Phishing

Phishing ist eine der häufigsten Einstiegsformen für Cyberangriffe auf Unternehmen. Der Begriff spielt auf das englische „fishing“ an: Angreifende werfen einen Köder aus, meist eine E-Mail, und hoffen, dass jemand anbeißt. Ziel ist fast immer, an Zugangsdaten zu kommen, eine Zahlung auszulösen oder Schadsoftware auf ein Gerät zu bringen.

Für Unternehmen ist Phishing besonders relevant, weil es technische Schutzmaßnahmen umgeht und direkt beim Menschen ansetzt. Ein einziges erbeutetes Passwort für ein Cloud-Konto kann reichen, um Postfächer mitzulesen, weitere Personen anzuschreiben oder einen größeren Angriff vorzubereiten.

Wie funktioniert Phishing?

Eine Phishing-Nachricht imitiert einen bekannten Absender: eine Bank, einen Paketdienst, einen Cloud-Anbieter oder die eigene IT-Abteilung. Sie erzeugt Druck, etwa durch ein angeblich gesperrtes Konto, eine offene Rechnung oder eine dringende Bitte der Geschäftsführung. Ein Link führt auf eine täuschend echte Anmeldeseite, ein Anhang enthält Schadcode oder die Nachricht fordert direkt zu einer Handlung auf.

Neben der klassischen Massen-E-Mail gibt es gezieltere Varianten:

• Spear-Phishing richtet sich an bestimmte Personen und nutzt öffentlich verfügbare Informationen, etwa von der Firmenwebsite oder aus Berufsnetzwerken.
• Smishing und Vishing nutzen SMS beziehungsweise Telefonanrufe.
• Quishing versteckt den Link in einem QR-Code, den Mail-Filter schwerer prüfen können.
• Adversary-in-the-Middle-Phishing leitet die echte Anmeldung über einen Zwischenserver und kann dabei auch die Sitzung übernehmen. Damit lassen sich einfache Formen der Multi-Faktor-Authentifizierung aushebeln.

Typische Beispiele

• Eine E-Mail meldet, das Postfach sei voll, und verlangt eine Anmeldung über einen Link.
• Ein angeblicher Lieferant teilt eine geänderte Bankverbindung mit, siehe Business Email Compromise.
• Eine Freigabe-Benachrichtigung für ein Dokument führt auf eine gefälschte Anmeldeseite.
• Ein Anruf vom vermeintlichen IT-Support bittet darum, einen Bestätigungscode vorzulesen.

Worauf Unternehmen achten sollten

• Mitarbeitende regelmäßig schulen und realistische Beispiele besprechen, siehe Security Awareness.
• Einen einfachen Meldeweg für verdächtige Nachrichten schaffen und Meldungen positiv aufnehmen, auch bei Fehlalarmen.
• Die Mail-Sicherheit technisch absichern, etwa mit SPF, DKIM und DMARC sowie mit Filtern für Links und Anhänge.
• Phishing-resistente Anmeldeverfahren wie Passkeys bevorzugen.
• Zahlungen und Kontoänderungen nie allein auf Grundlage einer E-Mail freigeben.

Bezug zu TOMORIS

Schulungen zur Sensibilisierung von Mitarbeitenden bietet TOMORIS UNIVERSITY als Awareness-Trainings an.