Die meisten erfolgreichen Cyberangriffe beginnen nicht mit einer technischen Lücke, sondern mit einer einzigen E-Mail.
Kaum eine Bedrohung trifft Unternehmen so häufig und so wirkungsvoll wie Phishing. Die meisten erfolgreichen Cyberangriffe beginnen nicht mit einer technischen Lücke, sondern mit einer einzigen E-Mail, die eine Mitarbeiterin oder ein Mitarbeiter für echt hält. Dieser Leitfaden zeigt, wie Phishing funktioniert, wie Sie betrügerische Nachrichten sicher erkennen und mit welchen technischen und organisatorischen Maßnahmen Sie Ihr Unternehmen wirksam schützen.
Phishing ist eine Form des Cyberbetrugs, bei der Angreifer über gefälschte E-Mails, SMS, Anrufe oder Webseiten an vertrauliche Daten wie Passwörter, Konto- oder Kreditkarteninformationen gelangen. Sie geben sich als vertrauenswürdige Absender aus – etwa Banken, Kollegen oder Dienstleister – und verleiten ihre Opfer dazu, Daten preiszugeben oder Schadsoftware zu installieren.
Der Begriff Phishing beschreibt den Versuch, über gefälschte Nachrichten an sensible Daten zu „angeln“. Angreifer imitieren dabei einen vertrauenswürdigen Absender und nutzen gezielt menschliche Reflexe wie Hilfsbereitschaft, Respekt vor Autorität oder Angst aus. Für Unternehmen ist Phishing damit weit mehr als ein E-Mail-Problem: Es ist das häufigste Einfallstor für Datendiebstahl, Betriebsspionage und Ransomware.
Phishing ist ein Kunstwort aus dem englischen „password“ und „fishing“ – die Betrüger „fischen“ also nach Passwörtern und Daten. Die ungewöhnliche Schreibweise mit „Ph“ stammt aus dem frühen Hacker-Jargon (in Anlehnung an „Phreaking“). Der Unterschied zum normalen „Fishing“ ist damit rein sprachlich, meint aber etwas ganz anderes: nicht das Angeln von Fischen, sondern das systematische Abgreifen vertraulicher Informationen.
Die meisten Phishing-Angriffe folgen einem wiederkehrenden Muster in mehreren Phasen:
Der Angreifer wählt ein Ziel und registriert eine täuschend echte Domain oder fälscht die Absenderadresse eines bekannten Unternehmens.
Das Opfer erhält eine Nachricht mit einem Link oder Anhang – oft mit einem dringenden Vorwand („Ihr Konto wurde gesperrt“).
Der Link führt auf gefälschte Phishing-Seiten, die Login-Masken echter Dienste exakt nachbilden.
Gibt das Opfer dort seine Daten ein, landen Zugangsdaten, Konto- oder Kreditkartennummern direkt bei den Betrügern.
Die erbeuteten Daten werden für Kontoübernahmen, Überweisungen, Identitätsdiebstahl oder weitere Angriffe im Unternehmensnetz genutzt.
Der Grund für den Erfolg liegt weniger in der Technik als in der Psychologie: Phishing-Nachrichten erzeugen Emotionen – Angst vor einer Kontosperrung, Neugier auf ein Paket oder Respekt vor einer vermeintlichen Anweisung von oben. Unter Zeitdruck treffen Menschen schlechtere Entscheidungen, und genau darauf zielen die Angreifer. Wer diesen Mechanismus versteht, klickt seltener reflexartig und prüft stattdessen bewusst, bevor er reagiert.
Ein einzelner erfolgreicher Phishing-Angriff kann eine ganze Kette von Folgen auslösen: den Diebstahl sensibler Kunden- und Geschäftsdaten, unautorisierte Zahlungen, den Ausfall von Systemen durch nachgelagerte Ransomware sowie erhebliche Reputations- und Compliance-Schäden. Weil Angreifer den „Faktor Mensch“ ins Visier nehmen, sind Phishing-Attacken selten von der Unternehmensgröße abhängig: Große Konzerne sind ein lohnendes Ziel, kleine und mittlere Betriebe sind es ebenso – oft mit schwächeren Schutzmaßnahmen und ohne dediziertes Sicherheitsteam. Datendiebstahl und Cyberbetrug treffen damit Organisationen jeder Größe.
Hinzu kommt die schiere Menge: Phishing zählt zu den häufigsten Einfallstoren für Cyberangriffe, und die Zahl der Betrugsversuche wächst mit jeder neuen Kommunikationsform. Ein einziger unbedachter Klick kann Angreifern den ersten Zugang verschaffen, aus dem sich über Wochen ein weitreichender Vorfall entwickelt – von der stillen Kontoübernahme bis zur verschlüsselten IT-Landschaft. Diese Kombination aus niedriger Einstiegshürde für die Angreifer und potenziell hohem Schaden macht Phishing zu einer der ernstesten Bedrohungen für die Informationssicherheit.
Phishing ist ein Oberbegriff für zahlreiche Betrugsmaschen, die sich vor allem nach Kommunikationskanal und Zielgruppe unterscheiden. Wer die wichtigsten Varianten kennt, erkennt Angriffe schneller.
Während klassische Phishing-Mails massenhaft verschickt werden, ist Spear Phishing hochgradig personalisiert: Der Angreifer recherchiert Namen, Position, Projekte oder Lieferanten und formuliert eine Nachricht, die exakt in den Arbeitsalltag des Empfängers passt. Eine besonders gefährliche Sonderform ist der CEO Fraud (auch „Whaling“): Hier geben sich Betrüger als Geschäftsführung aus und weisen die Buchhaltung per gefälschter Mail zu einer dringenden, vertraulichen Überweisung an. Solche Angriffe umgehen technische Filter oft mühelos, weil sie ohne Schadlink auskommen und allein auf Autorität und Zeitdruck setzen.
Beim Smishing kommt der Köder per SMS oder Messenger – etwa als angebliche Paketbenachrichtigung mit Zoll-Link oder als Warnung der Hausbank. Auf dem Smartphone sind gefälschte Absender und verkürzte Links besonders schwer zu prüfen, was diese Masche für Angreifer attraktiv macht.
Beim Vishing (Voice Phishing) rufen Betrüger direkt an und geben sich als Bank, IT-Support oder Behörde aus. Am Telefon erzeugen sie Druck und versuchen, Zugangsdaten, TANs oder Fernzugriff auf den Rechner zu erschleichen. Zunehmend kommen dabei sogar KI-generierte Stimmen zum Einsatz.
Quishing nutzt QR-Codes, um Opfer auf gefälschte Seiten zu locken. Die Codes stecken in E-Mails, auf Plakaten, in gefälschten Rechnungen oder auf überklebten Aufstellern. Da ein QR-Code sein Ziel verschleiert, lässt sich die dahinterliegende Adresse ohne Aufrufen kaum prüfen – ein wachsendes Risiko, gerade im mobilen Arbeiten.
Beim Pharming manipulieren Angreifer die Namensauflösung (DNS) oder die Host-Datei, sodass Opfer selbst bei korrekter Eingabe der Adresse auf einer gefälschten Seite landen – ganz ohne Klick auf einen Link. Weitere Spielarten sind Clone Phishing (eine echte Mail wird kopiert und mit einem Schadlink versehen) und Angler Phishing über gefälschte Support-Konten in sozialen Netzwerken.
So professionell manche Fälschungen wirken – fast jede Phishing-Mail hinterlässt Spuren. Die folgende Übersicht fasst die acht häufigsten Warnsignale zusammen, an denen Sie und Ihre Mitarbeitenden betrügerische Nachrichten erkennen.
Prüfen Sie im Zweifel immer den Absender: Betrüger nutzen Adressen, die dem Original nur ähneln (etwa eine zusätzliche Ziffer in der Mailadresse oder eine leicht abgewandelte Domain). Eine unpersönliche Anrede wie „Sehr geehrter Kunde“ deutet auf Massenversand hin. Typisch sind außerdem künstlich erzeugte Dringlichkeit und Drohungen, auffällige Rechtschreibfehler, verdächtige Links, deren echtes Ziel vom angezeigten Text abweicht, sowie unerwartete Anhänge. Ein klares Alarmsignal ist jede Abfrage sensibler Daten: Seriöse Kreditinstitute und Dienstleister fragen niemals per E-Mail nach Passwort, PIN oder TAN. Und Angebote, die zu schön sind, um wahr zu sein, sind es in aller Regel auch. Häufig tarnen sich Angreifer zusätzlich als Autoritätsperson – als Vorgesetzter, Bank oder Behörde –, um Rückfragen zu unterbinden.
Nicht jede unerwünschte Mail ist Phishing. Spam ist in erster Linie lästige Massenwerbung – unseriös, aber meist ungefährlich. Phishing dagegen verfolgt ein konkretes betrügerisches Ziel: Es will Empfänger zur Preisgabe von Daten oder zu einer Aktion bewegen. Die Grenze ist fließend, denn viele Phishing-Mails tarnen sich als harmlose Benachrichtigung. Im Zweifel gilt die Nachricht als Phishing – und damit als die ernstere Kategorie, die gemeldet werden sollte.
Im Arbeitsalltag tauchen immer wieder dieselben Betrugsmaschen auf. Typische Phishing-Mails imitieren etwa PayPal („Ihr Konto wurde eingeschränkt – jetzt bestätigen“), Paketdienste wie DHL („Zollgebühr für Ihre Sendung offen“), Amazon („ungewöhnliche Anmeldung – Bestellung verifizieren“), das Online-Banking der Sparkasse oder anderer Kreditinstitute („pushTAN muss neu aktiviert werden“) sowie Microsoft 365 („Ihr Postfach ist voll – hier anmelden“). Allen gemeinsam ist das Muster aus bekanntem Markennamen, Dringlichkeit und einem Link auf eine gefälschte Login-Seite. Solche Warnungen vor aktuellen Fake-Mails sollten Sie intern regelmäßig teilen.
Im B2B-Umfeld kommen gezieltere Varianten hinzu: gefälschte Rechnungen mit geänderter IBAN, angebliche Nachrichten des IT-Supports, Bewerbungen mit verseuchtem Anhang an die Personalabteilung oder Lieferanten-Mails mit manipulierten Zahlungsdaten. Solche Angriffe sind schwerer zu erkennen, weil sie echte Geschäftsprozesse imitieren – ein wichtiger Grund, Zahlungs- und Freigabeprozesse zusätzlich durch ein Vier-Augen-Prinzip abzusichern.
Bewegen Sie den Mauszeiger über einen Link, ohne zu klicken – am unteren Bildschirmrand erscheint das tatsächliche Ziel. Lesen Sie die Domain „von rechts“: Entscheidend ist der Teil unmittelbar vor der ersten einzelnen Schrägstrich-Trennung, denn genau dort verstecken Betrüger gern die echte, unseriöse Adresse. Geben Sie im Zweifel niemals Daten über einen Link aus einer Nachricht ein, sondern rufen Sie die offizielle Seite des Anbieters direkt im Browser auf. Auf dem Smartphone hilft es, Links vor dem Antippen lange gedrückt zu halten, um die Zieladresse einzublenden.
Klassische Erkennungsmerkmale verlieren an Wert: Mit generativer KI erstellen Angreifer heute fehlerfreie, perfekt formulierte und individuell zugeschnittene Nachrichten. Rechtschreibfehler als Warnsignal greifen dann nicht mehr zuverlässig. Hinzu kommen Deepfake-Stimmen und -Videos, mit denen sich Vishing und CEO Fraud noch überzeugender inszenieren lassen. Die Konsequenz: Einzelne Merkmale reichen nicht mehr aus – nötig ist ein mehrschichtiger Schutz aus Technik, klaren Prozessen und geschulten Mitarbeitenden.
Wenn eine verdächtige Nachricht auffällt oder jemand bereits reagiert hat, zählt schnelles, besonnenes Handeln. Diese Schritte helfen im Ernstfall.
Der wichtigste Grundsatz lautet: keine Schuldzuweisungen. Wer einen Fehler sofort meldet, begrenzt den Schaden – eine offene Meldekultur ist der beste Schutz. Die IT sollte anschließend betroffene Konten sperren oder zurücksetzen, aktive Sitzungen invalidieren, Protokolle auf verdächtige Zugriffe prüfen und die mögliche Ausbreitung im Netz eindämmen. Parallel ist zu bewerten, ob personenbezogene Daten abgeflossen sind – denn davon hängen die gesetzlichen Meldepflichten ab.
Hilfreich ist ein vorbereiteter Notfallplan, der Rollen, Meldewege und Sofortmaßnahmen festhält. Wer im Ernstfall nicht erst überlegen muss, wen er informieren soll, gewinnt wertvolle Zeit – und genau die entscheidet häufig darüber, ob aus einem Klick ein größerer Schaden wird.
Intern gehört jeder Phishing-Versuch an die IT oder das Security-Team. Extern lassen sich betrügerische Mails an den imitierten Anbieter (häufig an eine Adresse wie phishing@unternehmen.de) sowie an offizielle Meldestellen weiterleiten; Verbraucherinnen und Verbraucher nutzen zusätzlich das Phishing-Radar der Verbraucherzentrale und Hinweise des BSI. Wichtig: verdächtige Nachrichten nicht einfach löschen, sondern zuerst melden – so helfen Ihre Warnmeldungen, andere Empfänger im Unternehmen zu schützen.
Wirksamer Schutz vor Phishing entsteht erst aus dem Zusammenspiel von Technik und Mensch. Beide Ebenen müssen ineinandergreifen.
Kein einzelnes Werkzeug bietet vollständigen Schutz. Erst die Kombination – Filter am Gateway, abgesicherte Absender-Domains, starke Authentifizierung und aktuelle Endgeräte – verkleinert die Angriffsfläche spürbar und schließt bekannte Schwachstellen, bevor Angreifer sie ausnutzen.
Leider ja – zumindest teilweise. Moderne Angriffe schalten sich mit sogenannten Adversary-in-the-Middle-Kits in Echtzeit zwischen Opfer und echten Dienst und fangen dabei auch den zweiten Faktor ab. Auch „MFA-Fatigue“, das massenhafte Auslösen von Push-Bestätigungen, zielt darauf, Nutzer zur Freigabe zu verleiten. Die Antwort darauf ist phishing-resistente MFA (etwa FIDO2 bzw. Passkeys) – kombiniert mit aufmerksamen Mitarbeitenden. Technik allein bietet keinen vollständigen Schutz.
Angreifer zielen bewusst auf Psychologie statt auf Technik: Autorität, Dringlichkeit, Neugier. Deshalb sind geschulte Mitarbeitende die letzte und oft entscheidende Verteidigungslinie. Eine gelebte Sicherheitskultur mit klaren Meldewegen verwandelt potenzielle Opfer in ein wirksames Frühwarnsystem gegen neue Bedrohungen.
Sensibilisierung lässt sich messen und trainieren. Drei Bausteine haben sich bewährt.
Bei einer Phishing-Simulation versendet das Unternehmen kontrolliert eigene, ungefährliche Test-Mails an die Belegschaft. Wer klickt, landet nicht in der Falle, sondern auf einer kurzen Lernseite. So werden Klickraten sichtbar, Risikobereiche identifiziert und Mitarbeitende praxisnah für echte Angriffe sensibilisiert.
Ein erster Test liefert eine Ausgangsbasis (Baseline). Wiederholte Tests über die Zeit zeigen den Lernfortschritt und halten das Thema präsent. Entscheidend ist die Haltung dahinter: Es geht nicht um Bloßstellung Einzelner, sondern um gemeinsames Lernen.
Einmalige Schulungen verpuffen. Wirksam sind kontinuierliche, kurze Lerneinheiten mit realen Beispielen, kombiniert mit einer positiven Meldekultur. So wird sicheres Verhalten zur Gewohnheit statt zur Pflichtübung.
Die Kosten hängen von Mitarbeiterzahl, Umfang und Betriebsmodell ab – von der Lizenz für eine Simulations-Plattform (meist pro Nutzer und Jahr) bis zum vollständig gemanagten Service inklusive Auswertung. In nahezu allen Fällen liegen die Investitionen deutlich unter den Kosten eines einzigen erfolgreichen Angriffs mit Datenabfluss oder Betriebsunterbrechung.
Ein Phishing-Vorfall ist nicht nur ein IT-, sondern auch ein Rechtsthema. Die wichtigsten Punkte im Überblick.
Führt Phishing zu einem Abfluss personenbezogener Daten, greift die DSGVO: Eine solche Datenpanne ist gemäß Art. 33 grundsätzlich innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden; sind Betroffene einem hohen Risiko ausgesetzt, müssen auch diese informiert werden (Art. 34). Unternehmen sollten Vorfälle deshalb konsequent dokumentieren, um Meldefristen einhalten zu können.
Bei betrügerischen Überweisungen – etwa infolge von CEO Fraud – ist die Rückholung des Geldes oft schwierig. Ob ein Kreditinstitut bei unautorisierten Zahlungen haftet, hängt vom Einzelfall und der Frage grober Fahrlässigkeit ab. Die arbeitsrechtliche Haftung von Mitarbeitenden für Fehler ist in der Regel begrenzt. Diese Hinweise ersetzen keine Rechtsberatung – ziehen Sie im konkreten Fall juristischen Rat hinzu.
Phishing bleibt die wahrscheinlichste Art, wie Angreifer in ein Unternehmen gelangen – und zugleich eine der am besten beherrschbaren. Wer Technik, klare Prozesse und geschulte Mitarbeitende zusammenbringt, senkt das Risiko erheblich. Entscheidend ist, das Thema nicht als einmaliges Projekt zu behandeln, sondern als dauerhaften Bestandteil der Sicherheitskultur: aktuelle Warnungen teilen, im Ernstfall schnell und ohne Schuldzuweisung reagieren und die Wachsamkeit durch regelmäßige Simulationen hochhalten.
Technik allein stoppt Phishing nicht. Mit einer Phishing-Simulation und einem kontinuierlichen Security-Awareness-Training sensibilisieren Sie Ihr Team messbar – bevor es ein echter Angriff tut. Sprechen Sie uns an.
Die wichtigsten sind: gefälschte Absenderadresse, unpersönliche Anrede, künstlicher Zeitdruck, Rechtschreibfehler, verdächtige Links, unerwartete Anhänge, die Abfrage sensibler Daten sowie unrealistische Versprechen. Eine kompakte Übersicht liefert die Infografik weiter oben.
Ein Mix aus vorgetäuschter Vertrauenswürdigkeit (bekannter Markenname), einem dringenden Handlungsappell und einem Link oder Anhang. Sobald eine Nachricht Sie zu einer schnellen Eingabe von Zugangs- oder Kontodaten drängt, ist höchste Vorsicht geboten.
Aktuell besonders verbreitet sind Quishing (Phishing über QR-Codes), KI-generierte, fehlerfreie Phishing-Mails sowie Angriffe, die gezielt die Multi-Faktor-Authentifizierung aushebeln (Adversary-in-the-Middle, MFA-Fatigue).
Halten Sie das Betriebssystem aktuell, öffnen Sie keine Links aus unerwarteten SMS, aktivieren Sie MFA und lassen Sie Geräte idealerweise über ein Mobile-Device-Management absichern. Verdächtige Nachrichten an die IT melden statt darauf zu reagieren.
Die wichtigsten Varianten sind klassisches E-Mail-Phishing, Spear Phishing, CEO Fraud (Whaling), Smishing (SMS), Vishing (Telefon), Quishing (QR-Code) und Pharming.
Ja. Echtzeit-Phishing-Kits fangen auch den zweiten Faktor ab. Wirksamen Schutz bietet phishing-resistente MFA wie FIDO2/Passkeys in Kombination mit geschulten Mitarbeitenden.
Sofort intern melden, betroffene Passwörter ändern, bei Malware-Verdacht das Gerät vom Netz trennen und die IT den Vorfall eindämmen lassen. Ruhe und Tempo sind wichtiger als die Suche nach Schuldigen.
Spam ist unerwünschte Massenwerbung und meist nur lästig. Phishing verfolgt dagegen ein betrügerisches Ziel – den Diebstahl von Daten oder Geld – und ist damit die deutlich gefährlichere Kategorie.
Achten Sie auf die Adresszeile: Tippfehler in der Domain, ungewohnte Endungen und ein fehlendes oder ungewöhnliches Schloss-Symbol sind Warnzeichen. Rufen Sie Login-Seiten im Zweifel immer direkt über ein Lesezeichen oder die offizielle App auf – nie über einen Link aus einer Nachricht.
Leiten Sie verdächtige Nachrichten zuerst intern an Ihre IT oder das Security-Team weiter und nutzen Sie – falls vorhanden – den Melde-Button Ihres Mailprogramms. Zusätzlich können Sie die Mail an den imitierten Anbieter sowie an offizielle Meldestellen wie das BSI oder die Verbraucherzentrale weiterleiten. Löschen Sie die Nachricht erst nach der Meldung.
EDR überwacht Endgeräte, XDR erweitert das Prinzip auf Netzwerk, Identitäten und Cloud. Was die Technik erkennt – und was Ihre Organisation damit anfangen kann.
Was ein MDR-Service leistet, wo die Grenze zu EDR, SIEM und SOC verläuft und worauf es bei der Anbieterauswahl ankommt.
Smishing ist Phishing per SMS. Angreifer verschicken Textnachrichten im Namen eines vertrauenswürdigen Absenders — Paketdienst, Bank, Behörde, Vorgesetzte.
Was ist Whaling? Wie diese gezielte Phishing-Attacke auf Führungskräfte funktioniert, woran Sie sie erkennen und wie Sie Ihr Unternehmen schützen.
CEO Fraud (Fake President): Wie die Betrugsmasche funktioniert, woran Sie sie erkennen und wie Sie Ihr Unternehmen wirksam davor schützen.
Vishing erklärt: So funktioniert Voice Phishing, so erkennen Sie betrügerische Anrufe – und das hilft nach einem Telefonbetrug. Mit Beispielen & FAQ.
Data Masking (deutsch: Datenmaskierung) sorgt dafür, dass aus echten personenbezogenen Daten realistische, aber nutzlose Platzhalter werden – ohne dass Tests, Reports oder Schulungen ihren Wert verlieren.
NIS2 ist jetzt relevant, weil die Richtlinie Cybersicherheit erstmals verbindlich und überprüfbar macht – mit Haftung, Meldepflichten und klaren technischen Vorgaben.
Alles über Spear-Phishing. Definition, Unterschied zu Phishing und wie sich Unternehmen schützen können.
Safety vs. Security Definitionen, Fail-Safe vs. Fail-Secure, Praxiskonflikte in OT & IT & warum beides zusammengehört
Informiert bleiben
Erhalten Sie wöchentlich die wichtigsten Tech-Trends, exklusive Analysen und Experteninterviews – speziell für IT-Entscheider.
Kommentare (0)
Noch keine Kommentare vorhanden.