Phishing erkennen: 5 rote Flaggen

Phishing ist nach wie vor der häufigste Weg, über den Angreifer in Firmennetzwerke gelangen. Nicht, weil die Technik der Täter so überlegen ist, sondern weil eine einzige überzeugende E-Mail genügt: Ein Mitarbeitender klickt, gibt ein Passwort ein oder öffnet einen Anhang – und die Schadsoftware ist im Haus. Spamfilter und Virenschutz fangen einen Großteil ab, aber eben nicht alles. Die letzte Entscheidung fällt immer ein Mensch am Bildschirm. Damit diese Entscheidung öfter richtig ausfällt, braucht es keine teuren Schulungsprogramme, sondern ein geschultes Auge für wenige, wiederkehrende Merkmale. Die folgenden fünf decken den Großteil der Angriffe ab.

Rote Flagge 1: Anzeigename und Absenderadresse passen nicht zusammen

Der Name über einer E-Mail ist frei wählbar. Dort kann „Sparkasse“, „Ihre Buchhaltung“ oder der Name Ihres Geschäftsführers stehen – entscheidend ist die tatsächliche Adresse dahinter. Tippen oder klicken Sie auf den Absendernamen, um die vollständige Adresse zu sehen, und lesen Sie die Domain Buchstabe für Buchstabe. Täter arbeiten mit Vertauschungen (rn statt m), Zusätzen (firma-support.de statt firma.de) oder anderen Endungen (.net statt .de). Ein zweiter Hinweis: Viele Unternehmen lassen externe E-Mails automatisch kennzeichnen, etwa mit dem Zusatz „EXTERN“ im Betreff. Eine scheinbar interne Mail mit dieser Markierung ist sofort verdächtig.

Rote Flagge 2: Zeitdruck, Drohungen und Geheimhaltung

Fast jede Phishing-Mail erzeugt Druck: Das Konto wird gesperrt, die Mahnung ist die letzte, die Lieferung wartet, die Frist läuft heute ab. Seriöse Banken, Behörden und Geschäftspartner verlangen keine Sofortreaktion per E-Mail. Besonders deutlich wird es, wenn zur Geheimhaltung aufgefordert wird – „bitte vertraulich behandeln“, „nicht mit Kollegen besprechen“. Das ist das klassische Muster beim Cheftrick: Eine vermeintliche Anweisung der Geschäftsführung soll eine Überweisung auslösen, bevor jemand nachfragt. Die Grundregel lautet: Je dringlicher eine Mail tut, desto langsamer sollten Sie werden.

Rote Flagge 3: Unerwartete Anhänge und getarnte Links

Eine Rechnung für etwas, das Sie nie bestellt haben. Ein ZIP-Archiv von einem unbekannten Absender. Eine Office-Datei, die beim Öffnen verlangt, Makros zu aktivieren. All das gehört nicht geöffnet, sondern geprüft. Bei Links gilt: Fahren Sie mit der Maus über den Link, ohne zu klicken – am Smartphone halten Sie den Link lange gedrückt. Stimmt das angezeigte Ziel nicht mit dem Linktext überein oder führt es auf eine fremde Domain, ist das ein Warnsignal. Gleiches gilt für QR-Codes in E-Mails: Sie umgehen den Blick auf die Adresse vollständig und gehören in geschäftlichen Mails nicht zum Normalfall.

Rote Flagge 4: Ein bekannter Kontakt bittet um Ungewöhnliches

Die gefährlichsten Mails kommen von echten Adressen – etwa wenn das Postfach eines Lieferanten oder Kollegen übernommen wurde. Der Absender-Check hilft dann nichts. Achten Sie stattdessen auf Brüche im gewohnten Ablauf: eine plötzlich geänderte Bankverbindung, eine neue Zahlungsart, eine dringende Überweisung, die Bitte um Gutscheinkarten, eine ungewohnte Anrede oder ein auffällig veränderter Sprachstil. Hier schützt nur ein fester Prozess: Änderungen an Stammdaten und Zahlungswegen werden grundsätzlich über einen zweiten, bekannten Kanal bestätigt – etwa per Anruf unter der gespeicherten Nummer, niemals über die Kontaktdaten aus der Mail selbst.

Rote Flagge 5: Sie sollen sich anmelden oder Zugangsdaten nennen

„Bitte bestätigen Sie Ihr Passwort“, „Ihr Postfach ist voll – jetzt anmelden“, „Verhindern Sie die Sperrung Ihres Kontos“: Hinter solchen Aufforderungen stecken fast immer gefälschte Anmeldeseiten, die täuschend echt aussehen, etwa die Anmeldemaske eines weit verbreiteten Cloud-Dienstes oder eines Online-Bankings. Keine seriöse IT-Abteilung, keine Bank und keine Behörde fragt Passwörter, TANs oder Einmalcodes per E-Mail oder am Telefon ab. Melden Sie sich grundsätzlich nie über einen Link aus einer Mail an, sondern über das gespeicherte Lesezeichen oder die App des jeweiligen Dienstes.

So prüfen Sie eine verdächtige Nachricht richtig

Im Zweifel genügen drei Schritte: Erstens den Absender vollständig anzeigen lassen und die Domain lesen. Zweitens Links prüfen, ohne zu klicken. Drittens den Inhalt gegen den erwarteten Ablauf halten: Habe ich etwas bestellt? Gibt es diesen Vorgang wirklich? Passt die Anfrage zu meiner Aufgabe? Bleibt ein Restzweifel, antworten Sie nicht auf die Mail und verwenden Sie keine darin enthaltenen Kontaktdaten. Erreichen Sie den Absender über einen bekannten Weg oder leiten Sie die Mail an die zuständige Stelle im Haus weiter. Eine irrtümlich gelöschte echte Mail lässt sich klären – ein geöffneter Schad-Anhang deutlich schwerer.

Wenn doch jemand geklickt hat

Dann zählt Geschwindigkeit, nicht Schuld. Der betroffene Rechner sollte sofort vom Netz getrennt werden – Netzwerkkabel ziehen oder WLAN abschalten –, aber nicht heruntergefahren, damit flüchtige Spuren im Arbeitsspeicher für die Analyse erhalten bleiben. Wurden Zugangsdaten eingegeben, wird das Passwort umgehend von einem anderen Gerät aus geändert, überall dort, wo es verwendet wurde. Danach informieren Sie die IT-Verantwortlichen oder Ihren Dienstleister und dokumentieren den Vorgang: welche Mail, wann, was wurde angeklickt, welche Daten wurden eingegeben. Wer den Vorfall aus Scham verschweigt, gibt den Angreifern Zeit – und genau die ist der eigentliche Schaden.

Zuständigkeiten klären, bevor etwas passiert

In Unternehmen mit zehn bis hundert Mitarbeitenden scheitert die Abwehr selten an Technik, sondern an ungeklärten Wegen. Vier Festlegungen schließen die wichtigsten Lücken: eine benannte Stelle, an die verdächtige Mails weitergeleitet werden – eine Person oder ein Dienstleister, kein anonymer Verteiler; die ausdrückliche Zusage, dass jede Meldung richtig ist, auch Fehlalarme; ein kurzer, schriftlicher Ablauf für den Ernstfall inklusive Rufnummern; und das Vier-Augen-Prinzip bei Überweisungen und Stammdatenänderungen. Diese Punkte kosten einen Nachmittag und verhindern genau die Schäden, die Betriebe wirklich treffen.

Was sich nicht lohnt

Aufwendige Awareness-Plattformen mit Lernvideos und Zertifikaten bringen wenig, solange die vier Punkte oben fehlen. Simulierte Phishing-Kampagnen ohne vorherige Ankündigung und ohne faire Auswertung beschädigen vor allem das Vertrauen: Mitarbeitende melden dann aus Angst vor Bloßstellung gar nichts mehr – das Gegenteil dessen, was Sie brauchen. Eine einmalige Schulung verpufft ebenfalls, wenn das Thema im Alltag nicht regelmäßig wiederholt wird. Umgekehrt muss nicht jede offensichtliche Spam-Mail analysiert werden: Der übliche Gewinnversprechen-Müll in gebrochenem Deutsch darf kommentarlos gelöscht werden. Und wenn Ihnen ein Anbieter verspricht, ein Filter oder eine Software mache Phishing vollständig unmöglich, verspricht er etwas, das es nicht gibt.

Die fünf roten Flaggen passen auf eine Seite und können am Arbeitsplatz aushängen. Wichtiger als das Plakat ist der Ton im Betrieb: Nachfragen ist erlaubt, Melden ist erwünscht – und ein Anruf zu viel beim Lieferanten ist in jedem Fall besser als eine Überweisung zu viel an die Täter.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.