Phishing und Awareness: Wo die meisten Angriffe beginnen
Eine E-Mail, ein Link, eine Anmeldeseite, die aussieht wie die echte: Phishing ist der häufigste Weg, über den Angreifer Zugangsdaten erbeuten oder Schadsoftware platzieren, aus der später Ransomware wird. Diese Seite beschreibt, wie Phishing heute aussieht, welche technischen Maßnahmen gefälschte Absender stoppen, wie ein Meldeweg funktioniert und wie Awareness-Trainings und Simulationen zum Nachweis nach NIS2 werden.
- 3 Standards gegen Absenderfälschung: SPF, DKIM, DMARC
- 1 Klick zum Melden einer verdächtigen Mail, für alle Mitarbeitenden
- jährlich Grundschulung, dazu Auffrischungen und Simulationen
- § 30 BSIG verlangt Cyberhygiene und Schulungen
Wie Phishing heute aussieht
Die Zeit der schlecht übersetzten Massenmails ist vorbei. Gezielte Angriffe nutzen echte Namen, echte Geschäftsvorgänge und manchmal echte, kompromittierte Postfächer.
-
Gefälschte Anmeldeseiten
Eine Mail im Namen des Cloud-Anbieters, der IT-Abteilung oder eines Kunden führt auf eine Seite, die die echte Anmeldung nachbildet und Passwort und Einmalcode in Echtzeit an den echten Dienst weiterreicht. Ergebnis: ein übernommenes Postfach oder ein VPN-Zugang, ohne dass Schadsoftware nötig war.
-
Anhänge und Links mit Schadsoftware
Rechnungen, Bewerbungen, Lieferscheine, Verträge als Dokument mit Makro, als Archiv oder als Link auf einen Download. Die Schadsoftware richtet einen Fernzugang ein, den Ransomware-Gruppen später kaufen oder selbst nutzen. Zwischen Klick und Verschlüsselung liegen oft Wochen.
-
CEO-Fraud und Zahlungsbetrug
Eine Mail, angeblich von der Geschäftsführung, verlangt eine dringende, vertrauliche Überweisung, oder ein Lieferant teilt eine neue Bankverbindung mit. Kein Anhang, kein Link, nur Druck und Vertrauen. Wie teuer ein einzelner Vorfall wird, zeigt der Beitrag CEO-Fraud: 120.000 € pro Vorfall auf jamorie.eu.
-
Kompromittierte Geschäftspartner
Die Mail kommt tatsächlich vom Postfach eines Lieferanten oder Kunden, dessen Konto übernommen wurde, als Antwort in einem echten Mailverlauf. SPF, DKIM und DMARC schlagen nicht an, weil der Absender echt ist. Hier helfen nur wache Mitarbeitende und Prozesse mit Rückruf über einen bekannten Kanal.
SPF, DKIM, DMARC und was sonst noch filtert
Technik nimmt den Mitarbeitenden einen Teil der Last ab: Sie stoppt gefälschte Absender, entschärft Anhänge und macht Ihre eigene Domäne für Fälscher unbrauchbar.
| Maßnahme | Was sie bewirkt | Worauf zu achten ist |
|---|---|---|
| SPF (Sender Policy Framework) | Ein DNS-Eintrag legt fest, welche Server im Namen Ihrer Domäne senden dürfen. Empfänger prüfen, ob die sendende Adresse dazugehört. | Alle legitimen Absender erfassen: Mailserver, Newsletter-Dienst, CRM, Ticketsystem, Drucker. Sonst landen eigene Mails im Spam. |
| DKIM (DomainKeys Identified Mail) | Ausgehende Mails werden kryptografisch signiert. Empfänger prüfen anhand eines öffentlichen Schlüssels im DNS, ob Absender und Inhalt unverändert sind. | Signatur für jeden sendenden Dienst einrichten, Schlüssel regelmäßig wechseln, Schlüssellänge nach Stand der Technik. |
| DMARC | Legt fest, was Empfänger mit Mails tun, die SPF und DKIM nicht bestehen: zustellen, Quarantäne oder Ablehnung. Liefert Berichte darüber, wer in Ihrem Namen sendet. | Schrittweise einführen: erst nur beobachten, Berichte auswerten, dann Quarantäne, dann Ablehnung. Ziel ist die Ablehnungsrichtlinie. |
| Filterung von Anhängen und Links | Gefährliche Dateitypen blockieren, Anhänge in einer isolierten Umgebung öffnen, Links beim Klick prüfen statt nur beim Empfang. | Auch Archive und Dokumente mit aktiven Inhalten erfassen; Ausnahmen für Fachbereiche befristen und dokumentieren. |
| Makros und aktive Inhalte sperren | Makros aus dem Internet werden zentral blockiert; wo sie gebraucht werden, nur signierte Makros aus vertrauenswürdigen Quellen. | Bedarf je Fachbereich erheben, Alternativen anbieten, Sperrung zentral durchsetzen. |
| Kennzeichnung externer Mails | Mails von außerhalb erhalten einen sichtbaren Hinweis im Betreff oder Text, damit angebliche interne Absender auffallen. | Kurz und eindeutig halten, sonst wird der Hinweis nach Wochen nicht mehr wahrgenommen. |
Zweifacher Nutzen: SPF, DKIM und DMARC schützen nicht nur Ihre Mitarbeitenden vor Mails, die angeblich vom Chef kommen, sondern auch Ihre Kunden und Lieferanten vor Mails, die angeblich von Ihnen kommen. Wer die drei Standards sauber betreibt, kann das in Lieferantenfragebögen und gegenüber Versicherern vorweisen.
Ein Meldeweg, den jeder kennt und niemand scheut
Kein Filter fängt alles. Die entscheidende Verteidigung ist eine Belegschaft, die verdächtige Mails schnell meldet, auch dann, wenn sie schon geklickt hat.
-
Ein Knopf im Mailprogramm
Ein Melde-Button in der Symbolleiste leitet die verdächtige Mail mit allen technischen Informationen an die zuständige Stelle weiter und entfernt sie aus dem Postfach. Kein Weiterleiten an eine Adresse, die niemand auswendig weiß.
-
Eine zuständige Stelle mit Reaktionszeit
IT, Informationssicherheit oder ein Dienstleister sichtet Meldungen innerhalb einer festgelegten Zeit, auch außerhalb der Bürozeiten für dringende Fälle. Wer meldet, bekommt eine Rückmeldung: Phishing, harmlos oder in Prüfung.
-
Reaktion auf bestätigte Fälle
Dieselbe Mail bei anderen Empfängern suchen und entfernen, verlinkte Adressen sperren, bei eingegebenen Zugangsdaten sofort Passwort zurücksetzen und Sitzungen beenden, bei geöffneten Anhängen das Gerät isolieren und prüfen. Abgestuft nach Schwere, mit dem Notfallplan verbunden.
-
Melden ist immer richtig
Wer geklickt und dann gemeldet hat, hat richtig gehandelt. Diese Haltung muss von der Geschäftsleitung kommen und in jeder Schulung wiederholt werden. Eine Meldung nach dem Klick rettet Stunden; Schweigen aus Scham kostet Wochen.
-
Kennzahlen führen
Anzahl der Meldungen, Anteil bestätigter Phishing-Mails, Zeit zwischen Empfang und Meldung, Meldequote bei Simulationen. Die Zahlen zeigen, ob der Meldeweg lebt, und sind Teil des Nachweises.
Trainings und Simulationen, die etwas verändern
Einmal jährlich ein Video ansehen erfüllt eine Pflicht, verändert aber kein Verhalten. Ein Awareness-Programm besteht aus mehreren Bausteinen, die sich über das Jahr verteilen.
-
Grundschulung
Beim Eintritt und jährlich: Wie Phishing aussieht, woran man es erkennt, was zu tun ist, wo der Melde-Button ist, was bei Passworteingabe oder Klick passiert. Kurz, konkret, mit Beispielen aus dem eigenen Unternehmen.
-
Auffrischungen
Mehrmals im Jahr kurze Impulse: eine aktuelle Angriffswelle, ein Beispiel aus dem eigenen Meldeaufkommen, eine neue Betrugsmasche. Wenige Minuten, aber regelmäßig, damit das Thema präsent bleibt.
-
Zielgruppen-Schulungen
Finanzen und Einkauf zu Zahlungsbetrug und Bankverbindungswechseln, Personal zu Bewerbungs-Phishing, Assistenzen zu CEO-Fraud, Administratoren zu gezielten Angriffen auf ihre Konten. Die Geschäftsleitung nimmt teil, wie § 38 BSIG es verlangt.
-
Phishing-Simulationen
Realistische, dem Unternehmen angepasste Test-Mails in unregelmäßigen Abständen. Gemessen wird die Meldequote, nicht die Klickrate allein. Wer klickt, erhält sofort eine kurze Lerneinheit, keine Rüge. Keine Namenslisten, keine Sanktionen.
-
Prozesse als Sicherheitsnetz
Vier-Augen-Prinzip für Zahlungen, Rückruf über eine bekannte Nummer bei Bankverbindungswechseln, keine Passworteingabe über Links aus Mails. Ein Prozess, der eine einzelne Mail nicht ausreichen lässt, schützt auch den, der sie geglaubt hat.
-
Führung sichtbar beteiligt
Die Geschäftsleitung spricht über das Thema, nimmt an Schulungen teil, meldet selbst verdächtige Mails und stellt klar, dass Melden erwünscht ist. Ohne diese Rückendeckung bleibt Awareness eine IT-Veranstaltung.
Awareness als Nachweis nach NIS2 § 30 BSIG
§ 30 BSIG nennt Cyberhygiene und Schulungen ausdrücklich. Was zählt, ist die Dokumentation: Konzept, Durchführung, Ergebnis, Verbesserung.
| Nachweis | Inhalt | Wofür |
|---|---|---|
| Schulungskonzept | Zielgruppen, Inhalte, Rhythmus, Verantwortliche, Erfolgsmessung. Von der Geschäftsleitung freigegeben. | Belegt, dass Schulungen geplant und nicht zufällig sind. |
| Teilnahmenachweise | Wer hat wann an welcher Schulung teilgenommen, einschließlich Geschäftsleitung und neuer Mitarbeitender. | Belegt die Durchführung und die Teilnahme der Geschäftsleitung nach § 38 BSIG. |
| Ergebnisse der Simulationen | Datum, Szenario, Klick- und Meldequote je Durchgang, Entwicklung über die Zeit, ohne Personenbezug. | Belegt die Wirksamkeitsmessung, wie § 30 BSIG sie für alle Maßnahmen verlangt. |
| Dokumentation des Meldewegs | Beschreibung des Melde-Buttons, der zuständigen Stelle, der Reaktionszeiten und der Reaktion auf bestätigte Fälle, dazu die Kennzahlen. | Belegt, dass Vorfälle erkannt und bewältigt werden können. |
| Technische Konfiguration | SPF-, DKIM- und DMARC-Einträge mit Richtlinie, Filterregeln, Makro-Sperrung, jeweils mit Datum der letzten Prüfung. | Belegt Cyberhygiene und E-Mail-Sicherheit gegenüber BSI, Auditor, Versicherer und Kunden. |
Wie gut ist Ihr Unternehmen gegen Phishing gewappnet?
Jedes Nein ist ein Weg, über den ein Angriff beginnen kann, ohne dass es jemand bemerkt.
- SPF, DKIM und DMARC sind für alle Domänen eingerichtet, und die DMARC-Richtlinie steht auf Quarantäne oder Ablehnung.
- Makros aus dem Internet sind zentral gesperrt, gefährliche Anhänge werden gefiltert, Links werden beim Klick geprüft.
- Jeder Mitarbeitende kann eine verdächtige Mail mit einem Klick melden und erhält eine Rückmeldung.
- Meldungen werden innerhalb einer festgelegten Zeit gesichtet, und bestätigte Fälle lösen definierte Maßnahmen aus.
- Alle Mitarbeitenden, einschließlich der Geschäftsleitung, wurden in den letzten zwölf Monaten geschult.
- Es gab in den letzten zwölf Monaten mindestens eine Phishing-Simulation, und die Meldequote ist bekannt.
- Zahlungen und Bankverbindungswechsel erfordern eine zweite Person und einen Rückruf über einen bekannten Kanal.
- Schulungskonzept, Teilnahmelisten und Simulationsergebnisse liegen dokumentiert vor.
Zu Phishing und Awareness
Reicht ein Spamfilter nicht gegen Phishing?
Er fängt den Massenversand ab, nicht die gezielte Mail an die Buchhaltung, die von einer echten, aber kompromittierten Adresse eines Lieferanten kommt und keinen schädlichen Anhang enthält. Gegen solche Mails helfen drei Dinge zusammen: technische Absicherung, damit gefälschte Absender auffallen, Mitarbeitende, die Verdachtsfälle erkennen und melden, und Prozesse, die eine einzelne Mail nicht zur Zahlung oder Passworteingabe ausreichen lassen.
Was bringt DMARC konkret?
DMARC legt fest, was empfangende Mailserver mit Mails tun sollen, die vorgeben, von Ihrer Domäne zu kommen, aber SPF und DKIM nicht bestehen: zustellen, in Quarantäne verschieben oder ablehnen. Mit einer Ablehnungsrichtlinie können Angreifer Ihre Domäne nicht mehr als Absender fälschen, was CEO-Fraud gegen Ihre eigenen Mitarbeitenden und Phishing gegen Ihre Kunden in Ihrem Namen deutlich erschwert. Dazu liefert DMARC Berichte, aus denen Sie sehen, wer in Ihrem Namen sendet.
Sind Phishing-Simulationen nicht demotivierend?
Nur, wenn sie als Falle angelegt sind. Eine gute Simulation ist angekündigt als Teil des Programms, nicht als Einzeltermin, bewertet die Organisation und nicht die Person, veröffentlicht keine Namen und belohnt das Melden, nicht das Nichtklicken. Die Kennzahl, die zählt, ist die Meldequote: Wie viele Mitarbeitende melden die Simulation, und wie schnell? Eine hohe Meldequote schützt auch dann, wenn jemand geklickt hat.
Wie oft sollten wir schulen?
Eine Grundschulung für alle Mitarbeitenden beim Eintritt und jährlich, kurze Auffrischungen mehrmals im Jahr, Simulationen in regelmäßigen, unregelmäßig verteilten Abständen und vertiefte Schulungen für exponierte Gruppen: Finanzen, Personal, Einkauf, Assistenzen der Geschäftsleitung, Administratoren. Die Geschäftsleitung selbst nimmt teil, weil § 38 BSIG das verlangt und weil sie das bevorzugte Ziel ist.
Was hat Awareness mit NIS2 zu tun?
§ 30 BSIG nennt Cyberhygiene und Schulungen in der Informationssicherheit ausdrücklich als Maßnahmenbereich, und § 38 verpflichtet die Geschäftsleitung, regelmäßig an Schulungen teilzunehmen. Nachweisbar wird das durch Schulungskonzept, Teilnahmelisten, Ergebnisse der Simulationen und die Dokumentation des Meldewegs. Diese Unterlagen sind zugleich das, was Versicherer und Auditoren sehen wollen.
Vertiefung zur Ransomware-Prävention
-
MFA und Zugangsschutz
Multi-Faktor-Authentifizierung überall, phishing-resistente Verfahren wie FIDO2, Least Privilege, Admin-Trennung, Dienstleisterzugänge und Passwortrichtlinie.
-
Backup nach 3-2-1
Offline- oder unveränderliche Kopie, getrennte Backup-Zugänge, Wiederherstellungstest mit Zeitmessung und warum Backups selbst Angriffsziel sind.
-
Ransomware-Prävention im Überblick
Bedrohungslage, Angriffskette, die zehn Maßnahmen, Bezug zu NIS2 und Cyberversicherung und der Reifegrad-Check auf der Startseite.
Tobias Mogk
Würde Ihre Belegschaft die nächste Phishing-Mail melden?
Im kostenlosen Erstgespräch prüfen wir Ihre technische Absicherung, Ihren Meldeweg und Ihr Schulungsprogramm gegen die Anforderungen aus § 30 BSIG und die Fragen der Versicherer. Sie erhalten eine Einschätzung und die nächsten Schritte.
- Prüfung von SPF, DKIM und DMARC für Ihre Domänen
- Konzept für Meldeweg und Reaktion
- Awareness-Programm mit Simulationen und Nachweisdokumentation
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen