Phishing im Unternehmen: wie die Angriffe ablaufen und was hilft

Phishing wird meist als technisches Problem behandelt: Der Filter muss besser werden. In der Praxis kommen die Nachrichten, die Schaden verursachen, durch jeden Filter — weil sie keinen Schadcode enthalten, keine auffälligen Anhänge und keine gefälschte Domain. Sie enthalten nur eine plausible Bitte.

Vier Muster deckt die Praxis in deutschen Unternehmen ab. Sie unterscheiden sich in dem, was dagegen wirkt.

Muster 1: Die geänderte Bankverbindung

Eine Rechnung kommt von einem bekannten Lieferanten, im gewohnten Layout, mit korrekter Bestellnummer — und einer neuen IBAN, mit dem Hinweis auf eine Bankumstellung. Der Betrag stimmt, der Vorgang ist echt.

Möglich wird das, weil der Angreifer den Mailverkehr vorher mitgelesen hat, meist über ein übernommenes Postfach beim Lieferanten. Es gibt keinen technischen Hinweis, an dem ein Filter das erkennen könnte.

Was dagegen wirkt

• Eine schriftliche Regel: Änderungen an Bankverbindungen werden telefonisch bestätigt — unter der Nummer aus dem Vertrag, nicht der aus der Mail
• Die Regel gilt ohne Ausnahme, auch bei Eile und auch bei kleinen Beträgen
• Vier-Augen-Prinzip bei Stammdatenänderungen in der Buchhaltung

Diese Regel kostet einen Anruf und verhindert den in Deutschland häufigsten Schadensfall dieser Kategorie.

Muster 2: Die Anweisung von oben

Eine Nachricht im Namen der Geschäftsführung, an eine einzelne Person in der Buchhaltung, mit Zeitdruck und der Bitte um Diskretion: eine Überweisung, heute noch, wegen einer laufenden Vertragsverhandlung.

Der Absendername stimmt, die Adresse ist eine ähnlich aussehende Fremddomain. Genau das erkennt der Nachahmungsschutz in Microsoft 365 — sofern er eingerichtet ist und die Geschäftsführung als geschützte Person hinterlegt ist.

• Nachahmungsschutz aktivieren und die Leitungsebene namentlich eintragen
• Externe Absender sichtbar kennzeichnen
• Die Rückfrageregel gilt auch nach oben: Eine Zahlungsanweisung per Mail wird bestätigt, unabhängig davon, von wem sie kommt
• Klarstellen, dass Rückfragen erwünscht sind — der Angriff arbeitet mit der Hemmung, den Chef zu kontrollieren

Muster 3: Die nachgebaute Anmeldeseite

Eine Nachricht kündigt eine ablaufende Kennwortfrist, ein geteiltes Dokument oder eine Postfachwarnung an. Der Link führt auf eine Seite, die der Microsoft-Anmeldung entspricht. Wer dort Zugangsdaten eingibt, hat sie abgegeben.

Dies ist das Muster, gegen das Technik am besten wirkt:

• MFA für alle Konten. Das abgeflossene Kennwort allein genügt dann nicht mehr — die wirksamste einzelne Maßnahme.
• Linkprüfung, die Adressen beim Anklicken erneut bewertet und nicht nur beim Eingang
• Conditional Access: Anmeldungen von unbekannten Geräten oder aus untypischen Regionen zusätzlich bestätigen

Wie MFA und Conditional Access eingeführt werden, ohne den Arbeitsalltag zu blockieren, beschreibt der Beitrag MFA und Conditional Access einrichten.

Muster 4: Die Nachricht aus einem echten Postfach

Das schwierigste Muster: Der Angreifer hat Zugriff auf ein echtes Postfach — beim Kunden, beim Lieferanten oder im eigenen Haus — und antwortet in einem laufenden Gespräch. Absender, Verlauf und Signatur sind korrekt, weil sie es sind.

Hier hilft keine Prüfung der Nachricht. Was hilft, ist zu erkennen, dass ein Postfach übernommen wurde:

• Anmeldeprotokolle regelmäßig auf ungewöhnliche Standorte prüfen
• Weiterleitungsregeln überwachen — Angreifer richten fast immer eine ein, um unbemerkt mitzulesen
• Meldungen aus dem Unternehmen ernst nehmen: Der erste Hinweis ist oft ein Kollege, dem eine Antwort seltsam vorkam
• Bei Verdacht: Kennwort zurücksetzen, alle Sitzungen beenden, Weiterleitungen und Postfachregeln prüfen

Der zweite Punkt ist der praktische Kern. Eine unerwartete Weiterleitungsregel ist der verlässlichste Hinweis auf ein übernommenes Postfach.

Der Meldeweg ist wichtiger als die Schulung

Ein Großteil der Schäden entsteht nicht, weil niemand etwas gemerkt hat, sondern weil der Zweifel nicht gemeldet wurde. Zwei Sätze in der internen Kommunikation ändern das:

• Jeder weiß, wohin eine verdächtige Nachricht gemeldet wird — eine Adresse, ein Knopf, kein Formular
• Eine Meldung führt nie zu einem Vorwurf, auch dann nicht, wenn schon geklickt wurde

Der zweite Satz entscheidet über die Meldequote. Wer befürchtet, für einen Klick belangt zu werden, meldet ihn nicht — und die Zeit zwischen Klick und Reaktion ist der Faktor, der über den Schaden entscheidet.

Was zuerst

• Sofort: Rückfrageregel für Bankverbindungen und Zahlungsanweisungen, schriftlich
• Sofort: Meldeweg benennen und kommunizieren
• Woche 1–2: MFA für alle Konten
• Woche 3: Nachahmungsschutz und externe Kennzeichnung aktivieren
• laufend: Anmeldeprotokolle und Weiterleitungsregeln prüfen

Die ersten zwei Punkte kosten nichts und wirken am stärksten. Wie sich das in das Gesamtbild einordnet, beschreibt der Überblick E-Mail-Sicherheit in Microsoft 365.

Was bleibt

Zwei Regeln für Menschen, MFA für Konten, Nachahmungsschutz für die Leitungsebene, ein Blick auf Anmeldungen und Weiterleitungen. Der Filter bleibt wichtig, entscheidet aber keinen dieser vier Fälle.