Montagmorgen, kurz vor der Überweisung: Eine E-Mail des vermeintlichen Lieferanten fordert dazu auf, die neue Bankverbindung zu bestätigen. Absender, Logo und Tonfall wirken vertraut. Ein Klick auf den Link genügt, um Zugangsdaten preiszugeben oder eine manipulierte Zahlung auszulösen. Ein Phishing-Angriff trifft Unternehmen deshalb selten dort, wo sie technische Schwächen vermuten. Er nutzt Zeitdruck, Routinen und Vertrauen im Arbeitsalltag aus.

Für kleine und mittlere Unternehmen kann bereits ein einzelnes kompromittiertes Postfach weitreichende Folgen haben: gefälschte Rechnungen, Zugriff auf vertrauliche Daten, versendete Betrugsnachrichten im Namen des Unternehmens oder ein Einstiegspunkt für Schadsoftware. Entscheidend ist nicht, ob Mitarbeitende jeden Trick kennen. Entscheidend ist, ob klare Schutzmechanismen und ein eingeübter Ablauf greifen, wenn eine Nachricht verdächtig ist.

Was einen Phishing-Angriff so gefährlich macht

Phishing ist der Versuch, Menschen gezielt zur Preisgabe von Zugangsdaten, Zahlungsinformationen oder anderen vertraulichen Informationen zu bewegen. Häufig geschieht das per E-Mail. Angreifer nutzen aber ebenso SMS, Telefonate, gefälschte Anmeldeseiten oder Nachrichten über Kollaborationsplattformen.

Die Qualität solcher Angriffe hat zugenommen. Früher verrieten schlechte Übersetzungen und auffällige Absender viele Betrugsversuche. Heute werden Informationen von Unternehmenswebsites, sozialen Netzwerken oder öffentlichen Ausschreibungen genutzt. Daraus entstehen täuschend echte Nachrichten, die sich auf reale Ansprechpartner, Projekte oder Rechnungen beziehen können.

Besonders kritisch wird es, wenn ein Angreifer Zugang zu einem E-Mail-Konto erhält. Dann kann er frühere Kommunikation lesen, Zahlungsprozesse nachvollziehen und glaubwürdige Antworten innerhalb bestehender E-Mail-Verläufe verschicken. Für Empfänger sieht die Nachricht dann nicht wie ein unbekannter Betrugsversuch aus, sondern wie eine normale Rückfrage eines bekannten Kontakts.

Das Risiko betrifft dabei nicht nur die IT-Abteilung. Buchhaltung, Geschäftsführung, Vertrieb, Personalabteilung und Empfang arbeiten täglich mit E-Mails und Dateien. Phishing-Schutz ist deshalb eine betriebliche Aufgabe mit technischen, organisatorischen und menschlichen Bausteinen.

Phishing-Angriff erkennen: Diese Warnzeichen zählen

Eine einzelne Auffälligkeit beweist noch keinen Betrug. Mehrere kleine Unstimmigkeiten sollten jedoch dazu führen, dass eine Nachricht nicht weiterbearbeitet wird, bevor sie geprüft wurde. Der wichtigste Grundsatz lautet: Dringlichkeit darf keine Prüfung ersetzen.

Achten Sie zunächst auf die tatsächliche Absenderadresse, nicht nur auf den angezeigten Namen. Oft unterscheidet sich die Adresse nur minimal von einer bekannten Domain. Auch unerwartete Anhänge, Links zu Anmeldeseiten oder die Aufforderung, Kennwörter und Zahlungsdaten einzugeben, sind klare Warnsignale.

Vorsicht ist ebenfalls geboten, wenn eine Nachricht ungewöhnlichen Zeitdruck erzeugt. Formulierungen wie Konto wird gesperrt, Zahlung sofort ausführen oder Geschäftsführung erwartet Rückmeldung sollen dazu verleiten, etablierte Freigabewege zu umgehen. Bei Rechnungen mit geänderter Bankverbindung sollte immer ein Rückruf über eine bereits bekannte Telefonnummer erfolgen. Nicht über die Nummer in der E-Mail.

Moderne Phishing-Nachrichten können sprachlich einwandfrei sein und korrekte Logos enthalten. Deshalb reicht es nicht aus, nur auf Rechtschreibfehler zu achten. Wer eine unerwartete Anmeldung, eine Freigabeanfrage oder eine Datei erhält, sollte prüfen: Habe ich das angefordert? Passt der Kontext? Führt der Link wirklich zur erwarteten Adresse? Im Zweifel ist Nachfragen schneller und günstiger als ein Sicherheitsvorfall.

Was Mitarbeitende bei Verdacht sofort tun sollten

Ein sicherer Umgang beginnt mit einer einfachen Regel: Nicht klicken, nicht antworten, nicht weiterleiten. Verdächtige E-Mails sollten intern an die zuständige IT oder den vereinbarten Sicherheitskontakt gemeldet werden. Damit kann geprüft werden, ob weitere Postfächer betroffen sind und ob ähnliche Nachrichten im Umlauf sind.

Wurde bereits auf einen Link geklickt, ist Offenheit entscheidend. Mitarbeitende sollten den Vorfall sofort melden, auch wenn sie unsicher sind, ob etwas passiert ist. Schuldzuweisungen führen dazu, dass Vorfälle zu spät bekannt werden. Eine schnelle Meldung ermöglicht es dagegen, Passwörter zurückzusetzen, Sitzungen zu beenden, Geräte zu prüfen und gegebenenfalls Zugriffe zu sperren.

Wenn Zugangsdaten auf einer gefälschten Seite eingegeben wurden, sollte das Kennwort unverzüglich über einen vertrauenswürdigen Weg geändert werden. Bei geschäftlichen Konten reicht ein Passwortwechsel allein nicht immer aus. Aktive Anmeldungen, Weiterleitungsregeln im Postfach, hinterlegte Wiederherstellungsdaten und ungewöhnliche Zugriffe müssen ebenfalls kontrolliert werden.

Bei einer möglicherweise manipulierten Zahlung zählt jede Minute. Die Buchhaltung sollte Zahlungswege prüfen, das betroffene Kreditinstitut kontaktieren und den Vorgang dokumentieren. Parallel muss geklärt werden, ob Kunden, Lieferanten oder weitere interne Stellen informiert werden müssen. Welche Schritte erforderlich sind, hängt vom Einzelfall und von den betroffenen Daten ab.

Technischer Schutz muss mehrere Ebenen haben

Ein Spamfilter ist sinnvoll, aber kein vollständiger Schutz gegen Phishing. Gute Angriffe umgehen technische Filter, weil sie gezielt formuliert sind oder von zuvor kompromittierten, echten E-Mail-Konten stammen. Sicherheit entsteht daher aus mehreren Ebenen, die sich gegenseitig ergänzen.

An erster Stelle steht die Mehrfaktor-Authentifizierung für E-Mail, Microsoft 365, Fernzugänge und alle Systeme mit wichtigen Unternehmensdaten. Ein gestohlenes Passwort allein reicht dann nicht automatisch für eine Anmeldung. Das ist eine der wirksamsten Maßnahmen gegen Kontoübernahmen. Die konkrete Methode sollte zum Arbeitsalltag passen: Authenticator-App, Sicherheitsschlüssel oder andere Verfahren bieten jeweils unterschiedliche Sicherheits- und Komfortniveaus.

Ebenso wichtig sind aktuelle Systeme, zentral verwaltete Endgeräte und ein professionell konfigurierter E-Mail-Schutz. Dazu gehören die Prüfung eingehender Nachrichten, Schutz vor schädlichen Anhängen, Filter gegen gefälschte Absender sowie Regeln, die verdächtige Weiterleitungen oder Anmeldungen erkennen. Protokolle zur Absicherung der eigenen E-Mail-Domain helfen zudem, dass Dritte nicht so leicht im Namen des Unternehmens versenden können.

Nicht jede Einstellung muss maximal restriktiv sein. Sehr strenge Filter können auch legitime E-Mails oder wichtige Anhänge zurückhalten. Entscheidend ist eine Konfiguration, die zum Geschäftsmodell passt, regelmäßig überprüft wird und für kritische Fälle einen klaren Freigabeweg bietet. Sicherheit darf den Betrieb nicht unnötig ausbremsen, sie muss ihn verlässlich absichern.

Zahlungsprozesse sind ein bevorzugtes Ziel

Viele Phishing-Angriffe zielen nicht unmittelbar auf Technik, sondern auf Geldflüsse. Die angeblich neue Kontoverbindung eines Lieferanten, eine dringende Zahlung im Namen der Geschäftsführung oder eine manipulierte Rechnung sind typische Varianten. Technische Schutzmaßnahmen helfen, ersetzen aber keine belastbaren kaufmännischen Prozesse.

Bankverbindungen sollten deshalb nie allein auf Basis einer E-Mail geändert werden. Ein zweiter Prüfweg, etwa ein Rückruf bei einem bekannten Ansprechpartner, reduziert das Risiko erheblich. Bei hohen Beträgen oder neuen Zahlungsempfängern sind Vier-Augen-Prinzip und dokumentierte Freigaben besonders sinnvoll.

Wichtig ist auch die Trennung von Zuständigkeiten. Wer Stammdaten ändert, sollte nicht gleichzeitig eine Zahlung ohne weitere Kontrolle freigeben können. In kleinen Teams lässt sich das nicht immer vollständig umsetzen. Dann helfen einfache Ersatzkontrollen, beispielsweise eine schriftliche Gegenprüfung durch die Geschäftsführung oder eine zweite Person aus der Verwaltung.

Sensibilisierung, die im Alltag funktioniert

Jährliche Pflichtunterweisungen mit langen Präsentationen bleiben selten im Gedächtnis. Wirksamer sind kurze, wiederkehrende Hinweise mit konkreten Beispielen aus dem Arbeitsalltag. Mitarbeitende müssen nicht jede technische Einzelheit verstehen. Sie sollten wissen, welche Situationen riskant sind, wie sie diese prüfen und an wen sie sich ohne Umwege wenden können.

Praxisnahe Übungen können dabei helfen, ohne ein Klima der Kontrolle zu schaffen. Ziel ist nicht, Fehler einzelner Personen sichtbar zu machen. Ziel ist, Muster zu erkennen und sichere Routinen aufzubauen. Besonders hilfreich sind Beispiele zu Rechnungen, Passwortabfragen, Microsoft-365-Anmeldungen, Bewerbungsunterlagen und Nachrichten vermeintlicher Führungskräfte.

Eine gute Sicherheitskultur zeigt sich daran, dass Rückfragen erwünscht sind. Wenn eine Assistenz im Zweifel eine ungewöhnliche Zahlungsanweisung stoppt oder ein Mitarbeiter eine auffällige E-Mail meldet, schützt er das gesamte Unternehmen. Diese Aufmerksamkeit verdient Unterstützung, nicht Kritik.

Klare Zuständigkeiten verkürzen die Reaktionszeit

Im Ernstfall entsteht zusätzlicher Schaden oft durch Unsicherheit: Wer entscheidet? Wer setzt das Passwort zurück? Wer informiert Kunden? Wer prüft, ob Daten abgeflossen sind? Ein kompakter Notfallplan beantwortet diese Fragen, bevor sie unter Zeitdruck gestellt werden.

Der Plan sollte mindestens feste Ansprechpartner, erreichbare Kontaktdaten, erste Sofortmaßnahmen und einen Weg zur Dokumentation enthalten. Auch Vertretungsregelungen gehören dazu. Ein Notfall, der am Freitagabend oder während einer Urlaubszeit eintritt, darf nicht daran scheitern, dass nur eine Person Zugriff auf wichtige Informationen hat.

Für Unternehmen ohne eigene IT-Abteilung oder mit knappen internen Ressourcen ist eine laufende Betreuung besonders wertvoll. Monitoring, gepflegte Sicherheitslösungen, geregelte Berechtigungen und ein persönlich erreichbarer Ansprechpartner schaffen die Grundlage, um bei einem Verdacht nicht erst nach Hilfe suchen zu müssen. Reiner IT-Systems unterstützt Unternehmen dabei, technische Schutzmaßnahmen und klare Betriebsabläufe so zu verbinden, dass sie im Alltag handhabbar bleiben.

Ein Phishing-Angriff lässt sich nicht mit absoluter Sicherheit ausschließen. Aber Unternehmen können die Wahrscheinlichkeit einer erfolgreichen Täuschung deutlich senken und die Folgen begrenzen. Wer verdächtige Nachrichten ernst nimmt, Zugänge konsequent schützt und für kritische Fälle einen klaren Ablauf hat, behält auch unter Druck die Kontrolle.