Phishing: Wie der Betrug per E-Mail funktioniert – und wie man ihn erkennt

Was Phishing ist und warum es funktioniert

Phishing ist der häufigste Einstieg in ein Unternehmen. Eine Nachricht gibt sich als vertrauenswürdiger Absender aus – die Hausbank, ein Paketdienst, Microsoft oder sogar die eigene Geschäftsführung – und bittet um etwas Alltägliches: sich anzumelden, eine Rechnung zu prüfen, ein Passwort zurückzusetzen. Der Link führt jedoch auf eine gefälschte Seite, die dem Original täuschend ähnlich sieht. Wer dort seine Zugangsdaten eingibt, übergibt sie direkt den Angreifern.

Das Wort leitet sich vom englischen „fishing” ab: Es wird nach Zugangsdaten geangelt, mit einem gut gemachten Köder. Und der Köder wirkt, weil er sich an menschliche Reflexe richtet – an Hilfsbereitschaft, an Respekt vor Autorität und an die Angst, etwas Wichtiges zu verpassen.

Woran Sie eine Phishing-Mail erkennen

Es gibt kein einzelnes untrügliches Merkmal, aber ein wiederkehrendes Muster. Achten Sie auf:

• Druck und Dringlichkeit. „Ihr Konto wird in 24 Stunden gesperrt.” Zeitdruck soll das Nachdenken ausschalten.
• Eine ungewöhnliche Absenderadresse. Der angezeigte Name stimmt, doch die echte Adresse dahinter ist kryptisch oder minimal verändert.
• Links, die woanders hinführen. Wenn Sie mit der Maus über den Link fahren, ohne zu klicken, zeigt sich das wahre Ziel – oft eine fremde Domain.
• Ungewöhnliche Bitten. Eine Aufforderung, Zugangsdaten einzugeben, Geld zu überweisen oder einen Gutschein zu kaufen, sollte immer misstrauisch machen.

Moderne Phishing-Mails sind sprachlich sauber und optisch perfekt. Auf Rechtschreibfehler zu warten, reicht nicht mehr.

Vom Massen-Phishing zum gezielten Angriff

Ein Großteil der Nachrichten wird breit gestreut, in der Hoffnung, dass irgendjemand klickt. Gefährlicher ist die gezielte Variante, das sogenannte Spear-Phishing: Hier recherchieren Angreifer ihr Opfer vorab – Name, Position, aktuelle Projekte, oft aus öffentlichen Quellen – und schneiden die Nachricht genau zu. Besonders perfide ist der „CEO-Betrug”, bei dem eine gefälschte Mail der Geschäftsführung die Buchhaltung zu einer eiligen Überweisung drängt. Solche Angriffe zielen nicht auf Technik, sondern auf Social Engineering – die gezielte Manipulation von Menschen.

Phishing beschränkt sich außerdem längst nicht mehr auf die E-Mail. Dieselbe Masche kommt per SMS (dann „Smishing” genannt), über Messenger oder als Anruf, bei dem sich jemand als IT-Support ausgibt und nach Zugangsdaten fragt. Das Muster bleibt gleich, nur der Kanal wechselt – und viele Menschen sind auf dem Handy oder am Telefon weniger wachsam als am Rechner.

Was im Mittelstand wirklich schützt

Kein einzelner Baustein hält Phishing vollständig auf, aber mehrere Schichten zusammen machen es sehr schwer. Ein guter Filter fängt den Großteil ab. Multi-Faktor-Authentifizierung sorgt dafür, dass ein abgegriffenes Passwort allein nichts wert ist. Und Mitarbeitende, die das Muster kennen, erkennen den Rest.

Genauso wichtig ist eine Kultur ohne Angst: Wer versehentlich geklickt hat, muss es sofort melden dürfen, ohne Vorwürfe. Genau dafür braucht es einen Ansprechpartner, der schnell und ruhig reagiert. Bei kjello ist dieser Weg kurz – der Support vom Team schaut im Zweifel sofort mit hinein, und die technischen Schutzschichten aus Sicherheit und Compliance bei kjello laufen im Hintergrund mit, betrieben vom Systemhaus hagel IT.