Phishing

Phishing bezeichnet den Versuch, über gefälschte E-Mails, Nachrichten oder Websites an Zugangsdaten, Zahlungsinformationen oder andere sensible Angaben zu gelangen. Typisch sind Nachrichten, die vorgeben, von einer Bank, einem bekannten Lieferanten oder einem Paketdienst zu stammen und zur Eingabe von Daten auf einer nachgebauten, täuschend echt wirkenden Seite auffordern. Anders als CEO-Fraud, das gezielt eine bestimmte Person über eine vorgetäuschte Identität anspricht, ist klassisches Phishing meist breit gestreut und richtet sich an viele Empfänger gleichzeitig, in der Hoffnung, dass zumindest ein Teil der vielen Empfänger unaufmerksam reagiert und auf den Trick hereinfällt.

In Handwerksbetrieben trifft Phishing häufig die allgemeine Firmen-E-Mail-Adresse oder einzelne Mitarbeitende in der Buchhaltung und im Büro. Gefälschte Rechnungen, angebliche Mahnungen oder vermeintliche Nachrichten von Lieferanten mit schädlichen Anhängen oder Links sind verbreitete Varianten, die im hektischen Büroalltag zwischen echten Kundenanfragen und Baustellenkoordination leicht übersehen werden können, gerade wenn mehrere E-Mails gleichzeitig auf Antwort warten.

Ein Beispiel aus dem Betriebsalltag: Eine Nachricht im Namen eines Großhändlers meldet eine angeblich offene Rechnung und verweist auf ein Anmeldeformular des Kundenportals. Die Seite ist nachgebaut, die eingegebenen Zugangsdaten landen beim Angreifer, und über das echte Portal werden anschließend Bestellungen ausgelöst oder Lieferadressen geändert. Der Schaden entsteht damit nicht durch den Klick allein, sondern durch den Zugang, der dadurch verloren geht.

Bezug zur Digitalisierung

Je mehr Kommunikation digital über E-Mail, Messenger oder Kundenportale läuft, desto mehr Angriffsfläche bietet sich für Phishing-Versuche. Gleichzeitig werden gefälschte Nachrichten technisch immer überzeugender gestaltet, mit täuschend echt wirkenden Absenderadressen und Layouts, sodass reines Draufschauen allein oft nicht mehr ausreicht, um Fälschungen sicher zu erkennen, selbst für Menschen, die sich für aufmerksam und erfahren halten.

Technische Maßnahmen wie Spamfilter und Endgeräteschutz fangen einen Teil der Angriffe ab, ersetzen aber nicht die Aufmerksamkeit der Mitarbeitenden. Eine regelmäßige Sicherheitsunterweisung Mitarbeiter, in der typische Merkmale gefälschter Nachrichten anhand echter Beispiele besprochen werden, verbessert die Erkennungsrate im Alltag deutlich, gerade weil sich die Maschen der Angreifer regelmäßig weiterentwickeln und alte Erfahrungswerte allein nicht dauerhaft ausreichen. Verwandt, aber enger gefasst ist der Rechnungsbetrug per E-Mail, bei dem gezielt Zahlungsdaten auf gefälschten oder manipulierten Rechnungen verändert werden.

Wirksam ist außerdem die Zwei-Faktor-Anmeldung für betriebliche Zugänge. Selbst wenn ein Kennwort abgegriffen wurde, bleibt der Zugang ohne den zweiten Faktor gesperrt. Ebenso gehört zum Ablauf eine klare Regel, an wen ein Verdachtsfall im Betrieb gemeldet wird, damit betroffene Zugänge sofort gesperrt werden können, statt dass Beschäftigte aus Sorge vor Vorwürfen schweigen.

Eine einfache Grundregel schützt viele Betriebe: Links und Anhänge aus unerwarteten Nachrichten nicht direkt öffnen, sondern im Zweifel beim vermeintlichen Absender über einen bekannten, unabhängigen Kanal nachfragen, bevor Zugangsdaten eingegeben oder Zahlungen ausgelöst werden. Diese kurze zusätzliche Prüfung kostet im Alltag kaum Zeit, verhindert aber die meisten erfolgreichen Angriffe zuverlässig, weil sie den entscheidenden Moment vor einem folgenschweren Klick einbaut, in dem eine kurze Rückfrage noch alles ändern kann.