Phishing und die Folgen

Phishing ist eine Nachricht, die vorgibt, von jemandem Vertrauenswürdigem zu stammen, damit Sie einen Link anklicken, eine Datei öffnen, ein Passwort eingeben oder Geld überweisen. Sie kommt meist per E-Mail, aber auch per SMS, Anruf, Chat und QR-Code. Ziel ist in der Regel eines von drei Dingen: Ihre Zugangsdaten, ein Brückenkopf auf Ihrem Rechner oder eine Zahlung auf das falsche Konto. Phishing funktioniert, weil es echten Kontext nutzt: ein erwartetes Paket, ein geteiltes Dokument, eine offene Rechnung, eine Nachricht vom Chef. Es bleibt einer der häufigsten ersten Schritte bei Einbrüchen, deshalb besteht die Abwehr aus mehreren Schichten: E-Mail-Filterung, Multi-Faktor-Authentifizierung (MFA), Mitarbeitende, die verdächtige Nachrichten schnell melden, und Zahlungsregeln, die sich nicht allein auf eine E-Mail stützen. Ein Netzwerksensor liest Ihre Post nicht; er hilft später, wenn ein Klick zu ungewöhnlichem Datenverkehr des Geräts führt.

Achten Sie weniger auf Rechtschreibfehler, die modernes Phishing kaum noch hat, und mehr darauf, was die Nachricht von Ihnen verlangt. Warnzeichen: Druck, sofort zu handeln, die Aufforderung, sich anzumelden, zu zahlen, Bankdaten zu ändern oder eine unerwartete Datei zu öffnen, eine Absenderadresse, die leicht von der echten abweicht, eine Antwortadresse, die woandershin führt, und ein Link, dessen tatsächliches Ziel, sichtbar beim Darüberfahren mit der Maus, nicht zur angeblichen Firma passt. Auch eine Nachricht von einem bekannten Kollegen kann Phishing sein, wenn sein Postfach übernommen wurde. Eine ungewöhnliche Bitte ist deshalb ein Grund, über einen anderen Kanal nachzufragen, etwa per Anruf unter einer Nummer, die Sie bereits haben. Im Zweifel nicht klicken, sondern die Nachricht an die IT melden. Ein Fehlalarm kostet eine Minute, ein ignorierter echter Angriff kann weit mehr kosten.

Sagen Sie der IT sofort Bescheid, auch wenn scheinbar nichts passiert ist; Schnelligkeit zählt mehr als Verlegenheit. Dann, gemeinsam mit der IT: Haben Sie auf der geöffneten Seite ein Passwort eingegeben, ändern Sie es von einem anderen, vertrauenswürdigen Gerät aus und beenden Sie alle aktiven Sitzungen des Kontos. Wurde eine Datei heruntergeladen oder geöffnet, trennen Sie den Rechner vom Netz, indem Sie das Kabel ziehen oder das WLAN ausschalten, lassen Sie ihn aber eingeschaltet, damit er untersucht werden kann. Notieren Sie Uhrzeit, Nachricht und Link, damit die IT ihn für alle sperren und prüfen kann, wer die Nachricht noch erhalten hat. Haben Sie die Seite nur geöffnet und nichts eingegeben, ist das Risiko geringer, die IT sollte das Gerät aber trotzdem mit ihren Werkzeugen prüfen. Achten Sie in den folgenden Tagen auf unerwartete Anmeldeaufforderungen, MFA-Anfragen, die Sie nicht ausgelöst haben, und Antworten auf E-Mails, die Sie nie gesendet haben.

Behandeln Sie das Konto als kompromittiert und handeln Sie innerhalb von Minuten. Ändern Sie das Passwort von einem vertrauenswürdigen Gerät aus, und wenn Sie dasselbe Passwort anderswo verwenden, ändern Sie es auch dort. Bitten Sie die IT, das Konto aus allen Sitzungen abzumelden und seine Zugriffstoken zu widerrufen, denn viele Phishing-Kits stehlen die angemeldete Sitzung selbst, sodass ein neues Passwort allein den Angreifer womöglich nicht aussperrt. Die IT sollte dann das Anmeldeprotokoll auf Anmeldungen von unbekannten Orten prüfen, die MFA-Methoden auf ein neues Telefon oder eine App des Angreifers durchsehen und nach neuen Postfachregeln suchen, die E-Mails weiterleiten oder verstecken. Hat das Konto Administratorrechte oder Zugang zu Finanzsystemen, erhöhen Sie die Priorität entsprechend. Hier kommen die Identitätsschritte zuerst. Netzwerküberwachung hilft danach, indem sie auf die Folgeaktivität achtet, zu der ein gestohlener Login oft führt, etwa Fernzugriff auf interne Server.

Zuerst die Identitätsarbeit: Passwort zurücksetzen, Sitzungen widerrufen, Anmeldeprotokoll und MFA-Methoden prüfen. Dann suchen Sie im Netzwerk nach Anzeichen, dass der Login für weitere Schritte genutzt wurde. Hilfreiche Fragen: Hat das Gerät oder Konto des Mitarbeiters Server angesprochen, die es sonst nie nutzt, etwa Dateiserver, den Domänencontroller oder Finanzsysteme? Starteten Remote-Desktop- oder Fernwartungssitzungen von einem ungewöhnlichen Rechner? Hat ein Gerät regelmäßige, getaktete Verbindungen zu einer unbekannten externen Adresse begonnen, was auf einen Fernsteuerungskanal hindeuten kann? Haben ungewöhnlich große Datenmengen das Netz verlassen? In NetSenX zeigen Alarmverlauf und Netzwerkkarte diese Muster in jedem Tarif: Beaconing, internes Scannen, laterale Bewegung und ungewöhnliche ausgehende Datenmengen. Taucht in den Tagen nach dem Klick nichts davon auf, ist das beruhigend, aber kein Beweis, denn Cloud-Postfächer und SaaS-Anwendungen werden über das Internet erreicht, und diese Aktivität läuft gar nicht durch Ihr Netzwerk.

Ein Netzwerkwerkzeug kann kein Gerät bereinigen; das ist Aufgabe Ihres Endpunktschutzes und im Zweifel einer Neuinstallation. Eine praktische Reihenfolge: Trennen Sie das Gerät vom Netz, lassen Sie es aber eingeschaltet, damit die IT bei Bedarf Beweise sichern kann. Führen Sie einen vollständigen Scan mit Ihrem EDR-Werkzeug (Endpoint Detection and Response) oder Virenschutz durch und prüfen Sie neue Programme, Browser-Erweiterungen, geplante Aufgaben und Autostart-Einträge. Ist etwas Verdächtiges gelaufen oder gehört das Gerät einem Administrator oder jemandem aus der Buchhaltung, ist es sicherer, es zu löschen und aus einem bekannt sauberen Image neu aufzusetzen und die Dateien aus dem Backup wiederherzustellen, statt einer Bereinigung zu vertrauen. Ändern Sie vor dem erneuten Anschließen die Passwörter des Nutzers von einem anderen Gerät aus. Danach beobachten Sie einige Wochen lang sein Netzwerkverhalten: NetSenX zeigt, ob es wieder regelmäßige ausgehende Verbindungen oder ungewöhnlichen Verkehr beginnt.

Meist in einigen vorhersehbaren Schritten. Die schädliche Datei oder der Link verschafft ihnen einen Fernsteuerungskanal zu ihrem eigenen Server, der als regelmäßige ausgehende Verbindungen sichtbar wird. Dann sehen sie sich um: Welche Server, Freigaben und Konten gibt es, oft durch Scannen des internen Netzes oder Abfragen des Verzeichnisdienstes. Anschließend sammeln sie weitere Zugangsdaten, aus dem Speicher des Laptops, aus im Browser gespeicherten Passwörtern oder von anderen Systemen, und melden sich damit mit normalen Admin-Werkzeugen wie Remote Desktop, Remote-PowerShell oder Dateifreigaben auf weiteren Rechnern an. Von dort zielen sie auf den Domänencontroller, die Backups und die Datenspeicher. Jeder Schritt hinterlässt eine Spur im Netzwerk: neue Verbindungen zwischen internen Rechnern, die selten miteinander sprechen, Scans, Admin-Protokolle von einem gewöhnlichen Laptop und Daten, die an ungewöhnliche Orte fließen. Genau auf diese Spuren achtet Network Detection and Response (NDR), und deshalb muss ein Phishing-Klick nicht in einem vollständigen Einbruch enden.

Ja. Eine gemeldete Nachricht ermöglicht der IT, dieselbe E-Mail aus allen anderen Postfächern zu entfernen, Absender und Link zu sperren und die Kollegin zu warnen, die morgen vielleicht geklickt hätte. Phishing geht meist gleichzeitig an viele Personen derselben Firma, eine frühe Meldung kann also Dutzende schützen. Machen Sie das Melden einfach: eine Melde-Schaltfläche im Mailprogramm oder eine einzige Weiterleitungsadresse, und jedes Mal ein kurzes Dankeschön, auch bei Fehlalarmen. Bestrafen Sie nie eine Meldung, selbst wenn jemand zugibt, geklickt zu haben: Angst vor Schuldzuweisung macht aus einer Fünf-Minuten-Behebung einen dreiwöchigen Vorfall. Messen Sie den Erfolg daran, wie viele melden und wie schnell, nicht nur daran, wie wenige klicken. Meldungen zeigen der IT außerdem, welche Köder bei der Belegschaft ankommen, was beim Abstimmen von Mailfiltern und Schulungen hilft.

Sie verringern den Schaden, verhindern Phishing aber nicht allein und sollten nicht Ihre einzige Abwehr sein. Gute Schulungen zeigen, wie aktuelle Köder aussehen, machen das Melden zur Gewohnheit und stellen klar, dass ein früh gemeldeter Fehler ein gutes Ergebnis ist. Kurze, regelmäßige Einheiten wirken besser als ein langer Jahreskurs. Phishing-Simulationen können helfen, wenn sie dem Üben dienen und nicht dem Bloßstellen: Ergebnisse als Teamtrends teilen, auf einen Klick eine Zwei-Minuten-Lektion statt einer Rüge folgen lassen und die Belegschaft vorab informieren, dass es Simulationen gibt. Manche werden immer klicken, weil gute Köder wie normale Arbeit aussehen sollen. Kombinieren Sie Schulungen deshalb mit Maßnahmen, die kein perfektes Urteilsvermögen voraussetzen: Mailfilterung, phishingresistente Multi-Faktor-Authentifizierung, telefonische Prüfung von Zahlungen und Überwachung, die bemerkt, wenn sich ein kompromittiertes Gerät anders verhält.

Spear-Phishing ist Phishing, das auf eine Person oder eine kleine Gruppe zielt und mit Details geschrieben ist, die es glaubwürdig machen: Name, Rolle, laufende Projekte, Lieferanten oder Kollegen. Angreifer sammeln diese Details von der Firmenwebsite, LinkedIn, Pressemitteilungen, früheren Datenlecks oder aus einem Postfach, das sie bereits kontrollieren. Eine Nachricht an die Buchhaltung nennt vielleicht einen echten Lieferanten und eine echte Rechnungsnummer; eine an einen IT-Administrator sieht aus wie ein Alarm aus einem Werkzeug, das die Firma tatsächlich nutzt. Ist das Ziel eine Führungskraft, spricht man manchmal von Whaling. Weil solche Nachrichten maßgeschneidert sind, fangen Filter weniger davon ab, und Mitarbeitende erkennen sie schwerer. Die beste Abwehr sind Prozesse: ungewöhnliche Bitten über einen zweiten Kanal prüfen, weniger über interne Rollen und Zahlungsabläufe veröffentlichen und Personen mit Zugriff auf Geld oder Adminrechte zuerst mit phishingresistenter MFA ausstatten.

Es ist Phishing über andere Kanäle. Smishing nutzt SMS, oft zu Paketen, Banken, Steuererstattungen oder einem gesperrten Konto, mit einem Link zu einer gefälschten Anmeldeseite. Vishing nutzt Anrufe: Jemand gibt sich als IT-Support, Bank, Lieferant oder Vorgesetzter aus und überredet die Person, einen Code vorzulesen, ein Fernwartungswerkzeug zu installieren oder eine Zahlung freizugeben. Vishing ist ein häufiger Weg in Unternehmen geworden, weil ein überzeugender Anrufer Kontrollen umgeht, die E-Mails stoppen, etwa indem er den Helpdesk bittet, das Passwort eines Mitarbeiters zurückzusetzen oder ein neues MFA-Gerät zu registrieren. Hilfreiche Abwehr: die Regel, dass die IT nie telefonisch nach Passwörtern oder Codes fragt, ein Helpdesk-Verfahren, das vor jedem Zurücksetzen die Identität prüft, und die Gewohnheit, unter einer bekannten Nummer zurückzurufen. Ein Netzwerksensor hört keine Anrufe, zeigt aber die neuen externen Dienste, mit denen ein Gerät danach zu sprechen beginnt.

QR-Code-Phishing, manchmal Quishing genannt, versteckt den schädlichen Link in einem QR-Code: in einem E-Mail-Anhang, auf einem gedruckten Brief, an einem Parkautomaten oder auf einem gefälschten Aushang im Büro. Es funktioniert aus zwei Gründen. Mailfilter prüfen Links, können einen Link in einem Bild aber oft nicht lesen, und Menschen scannen den Code mit dem Handy, das meist außerhalb des Firmenschutzes liegt und nur eine kurze Vorschau der Adresse zeigt. Die geöffnete Seite fragt typischerweise nach einem Microsoft-365- oder anderen Arbeitslogin oder nach Kartendaten. Behandeln Sie einen QR-Code, der zur Anmeldung auffordert, wie jeden anderen Link: Prüfen Sie die Adresse, bevor Sie etwas eingeben, und wenn eine Nachricht drängt, einen Code zu scannen, um Ihr Konto aktiv zu halten oder ein Dokument zu lesen, fragen Sie zuerst die IT. Für Unternehmen begrenzt phishingresistente MFA den Schaden, wenn ein Passwort in ein Handy eingetippt wird.

Business E-Mail Compromise ist Betrug, bei dem Kriminelle per E-Mail ein Unternehmen dazu bringen, an sie zu zahlen oder sensible Daten herauszugeben. Entweder brechen sie in ein echtes Postfach ein, oft nach einem Phishing-Login, oder sie imitieren es mit einer ähnlich aussehenden Adresse. Typische Varianten: der falsche Geschäftsführer, der eine dringende, vertrauliche Überweisung verlangt, der Lieferant, dessen Bankverbindung sich plötzlich ändert, die Bitte, das Gehalt eines Mitarbeiters auf ein neues Konto umzuleiten, und der Anwalt, der ein geheimes Geschäft betreut. BEC kommt oft ohne Schadsoftware und ohne Link aus, nur mit einer überzeugenden Nachricht im richtigen Moment, weshalb technische Filter so viel davon übersehen. Es ist eine der teuersten Formen der Cyberkriminalität: Das Internet Crime Complaint Center des FBI meldete für 2024 rund 2,8 Milliarden US-Dollar BEC-Schäden. Die stärkste Abwehr ist ein Zahlungsprozess, der vor jeder Änderung der Bankverbindung oder ungewöhnlichen Überweisung eine telefonische Bestätigung unter einer bekannten Nummer verlangt.

Größtenteils nicht, und das sollte man vorher wissen. Beim CEO-Betrug bringt eine E-Mail, ein Anruf oder eine Chatnachricht, die scheinbar von der Geschäftsleitung kommt, einen Mitarbeiter dazu, eine Zahlung auszuführen. Die Nachrichten laufen über die Cloud Ihres Mailanbieters, die Zahlung über das Onlinebanking, und beides sieht im Netzwerk völlig normal aus. Ein Werkzeug zur Netzwerkerkennung wie NetSenX liest keine E-Mail-Inhalte und kann eine echte Zahlungsanweisung nicht von einer gefälschten unterscheiden. CEO-Betrug stoppen Prozesse: die Regel, dass keine Zahlung allein aufgrund einer Nachricht erfolgt, ein Rückruf unter einer Nummer aus den eigenen Unterlagen, das Vier-Augen-Prinzip für Überweisungen über einem festen Betrag und die ausdrückliche Erlaubnis für Mitarbeitende, jede angeblich dringende und geheime Bitte aufzuschieben. In einem Fall hilft Netzwerküberwachung: wenn der Betrug mit einem gehackten Postfach beginnt und der Angreifer auch Firmensysteme erreicht.

Ja, und das ist eine der wirksamsten Formen, weil jede technische Prüfung besteht: Die Adresse ist echt, die Signatur ist echt, und die Nachricht antwortet vielleicht sogar in einem bestehenden Verlauf. Das passiert, wenn das Postfach des Kollegen übernommen wurde, oft durch einen früheren Phishing-Login, und der Angreifer es nutzt, um neue Köder an alle im Adressbuch zu schicken, intern ebenso wie an Kunden und Lieferanten. Die Warnzeichen stecken im Inhalt, nicht im Absender: eine ungewöhnliche Bitte, ein unerwartet geteiltes Dokument, ein Ton, der nicht passt, oder eine Nachricht zu einer seltsamen Uhrzeit. Bei Verdacht antworten Sie nicht auf die E-Mail, sondern kontaktieren den Kollegen auf anderem Weg und informieren die IT. Die IT sollte das Konto des Absenders dann als kompromittiert behandeln: zurücksetzen, Sitzungen widerrufen, Postfachregeln prüfen und herausfinden, wer sonst noch Nachrichten davon erhalten hat.

Prüfen Sie es über einen Kanal, über den die Bitte nicht kam. Rufen Sie den Lieferanten unter einer Nummer an, die Sie bereits in Ihren Unterlagen haben, aus dem Vertrag oder einer früheren Rechnung, nie unter einer, die in der neuen Nachricht steht, und bestätigen Sie die Änderung mit jemandem, den Sie dort kennen. Viele Firmen verlangen zusätzlich eine zweite Freigabe in der Buchhaltung, bevor die Lieferantenstammdaten geändert werden, und markieren die erste Zahlung auf das neue Konto für eine Extraprüfung. Seien Sie besonders vorsichtig, wenn die Bitte mit Zeitdruck, einer neuen Kontaktperson, einer Bank in einem anderen Land oder einer Erklärung wie einer Prüfung oder einem Bankwechsel kommt. Dieser Betrug funktioniert selbst dann, wenn die E-Mail wirklich von der Adresse des Lieferanten stammt, weil dessen Postfach übernommen sein kann. Netzwerküberwachung kann eine solche Bitte nicht beurteilen; das leistet der Rückruf.

Rufen Sie sofort Ihre Bank an und verlangen Sie einen Rückruf der Überweisung; bitten Sie sie, die Empfängerbank zu kontaktieren, damit diese die Mittel einfrieren kann. Die Geschwindigkeit entscheidet: Geld, das noch nicht weitergeleitet wurde, lässt sich in den ersten Stunden oder Tagen manchmal noch stoppen, später deutlich seltener. Erstatten Sie dann Anzeige bei der Polizei, bewahren Sie alle E-Mails mit vollständigen Kopfzeilen auf und informieren Sie Ihren Cyberversicherer, falls vorhanden, denn viele Policen decken solchen Betrug nur unter bestimmten Bedingungen und Fristen. Finden Sie heraus, woher der Betrüger die Details kannte: eine ähnlich aussehende Domain, Ihr eigenes Postfach oder das des Lieferanten? Wurde eines Ihrer Konten benutzt, behandeln Sie es als Vorfall: zurücksetzen, Sitzungen widerrufen, Postfachregeln prüfen und klären, wer sonst noch angeschrieben wurde. Informieren Sie schließlich den echten Lieferanten, denn er könnte die kompromittierte Seite sein, und verschärfen Sie die Rückrufregel für geänderte Bankverbindungen.

Gehen Sie davon aus, dass jede neuere Nachricht dieses Lieferanten gefälscht sein kann, bis sie bestätigt ist. Setzen Sie Zahlungen an ihn kurz aus und bestätigen Sie die Bankverbindung telefonisch unter einer Nummer, die Sie bereits haben. Warnen Sie die Buchhaltung und alle, die mit dem Lieferanten zu tun haben, und bitten Sie die IT, Ihre Postfächer nach Nachrichten von dieser Adresse im betreffenden Zeitraum zu durchsuchen, besonders nach solchen mit Links, Anhängen oder Zahlungsanweisungen, und sie zu entfernen oder in Quarantäne zu verschieben. Hat jemand auf einen Link geklickt oder ein Passwort eingegeben, folgen Sie Ihren Schritten für Phishing-Vorfälle. Fragen Sie den Lieferanten, wann die Kompromittierung begann und was er weiß, und führen Sie eine kurze Dokumentation: Die Sicherheit der Lieferkette gehört zu den Risikomanagementmaßnahmen, die NIS2 von betroffenen Unternehmen erwartet. Prüfen Sie, ob jemand aus Ihrem Team mit sensiblen Daten geantwortet hat. Im Netzwerk sehen Sie nach, ob die Geräte derjenigen, die diese Nachrichten geöffnet haben, neue ausgehende Verbindungen oder ungewöhnliche Aktivität zeigen.

Weil Rechnungsbetrug in Gesprächen und Entscheidungen stattfindet, nicht im Netzwerkverkehr. Die gefälschte Rechnung kommt als gewöhnliche E-Mail in ein Cloud-Postfach; wer sie bezahlt, nutzt das Onlinebanking wie an jedem anderen Tag; und nirgends muss Schadsoftware laufen. Aus Sicht des Netzwerks ist alles normal. Ein Werkzeug für Network Detection and Response (NDR) beobachtet, wie sich Geräte verhalten: welche Rechner mit welchen sprechen, regelmäßige Verbindungen zu externen Servern, internes Scannen, ungewöhnliche Datenmengen. Es liest keine E-Mail-Texte und kann nicht wissen, dass eine Kontonummer falsch ist. Das ist keine Schwäche, die man verstecken müsste, sondern eine Grenze, mit der man planen sollte. Rechnungsbetrug stoppen Zahlungskontrollen, E-Mail-Authentifizierung für die eigene Domain und Menschen, die innehalten und zurückrufen dürfen. NDR wird erst relevant, wenn der Betrug mit einem Eindringen beginnt, etwa einem gehackten Postfach, über das weitere Systeme erreicht werden.

Finden Sie zuerst heraus, wie es geschieht, denn die Reaktion unterscheidet sich. Tragen die Nachrichten Ihre eigene Domain, ohne über Ihre Mailserver zu laufen, brauchen Sie E-Mail-Authentifizierung: SPF, DKIM und eine strikte DMARC-Richtlinie, damit empfangende Server die Fälschungen abweisen. Kommen sie von einer ähnlich aussehenden Domain, etwa mit einem geänderten Buchstaben, können Sie beim Registrar und beim Hoster eine Missbrauchsbeschwerde einreichen und erwägen, die naheliegendsten Varianten selbst zu registrieren. Kommen sie aus Ihrem echten Postfach, wurde es kompromittiert, und Sie haben einen Vorfall zu bearbeiten: zurücksetzen, Sitzungen widerrufen, Postfachregeln prüfen. In jedem Fall warnen Sie Ihre Kunden über einen vertrauenswürdigen Kanal, dass sich Ihre Bankverbindung nie per E-Mail ändert und wie man das prüft, erstatten Anzeige und bewahren die Muster mit vollständigen Kopfzeilen auf. Die Buchhaltungen Ihrer Kunden werden für eine klare Warnung dankbar sein.

Veröffentlichen Sie drei DNS-Einträge, mit denen empfangende Mailserver Ihre Post prüfen können. SPF listet die Server auf, die für Ihre Domain senden dürfen. DKIM fügt jeder ausgehenden Nachricht eine kryptografische Signatur hinzu. DMARC sagt Empfängern, was mit einer Nachricht geschehen soll, die diese Prüfungen nicht besteht, und schickt Ihnen Berichte darüber, wer in Ihrem Namen sendet. Beginnen Sie DMARC mit der Richtlinie none, die nur berichtet, und lesen Sie die Berichte einige Wochen lang, um jeden legitimen Absender zu finden: Mailanbieter, Newsletter-Werkzeug, Rechnungssystem und CRM. Nehmen Sie sie in SPF und DKIM auf, wechseln Sie dann zu quarantine und schließlich zu reject. Seit 2024 verlangen Google und Yahoo DMARC von Massenversendern, das schützt also auch Ihre Zustellbarkeit. Es stoppt exakte Fälschungen Ihrer Domain, nicht ähnlich aussehende Domains; für diese braucht es Überwachung und Löschanträge.

DMARC, kurz für Domain-based Message Authentication, Reporting and Conformance, ist eine veröffentlichte Regel, die anderen Mailservern sagt, wie sie mit Nachrichten umgehen sollen, die angeblich von Ihrer Domain stammen. Sie baut auf zwei älteren Prüfungen auf: SPF, das festlegt, welche Server für die Domain senden dürfen, und DKIM, das Nachrichten signiert. Eine Nachricht besteht DMARC, wenn mindestens eine dieser Prüfungen gelingt und zur Domain in der Absenderzeile passt, also zu dem, was der Leser tatsächlich sieht. Die Richtlinie kann none (nur berichten), quarantine (Fehlschläge in den Spam) oder reject (abweisen) lauten. DMARC schickt Ihnen außerdem Sammelberichte mit jeder Quelle, die in Ihrem Namen gesendet hat, und oft sieht ein Unternehmen dabei zum ersten Mal all seine vergessenen Absender. Allein stoppt es Phishing nicht generell, denn Angreifer nehmen einfach eine andere, ähnlich aussehende Domain. Aber es schließt die einfachste Tür: das exakte Nachahmen Ihrer eigenen Adresse.

MFA-Fatigue, auch Push-Bombing genannt, ist ein Angriff auf Konten, die für die Multi-Faktor-Authentifizierung Push-Benachrichtigungen nutzen. Der Angreifer hat das Passwort bereits, oft aus Phishing oder einem Leak, und löst immer wieder Anmeldeversuche aus, sodass das Handy des Nutzers ständig um Bestätigung bittet, manchmal mitten in der Nacht. Irgendwann tippt die Person auf Bestätigen, damit es aufhört, oder ein Anrufer, der sich als IT ausgibt, überredet sie dazu. Abwehr: Push-Bestätigungen auf Zahlenabgleich umstellen, bei dem der Nutzer eine auf dem Anmeldebildschirm gezeigte Zahl eintippen muss, was Microsoft Authenticator inzwischen standardmäßig verlangt; die Zahl der Aufforderungen pro Zeitraum begrenzen; das Melden unerwarteter Aufforderungen mit einem Tippen ermöglichen; und Konten mit hohem Risiko auf phishingresistente Verfahren wie Sicherheitsschlüssel oder Passkeys umstellen. Sagen Sie der Belegschaft klar: Eine MFA-Anfrage, die man nicht selbst ausgelöst hat, heißt, dass jemand das Passwort kennt. Ablehnen und die IT anrufen.

Ja, manche Arten von MFA lassen sich umgehen, deshalb kommt es auf den Typ an. Bei einem Adversary-in-the-Middle-Angriff sitzt die Phishing-Seite zwischen Ihnen und der echten Anmeldeseite: Sie reicht Ihr Passwort und Ihren Einmalcode oder Ihre Push-Bestätigung in Echtzeit an den echten Dienst weiter und behält das Sitzungscookie, das der Dienst zurückschickt. Mit diesem Cookie ist der Angreifer angemeldet, ohne Passwort oder MFA erneut zu brauchen. SMS-Codes, Codes aus Authenticator-Apps und einfache Push-Bestätigungen sind dafür anfällig. Phishingresistente MFA, also FIDO2-Sicherheitsschlüssel und Passkeys, ist es nicht, weil der Schlüssel die Webadresse prüft und einer gefälschten Seite nicht antwortet. MFA jeder Art ist trotzdem weit besser als keine. Praktische Schritte: zuerst Administratoren und Buchhaltung mit Passkeys oder Sicherheitsschlüsseln ausstatten, Anmelderichtlinien aktivieren, die unbekannte Geräte und Orte markieren, und nach jedem Phishing-Vorfall Sitzungen widerrufen, nicht nur Passwörter ändern.

Nicht immer. Angreifer, die ein Postfach übernehmen, richten oft Wege ein, um drinzubleiben, die ein neues Passwort überstehen. Prüfen und entfernen Sie all diese: aktive Sitzungen und Aktualisierungstoken, die ausdrücklich widerrufen werden müssen; vom Angreifer registrierte MFA-Methoden wie eine neue Telefonnummer oder Authenticator-App; Postfachregeln, die E-Mails an eine externe Adresse weiterleiten, Nachrichten zu Rechnungen oder Sicherheit in einen unauffälligen Ordner verschieben oder Antworten löschen; eine in den Postfacheinstellungen gesetzte automatische Weiterleitung; App-Kennwörter und verbundene Drittanbieter-Apps mit Mailzugriff; und an ein anderes Konto delegierte Zugriffe. Sehen Sie sich dann an, was in der Zwischenzeit geschah: gesendete Nachrichten, geteilte Dateien, exportierte Kontakte. In Microsoft 365 und Google Workspace zeigt das Überwachungsprotokoll diese Änderungen mit Zeitstempel. Dokumentieren Sie das Ergebnis, denn davon hängt ab, wer gewarnt werden muss und ob der Vorfall meldepflichtig ist.

Kriminelle nutzen heute KI-generierte Stimmen und manchmal Videos, um sich in einem Telefon- oder Videoanruf als Führungskraft auszugeben und eine dringende Zahlung oder vertrauliche Daten zu verlangen. Wenige Minuten öffentlich verfügbarer Aufnahmen, etwa von einem Konferenzvortrag oder Podcast, können reichen, um eine Stimme zu klonen. In einem viel berichteten Fall in Hongkong überwies ein Mitarbeiter 2024 rund 25 Millionen US-Dollar nach einem Videoanruf, in dem alle anderen Teilnehmer Deepfakes waren. Sie können sich nicht darauf verlassen, die Fälschung zu erkennen, denn die Qualität steigt ständig. Schützen Sie stattdessen den Prozess: keine Zahlung und keine Datenfreigabe allein aufgrund eines Anrufs, Rückruf unter einer Nummer aus den eigenen Unterlagen, eine zweite Freigabe für Überweisungen über einem festen Betrag und eventuell eine vereinbarte Kontrollfrage für Anfragen der Geschäftsleitung. Machen Sie ausdrücklich klar, dass Mitarbeitende auflegen und zurückrufen dürfen, auch wenn der Anrufer genau wie der Chef klingt. Netzwerküberwachung spielt dabei keine Rolle.

Es ist ein Trick, der das Opfer dazu bringt, den Befehl des Angreifers selbst auszuführen. Eine kompromittierte oder gefälschte Website zeigt etwas, das wie ein CAPTCHA oder eine Fehlermeldung aussieht, mit der Anleitung, zu beweisen, dass man ein Mensch ist, oder das Problem zu beheben: eine Tastenkombination drücken, die ein Befehls- oder Ausführen-Fenster öffnet, einfügen und Enter drücken. Die Seite hat bereits einen schädlichen Befehl in die Zwischenablage kopiert, die Person startet also in Wahrheit ein Skript, das Schadsoftware herunterlädt, oft einen Infostealer oder ein Fernzugriffswerkzeug. Weil der Nutzer es selbst ausführt, sehen viele Browser- und Mailschutzfunktionen nie eine Datei, die sie blockieren könnten. Sicherheitsforscher, darunter Microsoft, berichten seit 2024 von einem starken Anstieg dieser Technik. Abwehr: Sagen Sie der Belegschaft, dass keine echte Website je verlangt, Befehle einzufügen, beschränken Sie, wer auf gewöhnlichen Arbeitsplätzen Skripte ausführen darf, und halten Sie den Endpunktschutz aktuell. Ist es passiert, behandeln Sie das Gerät als kompromittiert und achten im Netzwerk auf neue regelmäßige ausgehende Verbindungen.

Ja, auch wenn sich die gefährlichen Typen verschoben haben. Seit 2022 blockiert Microsoft Office Makros in aus dem Internet heruntergeladenen Dateien standardmäßig, was für die meisten Firmen den alten Weg über das infizierte Word-Dokument geschlossen hat. Angreifer sind auf andere Formate ausgewichen: komprimierte Archive mit einem Passwort im Nachrichtentext, Disk-Image-Dateien, Verknüpfungsdateien, HTML-Anhänge, die beim Öffnen eine falsche Anmeldeseite aufbauen oder eine Datei herunterladen, und PDFs, die nur einen Link oder QR-Code enthalten. Faustregel für die Belegschaft: Ein unerwarteter Anhang, der verlangt, Inhalte zu aktivieren, ein Passwort einzugeben, einen Code zu scannen oder eine weitere Datei zu öffnen, ist ein Grund, innezuhalten und nachzufragen. Für die IT: ungewöhnliche Anhangtypen am Mail-Gateway blockieren, die Makrosperre beibehalten und sicherstellen, dass der Endpunktschutz aus Archiven geöffnete Dateien prüft. Hat jemand etwas Verdächtiges geöffnet, gelten dieselben Schritte wie nach einem Phishing-Klick.

NetSenX sieht, was das Gerät danach im Netzwerk tut, nicht die E-Mail oder den Klick selbst. Es liest keine Mailinhalte und entschlüsselt keinen Verkehr. Was es in jedem Tarif zeigen kann: ein Gerät, das regelmäßige, getaktete Verbindungen zu einem externen Server beginnt, den es nie zuvor genutzt hat (Beaconing); ein Gerät, das andere Rechner zu scannen beginnt; Verbindungen zwischen internen Hosts, die auf laterale Bewegung hindeuten; und ungewöhnliche Datenmengen, die das Netz verlassen. Wo der Agent Pakete erfasst, unter Linux oder über einen Spiegelport (SPAN), zeigen Tarife ab Starter außerdem TLS-Fingerabdrücke, die helfen, Werkzeuge zu erkennen, die nicht zur üblichen Software des Geräts passen. Alarme nennen die MITRE-ATT&CK-Technik und enthalten ab Starter Handlungsempfehlungen. Stiehlt das Phishing nur einen Cloud-Login, den der Angreifer dann von seinem eigenen Rechner aus nutzt, berührt nichts davon Ihr Netzwerk, und die Anmeldeprotokolle Ihres Identitätsanbieters sind der Ort, an dem Sie suchen sollten.