Phishing erkennen: Praxisleitfaden für Mitarbeiter:innen und IT-Verantwortliche

Ein einziger Klick auf einen präparierten Link. Eine Zugangsdaten-Kombination, schnell in eine täuschend echte Login-Seite getippt. Schon hat ein Angreifer, was er braucht. Phishing ist nach wie vor der mit Abstand häufigste Weg, über den jemand in Unternehmensnetzwerke gelangt, und dank KI-Werkzeugen werden die Maschen von Jahr zu Jahr überzeugender. Wer im Unternehmen weiß, worauf zu achten ist, erkennt Phishing, bevor Schaden entsteht. Dieser Leitfaden zeigt die gängigen Maschen, konkrete Warnsignale und wirksame Gegenmaßnahmen, für Mitarbeitende genauso wie für IT-Verantwortliche.

Warum Phishing nach wie vor die größte Einfallspforte ist

Laut der europäischen Cybersicherheitsagentur ENISA macht Phishing (inklusive verwandter Varianten wie Vishing, also Telefon-Phishing, und Malvertising) einen Großteil der beobachteten Angriffsfälle aus und bleibt damit der wichtigste Einstiegspunkt für Angreifer in Unternehmensnetzwerke. Bemerkenswert ist, dass ein wachsender Anteil der beobachteten Social-Engineering-Kampagnen inzwischen mit KI-Unterstützung erstellt wird. Konkret heißt das: Die früher üblichen Erkennungsmerkmale wie holprige Grammatik oder offensichtliche Übersetzungsfehler fallen zunehmend weg. Dazu kommt, dass Phishing-Kits als fertige Dienstleistung (Phishing-as-a-Service) gehandelt werden. Die Einstiegshürde für Angreifer sinkt damit weiter.

Für österreichische Unternehmen ist das keine abstrakte Gefahr. Umfragen der Wirtschaftskammer und von Sicherheitsinitiativen zeigen, dass ein spürbarer Anteil heimischer Betriebe bereits einen erfolgreichen Cyberangriff erlebt hat, häufig mit Phishing als Ausgangspunkt.

Die häufigsten Phishing-Maschen im Unternehmensalltag

CEO-Fraud / Business E-Mail Compromise: Eine vermeintliche Nachricht der Geschäftsführung fordert eine dringende, vertrauliche Überweisung oder die Herausgabe sensibler Daten.
Gefälschte Rechnungen und Mahnungen: Täuschend echt gestaltete Rechnungen bekannter Lieferanten enthalten manipulierte Bankverbindungen oder schädliche Anhänge.
Paket- und Versandbenachrichtigungen: Angebliche Zustellprobleme sollen zum Klick auf einen präparierten Link verleiten.
Quishing: Phishing über QR-Codes, die auf gefälschte Login-Seiten führen. Besonders tückisch, weil der Link vor dem Scannen nicht sichtbar ist.
Smishing und Vishing: Phishing per SMS oder Telefonanruf, oft kombiniert mit Druckaufbau ("Ihr Konto wurde gesperrt, bestätigen Sie sofort Ihre Daten").

Woran du eine Phishing-Nachricht erkennst

Auch wenn KI-generierte Nachrichten sprachlich kaum noch Fehler enthalten, gibt es weiterhin verlässliche Warnsignale:

Absenderadresse genau prüfen: Es zählt nicht der angezeigte Name, sondern die vollständige E-Mail-Adresse. Kleine Abweichungen wie vertauschte Buchstaben oder eine andere Domain-Endung sind ein klares Alarmsignal.
Linkziel vor dem Klick prüfen: Fahr mit der Maus über den Link (nicht klicken!), dann siehst du die tatsächliche Zieladresse. Auf Mobilgeräten hilft ein längeres Antippen ohne Loslassen.
Künstlich erzeugter Zeitdruck: Formulierungen wie "sofort handeln", "Konto wird gesperrt" oder "letzte Mahnung" sollen zu unüberlegtem Handeln verleiten.
Ungewöhnliche Zahlungs- oder Datenanfragen: Gerade bei Änderungen von Bankverbindungen oder Aufforderungen zur Herausgabe von Zugangsdaten gilt: telefonisch über eine bekannte, unabhängig recherchierte Nummer rückfragen.
Unerwartete Anhänge: Rechnungen oder Dokumente, die du nicht erwartet hast, solltest du nicht ungeprüft öffnen. Das gilt besonders bei ungewöhnlichen Dateiformaten.
Abweichungen vom gewohnten Kommunikationsstil: Wenn Kolleg:innen oder Vorgesetzte plötzlich anders formulieren oder ungewöhnliche Bitten äußern, frag nach, und zwar auf einem zweiten Kanal.

Was tun bei einer verdächtigen Nachricht?

Der wichtigste Grundsatz lautet: nicht klicken, nicht antworten, nicht selbst löschen. Stattdessen sollte es in jedem Unternehmen einen klaren, niederschwelligen Meldeweg geben, etwa eine zentrale IT-Sicherheits-Mailadresse oder eine Meldefunktion direkt im E-Mail-Programm. Entscheidend ist dabei eines: Wer eine Phishing-Mail meldet, auch nach einem versehentlichen Klick, sollte dafür keine negativen Konsequenzen befürchten müssen. Eine offene Fehlerkultur sorgt dafür, dass Vorfälle schneller gemeldet werden. Und schnelles Handeln entscheidet oft darüber, ob aus einem Klick ein Sicherheitsvorfall mit echtem Schaden wird oder eben nicht.

Security-Awareness-Training als wirksamste Einzelmaßnahme

Technische Filter allein reichen nicht aus, weil raffinierte Phishing-Mails immer wieder auch durch sie hindurchkommen. Regelmäßiges, praxisnahes Awareness-Training, idealerweise ergänzt durch realistische, angekündigte Phishing-Simulationen, schärft das Bewusstsein der Belegschaft nachhaltiger als eine einmalige Schulung beim Onboarding. Was in der Praxis funktioniert:

kurze, wiederkehrende Trainingseinheiten statt eines langen Jahrestermins,
simulierte Phishing-Kampagnen mit anschließendem, unterstützendem Feedback statt Bloßstellung,
konkrete Beispiele aus der eigenen Branche statt generischer Folien,
klar kommunizierte Meldewege, die jede:r im Unternehmen kennt.

Häufige Irrtümer über Phishing

In vielen Unternehmen halten sich Annahmen, die längst überholt sind und ein falsches Sicherheitsgefühl erzeugen:

"Wir sind zu klein, um interessant zu sein." Kleinere Unternehmen sind für Angreifer oft attraktiver als Großkonzerne, weil sie seltener über dedizierte Sicherheitsressourcen verfügen und trotzdem wertvolle Daten, Zahlungsströme oder Zugänge zu größeren Geschäftspartnern besitzen.
"Schlechtes Deutsch verrät Phishing-Mails." Diese Faustregel war früher hilfreich, verliert aber durch KI-gestützt formulierte Nachrichten zunehmend an Aussagekraft.
"Unser Spamfilter fängt das ab." Technische Filter reduzieren die Menge an Phishing-Mails erheblich, einen vollständigen Schutz garantieren sie aber nicht. Gezielte, individuell formulierte Angriffe (Spear-Phishing) passieren Filter regelmäßig.
"Einmal geschult reicht." Wissen verblasst, und Angreifer passen ihre Methoden laufend an. Awareness ist ein fortlaufender Prozess, kein einmaliges Projekt.

Ein realistisches Beispiel aus der Praxis

Ein Muster, das in der Beratungspraxis immer wieder auftaucht: Eine Buchhaltungsmitarbeiterin erhält eine E-Mail, die scheinbar von der Geschäftsführung stammt und um eine kurzfristige Überweisung für ein "vertrauliches Projekt" bittet, mit dem Hinweis, aktuell telefonisch nicht erreichbar zu sein. Die Absenderadresse unterscheidet sich nur durch ein einzelnes vertauschtes Zeichen von der echten Domain des Unternehmens. Ohne eine zweite, unabhängige Rückfrage, etwa einen kurzen Anruf bei der Geschäftsführung über eine bekannte Nummer, lässt sich ein solcher Betrugsversuch kaum zuverlässig erkennen. Genau solche Szenarien sind fester Bestandteil realistischer Phishing-Simulationen, weil sie zeigen, wie leicht ein gut vorbereiteter Angriff selbst aufmerksame Mitarbeitende überraschen kann.

Technische Maßnahmen als zweite Verteidigungslinie

Awareness ersetzt keine technischen Schutzmaßnahmen, sondern ergänzt sie. Dazu gehören unter anderem eine korrekt konfigurierte E-Mail-Authentifizierung (SPF, DKIM, DMARC), ein aktueller Spam- und Malware-Filter und, als eine der wirksamsten Einzelmaßnahmen überhaupt, Multi-Faktor-Authentifizierung für alle geschäftskritischen Zugänge. Selbst wenn Zugangsdaten über eine Phishing-Seite abgegriffen werden, verhindert ein zweiter Faktor in vielen Fällen den eigentlichen Missbrauch.

Phishing lässt sich nicht vollständig verhindern, aber das Risiko lässt sich mit der richtigen Kombination aus geschulten Mitarbeitenden und technischen Maßnahmen deutlich senken. Lindorfer Technologies unterstützt österreichische KMU mit praxisnahen Awareness-Trainings und realistischen Phishing-Simulationen. Melde dich für ein unverbindliches Gespräch, um zu besprechen, wie ein Training für dein Team konkret aussehen könnte.