Phishing
DefinitionBetrugsversuch per E-Mail/Chat/Telefon zur Abgreifung von Zugangsdaten.
Phishing ist ein Betrugsversuch über E-Mail, Chat, SMS oder Telefon, bei dem Angreifer sich als vertrauenswürdige Stelle (z. B. Bank, Paketdienst, Geschäftsführung oder IT-Support) ausgeben, um Zugangsdaten, Zahlungsinformationen oder andere sensible Daten zu erbeuten. Ziel ist meist, Konten zu übernehmen, Zahlungen auszulösen oder Schadsoftware einzuschleusen.
Wie funktioniert Phishing?
Phishing folgt oft einem wiederkehrenden Muster – egal ob per Mail, Messenger ("Smishing"), Telefon ("Vishing") oder über gefälschte Webseiten:
- 1) Kontaktaufnahme: Eine Nachricht wirkt dringend („Konto gesperrt“, „Rechnung überfällig“, „Passwort läuft ab“).
- 2) Vertrauen aufbauen: Absendername, Logo und Tonfall imitieren echte Anbieter oder interne Personen.
- 3) Handlungsdruck erzeugen: Zeitdruck, Drohungen oder „Sofort-Rabatte“ sollen schnelles Klicken auslösen.
- 4) Abgriff/Infektion: Opfer gibt Daten auf einer Fake-Login-Seite ein, öffnet einen Anhang oder bestätigt eine Zahlung.
- 5) Missbrauch: Zugriff auf E-Mail-Postfächer, Cloud-Tools, Online-Banking oder ERP – häufig mit Folgeschäden wie Rechnungsbetrug (CEO-Fraud) oder Ransomware.
Typische Phishing-Varianten in KMU
- Credential-Phishing: Login-Daten für Microsoft 365/Google Workspace/CRM werden über Fake-Login-Seiten abgegriffen.
- Rechnungs- & Zahlungsphishing: „Neue Bankverbindung“ oder „Eilüberweisung“ – oft an Buchhaltung gerichtet.
- Business E-Mail Compromise (BEC): Angreifer kapern ein echtes Postfach und schreiben aus realen Konversationen heraus.
- Telefonisches Phishing (Vishing): Fake-IT-Support lässt Mitarbeitende MFA-Codes durchgeben oder Fernzugriff erlauben.
- KI-gestütztes Spear-Phishing: Mit Generative KI (Generative AI) werden individuellere, fehlerärmere Texte erzeugt – dadurch sinkt die „Erkennungsquote“ über Rechtschreibfehler.
Warum ist Phishing für IT-Sicherheit & Datenschutz (DSGVO) relevant?
Phishing ist häufig der Einstieg in Datenpannen. Werden personenbezogene Daten (z. B. Kundendaten, Mitarbeiterdaten, E-Mail-Inhalte) kompromittiert, kann eine meldepflichtige Datenschutzverletzung vorliegen. Nach DSGVO müssen Unternehmen geeignete technische und organisatorische Maßnahmen (TOM) umsetzen (Art. 32) und bei hohem Risiko ggf. innerhalb von 72 Stunden an die Aufsichtsbehörde melden (Art. 33) sowie Betroffene informieren (Art. 34). Für KMU heißt das: Prävention ist nicht nur „IT-Thema“, sondern auch Compliance.
Praktische Schutzmaßnahmen für kleine Unternehmen
- MFA/2FA konsequent aktivieren (besonders für E-Mail, Admin-Konten, Fernzugriff).
- Security Awareness & klare Prozesse: Zahlungsfreigaben mit Vier-Augen-Prinzip, Rückruf über bekannte Nummern, keine Passwortweitergabe.
- E-Mail-Schutz: Spam-/Phishing-Filter, Anhang-Sandboxing, sowie Domain-Schutz (SPF/DKIM/DMARC).
- Geräte & Updates: Patch-Management, Endpoint-Schutz, eingeschränkte Benutzerrechte.
- Notfallplan: Meldewege, Kontosperrung, Passwort-Reset, Log-Sicherung und Kontakt zum IT-Dienstleister.
Was kostet Phishing (und Schutz dagegen)?
Die direkten Kosten reichen von einzelnen Fehlüberweisungen bis zu längeren Ausfällen durch Kontoübernahmen oder Malware. Hinzu kommen Aufwände für Incident Response, Wiederherstellung, mögliche DSGVO-Meldungen und Reputationsschäden. Schutzmaßnahmen (MFA, E-Mail-Security, Schulungen) sind im Vergleich meist deutlich günstiger als ein erfolgreicher Angriff – entscheidend sind Nutzeranzahl, Tool-Landschaft und gewünschtes Sicherheitsniveau.
- 91%
Einstieg per E-Mail
Phishing startet in Unternehmen meist über E-Mails und bleibt damit für KMU der häufigste Angriffsvektor auf Konten und Systeme.
- 3,9 Mio. €
Durchschnittlicher Vorfall
Erfolgreiche Phishing-Angriffe verursachen durch Ausfallzeiten, Datenverlust und Wiederherstellung oft erhebliche Kosten, auch wenn KMU meist unter dem Großunternehmensniveau liegen.
- 1 von 3
Klickt auf Köder
Ohne regelmäßige Sensibilisierung reagiert ein relevanter Teil der Mitarbeitenden auf täuschend echte Phishing-Nachrichten, was das Risiko für B2B-Organisationen deutlich erhöht.
Phishing-Simulationen im Vertrieb zur Absicherung von CRM-Zugängen einsetzen
Ein KMU im Vertrieb kann regelmäßig simulierte Phishing-E-Mails an Mitarbeitende senden, um den sicheren Umgang mit Login-Anfragen für CRM-, Angebots- und E-Mail-Systeme zu trainieren. So werden riskante Klickmuster sichtbar, Schulungen gezielt verbessert und der Missbrauch von Kundendaten durch kompromittierte Zugänge reduziert.
HR-Prozesse gegen gefälschte Bewerbungen und Identitätsdiebstahl absichern
Personalabteilungen in kleinen und mittleren Unternehmen erhalten häufig Bewerbungen, Dokumente oder Rückfragen per E-Mail und sind dadurch ein typisches Ziel für Phishing. Durch klare Prüfprozesse für Anhänge, Absenderdomains und Zugriffsanfragen auf Bewerbermanagement- oder Lohnsysteme lassen sich Schadsoftware, Datendiebstahl und unberechtigte Kontoänderungen vermeiden.
Rechnungsfreigaben in der Buchhaltung vor CEO-Fraud und Zahlungsbetrug schützen
In der Buchhaltung können Phishing-Mails oder gefälschte Anrufe gezielt dazu genutzt werden, dringende Überweisungen oder geänderte Bankverbindungen durchzusetzen. KMU können hier mit Vier-Augen-Freigaben, Rückrufprüfungen bei Lieferanten und Warnhinweisen in E-Mail-Systemen verhindern, dass Zahlungen an Betrüger ausgelöst werden.
Häufig gestellte Fragen
Was ist Phishing?
Phishing ist ein Betrugsversuch über E-Mail, Chat, SMS oder Telefon, bei dem Angreifer sich als seriöse Stelle ausgeben, um Zugangsdaten oder Zahlungsinformationen zu erbeuten. Häufig führt das zu Kontoübernahmen, Fehlüberweisungen oder Malware-Infektionen.
Wie funktioniert Phishing in der Praxis?
Angreifer erzeugen Dringlichkeit und leiten auf gefälschte Login-Seiten oder zu schädlichen Anhängen weiter. Gibt ein Mitarbeiter Daten ein oder bestätigt eine Aktion, nutzen Täter die Informationen für Zugriff, Zahlungen oder weitere Angriffe.
Woran erkenne ich eine Phishing-Mail?
Typisch sind Zeitdruck, ungewöhnliche Zahlungsaufforderungen, abweichende Absender-Domains, Links zu fremden Webseiten und unerwartete Anhänge. Im Zweifel immer über einen zweiten Kanal verifizieren (z. B. Rückruf über eine bekannte Nummer).
Welche Schutzmaßnahmen sind für KMU am wichtigsten?
Am wirksamsten sind MFA für alle wichtigen Konten, klare Freigabeprozesse (Vier-Augen-Prinzip bei Zahlungen) und regelmäßige Awareness-Schulungen. Ergänzend helfen E-Mail-Sicherheitsfunktionen wie Filter sowie SPF/DKIM/DMARC.
Ist Phishing ein DSGVO-Thema und wann muss gemeldet werden?
Ja, wenn durch Phishing personenbezogene Daten kompromittiert werden, kann eine meldepflichtige Datenschutzverletzung vorliegen. Je nach Risiko ist eine Meldung an die Aufsichtsbehörde (regelmäßig innerhalb von 72 Stunden) und ggf. eine Information der Betroffenen erforderlich.
Welche Arten von Phishing gibt es?
Neben klassischem E-Mail-Phishing gibt es Spear-Phishing mit gezielten, personalisierten Nachrichten, Smishing per SMS und Vishing per Telefon. Besonders für Unternehmen gefährlich ist CEO-Fraud, bei dem sich Angreifer als Geschäftsführung oder vertraute Partner ausgeben, um Zahlungen oder Zugangsdaten zu erschleichen.
Was tun, wenn ich auf Phishing hereingefallen bin?
Wenn du einen Phishing-Link angeklickt oder Daten eingegeben hast, solltest du sofort Passwörter ändern, betroffene Zugänge sperren und die Zwei-Faktor-Authentifizierung aktivieren. In Unternehmen ist zusätzlich wichtig, Geräte zu prüfen, Mail-Regeln zu kontrollieren, Zahlungsfreigaben zu stoppen und mögliche Meldepflichten etwa nach DSGVO schnell bewerten zu lassen.
Wir sind ein kleines Unternehmen – lohnt sich professionelle Hilfe gegen Phishing überhaupt?
Ja, gerade kleine und mittlere Unternehmen sind oft ein leichtes Ziel, weil Prozesse, Berechtigungen und Sicherheitsroutinen im Alltag nebenbei mitlaufen. Mit einem Tech-Gutachten oder einer laufenden Tech-Partnerschaft bekommst du pragmatische Schutzmaßnahmen, die zu deinem Setup passen – ohne Konzern-Komplexität.
Müssen wir für besseren Phishing-Schutz gleich unsere komplette IT austauschen?
Nein, meistens nicht. Oft reichen klare Mail- und Freigabeprozesse, saubere Tool-Strukturen, sinnvolle Zugriffsrechte und Schulungen, um das Risiko deutlich zu senken. Ich analysiere zuerst dein bestehendes Setup und zeige dir, was wirklich angepasst werden sollte und was bleiben kann.
Wie hilft mir ein Tech-Gutachten konkret beim Thema Phishing?
Im Tech-Gutachten prüfe ich, welche Tools ihr nutzt, wo Sicherheitslücken in Prozessen entstehen und welche Systeme unnötig Risiko erzeugen. Du bekommst konkrete Empfehlungen, zum Beispiel zu Zugriffsrechten, Tool-Bereinigung, sicheren Abläufen und möglichen KI-gestützten Schutz- oder Prüfmechanismen.
Kannst du auch unser Team im Umgang mit Phishing sensibilisieren?
Ja, neben der technischen Analyse ist die Mitarbeiter-Sensibilisierung ein zentraler Teil wirksamer Phishing-Prävention. Im Rahmen meiner KI-Beratung & Hilfestellung oder einer laufenden Zusammenarbeit unterstütze ich dich dabei, verständliche Regeln, praxistaugliche Checklisten und hilfreiche interne Assistenten für dein Team aufzusetzen.
Was ist, wenn bei uns schon Tool-Chaos herrscht und niemand mehr den Überblick hat?
Genau dann ist strukturierte Unterstützung besonders wertvoll, denn unübersichtliche Tools, doppelte Systeme und unklare Zuständigkeiten erhöhen das Phishing-Risiko erheblich. Mit der Tech-Partnerschaft als externer CTO oder einer Umsetzung mit OrbitOS bringe ich Ordnung in eure Systeme, reduziere Angriffsflächen und schaffe klare, sichere Prozesse.