Phishing

Die gängigen Formen

• E-Mail-Phishing: breit gestreute Nachrichten mit einem Link zu einer gefälschten Anmeldeseite.
• Spear-Phishing: gezielt auf eine Person oder Firma zugeschnitten, oft mit echten Namen und Zusammenhängen.
• Smishing und Vishing: der Angriff per SMS oder Anruf.
• Quishing: ein QR-Code führt auf die gefälschte Seite.
• Chef-Betrug: eine angebliche Anweisung der Geschäftsleitung, siehe Business E-Mail Compromise.

Woran man es erkennt

Ungewöhnlicher Absender oder abweichende Adresse, Zeitdruck, Drohungen, ein Link, dessen Ziel nicht zum Text passt, oder die Aufforderung, Zugangsdaten einzugeben. Gute Fälschungen sind aber kaum von echten Nachrichten zu unterscheiden. Man sollte sich deshalb nicht allein auf das Auge verlassen.

Was wirkt

• Starke Anmeldung: Wer MFA nutzt, stoppt gestohlene Passwörter. Passkeys halten auch gefälschten Anmeldeseiten stand.
• Filter: E-Mail-Schutz wie Defender for Office 365 erkennt verdächtige Links und Anhänge.
• Absenderprüfung: DMARC, SPF und DKIM erschweren gefälschte Absender.
• Zugriffsregeln: Bedingter Zugriff blockiert Anmeldungen aus untypischen Quellen.
• Schulung und Meldeweg: Mitarbeitende wissen, was zu tun ist, und melden Verdächtiges ohne Scheu.

Wenn jemand geklickt hat

Sofort die IT informieren, das Passwort ändern, aktive Sitzungen beenden und prüfen, ob Weiterleitungsregeln im Postfach angelegt wurden. Je schneller das geschieht, desto kleiner der Schaden. Bei einem erheblichen Vorfall kann die Meldepflicht greifen.

Ein Meldeweg, der funktioniert

Das Wichtigste ist, dass sich niemand scheut, eine verdächtige Mail zu melden. Dafür braucht es eine Adresse oder einen Knopf im Mailprogramm, eine schnelle Rückmeldung und die Zusage, dass niemand Ärger bekommt, wenn er einmal geklickt hat. Wer sich schämt, meldet zu spät. Gute Erfahrung machen Unternehmen mit kurzen, regelmäßigen Hinweisen statt eines langen Jahresvortrags.

Wo Sie stehen

Wie gut Ihr Tenant gegen Phishing aufgestellt ist, zeigt der Sicherheitscheck.