Was ist Phishing?

Kurz erklärt

Phishing ist ein Betrugsversuch, bei dem Angreifer mit gefälschten E-Mails, Nachrichten oder Websites Zugangsdaten, Zahlungsdaten oder andere vertrauliche Informationen erschleichen. Die Nachrichten geben sich als vertrauenswürdige Absender aus, etwa als Bank, Paketdienst, Microsoft oder FinanzOnline. Ziel ist immer, dass Sie auf einen Link klicken, einen Anhang öffnen oder Daten eingeben.

Wie funktioniert Phishing?

Der Begriff leitet sich vom englischen „fishing“ ab: Die Angreifer werfen einen Köder aus und warten, wer anbeißt. Manche Kampagnen gehen an Tausende Empfänger gleichzeitig, andere sind gezielt auf ein einzelnes Unternehmen zugeschnitten. Diese Form heißt Spear-Phishing und nutzt öffentlich verfügbare Informationen wie Namen von Mitarbeitenden, Lieferanten oder laufende Projekte.

Fast immer arbeiten Phishing-Nachrichten mit Zeitdruck oder Angst: Ein Konto werde gesperrt, eine Zahlung sei fehlgeschlagen, ein Dokument warte auf Freigabe. Der Link führt auf eine nachgebaute Anmeldeseite, und alles, was Sie dort eingeben, landet direkt bei den Angreifern. Alternativ enthält die Nachricht einen Anhang mit Schadsoftware. Phishing ist damit die bekannteste Methode des Social Engineering. Dieselbe Masche gibt es auch per SMS (Smishing) und am Telefon (Vishing).

Typische Ziele der Angreifer sind:

• Zugangsdaten zu Microsoft 365 oder Google Workspace, um E-Mails mitzulesen oder im Namen Ihres Unternehmens weitere Betrugsmails zu versenden
• Online-Banking- und Kreditkartendaten
• die Installation von Schadsoftware, häufig als Vorstufe zu einem Ransomware-Angriff

Ein typisches Beispiel aus dem KMU-Alltag

Eine Steuerkanzlei mit zwölf Mitarbeitenden erhält eine E-Mail, die wie eine Microsoft-Benachrichtigung aussieht: „Ihr Postfach ist fast voll. Bestätigen Sie Ihr Konto innerhalb von 24 Stunden, sonst gehen neue Nachrichten verloren.“ Eine Mitarbeiterin klickt auf den Link und meldet sich auf einer Seite an, die der echten Microsoft-Anmeldung zum Verwechseln ähnlich sieht. Am nächsten Tag meldet sich jemand aus dem Ausland mit ihren Daten an und richtet unbemerkt eine Regel ein, die alle E-Mails mit dem Wort „Rechnung“ an eine fremde Adresse weiterleitet. Wochen später erhalten Klient:innen der Kanzlei E-Mails mit angeblich geänderten Kontodaten.

Woran Sie Phishing erkennen

• Die Absenderadresse passt nicht zum angeblichen Absender oder enthält kleine Abweichungen, etwa „rnicrosoft“ statt „microsoft“.
• Die Nachricht erzeugt Druck: Fristen, Drohungen, angebliche Sperren.
• Der Link zeigt beim Darüberfahren mit der Maus auf eine fremde Adresse.
• Sie werden aufgefordert, Passwörter, TAN-Codes oder Zahlungsdaten einzugeben.
• Anrede, Sprache oder Gestaltung wirken ungewohnt, auch wenn Phishing heute oft fehlerfrei formuliert ist.

So schützen Sie Ihr Unternehmen

• Zwei-Faktor-Authentifizierung aktivieren: Mit 2FA reicht ein gestohlenes Passwort allein nicht mehr aus.
• Passwortmanager verwenden: Er füllt Zugangsdaten nur auf der echten Website aus und warnt so indirekt vor gefälschten Seiten.
• Mitarbeitende regelmäßig sensibilisieren: Kurze, praxisnahe Beispiele wirken besser als einmalige Schulungen.
• Einen klaren Meldeweg festlegen: Wer unsicher ist, soll ohne Scheu nachfragen dürfen.
• E-Mail-Domain absichern: Mit DMARC, SPF und DKIM erschweren Sie Betrügern, Ihre Absenderadresse zu fälschen.

Was tun im Ernstfall?

1. Ändern Sie sofort das betroffene Passwort und melden Sie alle aktiven Sitzungen ab.
2. Prüfen Sie das Postfach auf neue Weiterleitungs- und Posteingangsregeln.
3. Wurden Bankdaten eingegeben, kontaktieren Sie umgehend Ihre Bank.
4. Erstatten Sie Anzeige bei der Polizei oder wenden Sie sich an die Meldestelle against-cybercrime@bmi.gv.at.
5. Waren personenbezogene Daten betroffen, prüfen Sie die DSGVO-Meldepflicht: Die Meldung an die Datenschutzbehörde muss binnen 72 Stunden erfolgen.

Neue Phishing-Maschen können Sie auf watchlist-internet.at nachlesen und dort auch melden. Xcubitor wird künftig verdächtige Anmeldungen in Microsoft-365- und Google-Konten erkennen, verständlich erklären und Sie per WhatsApp warnen.