Schutz vor Phishing

Formen von Phishing

Phishing ist eine Form von Social Engineering: Angreifer nutzen Vertrauen, Zeitdruck oder Neugier aus, um Menschen zu einer Handlung zu bewegen. Typische Varianten im Unternehmensumfeld:

• Massen-Phishing: breit gestreute Mails mit gefälschten Anmeldeseiten bekannter Dienste, Paketdienste oder Banken.
• Spear-Phishing: gezielte Mails mit Bezug auf echte Kunden, Projekte oder Kollegen, oft vorbereitet durch Recherche auf der Website oder in sozialen Netzwerken.
• Rechnungs- und Zahlungsbetrug: Mails, die eine geänderte Bankverbindung eines Lieferanten melden oder eine dringende Überweisung im Namen der Geschäftsleitung verlangen, häufig «CEO-Fraud» genannt.
• Schadsoftware im Anhang: Office-Dokumente mit Makros, Archive oder Verknüpfungen, die beim Öffnen Schadsoftware nachladen. Infizierte Anhänge sind laut BSI nach wie vor ein sehr häufiger Weg für Schadprogramme.
• Phishing über andere Kanäle: SMS, Messenger, Telefonanrufe angeblicher Support-Mitarbeitender oder QR-Codes auf Briefen und Aushängen.

Technischer Phishing-Schutz

E-Mail-Filterung

Ein Filter für eingehende Mails sortiert Spam aus, prüft Anhänge und blockiert bekannte schädliche Links. Das BSI empfiehlt in seinem Maßnahmenkatalog zu Ransomware unter anderem Spam- und Anhangsfilter, das Prüfen von Anhängen in einer Sandbox, das Umschreiben von Links und die Prüfung der Absenderauthentisierung über SPF, DKIM und DMARC. Gefährliche Dateitypen wie ausführbare Programme sollten gar nicht zugestellt werden.

Absender-Kennzeichnung

Mails von außerhalb der eigenen Organisation können sichtbar markiert werden. Das hilft, wenn eine angebliche Mail der Geschäftsführung in Wahrheit von außen kommt. Zusätzlich sollte der eigene Mailserver Mails ablehnen, die von außen mit einer Absenderadresse der eigenen Domain eingeliefert werden.

Zweiter Faktor

Die wirksamste Begrenzung von Passwort-Phishing ist die Zwei-Faktor-Authentifizierung. Besonders robust sind Verfahren nach FIDO2 und Passkeys, weil sie an die echte Domain des Dienstes gebunden sind und auf gefälschten Seiten nicht funktionieren.

Makros und aktive Inhalte

Makros in Dokumenten aus dem Internet sollten blockiert sein. Das BSI empfiehlt außerdem, E-Mails möglichst als reinen Text anzuzeigen und aktive Inhalte in HTML-Mails zu unterbinden.

Browser und Endgeräte

Aktuelle Browser mit eingeschaltetem Schutz vor gefährlichen Seiten, ein aktiver Virenschutz und zeitnahe Updates begrenzen den Schaden, falls doch ein Link geöffnet wird.

Organisatorischer Phishing-Schutz

Regeln für Zahlungen

Für Zahlungsbetrug hilft keine Technik so zuverlässig wie eine klare Regel: Änderungen von Bankverbindungen und ungewöhnliche Zahlungsaufforderungen werden immer über einen zweiten Kanal bestätigt, mit einer Telefonnummer aus den eigenen Unterlagen, nicht aus der Mail. Größere Überweisungen brauchen ein Vier-Augen-Prinzip.

Sensibilisierung

Mitarbeitende sollten typische Merkmale kennen:

• ungewöhnlicher Zeitdruck oder Drohungen,
• Aufforderung, Zugangsdaten einzugeben oder Daten zu bestätigen,
• Links, deren Ziel nicht zur angeblichen Absenderin passt,
• unerwartete Anhänge,
• Absenderadressen, die nur auf den ersten Blick stimmen.

Der wichtigste Rat des BSI: Prüfen Sie die Adresszeile im Browser, klicken Sie nicht auf Links in zweifelhaften Mails und fragen Sie im Zweifel beim angeblichen Absender auf bekanntem Weg nach.

Sensibilisierung wirkt am besten in kurzen, regelmäßigen Einheiten mit Beispielen aus dem eigenen Arbeitsalltag. Simulierte Phishing-Kampagnen können sinnvoll sein, wenn sie angekündigt, fair gestaltet und zum Lernen statt zum Bloßstellen genutzt werden; Datenschutz und gegebenenfalls Mitbestimmung sind dabei zu beachten.

Meldeweg

Jede und jeder im Betrieb muss wissen, wohin verdächtige Mails gemeldet werden, etwa über einen Melde-Button im Mailprogramm oder eine feste Adresse. Entscheidend ist eine Kultur, in der auch ein Fehlklick sofort gemeldet wird. Je früher ein abgegriffenes Passwort geändert wird, desto geringer der Schaden.

Wenn jemand geklickt hat

1. Ruhe bewahren und sofort melden.
2. Wurden Zugangsdaten eingegeben: Passwort sofort ändern, Sitzungen beenden, Postfach auf neue Weiterleitungs- und Löschregeln prüfen.
3. Wurde ein Anhang geöffnet: Gerät vom Netz trennen, aber nicht ausschalten, und die IT informieren.
4. Wurde Geld überwiesen: sofort die eigene Bank kontaktieren und Anzeige bei der Polizei erstatten.
5. Prüfen, ob ein meldepflichtiger Vorfall vorliegt, etwa nach Datenschutzrecht.

Wirkung prüfen

Ob der Phishing-Schutz funktioniert, lässt sich an einfachen Fragen ablesen: Wie viele verdächtige Mails werden pro Monat gemeldet? Wie schnell nach Eingang? Gibt es Konten ohne zweiten Faktor? Wird die Regel zur telefonischen Bestätigung von Zahlungsänderungen tatsächlich eingehalten? Steigende Meldezahlen sind dabei ein gutes Zeichen, denn sie zeigen, dass das Team aufmerksam ist und dem Meldeweg vertraut. Besprechen Sie gemeldete Beispiele kurz im Team, das ist die praxisnächste Form der Schulung.

Einordnung im IT-Grundschutz

Im IT-Grundschutz-Kompendium betreffen vor allem ORP.3 «Sensibilisierung und Schulung zur Informationssicherheit», APP.5.3 «Allgemeiner E-Mail-Client und -Server» und OPS.1.1.4 «Schutz vor Schadprogrammen» den Schutz vor Phishing. In der DIN SPEC 27076 ist die Fähigkeit aller Unternehmensangehörigen, verdächtige Nachrichten wie Phishing-Mails zu erkennen, eine TOP-Anforderung.