bekannten Absender ab (z. B. vertauschte Buchstaben oder eine zusätzliche Endung).
Ein interner Kontakt schreibt plötzlich von einer externen Adresse.
Der Anzeigename klingt vertrauenswürdig, die Adresse dahinter aber nicht.

Links führen woanders hin, als sie vorgeben

Fahre mit der Maus über einen Link, ohne zu klicken, und schau Dir die tatsächliche Ziel-URL an. Stimmt sie nicht mit dem angezeigten Text oder der erwarteten Domain überein, ist Vorsicht geboten. Auf dem Smartphone hilft ein längerer Fingerdruck auf den Link, um die Adresse anzuzeigen, statt ihn direkt zu öffnen.

Künstlicher Druck und Dringlichkeit

Phishing-Mails wollen, dass Du schnell und unüberlegt handelst. Typische Formulierungen sind Kontosperrungen, angeblich ausstehende Zahlungen, drohende Konsequenzen oder ein sehr enges Zeitfenster. Seriöse Absender setzen selten auf diese Art von Druck.

Unerwartete Anhänge

Rechnungen, Mahnungen oder vermeintliche Lieferdokumente in Formaten wie ZIP, EXE oder Office-Dateien mit aktivierten Makros sind ein Klassiker. Wurde der Anhang nicht erwartet oder passt er nicht zu einer laufenden Geschäftsbeziehung, sollte er nicht geöffnet werden.

Typische Maschen

Rechnungsbetrug: gefälschte Rechnungen mit leicht verändertem Zahlungsempfänger oder Anhang.
Bewerbungsmaschen: angebliche Bewerbungsunterlagen im Anhang, oft an Personalabteilungen oder allgemeine Postfächer gerichtet.
CEO-Fraud: eine vermeintlich dringende Anweisung der Geschäftsführung, eine Überweisung auszulösen oder Daten herauszugeben.
Lieferanten- oder Bankmails: Aufforderung, Zugangsdaten auf einer gefälschten Login-Seite einzugeben.

Gefälschte Login-Seiten

Ein beliebtes Ziel von Phishing-Links sind nachgebaute Anmeldeseiten, die denen von Microsoft 365, Banken oder anderen bekannten Diensten täuschend ähnlich sehen. Prüfe vor der Eingabe von Zugangsdaten immer die Adressleiste: Stimmt die Domain exakt mit der erwarteten Adresse überein? Fehlt eine Verschlüsselung, oder wirkt die Seite optisch leicht anders als gewohnt, sind das weitere Warnsignale. Im Zweifel gibst Du die Adresse des Dienstes lieber selbst manuell in den Browser ein, statt einem Link zu folgen.

QR-Codes als neue Masche

Auch QR-Codes werden zunehmend für Phishing genutzt, etwa in E-Mails oder auf ausgedruckten Zetteln. Da das Ziel eines QR-Codes vor dem Scannen nicht sichtbar ist, ist besondere Vorsicht geboten: Führt der Code zu einer Login-Aufforderung oder zum Download einer Datei, gelten dieselben Prüfregeln wie bei einem klassischen Link.

Checkliste für den Verdachtsfall

Wenn eine E-Mail verdächtig erscheint, gilt eine einfache Regel: nichts anklicken, nichts herunterladen, nichts beantworten.

Nicht auf Links klicken und keine Anhänge öffnen.
Die IT-Abteilung oder den zuständigen Dienstleister informieren – im Zweifel lieber einmal zu oft.
Die Mail nicht löschen, bevor sie geprüft wurde, damit sie analysiert werden kann.
Bei bereits erfolgtem Klick oder eingegebenen Zugangsdaten sofort das betroffene Passwort ändern und Kollegen informieren.
Auffälligkeiten wie ungewöhnliche Absender oder Rechtschreibfehler im Team melden, damit andere gewarnt sind.

Warum jeder im Unternehmen ein mögliches Ziel ist

Phishing richtet sich längst nicht mehr nur an die Geschäftsführung oder die Buchhaltung. Angreifer verschicken breit gestreute Kampagnen und setzen zugleich gezielte Angriffe gegen einzelne Personen ein, die aus öffentlich verfügbaren Informationen etwa über Social-Media-Profile oder die Firmenwebsite Details über Rolle und Aufgaben zusammentragen. Je genauer eine Mail auf den Empfänger zugeschnitten ist, desto schwerer fällt es, sie als Fälschung zu erkennen. Deshalb sollte jede Person im Unternehmen – unabhängig von Position oder Abteilung – die grundlegenden Warnsignale kennen.

Warum Schulung und technischer Schutz zusammengehören

Kein Filter erkennt jede Phishing-Mail, weil Angreifer ihre Methoden laufend anpassen. Gleichzeitig kann sich kein Mitarbeiter dauerhaft auf hundert Prozent Wachsamkeit verlassen – gerade in stressigen Momenten reicht ein kurzer Moment der Unachtsamkeit. Deshalb ergänzen sich beide Ebenen:

Ein zuverlässiger Spam- und Phishing-Filter hält den Großteil schädlicher Mails bereits vom Postfach fern, bevor Mitarbeiter überhaupt mit ihnen in Kontakt kommen.
Regelmäßige Sensibilisierung sorgt dafür, dass die Mails, die trotzdem durchkommen, erkannt und richtig gemeldet werden.

Fazit

Phishing lässt sich nicht allein durch Technik oder allein durch Schulung zuverlässig abwehren – erst das Zusammenspiel schützt Dein Unternehmen. Mit unserem Anti-Spam-Schutz filtern wir verdächtige Mails zuverlässig heraus, bevor sie im Postfach Deiner Mitarbeiter landen. Wie Du Deine IT insgesamt gegen Angriffe absicherst, erfährst Du in unserem Bereich IT-Sicherheit. Sprich uns gerne über unsere Kontaktseite an, wenn Du Unterstützung bei der Absicherung Deiner Mailinfrastruktur oder der Schulung Deines Teams suchst.