„Bitte bestätigen Sie Ihr Konto innerhalb von 24 Stunden.“ Solche Nachrichten landen täglich in Millionen Postfächern, und sie sehen immer echter aus. In dieser Lektion lernst du, wie Phishing funktioniert, woran du eine Phishing-Nachricht erkennst, wie ein Angriff am Beispiel von Max abläuft und welche Schutzmaßnahmen im Unternehmen wirklich helfen.
🎣 Was ist Phishing?
Der Begriff Phishing leitet sich vom englischen „fishing“ (Angeln) ab: Angreifer werfen einen Köder aus und warten, wer anbeißt. Sie geben sich als bekannte Organisationen aus, etwa als Bank, Paketdienst, Versandhändler oder Behörde, und wollen dich dazu bringen, Passwörter, Kreditkartendaten oder andere sensible Informationen preiszugeben.
Die Nachrichten wirken oft täuschend echt: mit Logo, korrekter Anrede, seriösem Text und einer Absenderadresse, die auf den ersten Blick passt. Häufig ist der einzige erkennbare Unterschied die URL, die von der echten Webseite abweicht.
🔑 Merke: Phishing ist eine Form des Social Engineering: Der Angriff zielt nicht auf eine technische Lücke, sondern auf den Menschen.
📧 Beispiel: die E-Mail von der „Bank“
- Max erhält eine E-Mail, angeblich von seiner Bank: Er solle sein Konto über einen Link verifizieren, sonst werde es gesperrt.
- Der Link führt auf eine täuschend echte Kopie der Bank-Webseite. Nur die Adresse in der Browserzeile stimmt nicht.
- Max gibt Benutzername und Passwort ein. Die Daten landen direkt beim Angreifer.
- Der Angreifer loggt sich bei der echten Bank ein und überweist Geld auf eigene Konten.
🔍 Woran erkennst du Phishing?
| Merkmal | Beispiel |
|---|---|
| Dringlichkeit und Drohung | „Innerhalb von 24 Stunden handeln, sonst Kontosperrung“ |
| Abweichende Absenderadresse oder URL | sparkasse-sicherheit-login.com statt sparkasse.de |
| Aufforderung zur Eingabe sensibler Daten | Banken fragen nie per E-Mail nach PIN oder Passwort |
| Unpersönliche Anrede, Fehler im Text | „Sehr geehrter Kunde“, ungewöhnliche Formulierungen |
| Unerwartete Anhänge | Rechnung oder Paketbenachrichtigung, die du nicht erwartest |
👉 Tipp: Fahre mit der Maus über den Link, ohne zu klicken. Die tatsächliche Zieladresse wird unten im Browser angezeigt.
🔑 Schutz durch Zwei-Faktor-Authentifizierung
Selbst wenn Max sein Passwort preisgegeben hätte: Mit 2FA bzw. MFA braucht der Angreifer zusätzlich einen zweiten Faktor, zum Beispiel einen Code aus der Banking-App oder eine Freigabe auf dem Smartphone. Diesen Faktor bekommt er durch das Phishing in der Regel nicht. Der Login scheitert.
🛡️ Weitere Schutzmaßnahmen
- Keine Anhänge oder Links von unbekannten oder unerwarteten Absendern öffnen, auch wenn die Nachricht seriös wirkt.
- Im Zweifel die Organisation über den offiziellen Weg kontaktieren (Telefonnummer von der echten Webseite), nie über die Kontaktdaten aus der E-Mail.
- Als Administrator den Spam- und Phishing-Filter (z. B. in Outlook oder Microsoft 365) aktivieren und regelmäßig prüfen.
- Software und Systeme aktuell halten, damit Sicherheitslücken geschlossen werden.
- Schulungen und Phishing-Simulationen, damit Mitarbeitende verdächtige Mails erkennen und melden.
💡 Prüfungstipp: Wird gefragt, was ein Mitarbeiter bei einer verdächtigen E-Mail tun soll: nicht klicken, nicht antworten, IT-Abteilung informieren, Mail als Phishing melden.
🧪 Typische Prüfungsfragen
- Erkläre, was Phishing ist und woher der Begriff kommt.
- Woran kann man eine Phishing-Nachricht erkennen?
- Warum schützt Zwei-Faktor-Authentifizierung vor den Folgen eines Phishing-Angriffs?
- Nenne drei Maßnahmen gegen Phishing im Unternehmen.
- Was sollte ein Mitarbeiter tun, wenn er eine verdächtige E-Mail erhält?
🎯 Fazit
Beim Phishing geben sich Angreifer als vertrauenswürdige Organisation aus, um über gefälschte Nachrichten und Webseiten an Zugangsdaten zu kommen. Erkennungsmerkmale sind Dringlichkeit, abweichende URLs und die Abfrage sensibler Daten. Die wirksamsten Gegenmaßnahmen: Zwei-Faktor-Authentifizierung, Spam-Filter, Updates und vor allem geschulte, aufmerksame Mitarbeitende.
