Phishing erkennen:
7 Warnsignale für Ihr Team.

Phishing ist heute schwerer zu erkennen als je zuvor

Die Zeit der holprig formulierten Spam-Mails mit nigerianischen Prinzen ist vorbei. Heutige Phishing-Angriffe imitieren täuschend echt die Kommunikation von Microsoft, DHL, Banken, Lieferanten – oder gar Ihrer eigenen Geschäftsleitung. Für Mitarbeiterinnen und Mitarbeiter ohne spezifisches Wissen sind diese Mails kaum noch auf den ersten Blick als gefälscht zu erkennen.

Das ist kein Versagen einzelner Personen, sondern eine reale Herausforderung: Angreifer investieren heute erhebliche Ressourcen in die Gestaltung ihrer Köder. Sie kopieren echte Corporate-Designs bis ins Detail, nutzen legitime E-Mail-Dienste als Versandinfrastruktur und personalisieren Nachrichten mit öffentlich verfügbaren Informationen aus LinkedIn, Unternehmenswebsites oder sozialen Netzwerken.

Die gute Nachricht: Es gibt verlässliche Warnsignale, die auch bei täuschend echten Phishing-Versuchen erkennbar bleiben. Diese sieben sollte Ihr Team kennen.

Die 7 Warnsignale im Detail

Warnsignal 1: Die Absenderadresse stimmt nicht ganz

Der Anzeigename in einem E-Mail-Client zeigt oft einen freundlichen Namen wie „Microsoft Support" oder „Buchhaltung Muster GmbH". Dahinter steckt aber eine tatsächliche Absenderadresse, die häufig verdächtig ist. Typische Tricks der Angreifer:

• Buchstabendreher: m1crosoft.com statt microsoft.com
• Subdomain-Täuschung: service.microsoft.com.phishing-domain.ru – die echte Domain ist hier phishing-domain.ru, nicht Microsoft
• Homograph-Angriffe: Buchstaben aus anderen Alphabeten, die optisch identisch aussehen (z. B. kyrillisches „а" statt lateinisches „a")
• Völlig unzusammenhängende Domains: noreply@update-security-check7834.net

Praxis-Tipp: Immer auf die tatsächliche E-Mail-Adresse klicken oder zeigen, nicht nur den Anzeigenamen lesen. Im Zweifel: Den Absender über einen bekannten Kanal (Telefon, bekannte E-Mail-Adresse) verifizieren.

Warnsignal 2: Ungewöhnlicher Zeitpunkt oder Kontext

Eine Rechnung von einem Lieferanten, mit dem Sie gerade keinen laufenden Auftrag haben. Eine Paketbenachrichtigung, obwohl Sie nichts bestellt haben. Eine dringende Sicherheitswarnung Ihres Bankinstituts um 3 Uhr morgens. Phishing-Angriffe setzen häufig auf bekannte Szenarien, aber der Kontext passt nicht zum aktuellen Geschäftsleben.

Spear-Phishing umgeht dieses Warnsignal, indem die Täter vorher recherchieren. Aber auch hier gilt: Bei jeder unerwarteten Anfrage, die zu einer Aktion (Klick, Download, Überweisung, Zugangsdaten-Eingabe) auffordert, ist erhöhte Aufmerksamkeit angebracht.

Warnsignal 3: Druck und künstliche Dringlichkeit

„Ihr Konto wird in 24 Stunden gesperrt." „Handeln Sie sofort, um rechtliche Konsequenzen zu vermeiden." „Nur noch heute: Bestätigen Sie Ihre Zahlungsdaten." Zeitdruck ist eines der wirksamsten psychologischen Werkzeuge in Phishing-Angriffen – er schaltet das kritische Denken aus.

Legitime Unternehmen setzen ihre Kunden oder Partner nicht unter extremen Zeitdruck. Eine echte Mahnung enthält eine Frist von Tagen oder Wochen, keine Stunden. Wenn eine E-Mail suggeriert, dass sofortiges Handeln unbedingt nötig ist, ist das ein starkes Warnsignal.

Warnsignal 4: Links, die nicht zum Absender passen

Vor dem Klick immer den tatsächlichen Link prüfen – auf dem Desktop genügt es, mit der Maus über den Link zu fahren (hovern), ohne zu klicken. Die angezeigte URL im Browser oder Mail-Client zeigt dann das eigentliche Ziel. Zeichen, auf die zu achten ist:

• Die Domain weicht vom erwarteten Absender ab (z. B. Sparkasse-Mail, aber Link führt auf konto-aktualisierung.net)
• Sehr lange, kryptische URLs mit vielen Parametern
• URL-Verkürzer wie bit.ly oder tinyurl.com in geschäftlicher Kommunikation
• HTTP statt HTTPS (kein Schlosssymbol)

Auf mobilen Geräten ist das Hovern nicht möglich – hier gilt: Im Zweifel nicht klicken, sondern die offizielle Website direkt im Browser aufrufen.

Warnsignal 5: Anhänge in ungewöhnlichen Dateiformaten oder mit Makros

Gefährliche Anhänge kommen häufig als ZIP-Dateien, die ausführbare Dateien (.exe, .js, .vbs) enthalten, als Office-Dokumente mit aktivierten Makros oder als ISO-Images. Aber auch PDFs können Schadcode enthalten oder auf gefälschte Login-Seiten weiterleiten.

Grundregel: Anhänge von unbekannten oder unerwarteten Absendern niemals öffnen. Bei bekannten Absendern gilt: Wenn der Anhang unerwartet kommt oder der Begleittext ungewöhnlich ist, erst telefonisch beim Absender nachfragen. Office-Makros sollten in Ihrer IT-Umgebung grundsätzlich deaktiviert sein – das ist eine Konfigurationsaufgabe für Ihren IT-Dienstleister.

Warnsignal 6: Anfragen nach Zugangsdaten, Passwörtern oder Überweisungen

Kein legitimes Unternehmen fragt per E-Mail nach Passwörtern, PINs oder TAN-Codes. Microsoft, Ihre Bank, Ihr Cloud-Anbieter, Ihr E-Mail-Dienstleister – niemand benötigt Ihr Passwort, um Ihnen zu helfen. Diese Anfragen sind zu 100 Prozent Betrug.

Ähnlich verhält es sich mit unerwarteten Überweisungsaufforderungen. CEO-Fraud-Angriffe nutzen genau dieses Muster: Eine vermeintliche E-Mail der Geschäftsführung fordert eine dringende Überweisung für einen abgeschlossenen Deal an. Hier gilt die Vier-Augen-Pflicht und das telefonische Rückrufverfahren – immer, auch wenn die E-Mail noch so echt wirkt.

Warnsignal 7: Sprachliche Auffälligkeiten oder ungewohnter Ton

Auch wenn Phishing-Mails heute sprachlich erheblich besser geworden sind – vollständige Fehlerfreiheit und ein natürlicher Ton sind für automatisierte Massenmails schwer zu erreichen. Achten Sie auf:

• Ungewöhnliche Formulierungen oder Satzkonstruktionen
• Unpersönliche Anreden wie „Sehr geehrter Nutzer" bei einem Dienst, der Ihren Namen kennt
• Tonale Brüche: Ein vertrauter Lieferant schreibt plötzlich sehr formell oder in einer anderen Sprache
• Widersprüche zwischen Betreff und Nachrichteninhalt

Bei Spear-Phishing kann der Ton täuschend echt sein. Dann zählen die anderen Warnsignale – vor allem die Absenderadresse und der Link – umso mehr.

Was tun, wenn eine Phishing-Mail im Posteingang landet?

Das Auftreten einer Phishing-Mail im Posteingang ist kein Versagen – es passiert selbst bei sehr guten Filtersystemen. Entscheidend ist, was danach passiert. Klären Sie im Team, wer für solche Meldungen zuständig ist, und kommunizieren Sie das klar.

Schritt-für-Schritt: Verdächtige Mail entdeckt

1. Nicht klicken, nicht antworten, keine Anhänge öffnen. Das klingt selbstverständlich, aber unter Zeitdruck passieren Fehler.
2. Mail nicht löschen. Sie könnte für die Analyse wichtig sein.
3. IT-Zuständigen oder Vorgesetzten informieren. Intern kommunizieren, damit andere im Team gewarnt werden können.
4. Mail als Phishing melden – in Microsoft Outlook und anderen E-Mail-Clients gibt es entsprechende Buttons.
5. Wenn doch geklickt wurde: Sofort den Rechner vom Netzwerk trennen (Netzwerkkabel raus, WLAN deaktivieren) und umgehend den IT-Dienstleister anrufen.

Was tun, wenn Sie auf einen Link geklickt haben?

Schnelles Handeln ist jetzt entscheidend. Trennen Sie den betroffenen Rechner sofort vom Netzwerk. Wenn Sie bereits Zugangsdaten eingegeben haben, ändern Sie das betroffene Passwort unverzüglich von einem anderen, sicheren Gerät aus. Informieren Sie Ihren IT-Dienstleister – im Raum Schleswig-Holstein erreichen Sie DEKOM.IT unter 04635 – 40 30003 und wir reagieren per Fernwartung in unter 30 Minuten.

Wie schützen Sie Ihr Team dauerhaft?

Technische Schutzmaßnahmen

Ein guter E-Mail-Sicherheitsfilter filtert einen Großteil der Phishing-Mails heraus, bevor sie den Posteingang erreichen. Besonders in Microsoft 365-Umgebungen gibt es hier erhebliches Konfigurationspotenzial: Microsoft Defender for Office 365 bietet Anti-Phishing-Richtlinien, Safe Links (URL-Prüfung in Echtzeit) und Safe Attachments (Anhang-Sandbox). Diese Funktionen sind in vielen M365-Abonnements enthalten, aber nicht von Haus aus aktiviert.

Weitere wichtige technische Maßnahmen: Mehr-Faktor-Authentifizierung (MFA) für alle E-Mail-Konten, damit gestohlene Zugangsdaten allein nicht ausreichen, sowie DMARC/DKIM/SPF-Konfiguration für Ihre eigene Domain, die verhindert, dass Ihre Firmendomain für Spoofing missbraucht wird.

Regelmäßige Schulungen und Phishing-Simulationen

Wissen allein schützt nicht – es muss im Arbeitsalltag angewendet werden. Regelmäßige Security-Awareness-Trainings (empfohlen: mindestens einmal jährlich, besser halbjährlich) halten das Bewusstsein wach. Phishing-Simulationen, bei denen kontrolliert gefälschte Testmails ans eigene Team geschickt werden, zeigen realistisch, wer gut geschult ist und wer noch Unterstützung braucht – ohne echten Schaden.

Klare Prozesse und eine offene Fehlerkultur

Einer der größten Risikofaktoren ist Schweigen: Wenn ein Mitarbeiter aus Scham nicht meldet, dass er auf einen Link geklickt hat, fehlt wertvolle Reaktionszeit. Deshalb ist eine Unternehmenskultur, in der Meldungen willkommen sind und nicht bestraft werden, ein konkreter Sicherheitsfaktor. Ergänzen Sie das durch klare Prozesse: Wer ist Ansprechpartner, was ist die erste Aktion im Verdachtsfall, wie wird intern kommuniziert?

Häufige Fragen zum Thema Phishing

Weiterführende Ratgeber

• Cyberangriffe auf KMU: Warum kleine Unternehmen im Visier sind
• Ransomware-Schutz für KMU: Prävention, Backup & Notfallplan
• Microsoft 365 sicher konfigurieren