Phishing erkennen: 8 Warnzeichen in geschäftlichen E-Mails
Die Zeiten schlecht übersetzter Mails vom nigerianischen Prinzen sind vorbei. Heutige Angriffe sind in fehlerfreiem Deutsch geschrieben, kennen Ihre Firmenstruktur und kommen zum richtigen Zeitpunkt.
Phishing erkennen Sie zuverlässig an acht Merkmalen: einer Absenderadresse, die nur auf den ersten Blick stimmt; künstlichem Zeitdruck; ungewöhnlichen Zahlungs- oder Datenanfragen; Links, deren tatsächliches Ziel vom Text abweicht; unerwarteten Anhängen; einer unpassenden Anrede; einem Kommunikationsweg, der vom Üblichen abweicht; und der Bitte, den normalen Freigabeprozess zu umgehen.
Kein einzelnes Merkmal ist für sich ein Beweis. Zwei davon gleichzeitig rechtfertigen einen Anruf, bevor irgendetwas angeklickt wird.
Die acht Warnzeichen im Detail
1. Die Absenderadresse stimmt fast
Angezeigt wird der Name eines bekannten Kontakts, dahinter steht aber eine andere Adresse. Beliebt sind vertauschte Buchstaben, zusätzliche Bindestriche oder abweichende Endungen, etwa lieferant-gmbh.de statt lieferant.de, oder ein großes I anstelle eines kleinen l. Prüfen Sie im Zweifel die vollständige Adresse, nicht nur den Anzeigenamen.
2. Dringlichkeit als Druckmittel
„Heute noch“, „letzte Mahnung“, „Konto wird gesperrt“, „bevor der Chef zurückkommt“. Zeitdruck ist das wichtigste Werkzeug beim Phishing, weil er Nachdenken verhindert. Seriöse Geschäftspartner setzen keine Fristen von zwei Stunden für Zahlungen.
3. Geänderte Bankverbindung
Der Klassiker im B2B-Bereich: Eine bekannte Lieferantenrechnung kommt, alles wirkt vertraut, nur die IBAN ist neu: „wegen einer Bankumstellung“. Dieser Angriff kostet deutsche Unternehmen jährlich erhebliche Summen. Feste Regel: Jede Änderung von Bankdaten wird telefonisch bestätigt, über eine Nummer aus dem eigenen Bestand, nie über eine Nummer aus der Mail.
4. Der Link führt woanders hin
Der sichtbare Text zeigt eine bekannte Adresse, das tatsächliche Ziel ist ein anderes. Am Rechner sehen Sie das Ziel, wenn Sie mit der Maus über den Link fahren, ohne zu klicken, unten links im Browser oder Mailprogramm erscheint die echte Adresse. Am Handy funktioniert das über langes Drücken.
5. Unerwarteter Anhang
Besonders bei Dateiformaten, die ausgeführt werden können, oder bei Office-Dateien, die zur Aktivierung von Makros auffordern. Eine Rechnung, die Sie nicht erwartet haben, von einem Absender, mit dem Sie nichts zu tun haben, das ist kein Versehen, das ist der Angriff.
6. Die Anrede passt nicht
Entweder zu allgemein („Sehr geehrter Kunde“) bei einem Absender, der Ihren Namen kennen müsste. Oder auffallend persönlich bei jemandem, mit dem Sie nie geduzt haben. Beides ist ein Hinweis, dass der Absender nicht der ist, für den er sich ausgibt.
7. Der Kanal wechselt
„Bitte antworten Sie mir auf diese private Adresse, ich komme gerade nicht ins Firmenpostfach.“ Oder eine Bitte, per WhatsApp weiterzumachen. Wer aus dem nachvollziehbaren, dokumentierten Kanal herausdrängt, hat einen Grund dafür.
8. Der Freigabeprozess soll umgangen werden
Die gefährlichste Variante, weil sie ohne technische Tricks auskommt: Eine Mail, scheinbar von der Geschäftsführung, bittet eine Person aus der Buchhaltung um eine schnelle, vertrauliche Überweisung, bitte am üblichen Vier-Augen-Prinzip vorbei. Diese Masche heißt CEO-Fraud und funktioniert leider regelmäßig.
Die wirksamste Einzelmaßnahme: eine schriftliche Regel, dass Zahlungsanweisungen und Änderungen von Bankdaten grundsätzlich telefonisch bestätigt werden, ausnahmslos, auch wenn die Anweisung vom Chef kommt. Das nimmt den Mitarbeitenden die Angst, nachzufragen. Genau diese Angst ist das, worauf die Angreifer setzen.
Was Technik übernehmen kann und was nicht
Ein professioneller E-Mail-Schutz filtert einen großen Teil der Angriffe heraus, bevor sie im Postfach ankommen: bekannte Absenderadressen aus Angriffskampagnen, verdächtige Anhänge, Links auf gemeldete Seiten. Ergänzend prüfen moderne Systeme Links erst im Moment des Klicks, weil viele Angriffsseiten erst nach der Zustellung scharfgeschaltet werden.
Was Technik nicht auffängt: die gut geschriebene Mail von einem echten, aber gekaperten Postfach eines echten Lieferanten, mit einer plausiblen Rechnung und einer neuen IBAN. Hier hilft nur der Prozess.
Wenn doch geklickt wurde
Wichtig ist die Reihenfolge und dass niemand aus Scham schweigt:
- Gerät vom Netzwerk trennen, aber nicht ausschalten. WLAN aus, Netzwerkkabel ziehen.
- Sofort melden, intern und an die IT-Betreuung. Jede Minute zählt.
- Passwörter ändern, von einem anderen, sauberen Gerät aus.
- Bei Zahlungen: Bank anrufen. Innerhalb kurzer Zeit lassen sich Überweisungen manchmal noch stoppen.
- Vorfall dokumentieren. Screenshots, Zeitpunkt, betroffene Konten, wichtig für Versicherung, Anzeige und gegebenenfalls Meldepflichten.
Ein Betriebsklima, in dem ein Fehlklick sofort gemeldet statt verschwiegen wird, ist sicherheitstechnisch mehr wert als jedes zusätzliche Filterprodukt.
Was sich mit vertretbarem Aufwand umsetzen lässt
- Multi-Faktor-Authentifizierung für alle Postfächer. Verhindert die Übernahme eines Kontos selbst dann, wenn das Passwort abgegriffen wurde.
- Externe Absender kennzeichnen. Ein automatischer Hinweis über jeder Mail von außerhalb entlarvt vorgetäuschte interne Absender sofort.
- SPF, DKIM und DMARC für die eigene Domain einrichten, damit Dritte nicht in Ihrem Namen versenden können.
- Kurze Auffrischungen im Team, zweimal im Jahr, mit echten Beispielen aus dem eigenen Postfach statt allgemeiner Folien.
Häufige Fragen
Woran erkennt man eine Phishing-Mail?
An einer Absenderadresse, die nur ähnlich aussieht, künstlichem Zeitdruck, ungewöhnlichen Zahlungs- oder Datenanfragen, Links deren Ziel vom Text abweicht, unerwarteten Anhängen, unpassender Anrede, dem Wechsel des Kommunikationskanals und der Bitte, Freigabeprozesse zu umgehen.
Was ist CEO-Fraud?
Bei CEO-Fraud geben sich Angreifer per E-Mail als Geschäftsführung aus und bitten Mitarbeitende in der Buchhaltung um eine dringende, vertrauliche Überweisung unter Umgehung der üblichen Freigabe. Der Angriff nutzt keine technischen Schwachstellen, sondern Autorität und Zeitdruck.
Was tun, wenn man auf eine Phishing-Mail geklickt hat?
Gerät sofort vom Netzwerk trennen, aber nicht ausschalten. Vorfall umgehend intern und an die IT-Betreuung melden. Passwörter von einem sauberen Gerät aus ändern. Bei ausgelösten Zahlungen sofort die Bank anrufen. Alles dokumentieren.
Wie schützt man sich vor gefälschten Rechnungen mit geänderter Bankverbindung?
Durch eine feste schriftliche Regel: Jede Änderung von Bankdaten wird telefonisch bestätigt, über eine Telefonnummer aus dem eigenen Bestand und niemals über eine Nummer aus der betreffenden E-Mail.
