Phishing-Angriffe gehören zu den häufigsten Cyberbedrohungen und werden immer raffinierter. Laut einer aktuellen Studie des Bundesamts für Sicherheit in der Informationstechnik (BSI) wurden allein im Jahr 2024 in Deutschland über 37,5 Millionen Phishing-Versuche registriert, 16 Prozent mehr als im Vorjahr. Unternehmen geraten dabei oft direkt ins Visier und sollten deshalb wissen, wie sie solche Angriffe erkennen und abwehren.
Phishing ist für Unternehmen besonders gefährlich
Die Methoden von Cyberkriminellen entwickeln sich ständig weiter. Früher fielen Phishing-Mails oft durch schlechte Grammatik und offensichtlich falsche Absenderadressen auf. Heute sind viele Angriffe hochprofessionell. Besonders heikel sind gezielte Phishing-Angriffe (Spear-Phishing), bei denen die Täter vorher Informationen über ihr Opfer sammeln und damit eine täuschend echte Nachricht schreiben. Unternehmen trifft das besonders, weil die Angriffe auf Mitarbeiter in sensiblen Abteilungen wie der Finanzbuchhaltung oder der IT zielen.
Ein besonders raffinierter Angriff flog 2024 in Deutschland auf. Betrüger verschickten im Namen von Banken gefälschte Briefe mit QR-Codes, die angeblich zur Kontoverifizierung dienten. Die Codes führten auf täuschend echt nachgebaute Phishing-Websites, auf denen die Opfer ihre Zugangsdaten eingaben.
Quelle: BSI-Lagebericht 2024
Fünf Merkmale verraten Phishing-Mails
Wer die typischen Anzeichen kennt, erkennt betrügerische E-Mails schneller:
1. Ungewöhnliche Absenderadressen
Phishing-Mails kommen oft von Adressen, die nur leicht von offiziellen Adressen abweichen:
Echt: support@paypal.com
Gefälscht: support@paypa1.com oder support@paypal-verifikation.com
Wenn Sie den Mauszeiger über die Absenderadresse bewegen, ohne zu klicken, sehen Sie die echte Domain.
2. Dringende Handlungsaufforderungen
Cyberkriminelle setzen ihre Opfer unter Druck, damit sie unüberlegt handeln. Typisch sind Sätze wie diese:
„Ihr Konto wird gesperrt, wenn Sie nicht innerhalb von 24 Stunden reagieren!“
„Letzte Mahnung: offene Zahlung sofort ausführen!“
Banken und seriöse Unternehmen setzen selten Fristen von wenigen Stunden.
3. Grammatik- und Rechtschreibfehler
Viele Phishing-Mails enthalten auffällige Fehler oder klingen unnatürlich.
4. Gefälschte Links und Anhänge
Links in Phishing-Mails führen oft zu betrügerischen Websites.
Ein Beispiel: www.paypal.com ist echt, www.paypal-verifikation.com ist gefälscht.
Fahren Sie mit der Maus über den Link, ohne zu klicken. Dann wird die wahre URL angezeigt.
5. Fehlende persönliche Ansprache
Eine allgemeine Begrüßung wie „Sehr geehrter Kunde“ deutet auf eine betrügerische Nachricht hin.
Diese Phishing-Angriffe richten sich gegen Unternehmen
1. CEO-Fraud, der Betrug im Namen der Geschäftsführung
Cyberkriminelle geben sich als Führungskräfte aus und fordern Mitarbeiter auf, dringend hohe Geldbeträge zu überweisen.
2. Angriffe auf Finanzabteilungen
Die Täter schicken gefälschte Rechnungen oder Zahlungsanweisungen an die Buchhaltung, um Geldtransfers auszulösen.
3. IT-Support-Phishing
E-Mails, die angeblich von der internen IT-Abteilung stammen, fordern Mitarbeiter auf, ihre Anmeldedaten auf gefälschten Unternehmenswebseiten einzugeben.
Quelle: Heise Security
Unternehmen schützen sich mit Technik und Schulungen
1. Technische Schutzmaßnahmen
E-Mail-Filter und Firewalls erkennen und blockieren verdächtige Mails automatisch.
Multi-Faktor-Authentifizierung (MFA) erschwert unbefugte Zugriffe mit einer zusätzlichen Sicherheitsabfrage.
E-Mail-Sicherheitsprotokolle wie DMARC, SPF und DKIM helfen, gefälschte Absender zu erkennen.
2. Schulungen und Awareness im Unternehmen
Regelmäßige Phishing-Tests für Mitarbeiter.
Klare Meldewege für verdächtige E-Mails.
Notfallpläne für IT-Sicherheitsvorfälle.
3. So reagieren Sie auf eine Phishing-Mail
Nicht auf Links oder Anhänge klicken.
Den Absender nicht kontaktieren.
Die Mail an eine offizielle Meldestelle weiterleiten:
Deutschland: phishing@bsi.bund.de
Österreich: cert@cert.at
Schweiz: antiphishing@melani.admin.ch
Prüfen Sie Ihre Schutzmaßnahmen regelmäßig
Phishing gehört zu den größten Cyberbedrohungen für Unternehmen. Mit dem richtigen Wissen und technischen Schutzmaßnahmen lassen sich solche Angriffe aber vermeiden. Wir empfehlen, E-Mail-Filter, MFA und die Protokolle DMARC, SPF und DKIM regelmäßig zu überprüfen. Außerdem sollten Ihre Mitarbeiter mit wiederkehrenden Phishing-Tests in Übung bleiben und einen klaren Meldeweg für verdächtige Mails kennen.
Was tun, wenn Ihr Unternehmen auf eine Phishing-Mail hereingefallen ist?
Trennen Sie das betroffene Gerät sofort vom Netzwerk.
Ändern Sie alle relevanten Passwörter und überprüfen Sie Zugriffsrechte.
Kontaktieren Sie die IT-Sicherheitsabteilung oder einen IT-Sicherheitsexperten.
Bank und relevante Partner informieren.
Interne Sicherheitsrichtlinien überprüfen und optimieren.
Mitarbeitende gezielt nachschulen, um Wiederholungsfälle zu vermeiden.
Leiten Sie die Mail an eine offizielle Meldestelle weiter:
Deutschland: phishing@bsi.bund.de
Österreich: cert@cert.at
Schweiz: antiphishing@melani.admin.ch
