Phishing erkennen: Spickzettel für Mitarbeitende

• InnehaltenDruck ist das Warnsignal

  Dringender Handlungsbedarf und angedrohte Konsequenzen sind typische Merkmale (BSI, Bundeskriminalamt).

• PrüfenÜber einen anderen Weg

  Nicht über Link oder Nummer aus der Nachricht, sondern über selbst herausgesuchte Kontaktdaten (BSI).

• MeldenAuch den eigenen Klick

  Auch geöffnete verdächtige E-Mails, Links und Anhänge melden, so früh wie möglich (CISA).

Phishing-Nachrichten geben sich als bekannte Person oder Organisation aus, etwa als Bank, Paketdienst, Behörde, Vorgesetzte oder IT-Abteilung, und sollen Sie dazu bringen, einen Link zu öffnen, einen Anhang zu starten, Zugangsdaten einzugeben oder Geld zu überweisen (BSI, CISA). Fehlerfreier Text ist kein Echtheitsbeweis: Tippfehler sind laut BSI nur noch selten ein eindeutiger Hinweis. Achten Sie auf das Anliegen, nicht auf die Sprache.

Ein Merkmal genügt für Misstrauen. Das BSI nennt dringenden Handlungsbedarf, Drohungen, die Abfrage vertraulicher Daten, Links oder Formulare und ungewöhnliche Anliegen bekannter Absender: Trifft mindestens eines zu, handelt es sich mit hoher Wahrscheinlichkeit um Phishing.

• Die Nachricht kommt unerwartet, etwa von jemandem, mit dem Sie selten zu tun haben (Microsoft).
• Im Feld „An“ stehen viele scheinbar zufällige Empfänger (Microsoft).
• Die Anrede ist unpersönlich, etwa „Sehr geehrte Kundin / Sehr geehrter Kunde“ (Bundeskriminalamt).

1. 1

   Innehalten

   Nicht sofort antworten, klicken oder zahlen. Dringlichkeit und Drohungen sind typische Merkmale von Phishing (BSI).

2. 2

   Absender ansehen

   Mauszeiger über die Absenderzeile führen, ohne zu klicken: Steckt hinter dem Namen eine andere Adresse (BSI)? Seltsame Schreibweisen, Zahlen oder Ergänzungen (Bundeskriminalamt)?

3. 3

   Linkziel prüfen, nicht klicken

   Mauszeiger auf den Link legen, am Smartphone den Finger darauf lassen. Verdächtig ist eine Adresse, die nicht zur angeblichen Organisation gehört, den Namen nur nachahmt oder ein Kurzlink ist (Watchlist Internet, BSI).

4. 4

   Selbst aufrufen statt klicken

   Website oder App des Absenders über ein Lesezeichen oder die bekannte Adresse öffnen, statt dem Link zu folgen (Bundeskriminalamt).

5. 5

   Über einen bekannten Kanal rückfragen

   Anrufen, aber unter einer selbst herausgesuchten Nummer, nicht unter der aus der Nachricht (BSI). Das gilt auch für Vorgesetzte (Watchlist Internet).

6. 6

   Bei Zweifel melden

   Nicht reagieren, sondern über den internen Meldeweg melden. So kann die IT auch andere warnen (Watchlist Internet).

Melden ist kein Schuldeingeständnis: Je früher die IT Bescheid weiß, desto eher lassen sich Konten sperren und andere warnen. Die Tabelle ist eine Empfehlung von TOMORIS; die Vorgaben Ihres Unternehmens gehen vor.

• Intern zuerst: über den Meldeweg Ihres Unternehmens, meist IT oder Helpdesk. Microsoft empfiehlt, Bedrohungen sofort dem Sicherheitsteam zu melden.
• Outlook: Nachricht markieren, die integrierte Schaltfläche zum Melden wählen (englisch „Report“), dann „Phishing melden“. Die Nachricht wird gelöscht und je nach Einstellung an ein Meldepostfach, an Microsoft oder an beide übermittelt; die Schaltfläche erscheint nur in unterstützten Outlook-Versionen, wenn Ihre Organisation die Meldefunktion eingerichtet hat (Microsoft Learn).
• Watchlist Internet: Phishing und andere Internetfallen über das Meldeformular auf watchlist-internet.at melden; das hilft, andere zu schützen.
• Cybercrime-Meldestelle des Bundeskriminalamts: against-cybercrime@bmi.gv.at bei Betrugsverdacht. Die Meldung ersetzt keine Anzeige; ist ein Schaden entstanden, Anzeige bei der Polizei erstatten (Bundeskriminalamt).
• Unternehmen nach einem Cyberangriff: Cyber-Security-Hotline der Wirtschaftskammer Österreich, 0800 888 133 (Bundeskriminalamt).

• Erwarte ich diese Nachricht, und passt das Anliegen zum Absender?
• Stimmt die tatsächliche Absenderadresse, nicht nur der angezeigte Name?
• Werde ich unter Zeitdruck gesetzt oder bedroht? Dann erst recht prüfen.
• Führt der Link wirklich zur Organisation, die schreibt? Mauszeiger darauf, nicht klicken.
• Soll ich einen Anhang öffnen, Makros aktivieren oder etwas installieren? Erst rückfragen.
• Werden Passwort, PIN, TAN oder Einmalcode verlangt? Nichts eingeben.
• Soll ich einen QR-Code aus einer E-Mail scannen? Nicht scannen.
• MFA-Anfrage, ohne dass ich mich anmelde? Ablehnen und melden.
• Soll ich Geld überweisen oder Bankdaten ändern? Erst über einen bekannten Weg rückfragen.
• Angeblicher IT-Support will Fernzugriff? Auflegen und die eigene IT anrufen.

Empfehlungen von TOMORIS; gesetzliche Pflichten, etwa nach dem NISG 2026, prüfen Sie gesondert.

• Meldeweg festlegen und bekannt machen; in Microsoft 365 die Outlook-Schaltfläche zum Melden aktivieren und ein Meldepostfach festlegen (Microsoft Learn).
• Regelmäßig schulen: verdächtige E-Mails und Links erkennen, nicht darauf reagieren und auch das Öffnen melden (CISA). Meldungen positiv aufnehmen, auch Fehlalarme.
• Zahlungen absichern: Wer Zahlungen freigibt, prüft Absender genau und bestätigt auffällige Zahlungsanweisungen über einen anderen Kommunikationsweg (Watchlist Internet).
• Anmeldung härten: phishing-resistente MFA auf Basis von FIDO oder PKI; wo das nicht geht, Push-Bestätigungen mit Nummernabgleich (CISA).
• Eigene Domain schützen: DMARC für ausgehende E-Mails auf reject setzen, damit gefälschte Absender Ihrer Domain abgewiesen werden (CISA). Ob SPF, DKIM und DMARC gesetzt sind, zeigt der kostenlose E-Mail-Sicherheits-Check.