IT-Sicherheit
Phishing erkennen: 7 Warnzeichen, bei denen Mitarbeiter genauer hinsehen sollten
Phishing-Mails sind längst nicht mehr immer an schlechtem Deutsch, auffälligen Absendern oder dubiosen Anhängen zu erkennen. Einige typische Warnzeichen helfen trotzdem dabei, verdächtige Nachrichten rechtzeitig zu erkennen.
Eine angebliche Rechnung, eine Microsoft-365-Anmeldung, eine Nachricht vom Geschäftsführer oder die Information über ein ablaufendes Passwort: Phishing kann heute sehr unterschiedlich aussehen.
Das Ziel ist jedoch meistens ähnlich. Angreifer versuchen, Zugangsdaten zu erhalten, Schadsoftware einzuschleusen oder Mitarbeiter zu einer bestimmten Handlung zu bewegen.
Dabei wird Phishing zunehmend professioneller. Eine verdächtige Nachricht muss weder Rechtschreibfehler enthalten noch auf den ersten Blick unseriös wirken.
Deshalb ist eine andere Frage wichtiger:
Passt diese Nachricht wirklich zu dem, was ich gerade erwarte?
Warum Phishing für Unternehmen ein Problem ist
Technische Schutzmaßnahmen können viele gefährliche Nachrichten bereits erkennen und herausfiltern. Einen vollständigen Schutz bieten sie aber nicht.
Gelangt eine gut gemachte Phishing-Mail doch in das Postfach eines Mitarbeiters, entscheidet häufig der nächste Schritt: Wird der Link geöffnet? Werden Zugangsdaten eingegeben? Wird ein Anhang gestartet? Oder wird die Nachricht zunächst hinterfragt?
1. Die Nachricht erzeugt ungewöhnlichen Zeitdruck
„Ihr Konto wird heute gesperrt“, „Die Rechnung muss sofort bezahlt werden“ oder „Bestätigen Sie Ihre Anmeldung innerhalb von 30 Minuten“: Künstlicher Zeitdruck ist ein häufiges Mittel bei Phishing-Angriffen.
Der Empfänger soll möglichst schnell handeln und gerade keine Zeit damit verbringen, die Nachricht genauer zu prüfen.
Je stärker eine unerwartete Nachricht zu sofortigem Handeln drängt, desto eher lohnt es sich, kurz innezuhalten und den Vorgang über einen zweiten Weg zu überprüfen.
2. Der Absender sieht richtig aus – ist es aber vielleicht nicht
Der angezeigte Absendername allein sagt wenig darüber aus, woher eine E-Mail tatsächlich stammt.
In einem Postfach kann beispielsweise „Microsoft 365“, „Buchhaltung“ oder sogar der Name eines bekannten Geschäftspartners angezeigt werden, obwohl hinter diesem Namen eine völlig andere E-Mail-Adresse steckt.
Deshalb sollte bei ungewöhnlichen Nachrichten auch die tatsächliche Absenderadresse geprüft werden.
- Stimmt die Domain nach dem @-Zeichen?
- Gibt es kleine Schreibfehler im Domainnamen?
- Wird plötzlich eine private oder unbekannte Adresse verwendet?
- Passt die Adresse überhaupt zum angeblichen Absender?
Besonders kleine Abweichungen können leicht übersehen werden. Aus einem bekannten Domainnamen kann durch einen zusätzlichen Buchstaben oder eine ähnlich aussehende Schreibweise schnell eine fremde Adresse werden.
3. Ein Link führt zu einer unerwarteten Anmeldung
Ein sehr typisches Szenario ist eine E-Mail mit einem Link zu einer angeblichen Microsoft-365-Anmeldung.
Die Nachricht behauptet beispielsweise, ein Dokument sei freigegeben worden, das Kennwort laufe ab oder eine Anmeldung müsse bestätigt werden. Nach einem Klick erscheint eine Anmeldeseite, die dem Original sehr ähnlich sehen kann.
Genau hier ist besondere Vorsicht angebracht.
Vor der Eingabe von Zugangsdaten sollte deshalb geprüft werden, auf welcher Internetadresse man sich tatsächlich befindet.
Noch besser: Bei Zweifeln nicht den Link aus der E-Mail verwenden, sondern den bekannten Dienst direkt über das eigene Lesezeichen oder die bekannte Adresse aufrufen.
4. Die Nachricht passt nicht zum üblichen Ablauf
Viele erfolgreiche Angriffe funktionieren nicht wegen perfekter Technik, sondern weil sie eine glaubwürdige Geschichte erzählen.
Ein Lieferant schickt angeblich eine neue Bankverbindung. Der Chef möchte kurzfristig eine Überweisung. Ein Mitarbeiter bittet um den Kauf von Gutscheinen. Ein Geschäftspartner sendet unerwartet ein Dokument.
Jede dieser Situationen könnte grundsätzlich echt sein.
Entscheidend ist deshalb, ob sie zum normalen Geschäftsablauf passt.
Gewohnter Vorgang
Ansprechpartner, Kommunikationsweg und Ablauf entsprechen dem, was im Unternehmen normalerweise üblich ist.
Ungewöhnlicher Vorgang
Plötzlich ändern sich Bankdaten, Zahlungswege, Ansprechpartner oder die Art, wie eine Freigabe angefordert wird.
Gerade bei finanziellen Vorgängen sollte eine ungewöhnliche Änderung immer über einen bereits bekannten zweiten Kommunikationsweg bestätigt werden.
5. Ein unerwarteter Anhang soll geöffnet werden
Rechnungen, Bewerbungen, Bestellungen, Lieferscheine oder andere Geschäftsdokumente eignen sich gut als Tarnung für gefährliche Anhänge.
Dabei gilt nicht, dass jeder unerwartete Anhang automatisch gefährlich ist. Er sollte aber zum Absender und zum aktuellen Vorgang passen.
Besonders aufmerksam sollte man werden, wenn eine Nachricht dazu auffordert, zusätzliche Funktionen zu aktivieren, Sicherheitswarnungen zu ignorieren oder ein Programm auszuführen.
Lieber einmal beim angeblichen Absender nachfragen, bevor ein unerwarteter Anhang geöffnet wird.
6. QR-Codes sind ebenfalls Links
Phishing findet nicht mehr ausschließlich über klassische anklickbare Links statt. Immer häufiger enthalten Nachrichten einen QR-Code, der mit dem Smartphone gescannt werden soll.
Das wirkt zunächst praktisch – hat aber einen entscheidenden Nachteil: Das eigentliche Ziel des Links ist vor dem Scannen meist nicht sofort sichtbar.
Ein QR-Code in einer E-Mail sollte deshalb genauso kritisch behandelt werden wie ein normaler Link.
7. Die Nachricht fordert etwas Ungewöhnliches von Ihnen
Einer der besten Hinweise auf einen möglichen Angriff ist nicht das Aussehen einer E-Mail, sondern die Handlung, zu der sie auffordert.
Vorsicht ist besonders sinnvoll, wenn Sie unerwartet:
- Ihr Microsoft-365-Kennwort eingeben sollen
- eine MFA-Anfrage bestätigen sollen
- eine neue Bankverbindung verwenden sollen
- Gutscheine oder Wertkarten kaufen sollen
- einen unbekannten Anhang öffnen sollen
- eine Sicherheitswarnung ignorieren sollen
- vertrauliche Informationen übermitteln sollen
Keine dieser Aufforderungen beweist für sich allein, dass eine Nachricht gefälscht ist. In Verbindung mit einer unerwarteten Situation sollte sie aber Anlass für eine genauere Prüfung sein.
Was tun, wenn eine E-Mail verdächtig erscheint?
Bei Unsicherheit ist es nicht notwendig, selbst eine technische Analyse der Nachricht durchzuführen.
Einige einfache Schritte reichen im Arbeitsalltag meistens aus.
- Nicht auf verdächtige Links klicken
- Keine Zugangsdaten eingeben
- Unerwartete Anhänge nicht öffnen
- Absenderadresse genauer kontrollieren
- Ungewöhnliche Anforderungen über einen zweiten Weg bestätigen
- Im Zweifel die Nachricht an den IT-Ansprechpartner melden
Wichtig ist dabei eine Unternehmenskultur, in der Mitarbeiter lieber einmal zu viel nachfragen können als einmal zu wenig.
Und wenn bereits auf den Link geklickt wurde?
Ein Klick allein bedeutet noch nicht automatisch, dass ein Konto oder Computer kompromittiert wurde.
Entscheidend ist, was danach passiert ist.
Nur geklickt
Seite wurde geöffnet
Die Seite wieder schließen und den Vorfall melden, damit bei Bedarf geprüft werden kann, was aufgerufen wurde.
Zugangsdaten eingegeben
Sofort reagieren
Nicht abwarten. Der IT-Ansprechpartner sollte umgehend informiert werden, damit Konto und Anmeldungen überprüft und notwendige Maßnahmen gesetzt werden können.
Datei geöffnet
Gerät überprüfen
Den Vorfall ebenfalls sofort melden und nicht eigenständig versuchen, mögliche Spuren zu beseitigen.
Was tun, wenn bereits Zugangsdaten eingegeben wurden?
In diesem Fall zählt Zeit.
Der Vorfall sollte unmittelbar gemeldet werden. Je nach Umgebung können anschließend beispielsweise das Kennwort geändert, bestehende Sitzungen beendet und Anmeldeaktivitäten überprüft werden.
Auch vorhandene Weiterleitungsregeln oder Änderungen am Benutzerkonto können relevant sein und sollten bei einem verdächtigen Vorfall geprüft werden.
Ein Mitarbeiter sollte einen solchen Vorfall nicht verschweigen, nur weil er auf eine Phishing-Mail hereingefallen ist. Je früher die IT davon erfährt, desto schneller kann sie reagieren.
Hilft MFA gegen Phishing?
Multi-Faktor-Authentifizierung ist ein wichtiger zusätzlicher Schutz. Wird ein Kennwort durch Phishing gestohlen, reicht dieses allein bei einem mit MFA geschützten Konto normalerweise nicht für eine Anmeldung.
MFA macht Phishing allerdings nicht bedeutungslos. Auch zusätzliche Anmeldebestätigungen können Ziel eines Angriffs werden.
Mitarbeiter sollten deshalb niemals eine MFA-Anfrage bestätigen, wenn sie selbst gerade keine Anmeldung gestartet haben.
Technik und Mitarbeiter müssen zusammenspielen
Phishing lässt sich nicht mit einer einzelnen Maßnahme lösen.
Spam- und Phishing-Filter, sichere E-Mail-Konfiguration, MFA, Endpoint-Schutz und weitere technische Maßnahmen reduzieren das Risiko. Gleichzeitig müssen Mitarbeiter wissen, wie sie mit ungewöhnlichen Nachrichten umgehen sollen.
Dabei geht es nicht darum, aus jedem Mitarbeiter einen IT-Sicherheitsexperten zu machen.
Viel wichtiger sind einige einfache Verhaltensweisen:
- Unerwartete Anforderungen hinterfragen
- Bei Zeitdruck besonders aufmerksam werden
- Absender und Zieladressen kontrollieren
- Ungewöhnliche Vorgänge über einen zweiten Weg bestätigen
- Verdächtige Nachrichten frühzeitig melden
Fazit: Nicht jede professionelle E-Mail ist vertrauenswürdig
Die Zeiten, in denen sich Phishing zuverlässig an Rechtschreibfehlern und offensichtlich dubiosen Nachrichten erkennen ließ, sind vorbei.
Deshalb sollte nicht nur das Aussehen einer Nachricht beurteilt werden. Viel wichtiger sind Zusammenhang, Absender, Ziel und die Handlung, die vom Empfänger verlangt wird.
Wer bei ungewöhnlichen Nachrichten kurz prüft, bevor er handelt, kann bereits einen wichtigen Beitrag zur Sicherheit des Unternehmens leisten.
Die wichtigste Regel im Arbeitsalltag:
Wenn eine Nachricht ungewöhnlich ist, darf auch die Reaktion darauf etwas länger dauern.IT-Security
Wie gut ist Ihr Unternehmen gegen Phishing geschützt?
Ich unterstütze kleine und mittlere Unternehmen bei der Absicherung ihrer IT – von Microsoft 365 und Benutzerkonten bis zu Firewall, Endpoint-Schutz und laufender Betreuung.