Phishing-E-Mails erkennen zu können, gehört mittlerweile zu den Grundkompetenzen, die jedes Unternehmen seiner Belegschaft vermitteln sollte, unabhängig von Branche oder Unternehmensgröße. Phishing zählt seit Jahren zu den häufigsten Einfallstoren für Sicherheitsvorfälle, weil es nicht auf technische Schwachstellen, sondern auf menschliches Vertrauen und Zeitdruck abzielt. Auffällig ist dabei, dass sich die äußere Form der Angriffe stetig weiterentwickelt, während das zugrunde liegende Muster erstaunlich konstant bleibt: eine vertraute Absenderidentität, ein dringlicher Anlass und ein Link oder Anhang, der zum schnellen Klicken verleiten soll.
Für Fachverantwortliche und Geschäftsführung bedeutet das, Phishing-Prävention nicht als einmaliges IT-Projekt, sondern als dauerhaften organisatorischen Prozess zu verstehen, der Technik, Schulung und klare Meldewege gleichermaßen umfasst. Dieser Beitrag beschreibt, anhand welcher Merkmale sich Phishing-Mails identifizieren lassen, welche technischen Prüfmethoden zur Verfügung stehen und wie Unternehmen im Verdachts- oder Ernstfall vorgehen sollten.
Warum Phishing trotz technischer Schutzmaßnahmen weiterhin erfolgreich ist
Spamfilter, DKIM-Signaturen und SPF-Einträge haben die technische Erkennung offensichtlich gefälschter E-Mails in den vergangenen Jahren deutlich verbessert. Gleichzeitig haben Angreifer ihre Methoden verfeinert: Statt plumper Massenmails mit offensichtlichen Fehlern setzen professionell agierende Tätergruppen zunehmend auf individualisierte Nachrichten, die sich am Kommunikationsstil realer Absender orientieren und teils sogar bestehende E-Mail-Verläufe kapern, um Glaubwürdigkeit vorzutäuschen. Diese Entwicklung erklärt, warum rein technische Schutzmaßnahmen allein nicht ausreichen und die Fähigkeit von Mitarbeitenden, verdächtige Nachrichten zu erkennen, weiterhin eine zentrale Verteidigungslinie bleibt.
Hinzu kommt, dass Phishing nicht ausschließlich über klassische E-Mails erfolgt. Varianten wie Smishing über SMS, Vishing über Telefonanrufe oder gefälschte Nachrichten über Messenger-Dienste und soziale Netzwerke nutzen dieselbe psychologische Grundmechanik, verlagern den Angriff jedoch bewusst auf Kanäle, die von klassischen E-Mail-Sicherheitssystemen nicht erfasst werden.
Acht Warnsignale, an denen sich Phishing-Mails erkennen lassen
Auch wenn sich einzelne Phishing-Kampagnen im Detail unterscheiden, wiederholen sich bestimmte Muster so zuverlässig, dass sie als praktikable Prüfliste dienen können.
- Abweichende Absenderadresse: Der angezeigte Name stimmt zwar mit einem bekannten Absender überein, die tatsächliche E-Mail-Adresse weicht bei genauerem Hinsehen jedoch ab, etwa durch vertauschte Buchstaben oder eine abweichende Domain-Endung.
- Künstlich erzeugter Zeitdruck: Formulierungen wie „Ihr Konto wird in 24 Stunden gesperrt“ oder „Sofortige Handlung erforderlich“ sollen eine überlegte Prüfung verhindern.
- Aufforderung zur Eingabe sensibler Daten: Seriöse Anbieter fordern Zugangsdaten oder Zahlungsinformationen praktisch nie per E-Mail-Link ab.
- Abweichendes Linkziel: Beim Bewegen der Maus über einen Link (ohne zu klicken) zeigt sich häufig eine andere Zieladresse als der angezeigte Text vermuten lässt.
- Ungewöhnliche Anhänge: Unerwartete Rechnungen, angebliche Mahnungen oder Versandbestätigungen mit ausführbaren Anhängen sind ein klassisches Warnsignal.
- Sprachliche Auffälligkeiten: Zwar werden Übersetzungsfehler seltener, untypische Anrede, fehlerhafte Grußformeln oder eine unpassende Tonalität bleiben jedoch häufige Indikatoren.
- Fehlende Personalisierung bei angeblich individuellen Anliegen: Eine generische Anrede bei einer angeblich persönlich adressierten Nachricht ist ein Widerspruch, der auffallen sollte.
- Ungewöhnlicher Kontext: Eine E-Mail, die inhaltlich nicht zur eigenen Geschäftsbeziehung passt, etwa eine Rechnung eines nie beauftragten Dienstleisters, verdient besondere Aufmerksamkeit.
Phishing-Varianten im Überblick
Der Begriff Phishing umfasst mittlerweile mehrere spezialisierte Angriffsformen, die sich in Zielgruppe und Kanal unterscheiden, aber demselben Grundprinzip folgen.
| Variante | Kanal | Typisches Ziel |
|---|---|---|
| Klassisches Phishing | Breite Masse, Zugangsdaten oder Zahlungsinformationen | |
| Spear Phishing | Gezielt einzelne Personen oder Abteilungen, oft mit Recherchevorlauf | |
| Whaling | Gezielt Führungskräfte, häufig mit gefälschter Zahlungsanweisung | |
| Smishing | SMS | Gefälschte Paketbenachrichtigungen, Bank-Warnungen |
| Vishing | Telefon | Vorgetäuschter IT-Support oder Bankmitarbeiter |
| Spoofing | E-Mail-Header | Vortäuschen einer vertrauten Absenderadresse als technische Grundlage weiterer Angriffe |
Technische Prüfung: Wie sich eine E-Mail auf Echtheit überprüfen lässt
Neben der visuellen Prüfung nach den oben genannten Warnsignalen lässt sich die Echtheit einer E-Mail auch technisch anhand ihrer Header-Informationen nachvollziehen. Zentrale Prüfmechanismen sind dabei die drei etablierten E-Mail-Authentifizierungsstandards.
SPF, DKIM und DMARC im Zusammenspiel
Das Sender Policy Framework (SPF) legt fest, welche Mailserver berechtigt sind, im Namen einer Domain E-Mails zu versenden. DKIM (DomainKeys Identified Mail) versieht eine E-Mail mit einer kryptografischen Signatur, die belegt, dass Inhalt und Header seit dem Versand nicht verändert wurden. DMARC definiert schließlich, wie ein empfangender Mailserver mit E-Mails umgehen soll, die SPF- oder DKIM-Prüfungen nicht bestehen. Eine gültige DKIM-Signatur ist ein starkes Indiz für Echtheit, ihr Fehlen jedoch nicht zwangsläufig ein Beweis für Fälschung, da bestimmte Weiterleitungs- oder Sicherheitssysteme, etwa in manchen Microsoft-365-Umgebungen, Header oder Nachrichteninhalt nachträglich verändern können und dadurch eine ursprünglich gültige Signatur ungültig machen.
Prüfung anhand der EML-Datei
Eine praktikable Methode zur vertieften Prüfung besteht darin, die verdächtige Nachricht im EML-Format zu exportieren und die enthaltenen Header-Daten auszuwerten. Im Microsoft-Outlook-Umfeld lässt sich eine E-Mail über die Funktion „Speichern unter“ entsprechend exportieren, im Mozilla-Thunderbird-Umfeld genügt ein Rechtsklick auf die Nachricht mit anschließender Auswahl derselben Funktion. Automatisierte Prüfwerkzeuge, sogenannte Phishing-Validatoren, werten diese Datei anschließend aus und liefern innerhalb weniger Sekunden eine Einschätzung zur Echtheit, ohne dass tiefergehendes technisches Fachwissen erforderlich ist.
„Die größte Schwachstelle ist selten die Technik, sondern der Moment, in dem jemand unter Zeitdruck einen Klick tätigt, bevor er die Absenderadresse wirklich geprüft hat.“ Florian Jürgens, Geschäftsführer bei der Mittwald CM Service GmbH & Co. KG, bringt damit die zentrale Herausforderung der Phishing-Prävention auf den Punkt.
Warum ein dokumentiertes Phishing-Archiv sinnvoll ist
Neben Warnsignalen und technischer Prüfung hat sich in der Praxis ein weiteres Instrument bewährt: ein internes oder öffentlich zugängliches Archiv tatsächlich beobachteter Phishing-Beispiele, wie es einzelne Anbieter mittlerweile als „Phishing Museum“ bereitstellen. Ein solches Archiv zeigt reale, anonymisierte Beispiele aus dem eigenen Kundenumfeld und macht dadurch greifbar, wie aktuelle Kampagnen tatsächlich aussehen, statt sich auf abstrakte Beschreibungen zu beschränken. Für Mitarbeitende ist der Lerneffekt eines konkreten Beispiels erfahrungsgemäß deutlich höher als der einer allgemeinen Warnung, da sich einzelne Merkmale direkt am realen Beispiel nachvollziehen lassen.
Wichtig ist dabei, ein solches Archiv als lebendes Dokument zu verstehen und regelmäßig um neue Beispiele zu ergänzen, da Angreifer ihre Vorlagen kontinuierlich anpassen. Ein veraltetes Archiv mit Beispielen aus mehreren Jahren zuvor vermittelt unter Umständen ein falsches Gefühl der Wiedererkennbarkeit, wenn aktuelle Kampagnen bereits deutlich überarbeitet wurden. Unternehmen, die kein eigenes Archiv pflegen möchten, können ersatzweise auf die öffentlich zugänglichen Beispielsammlungen ihres E-Mail- oder Hosting-Dienstleisters verweisen und diese in die eigene Awareness-Kommunikation einbinden.
Was tun, wenn bereits auf einen Phishing-Link geklickt wurde
Ein einzelner Klick auf einen Phishing-Link führt nicht zwangsläufig zu einem Schaden, entscheidend ist jedoch das unmittelbare Vorgehen danach. Folgende Schritte haben sich in der betrieblichen Praxis als sinnvolle Sofortmaßnahmen etabliert.
- Netzwerkverbindung trennen: Das betroffene Gerät umgehend vom Netzwerk trennen, um eine mögliche Ausbreitung von Schadsoftware zu unterbinden.
- Zugangsdaten ändern: Wurden auf der verlinkten Seite Zugangsdaten eingegeben, sollten diese sofort über ein anderes, nicht betroffenes Gerät geändert werden.
- IT-Abteilung informieren: Auch bei Unsicherheit über das tatsächliche Ausmaß sollte die interne IT oder der zuständige Sicherheitsdienstleister umgehend eingebunden werden.
- Betroffene Systeme prüfen lassen: Eine Überprüfung auf Schadsoftware und ungewöhnliche Aktivitäten sollte zeitnah erfolgen, auch wenn keine sichtbaren Auffälligkeiten vorliegen.
- Vorfall dokumentieren: Zeitpunkt, betroffene Systeme und ergriffene Maßnahmen sollten schriftlich festgehalten werden, auch für eine mögliche spätere Meldepflicht.
Meldewege: Wen Unternehmen im Ernstfall informieren sollten
Neben der internen IT-Abteilung sollten je nach Art des Vorfalls weitere Stellen informiert werden. Wurden personenbezogene Daten betroffen, etwa durch den Zugriff auf ein E-Mail-Postfach mit Kundendaten, kann eine Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Aufsichtsbehörde bestehen, deren Fristen und Voraussetzungen im Einzelfall rechtlich zu bewerten sind. Zusätzlich empfiehlt sich häufig eine Meldung an das Bundesamt für Sicherheit in der Informationstechnik (BSI), insbesondere wenn ein möglicher Zusammenhang mit größer angelegten Angriffswellen vermutet wird. Auch der betroffene Hosting- oder E-Mail-Dienstleister sollte informiert werden, da dieser gegebenenfalls technische Gegenmaßnahmen einleiten oder betroffene Konten vorübergehend sperren kann.
Wird eine Phishing-Mail empfangen, die vorgeblich von einem bekannten Geschäftspartner oder Dienstleister stammt, sollte diese zusätzlich an den vermeintlichen Absender selbst weitergeleitet werden. Viele Unternehmen betreiben inzwischen eigene Meldeadressen oder Landingpages, über die verdächtige Nachrichten eingereicht werden können, damit weitere Empfänger derselben Kampagne gewarnt und technische Gegenmaßnahmen eingeleitet werden können.
Besonderheiten bei Whaling-Angriffen auf die Geschäftsführung
Eine Sonderform verdient wegen ihres besonderen Schadenspotenzials eigene Aufmerksamkeit: Beim sogenannten Whaling zielen Angreifer gezielt auf Geschäftsführung oder Finanzverantwortliche, häufig mit einer gefälschten, scheinbar dringenden Zahlungsanweisung, die vorgeblich von der Geschäftsleitung selbst stammt. Solche Angriffe sind oft handwerklich anspruchsvoller als klassisches Massen-Phishing, da vorab öffentlich zugängliche Informationen, etwa aus Impressum, Handelsregister oder sozialen Netzwerken, gezielt für die Glaubwürdigkeit der Nachricht genutzt werden. Häufig recherchieren Angreifer vorab auch Abwesenheitszeiten von Führungskräften, etwa über Out-of-Office-Antworten oder öffentlich sichtbare Reisetermine, um die gefälschte Anweisung genau in einem Zeitfenster zu platzieren, in dem eine schnelle persönliche Rückversicherung erschwert ist.
Als organisatorische Gegenmaßnahme hat sich ein verbindliches Vier-Augen-Prinzip für Zahlungsfreigaben oberhalb einer festgelegten Betragsgrenze etabliert, das unabhängig vom vermeintlichen Absender der Anweisung gilt. Eine telefonische Rückversicherung über eine bekannte, nicht aus der verdächtigen E-Mail selbst stammende Telefonnummer sollte fester Bestandteil dieses Prozesses sein, bevor eine ungewöhnliche oder eilige Zahlungsanweisung ausgeführt wird, selbst wenn der Absender scheinbar korrekt ist.
Prävention: Von der Einzelmaßnahme zum kontinuierlichen Awareness-Programm
Einmalige Schulungen zeigen erfahrungsgemäß nur kurzfristige Wirkung. Wirksamer ist ein kontinuierliches Awareness-Programm, das regelmäßige, aber kurze Schulungseinheiten mit simulierten Phishing-Tests kombiniert. Solche simulierten Kampagnen versenden kontrolliert harmlose, aber realistisch gestaltete Testmails an Mitarbeitende und werten anschließend aus, wie viele Personen auf den enthaltenen Link geklickt oder Daten eingegeben hätten. Die Ergebnisse liefern eine belastbare Grundlage, um Schulungsinhalte gezielt auf tatsächlich bestehende Schwachstellen auszurichten, statt pauschal alle Mitarbeitenden gleich zu schulen.
Ergänzend gewinnen praxisnahe Webinare an Bedeutung, in denen aktuelle Angriffstrends und konkrete Beispiele besprochen werden. Der Vorteil gegenüber statischen Schulungsunterlagen liegt darin, dass Angriffsmuster sich kontinuierlich weiterentwickeln und ein punktuelles, aber wiederkehrendes Format es erlaubt, Belegschaften über neue Maschen zeitnah zu informieren, statt sich auf veraltete Beispiele zu verlassen.
Externe Ansprechpartner und Webinare als ergänzender Baustein
Neben internen Schulungsmaßnahmen greifen viele Unternehmen mittlerweile auf externe Fachformate zurück, etwa Webinare, in denen Sicherheitsverantwortliche eines Hosting- oder E-Mail-Dienstleisters aktuelle Angriffstrends und praktische Erkennungsmerkmale vorstellen. Der Vorteil eines externen Formats liegt darin, dass Erkenntnisse aus einer Vielzahl unterschiedlicher Kundenumgebungen einfließen und dadurch ein breiteres Bild aktueller Kampagnen entsteht, als es ein einzelnes Unternehmen allein aus eigener Erfahrung ableiten könnte. Für kleinere Unternehmen ohne eigene Sicherheitsabteilung kann ein solches externes Format zudem den Einstieg in ein strukturiertes Awareness-Programm erheblich erleichtern, da fachliche Inhalte nicht erst intern erarbeitet werden müssen.
Sinnvoll ist es, ein festes Ansprechpartner-Netzwerk aufzubauen, das im Ernstfall schnell erreichbar ist: den eigenen IT-Dienstleister für die technische Analyse, den E-Mail- oder Hosting-Anbieter für Fragen zur Authentifizierung der eigenen Domain sowie gegebenenfalls eine auf IT-Sicherheit spezialisierte externe Beratung für die Bewertung komplexerer Vorfälle. Diese Kontakte sollten nicht erst im Krisenfall gesucht, sondern vorab dokumentiert und regelmäßig auf Aktualität geprüft werden.
Checkliste: Phishing-Prävention im Unternehmen
- SPF-, DKIM- und DMARC-Einträge für die eigene Domain korrekt konfiguriert
- Klare interne Meldeadresse für verdächtige E-Mails eingerichtet und kommuniziert
- Regelmäßige, kurze Awareness-Schulungen statt einmaliger Pflichtveranstaltung
- Simulierte Phishing-Kampagnen zur realistischen Wirksamkeitsmessung durchgeführt
- Dokumentierter Ablaufplan für den Verdachts- und Ernstfall vorhanden
- Zuständigkeiten für Meldung an Aufsichtsbehörde, BSI und Dienstleister geklärt
- Externe Prüfwerkzeuge, etwa EML-basierte Phishing-Validatoren, bekannt und nutzbar
FAQ
Kann ich eine verdächtige E-Mail als EML-Datei herunterladen?
Ja, sowohl in Microsoft Outlook als auch in Mozilla Thunderbird lässt sich eine E-Mail über die Funktion „Speichern unter“ im EML-Format exportieren und anschließend technisch auswerten.
Was soll ich tun, wenn ich auf einen Link in einer Phishing-Mail geklickt habe?
Das betroffene Gerät sollte umgehend vom Netzwerk getrennt, eingegebene Zugangsdaten über ein anderes Gerät geändert und die interne IT-Abteilung unverzüglich informiert werden.
Welche Tools helfen bei der Überprüfung einer verdächtigen E-Mail?
Neben der manuellen Prüfung von Absenderadresse und Linkzielen liefern spezialisierte Phishing-Validatoren anhand der EML-Datei eine automatisierte Einschätzung zur Echtheit einer Nachricht.
Ist eine nicht gelistete Phishing-Mail automatisch harmlos?
Nein, die Auflistung bekannter Beispiele auf Informationsseiten ist naturgemäß unvollständig, da täglich neue Varianten im Umlauf sind; ein Ausbleiben in einer solchen Liste ist kein Beleg für Ungefährlichkeit.
Wen sollte ich informieren, wenn ich von einem Phishing-Vorfall betroffen bin?
Neben der eigenen IT-Abteilung kommen je nach Fall die Datenschutz-Aufsichtsbehörde, das BSI sowie der betroffene Hosting- oder E-Mail-Dienstleister als Meldestellen infrage.
Wie kann ich mich präventiv vor Datenmissbrauch schützen?
Regelmäßige Awareness-Schulungen, simulierte Phishing-Tests, eine korrekt konfigurierte E-Mail-Authentifizierung sowie eine klare interne Meldekultur reduzieren das Risiko eines erfolgreichen Angriffs deutlich.
Kann ich mit einem Phishing-Validator auch E-Mails anderer Absender prüfen?
Das hängt vom jeweiligen Anbieter ab; viele Validatoren sind primär auf die Prüfung der Echtheit von Nachrichten des eigenen Anbieters ausgelegt, während eine allgemeine technische Header-Analyse grundsätzlich auch bei E-Mails anderer Absender möglich ist.
