Phishing erkennen und verhindern
Was ist Phishing?
Phishing ist eine gefälschte Nachricht, die sich als vertrauenswürdiger Absender ausgibt, mit dem Ziel, Ihnen Daten, Passwörter oder Geld zu entlocken. Der Absender tut so, als sei er Ihre Bank, Ihr Lieferant, ein Zustelldienst oder sogar ein Kollege, und versucht, Sie zu etwas zu bewegen, das Sie normalerweise nicht tun würden.
Das Wort kommt von "fishing": Ein Köder wird ausgeworfen, und der Angreifer hofft, dass Sie anbeißen. Manchmal geht es um massenhafte, schludrige E-Mails; manchmal um sorgfältig nachgebaute Nachrichten, die auf eine Person oder ein Unternehmen ausgerichtet sind. Eine breitere Begriffserklärung finden Sie auf der Seite über was Phishing ist.
Sie begegnen verschiedenen Varianten. Bei gewöhnlichem Phishing geht dieselbe gefälschte E-Mail gleichzeitig an Tausende Adressen, in der Hoffnung, dass eine Handvoll Menschen darauf hereinfällt. Beim Spear-Phishing ist die E-Mail auf Sie oder Ihr Unternehmen zugeschnitten, mit echten Namen und Details, wodurch sie viel glaubwürdiger wirkt. Und beim CEO-Betrug gibt sich der Absender als Chef oder bekannter Lieferant aus, mit einer dringenden Aufforderung, eine Zahlung vorzunehmen. Je gezielter der Angriff, desto schwerer zu erkennen und desto wichtiger daher eine feste Kontrollroutine.
Warum das Erkennen von Phishing wichtig ist
Ein einziger falscher Klick kann große Folgen haben: ein leergeräumtes Bankkonto, ein gekapertes Postfach oder Ransomware, die Ihre gesamte Verwaltung als Geisel nimmt. Für ein KMU oder eine Praxis ist das nicht nur Geld, sondern auch Vertrauen: Wird Ihr Postfach missbraucht, dann erhalten Ihre Kunden plötzlich gefälschte Nachrichten in Ihrem Namen.
Phishing ist zudem das Sprungbrett zu anderen Problemen. Über ein erbeutetes Passwort können Angreifer mitlesen, Rechnungen fälschen oder Ihre Domain nutzen, um andere zu betrügen. Deshalb ist das Erkennen gefälschter E-Mails kein Luxus, sondern tägliche Hygiene, genau wie das Abschließen Ihrer Tür.
So erkennen Sie eine Phishing-E-Mail
Gehen Sie bei einer verdächtigen Nachricht diese Signale durch. Oft springen gleich mehrere ins Auge.
- Die Absenderadresse stimmt nicht ganz. Der angezeigte Name wirkt echt, aber die Adresse dahinter ist eine fremde oder gerade falsch geschriebene Domain. Klappen Sie immer die vollständige Adresse auf.
- Es wird Druck gemacht. "Ihr Konto wird innerhalb von 24 Stunden gesperrt" oder "zahlen Sie jetzt, um eine Strafe zu vermeiden." Dringlichkeit soll Sie zum Handeln bewegen, ohne nachzudenken.
- Der Link führt woanders hin. Bewegen Sie Ihre Maus über den Link (ohne zu klicken) und schauen Sie, wohin er wirklich zeigt. Weicht das vom Text ab, dann seien Sie auf der Hut.
- Unpersönliche oder gerade seltsame Anrede. "Sehr geehrter Kunde", wo Sie Ihren Namen erwarten, oder gerade merkwürdige Formulierungen und Rechtschreibfehler.
- Ein unerwarteter Anhang. Besonders Dateien, die Sie "aktivieren" oder ausführen sollen, sind verdächtig.
- Eine Aufforderung zur Datenangabe. Echte Organisationen fragen Sie selten per E-Mail nach Passwörtern, PINs oder vollständigen Kartendaten.
- Das Angebot ist zu schön. Eine unerwartete Rückerstattung, ein Gewinn oder eine Erbschaft ist fast immer ein Köder.
Zweifeln Sie? Gehen Sie nicht über die E-Mail, sondern melden Sie sich direkt über die Adresse an, die Sie selbst eintippen, oder rufen Sie die Organisation über eine Nummer an, die Sie selbst heraussuchen.
Worauf Sie achten müssen
- Schauen Sie über den angezeigten Namen hinaus. Angreifer fälschen den sichtbaren Absender leicht. Was im Namen Ihrer eigenen Domain versendet wird, gehört in die Geschichte über Spoofing verhindern.
- Vertrauen Sie keiner Nachricht allein aufgrund des Logos. Logos und Corporate Design sind schnell kopiert.
- Seien Sie besonders wachsam bei Rechnungs- und Zahlungsaufforderungen. Ändert ein Lieferant "plötzlich" seine Kontonummer, dann rufen Sie zur Kontrolle an.
- Geben Sie keine Anmeldedaten über einen Link aus einer E-Mail preis. Gehen Sie immer selbst auf die Website.
- Haben Sie doch geklickt? Ändern Sie sofort Ihr Passwort, aktivieren Sie die Zwei-Faktor-Authentifizierung und warnen Sie Ihren Anbieter oder IT-Verantwortlichen. Je schneller, desto kleiner der Schaden.
- Machen Sie es zur Gewohnheit, nicht zur Panik. Sie müssen nicht bei jeder E-Mail misstrauisch sein; ein paar feste Reflexe (Absender aufklappen, Links prüfen, bei Geld kurz anrufen) fangen das meiste ab, ohne dass es Arbeit macht.
Eine praktische Faustregel: Lassen Sie sich nicht davon leiten, wie echt eine Nachricht wirkt, sondern davon, was sie verlangt. Verlangt eine E-Mail von Ihnen, sich anzumelden, zu zahlen oder etwas herunterzuladen, dann gehen Sie immer einen Schritt langsamer und prüfen Sie über einen Kanal, den Sie selbst wählen. Gerade dieser Zwischenschritt nimmt den Druck heraus, mit dem Phishing rechnet.
Ein guter Spamfilter fängt viel Phishing bereits ab, bevor es Sie erreicht. Verschwindet legitime Post gerade im Spam, dann ist das ein anderes Problem; das lesen Sie unter warum E-Mails im Spam landen.
Und bei Mailflux
Bei Mailflux filtert jeder Tarif mit Machine Learning gegen Spam, Phishing und Malware, und standardmäßig sind Antivirus, Antispam und Antimalware enthalten. So wird ein großer Teil der gefälschten E-Mails bereits zurückgehalten, bevor sie in Ihrem Posteingang erscheinen. In den Tarifen mit Premium-Schutz geht diese Anti-Malware noch einen Schritt weiter.
Sie erhalten professionelle E-Mail auf Ihrer eigenen Domain, gehostet in Europa und DSGVO-konform, mit automatischen Backups und optional Zwei-Faktor-Authentifizierung. Die Filterung fängt viel ab, aber Ihre Aufmerksamkeit bleibt die letzte, beste Verteidigung, und die beiden verstärken sich gegenseitig.
FAQ
Häufig gestellte Fragen
Was ist das schnellste Zeichen, dass eine E-Mail Phishing ist?
Prüfen Sie die vollständige Absenderadresse, nicht nur den angezeigten Namen. Stimmt die Domain nicht oder ist sie gerade falsch geschrieben, dann ist das ein starkes Signal. Kombinieren Sie das mit Dringlichkeit und einem verdächtigen Link, und die Wahrscheinlichkeit von Phishing ist groß.
Was soll ich tun, wenn ich auf einen Phishing-Link geklickt habe?
Bleiben Sie ruhig und handeln Sie schnell. Ändern Sie sofort das Passwort des betroffenen Kontos, aktivieren Sie die Zwei-Faktor-Authentifizierung und melden Sie es Ihrem Anbieter oder IT-Verantwortlichen. Haben Sie einen Anhang ausgeführt, dann lassen Sie Ihr Gerät auf Malware prüfen und behalten Sie Ihre Konten im Auge.
Kann ein Spamfilter Phishing vollständig aufhalten?
Ein guter Filter hält viel Phishing auf, aber kein Filter ist hundertprozentig. Angreifer passen ihre Tricks ständig an. Deshalb bleibt die Kombination aus starker Filterung und aufmerksamen Nutzern am sichersten: Die Technik fängt die Masse ab, Sie fangen die Ausnahme.