Phishing erkennen und richtig reagieren: Praxisleitfaden für Mitarbeitende

Eine dringende Nachricht ist nicht automatisch echt

Kurz vor Feierabend verlangt eine E-Mail im Namen der Geschäftsleitung eine Zahlung. Oder ein angeblicher Microsoft-Hinweis droht mit Kontosperre und fordert zum Klick auf. Phishing funktioniert, weil Angreifer Zeitdruck, vertraute Namen und reale Arbeitsabläufe glaubwürdig nachbilden. Gute Filter helfen, doch ebenso wichtig ist ein Umfeld, in dem Mitarbeitende einen Verdacht ohne Angst melden können.

Eine überzeugende Nachricht muss dabei keine offensichtlichen Fehler enthalten. Sie kann an eine echte Rechnung anknüpfen oder von einem missbrauchten Konto eines Geschäftspartners kommen. Deshalb schützt eine einzelne Regel nicht. IT Security und Überwachung verbindet technische Schutzschichten mit klaren Abläufen. Entscheidend ist, dass das Team weiss, welche Anfrage zum normalen Ablauf passt und wann eine zweite Prüfung nötig ist.

Das Gesamtbild prüfen

Eine seltsame Absenderadresse ist ein Hinweis, aber kein Beweis. Auch ein echtes kompromittiertes Konto kann überzeugend wirken. Fragen Sie deshalb: Passt die Anfrage zum üblichen Ablauf? Ist die Dringlichkeit plausibel? Werden Geld, Zugangsdaten, Sicherheitscodes oder vertrauliche Dokumente verlangt?

Bei einer unerwarteten Zahlungs- oder Zugriffsanfrage helfen drei ruhige Schritte:

• nicht über den Link oder die Nummer in der Nachricht handeln
• einen bekannten Kontakt über einen zweiten Kanal nutzen
• den Verdacht nach dem festgelegten Weg melden

Zeitdruck ist ein Grund zum Prüfen, nicht zum Überspringen von Regeln. Eine neue Bankverbindung, veränderte Lieferdaten oder ein QR-Code zur Freigabe gehören über einen bekannten zweiten Kanal geprüft. Bei Lieferanten kann das etwa ein kurzer Anruf über die bekannte Telefonnummer sein; bei einer Microsoft-Anmeldung führt der Weg besser über ein gespeichertes Lesezeichen oder die bekannte Adresse.

Zeitdruck unterbrechen und nach einem Fehler offen handeln

Bei Geld, Zugangsdaten oder Sicherheitscodes sollte niemand aus einer überraschenden Nachricht heraus handeln. Wenn eine Anfrage echt ist, lässt sie sich über den vereinbarten Freigabeweg bestätigen. Eine Anmeldeseite wird besser über einen bekannten Link geöffnet als über die Nachricht. Eine sorgfältig eingeführte Mehrfaktor-Anmeldung begrenzt den Schaden eines gestohlenen Passworts, doch ein Code darf nie auf Anfrage weitergegeben werden.

Wurde ein Link geöffnet oder wurden Daten eingegeben, ist schnelles Melden wichtiger als Schuldzuweisung. Der Support kann Sitzungen sperren, Anmeldefaktoren kontrolliert zurücksetzen, die Nachricht untersuchen und andere Empfänger warnen. Notieren Sie Zeitpunkt, geöffneten Link und eingegebene Daten. Bei einer verdächtigen Zahlung sind Finanzstelle und gegebenenfalls Bank unverzüglich einzubeziehen.

Dieser Ablauf sollte vor dem Vorfall bekannt sein. Eine kurze Meldemöglichkeit in Teams oder eine eindeutige Supportadresse kann genügen, wenn Mitarbeitende wissen, dass sie dort auch einen blossen Verdacht melden dürfen. Wer nach einem Fehlklick aus Angst schweigt, nimmt dem Unternehmen wertvolle Zeit für die Eindämmung.

Technik schafft Zeit für gutes Urteil

Spamfilter, sichere E-Mail-Konfiguration, Endpoint-Schutz und starke Anmeldung senken das Risiko, erkennen aber nicht jede Nachricht.

Üben Sie mit realistischen Situationen statt mit langen Regelwerken. Für KMU und Dienstleister helfen ein definierter Rückrufweg, eine zweite Freigabe bei Zahlungsänderungen und ein sichtbarer Meldekanal. Phishing lässt sich nicht vollständig ausschliessen; ein ruhiger, geübter Ablauf hält aus einer einzelnen Nachricht jedoch einen behandelbaren Vorfall.