Probleme · Sicherheit, Backup & Datenschutz
Wie erkenne ich Phishing und reagiere richtig?
Kurz gesagt
Phishing erkennst du am Gesamtbild, nicht an einem einzelnen Merkmal: Passt die Anfrage zum üblichen Ablauf, ist die Eile plausibel, werden Geld, Zugangsdaten oder Codes verlangt? Handle nie über Link oder Nummer aus der Nachricht, prüfe über einen bekannten zweiten Kanal und melde den Verdacht. Nach einem Fehlklick zählt schnelles Melden mehr als Schuld.
Für wen das gilt
Für alle Mitarbeitenden in KMU und Dienstleistungsbetrieben, die E-Mails, Zahlungen oder Zugangsdaten bearbeiten, und für die Geschäftsleitung, die den Meldeweg festlegt. Das Thema gehört zum Zeitdieb Sicherheit, Backup & Datenschutz.
Kurz vor Feierabend verlangt eine E-Mail im Namen der Geschäftsleitung eine Zahlung. Oder ein angeblicher Microsoft-Hinweis droht mit Kontosperre. Phishing funktioniert, weil Angreifer Zeitdruck, vertraute Namen und echte Arbeitsabläufe glaubwürdig nachbilden.
Auf einen Blick: Verdacht und Reaktion
| Situation | Richtig reagieren |
|---|---|
| unerwartete Zahlungsanfrage | über den vereinbarten Freigabeweg bestätigen lassen |
| neue Bankverbindung oder geänderte Lieferdaten | Rückruf über die bekannte Telefonnummer des Lieferanten |
| Aufforderung zur Microsoft-Anmeldung | über ein gespeichertes Lesezeichen oder die bekannte Adresse anmelden, nicht über den Link |
| QR-Code zur Freigabe | über einen bekannten zweiten Kanal prüfen |
| Anfrage nach einem Sicherheitscode | nie weitergeben |
| Link geöffnet oder Daten eingegeben | sofort melden, Zeitpunkt, Link und Daten notieren |
Aus der Praxis
Bei einer unerwarteten Zahlungs- oder Zugriffsanfrage helfen drei ruhige Schritte:
- nicht über den Link oder die Nummer in der Nachricht handeln
- einen bekannten Kontakt über einen zweiten Kanal nutzen
- den Verdacht über den festgelegten Weg melden
Zeitdruck ist ein Grund zum Prüfen, nicht zum Überspringen von Regeln. Ist eine Anfrage echt, lässt sie sich über den vereinbarten Weg bestätigen.
Der Meldeweg muss vor dem Vorfall bekannt sein. Eine kurze Meldemöglichkeit in Teams oder eine eindeutige Supportadresse genügt, wenn alle wissen, dass sie dort auch einen blossen Verdacht melden dürfen. Wer nach einem Fehlklick aus Angst schweigt, nimmt dem Betrieb wertvolle Zeit für die Eindämmung.
Ehrlich gesagt
Phishing lässt sich nicht vollständig ausschliessen, und keine einzelne Regel schützt zuverlässig. Ein ruhiger, geübter Ablauf macht aus einer einzelnen Nachricht aber einen behandelbaren Vorfall statt einer Krise.
So gehst du vor
- Meldekanal festlegen und dem Team sagen, dass auch ein Verdacht gemeldet werden darf.
- Rückrufweg definieren: bekannte Nummern für Lieferanten und Geschäftsleitung.
- Zweite Freigabe bei Zahlungsänderungen einführen.
- Mit realistischen Situationen üben statt mit langen Regelwerken.
- Technik als Grundlage: Spamfilter, sichere E-Mail-Konfiguration, Endpoint-Schutz, starke Anmeldung. Wie die Anmeldung ohne Passwort sicherer wird, steht in Wie führen wir passwortlose Anmeldung im KMU ein?.
Wenn aus einem Klick ein Angriff wird, hilft Ransomware im KMU: Was tun in den ersten 24 Stunden?. Die Preise für Sicherheit und Schulung findest du auf der Preisseite.
Häufige Fragen
Ist eine seltsame Absenderadresse ein sicheres Zeichen für Phishing?
Sie ist ein Hinweis, aber kein Beweis. Auch ein echtes, missbrauchtes Konto eines Geschäftspartners kann überzeugend wirken, und eine gute Fälschung muss keine offensichtlichen Fehler enthalten. Prüfe deshalb das Gesamtbild.
Was tue ich, wenn ich auf einen Link geklickt oder Daten eingegeben habe?
Sofort melden. Notiere Zeitpunkt, geöffneten Link und eingegebene Daten. Der Support kann Sitzungen sperren, Anmeldefaktoren kontrolliert zurücksetzen, die Nachricht untersuchen und andere Empfänger warnen. Bei einer verdächtigen Zahlung ziehst du Finanzstelle und allenfalls Bank unverzüglich bei.
Schützt mich die Mehrfaktor-Anmeldung vor Phishing?
Sie begrenzt den Schaden eines gestohlenen Passworts. Einen Code darfst du aber nie auf Anfrage weitergeben.
Reicht ein guter Spamfilter?
Nein. Spamfilter, sichere E-Mail-Konfiguration, Endpoint-Schutz und starke Anmeldung senken das Risiko, erkennen aber nicht jede Nachricht. Sie schaffen Zeit für gutes Urteil im Team.
