Phishing nutzt keine technische Lücke, sondern die Aufmerksamkeit eines Menschen. Drei Maßnahmen stoppen die Kette: Filter, zweiter Faktor und Schulung.
Eine Rechnung, die angeblich vom Finanzamt kommt, ein Link zur angeblichen Anmeldeseite: Phishing kommt ohne jede technische Lücke aus. Es nutzt die Aufmerksamkeit eines Menschen, und das lässt sich nicht patchen.
Für kleine Unternehmen ist das der verbreitetste Weg in die IT. Die Mail passt zum Alltag, der Absender sieht echt aus, der Link führt zur echten Seite. Wer das nicht erkennt, gibt sein Passwort preis. Ab da entscheidet der zweite Faktor, ob der Angriff endet.
Der BSI-Lagebericht 2025 führt Phishing-Mails als eigenes Kapitel und nennt Vishing und Leak-Seiten als verwandte Formen. Alle drei greifen über den Menschen an, nicht über eine Schwachstelle in der Technik.
So läuft der Angriff ab
Der Angriff besteht aus vier Schritten, die alle zusammenpassen müssen. Der erste Schritt ist ein Handwerk: Der Angreifer sammelt Daten, und zwar aus Unterschriften, Kopien von Rechnungen und aus Datenlecks. Daraus entsteht eine Mail, die glaubwürdig wirkt.
- 1
Absender und Anlass passen: Der Name ist bekannt, der Anlass ist Alltag.
- 2
Die Anmeldeseite sieht echt aus und liegt sogar auf der echten Domain.
- 3
Der Druck entsteht durch eine Frist: „Das Konto wird gesperrt“ oder „Zahlung offen“.
- 4
Nach der Anmeldung folgt der Abgriff: das Postfach übernimmt weitere Mails und Zahlungen.
Was der Angriff ausnutzt
Am Ende geht es um den Zugriff, nicht um den einzelnen Klick. Wer das Konto übernimmt, kann Mails an Ihre Kunden senden, Zahlungen umleiten und Zugangsdaten für Systeme abgreifen. Der Schaden entsteht in der Zeit nach dem Klick.
| Angriff | Was der Angreifer gewinnt | Wo die Kette bricht |
|---|---|---|
| Gefälschte Mail mit Anhang | Glaube an Absender und Anlass | Prüfung von Link und Anhang im Filter |
| Eingeblendete Anmeldeseite | Zugangsdaten des Kontos | Mehr-Faktor-Authentifizierung |
| Übernommenes Postfach | Weiterleitung von Rechnungen, Phishing an Ihre Kunden | Regeln für Weiterleitungen und automatische Antworten |
| Abgebuchter Speicherplatz | Zugriff auf Dateien und Daten | Bedingter Zugriff mit dem Gerätekonto |
Drei Maßnahmen, die die Kette stoppen
- 1
Filter mit Link- und Anhangsprüfung: Der Filter hält Phishing-Mails ab, bevor sie in den Posteingang kommen.
- 2
Mehr-Faktor-Authentifizierung: Der zweite Faktor beendet den Angriff, auch wenn das Passwort bekannt ist.
- 3
Schulung mit kurzen, wiederkehrenden Übungen: Der letzte Rest an Phishing lässt sich nur durch Wiedererkennung senken.
Was im Ernstfall zählt
Wird ein Konto übernommen, zählt die Reihenfolge: Passwort ändern, aktive Sitzungen beenden, den zweiten Faktor neu setzen und die Weiterleitungsregeln prüfen. Danach gehört der Vorfall dokumentiert, damit die Prüfung erkennt, worauf die Phishing-Mail zielt. Ein Vorfall, der in den Mails des Unternehmens landet, ist ein Signal für die Schulung.
Das BKI zählt für 2025 rund 1.041 Ransomware-Angriffe, bei 82 Prozent zusammen mit Datenabfluss.
Häufige Fragen zu Phishing
Alle Fachbegriffe dieser Seite sind einmal abschließend erklärt – im Glossar mit 50 IT-Begriffen.
Passende Leistungen
Lassen Sie uns prüfen, wie Ihre Mailfilter und Second-Factor-Regeln heute aussehen. Im kostenlosen Erstgespräch benennen wir die Lücke, die sich am leichtesten schließen lässt.
Erstgespräch vereinbarenBegriffe aus diesem Beitrag
MFA (Multifaktor-Authentifizierung)
Multifaktor-Authentifizierung verlangt bei der Anmeldung mehr als ein Merkmal: Wissen, Besitz oder Biometrie.
User Awareness Training
User Awareness Training ist die Schulung von Mitarbeitenden zum sicheren Umgang mit IT und Daten.
Managed E-Mail Security
Managed E-Mail Security umfasst den Betrieb des Schutzwalls für E-Mails: Filter für Spam, Schadsoftware und Phishing, die Einbindung von Anhängen in Sandbox-Umgebungen sowie die Regeln für externe Absender.
Themen
Themenfeld
IT-Sicherheit für KMU