Phishing erkennen im Mittelstand: So schützen sich Unternehmen wirklich

Warum Phishing im Mittelstand ein Führungsthema ist

Cyberangriffe verursachen in Deutschland Schäden in einer Größenordnung, die sich kaum noch als Randthema abtun lässt. Die Bitkom-Studie Wirtschaftsschutz 2025 beziffert den jährlichen Gesamtschaden durch Datendiebstahl, Spionage und Sabotage auf 289,2 Milliarden Euro, davon entfallen 202,4 Milliarden Euro auf Cyberangriffe. 73 Prozent der befragten Unternehmen registrieren eine Zunahme.

Phishing ist dabei selten das Ziel, sondern der Türöffner. Wer Zugangsdaten abgreift, braucht keine Sicherheitslücke mehr. Er meldet sich einfach an. Von dort aus geht es weiter zu Ransomware, zu manipulierten Rechnungen oder zum stillen Abfluss von Daten über Wochen.

Mittelständische Unternehmen sind aus einem einfachen Grund attraktiv. Sie haben Geld, Kundendaten und Produktionsprozesse, aber selten ein eigenes Security-Team, das Auffälligkeiten rund um die Uhr im Blick behält. Wer sich einen Überblick über die gesamte Bedrohungslage verschaffen will, findet ihn in unserem Beitrag zur IT-Sicherheit für KMU.

Phishing kostet kein Budget für Angreifer. Eine überzeugende Mail und ein einziger unaufmerksamer Moment reichen aus.

Phishing erkennen: acht Merkmale, die im Arbeitsalltag auffallen

Die meisten Phishing-Mails verraten sich durch dieselben Muster. Wer sie einmal kennt, erkennt sie auch unter Zeitdruck.

Absenderadresse und Anzeigename passen nicht zusammen

Der Anzeigename lautet „Sparkasse Service“, die tatsächliche Adresse endet auf eine kryptische Domain. Bei Mails im HTML-Format verbirgt sich hinter dem angezeigten Absender oft eine ganz andere Adresse, darauf weist auch das BSI zu Phishing-Merkmalen hin. Ein Blick in den Mail-Header oder das Aufklappen der Absenderdetails schafft in Sekunden Gewissheit.

Künstlicher Zeitdruck

„Innerhalb von 24 Stunden bestätigen, sonst wird Ihr Konto gesperrt.“ Fristen, Drohungen und angekündigte rechtliche Schritte sollen verhindern, dass jemand nachdenkt oder Rücksprache hält. Seriöse Absender arbeiten nicht mit dieser Dramaturgie.

Links, die woanders hinführen

Fahren Sie mit der Maus über den Link, ohne zu klicken. Am unteren Bildschirmrand erscheint das tatsächliche Ziel. Weicht die Domain vom erwarteten Anbieter ab, enthält sie Tippfehler oder besteht aus einer langen Zeichenkette, gehört die Mail nicht angeklickt, sondern gemeldet.

Unerwartete Anhänge

Rechnungen, Lieferscheine und Bewerbungen im Anhang sind der Klassiker. Kritisch sind vor allem ZIP-Archive, ausführbare Dateien und Office-Dokumente, die zur Aktivierung von Makros auffordern. Wenn Sie keine Rechnung erwarten, öffnen Sie auch keine.

Anrede, die nicht passt

„Sehr geehrter Kunde“ ist ein bekanntes Warnsignal. Verlassen Sie sich aber nicht allein darauf. Durch Datenlecks sprechen viele Angreifer ihre Ziele inzwischen korrekt mit Namen, Funktion und sogar Projektbezug an.

Aufforderung zur Eingabe von Zugangsdaten

Kein Anbieter fordert Sie per E-Mail auf, Passwort, TAN oder Kreditkartendaten über einen Link zu bestätigen. Öffnen Sie das Portal stattdessen über ein Lesezeichen oder tippen Sie die Adresse selbst ein.

Ungewöhnliche Zahlungs- oder Datenanfragen

Eine geänderte Bankverbindung des Lieferanten, eine eilige Überweisung ohne den üblichen Freigabeweg, eine Bitte um die Personalliste. Solche Anfragen gehören immer über einen zweiten Kanal geprüft, am besten per Rückruf unter der bekannten Nummer, nicht unter der aus der Mail.

Details, die nicht stimmen

Veraltete Logos, falsche Rechtsformen im Impressum, holprige Formulierungen, Betreffzeilen ohne Bezug zum Text. Einzeln sind das schwache Signale, in Kombination ein deutliches.

Diese Phishing-Arten treffen Unternehmen

Nicht jeder Angriff kommt als Massenmail. Für Unternehmen sind die gezielten Varianten die gefährlicheren.

Spear Phishing richtet sich an einzelne Personen und nutzt echte Informationen aus LinkedIn, Website oder Pressemitteilungen. Die Mail passt zum laufenden Projekt und wirkt deshalb glaubwürdig.

CEO Fraud imitiert die Geschäftsführung und setzt die Buchhaltung unter Druck, eine vertrauliche Zahlung sofort und ohne Rückfrage auszulösen.

Smishing und Vishing verlagern den Angriff auf SMS und Telefon. Beliebt sind angebliche IT-Mitarbeiter, die am Telefon durch einen Passwortwechsel führen.

Quishing ersetzt den Link durch einen QR-Code, etwa auf einem gefälschten Aushang oder in einer PDF-Rechnung. Filter, die Links prüfen, greifen hier oft nicht.

Whaling zielt direkt auf die Führungsebene, weil dort die weitreichendsten Freigaben liegen.

Die konkreten Maschen wechseln laufend. Gefälschte Rechnungen, angeblich gesperrte Konten und Paketbenachrichtigungen tauchen immer wieder auf, welche Welle gerade läuft, zeigt der Phishing-Radar der Verbraucherzentrale.

Was tun, wenn jemand geklickt hat

Der wichtigste Punkt vorweg. Wer einen Fehler meldet, hilft dem Unternehmen. Wer ihn aus Scham verschweigt, schenkt den Angreifern Zeit. Legen Sie einen Meldeweg fest, der ohne Umwege funktioniert, und kommunizieren Sie ihn offen.

Diese Schritte gelten unmittelbar nach einem Klick:

1. Gerät vom Netz trennen. WLAN und Netzwerkkabel deaktivieren, damit Schadsoftware nichts nachladen und keine Daten abfließen können.
2. IT informieren. Intern oder beim Dienstleister, sofort und nicht am nächsten Morgen.
3. Passwörter ändern. Von einem anderen, sicheren Gerät aus, beginnend mit dem Mail-Konto, weil darüber die meisten Passwort-Resets laufen.
4. Konten sperren lassen. Wurden Bank- oder Kartendaten eingegeben, informieren Sie die Bank. Der zentrale Sperrnotruf ist unter 116 116 erreichbar.
5. Gerät prüfen. Vollständiger Scan durch die IT, bei Verdacht auf Kompromittierung Neuaufsetzen statt Reparieren.
6. Beweise sichern. Screenshots der Mail, Zeitpunkt und Ablauf notieren, Nachricht nicht löschen, sondern an die IT übergeben.
7. Anzeige prüfen. Bei finanziellem Schaden oder Datenmissbrauch gehört eine Strafanzeige dazu, wie die Hinweise der Polizeilichen Kriminalprävention zeigen. Sie können sie bei jeder Dienststelle oder über die Online-Wache erstatten.

Wie schnell Ihr Unternehmen diese Kette durchläuft, hängt davon ab, ob jemand erreichbar ist. Genau dafür gibt es einen IT-Support mit Service Desk, bei dem eine Meldung nicht in einer Warteschleife endet.

Technische Maßnahmen, die Phishing vorher stoppen

Aufmerksamkeit ist die letzte Verteidigungslinie, nicht die erste. Der Großteil der Mails sollte gar nicht erst im Postfach landen.

• SPF, DKIM und DMARC verhindern, dass Fremde im Namen Ihrer Domain schreiben, und sorgen dafür, dass gefälschte Absender auffliegen.
• Multi-Faktor-Authentifizierung entwertet gestohlene Passwörter. Sie ist die wirksamste Einzelmaßnahme gegen Kontoübernahmen.
• Moderne Mail-Sicherheit prüft Links beim Anklicken statt beim Empfang und entschärft Anhänge in einer isolierten Umgebung.
• Endpoint Protection und Patchmanagement schließen die Lücken, über die ein geöffneter Anhang sonst weiterarbeitet.
• Berechtigungen nach Bedarf. Wer nur auf das zugreifen kann, was er braucht, begrenzt den Schaden eines gekaperten Kontos erheblich.
• Geprüfte Backups. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, kein Notfallplan.

Viele dieser Punkte lassen sich in einer Microsoft-Umgebung sauber umsetzen, von Conditional Access bis Geräteverwaltung. Wie das im Mittelstand aussieht, zeigen wir bei Microsoft 365 für Unternehmen. Die Gesamtsicht auf Firewall, Endpoint und Monitoring finden Sie unter Cyber Security Services.

Awareness, die über die Jahresschulung hinausgeht

Bei den Schulungen zeigt die Bitkom-Studie eine auffällige Lücke. Laut Bitkom zum BSI-Lagebericht schulen 79 Prozent der Unternehmen ihre Beschäftigten inzwischen regelmäßig zu IT-Sicherheit, aber nur 24 Prozent bieten diese Schulungen allen Beschäftigten an. 55 Prozent schulen ausschließlich ausgewählte Positionen, 20 Prozent verzichten vollständig darauf. Angreifer suchen sich aber nicht die geschulte Abteilung aus.

Ein Angreifer braucht ein einziges Postfach. Es muss nicht das der IT sein.

Was in der Praxis funktioniert:

• Kurz und häufig statt lang und einmal. Zehn Minuten pro Quartal bleiben besser hängen als ein halber Tag pro Jahr.
• Simulierte Phishing-Mails zeigen die reale Klickrate. Wichtig ist die Auswertung ohne Namensnennung, sonst meldet niemand mehr etwas.
• Echte Beispiele aus dem eigenen Haus wirken stärker als abstrakte Musterfälle.
• Ein Meldeknopf im Mailprogramm senkt die Hürde auf einen Klick, setzt aber eine Lösung wie PhishER voraus. Ohne diese braucht es einen klar kommunizierten Meldeweg, bei dem die Mail als Anhang bei der IT landet.
• Klare Freigabeprozesse bei Zahlungen und Stammdatenänderungen, mit Vier-Augen-Prinzip ab einer festgelegten Summe.

Ergänzend gehört ein Notfallmanagement dazu, das im Ernstfall greift. Laut Bitkom haben 39 Prozent der Unternehmen bisher keines.