Was ist Phishing?

Phishing einfach erklärt

Der Begriff ist an das englische Wort „fishing“ (angeln) angelehnt: Die Täter werfen einen Köder aus und warten, wer anbeißt. Der Köder ist eine Nachricht, die echt aussieht – etwa eine Versandbestätigung eines Paketdienstes, eine Sicherheitswarnung der Bank, die Aufforderung, ein abgelaufenes Passwort zu erneuern, oder eine dringende Bitte der Geschäftsführung.

Man kann sich Phishing wie einen Trickbetrüger an der Haustür vorstellen, der sich als Mitarbeiter der Stadtwerke ausgibt. Er wirkt freundlich, zeigt einen Ausweis und hat es eilig. Wer ihm glaubt, lässt ihn herein. Beim Phishing passiert dasselbe digital – und die Täter klopfen an sehr viele Türen gleichzeitig.

Phishing gehört zum Social Engineering. Die Angriffe zielen nicht auf technische Lücken, sondern auf menschliche Eigenschaften wie Hilfsbereitschaft, Neugier oder Respekt vor Autorität. Wie Sie Ihr Team gezielt darauf vorbereiten, zeigt unsere Seite Security Awareness & Phishing-Simulation.

So funktioniert Phishing

Die meisten Phishing-Angriffe folgen demselben Muster:

1. Köder vorbereiten: Die Täter wählen ein glaubwürdiges Thema und einen bekannten Absender. Logos, Signaturen und Absendernamen lassen sich leicht fälschen.
2. Druck aufbauen: Die Nachricht erzeugt Zeitdruck oder Sorge – „Ihr Konto wird heute gesperrt“ oder „Die Zahlung muss bis 12 Uhr raus“. Wer unter Druck steht, prüft weniger genau.
3. Zum Handeln verleiten: Ein Link führt auf eine täuschend echte Anmeldeseite, ein Anhang enthält Schadsoftware, oder die Nachricht bittet um eine Überweisung oder einen Rückruf.
4. Beute verwerten: Mit erbeuteten Zugangsdaten melden sich die Täter in E-Mail-Postfächern oder Cloud-Diensten an. Von dort verschicken sie weitere Phishing-Mails, lesen vertrauliche Daten mit oder laden Schadsoftware nach – nicht selten der erste Schritt zu einem Ransomware-Angriff.

Es gibt viele Varianten. Beim Spear-Phishing ist die Nachricht auf eine bestimmte Person zugeschnitten, oft mit Details aus sozialen Netzwerken oder von der Firmenwebsite. Beim CEO-Fraud geben sich Täter als Geschäftsführung aus und fordern eine eilige Überweisung. Läuft der Betrug über SMS oder Messenger, spricht man von Smishing, am Telefon von Vishing und bei präparierten QR-Codes von Quishing.

Moderne Phishing-Seiten können sogar die Einmalcodes einer Multi-Faktor-Authentifizierung abfangen – also der Anmeldung mit Passwort plus zweitem Nachweis, etwa einem Code auf dem Smartphone. Dazu schalten sie sich unbemerkt zwischen Opfer und echte Anmeldeseite. Als besonders sicher gelten deshalb Passkeys und Sicherheitsschlüssel nach dem FIDO2-Standard: Sie sind fest an die echte Website gebunden und funktionieren auf einer Fälschung nicht.

Ein Beispiel aus der Praxis

Ein erfundenes, aber typisches Szenario: In der Buchhaltung eines Großhändlers trifft am Freitagnachmittag eine E-Mail ein – scheinbar von einem langjährigen Lieferanten. Man habe die Bank gewechselt, die offene Rechnung möge bitte auf das neue Konto gehen. Die Mail wirkt echt: richtiger Ansprechpartner, korrekter Briefkopf, Bezug auf eine tatsächliche Bestellung. Der Grund: Die Täter hatten zuvor per Phishing das Postfach des Lieferanten übernommen und wochenlang mitgelesen.

Die zuständige Mitarbeiterin wird stutzig, weil die neue Bankverbindung ins Ausland führt. Sie ruft beim Lieferanten an – unter der Nummer aus den eigenen Stammdaten, nicht unter der aus der Mail. Der Betrug fliegt auf, bevor Geld fließt. Genau dieses Verhalten – innehalten, auf einem zweiten Weg prüfen, melden – trainieren Phishing-Simulationen.

Warum ist das für Unternehmen wichtig?

Phishing zählt seit Jahren zu den häufigsten Wegen, auf denen Angreifer in Unternehmen gelangen. Die Folgen reichen von übernommenen Konten über Zahlungsbetrug bis zu verschlüsselten Systemen. Gelangen dabei personenbezogene Daten in fremde Hände, kann eine Meldepflicht entstehen: Nach Art. 33 DSGVO ist die Datenschutzaufsicht dann unverzüglich und möglichst binnen 72 Stunden zu informieren.

Technische Filter fangen viele Phishing-Mails ab, aber nie alle. Deshalb kommt es auf Menschen an, die verdächtige Nachrichten erkennen und melden. Auch der Gesetzgeber sieht das so: Die europäische NIS2-Richtlinie nennt Schulungen zur Cybersicherheit ausdrücklich als Teil des Risikomanagements und sieht vor, dass auch die Geschäftsleitungen betroffener Unternehmen selbst an Schulungen teilnehmen.

So schützen Sie sich

• Regelmäßig schulen und üben: Kurze, wiederkehrende Trainings und realistische Phishing-Simulationen machen die richtige Reaktion zur Gewohnheit.
• Meldekultur fördern: Richten Sie einen einfachen Meldeweg ein. Wer auf einen Link geklickt hat, sollte das sofort melden können – ohne Angst vor Konsequenzen.
• Anmeldung absichern: Schützen Sie E-Mail, Cloud-Dienste und Fernzugänge mit Multi-Faktor-Authentifizierung, wo möglich mit phishing-resistenten Verfahren.
• Zahlungen prüfen: Klären Sie geänderte Bankverbindungen und eilige Zahlungsanweisungen immer telefonisch unter einer bekannten Nummer. Für größere Beträge hilft das Vier-Augen-Prinzip.
• E-Mail-Schutz einrichten: Filter gegen Spam und Schadsoftware sowie die Verfahren SPF, DKIM und DMARC erschweren es Tätern, Ihre Absenderadressen zu fälschen.
• Warnsignale kennen: Zeitdruck, ungewöhnliche Bitten, kleine Abweichungen in der Absenderadresse und Links, deren Ziel nicht zum angeblichen Absender passt, sind typische Hinweise. Fahren Sie mit der Maus über einen Link, bevor Sie klicken, und melden Sie sich bei wichtigen Diensten nur über gespeicherte Lesezeichen an.

Wie Rootsektor unterstützt

Mit Security Awareness & Phishing-Simulation trainieren wir Ihr Team praxisnah: mit realistischen Kampagnen, Schulungen vor Ort oder online und einer anonymisierten Auswertung, die niemanden bloßstellt. Ob ein entschlossener Angreifer über E-Mail, Telefon oder den Empfang tatsächlich ans Ziel käme, prüfen wir mit Tests unter Social Engineering & physische Tests. Hat bereits jemand Zugangsdaten auf einer gefälschten Seite eingegeben oder einen schädlichen Anhang geöffnet, unterstützt Sie unser Bereich Incident Response & Forensik dabei, den Vorfall einzudämmen und aufzuklären. Bei einem akuten Vorfall erreichen Sie uns unter +49 2932 465265-0 – außerhalb der Geschäftszeiten (Mo–Fr 08:00–17:00 Uhr) ist dieselbe Nummer unsere 24/7-Notfall-Hotline.