Die E-Mail sah völlig normal aus
„Sehr geehrter Herr Müller, anbei finden Sie die aktualisierte Rechnung für November. Bitte überweisen Sie den Betrag bis zum 15. des Monats." – So begann die E-Mail, die einem meiner Kunden fast 47.000 Euro gekostet hätte.
Der Absender? Angeblich der langjährige Lieferant. Die E-Mail-Adresse? Auf den ersten Blick korrekt. Der Anhang? Eine perfekt gefälschte PDF-Rechnung mit korrekter Kundennummer, richtiger Anschrift und plausiblem Betrag. Nur die Bankverbindung war anders.
Phishing ist 2026 nicht mehr amateurhaft. Es ist eine hochprofessionelle Industrie, die mit KI-Tools arbeitet, die Mails verfasst, die selbst Sicherheitsexperten ins Grübeln bringen.
Was Phishing eigentlich ist – und warum es funktioniert
Phishing ist der Versuch, über gefälschte E-Mails, Websites oder Nachrichten an vertrauliche Informationen zu gelangen – Passwörter, Bankdaten, Zugangsdaten zu Unternehmenssystemen.
Es funktioniert, weil es menschliche Psychologie ausnutzt:
- Zeitdruck: „Ihr Konto wird in 24 Stunden gesperrt"
- Autorität: „Die Geschäftsführung bittet Sie dringend..."
- Angst: „Ungewöhnliche Aktivität auf Ihrem Konto erkannt"
- Neugier: „Ihre Bestellung wurde versendet" (obwohl Sie nichts bestellt haben)
- Gier: „Sie haben gewonnen!" oder „Bonuszahlung freigegeben"
Die 10 Merkmale gefährlicher E-Mails
1. Die Absenderadresse stimmt nicht ganz
Das ist immer noch der zuverlässigste Check. Aber Vorsicht: Angreifer nutzen Adressen wie:
- support@amaz0n.de (Null statt O)
- rechnung@telekom-service.net (echte Domain: telekom.de)
- info@deutsche-bank-sicherheit.com (Subdomain-Trick)
Tipp: Klicken Sie auf den Absendernamen und prüfen Sie die tatsächliche E-Mail-Adresse dahinter. Im Zweifel: Rufen Sie beim vermeintlichen Absender an – aber nutzen Sie die Nummer von der offiziellen Website, nicht die aus der E-Mail.
2. Ungewöhnliche Anrede oder falsche Personalisierung
„Sehr geehrter Kunde" statt Ihres Namens? Oder Ihr Name ist korrekt, aber der Firmenname falsch? Beides ist verdächtig. Moderne Phishing-Mails nutzen allerdings Daten aus LinkedIn und anderen Quellen, um persönlich zu wirken.
3. Dringlichkeit und Zeitdruck
„Sofort handeln", „innerhalb von 24 Stunden", „Ihr Konto wird gesperrt" – legitime Unternehmen setzen Sie selten unter extremen Zeitdruck per E-Mail. Wenn eine E-Mail Panik erzeugen will, ist das ein Warnsignal.
4. Links zu gefälschten Websites
Hovern Sie mit der Maus über Links (nicht klicken!). Die URL in der Statusleiste sollte zur erwarteten Domain gehören. Achten Sie auf:
- Zusätzliche Wörter: login-sparkasse-sicherheit.com
- Andere Top-Level-Domain: sparkasse.com.ru
- Leicht veränderte Schreibweise: sparkase.de
5. Unerwartete Anhänge
Besonders gefährlich sind:
- .exe, .bat, .cmd, .scr – Ausführbare Dateien (niemals öffnen!)
- .docm, .xlsm – Office-Dateien mit Makros
- .zip, .rar – Komprimierte Dateien (verstecken oft Malware)
- .pdf – Kann JavaScript enthalten oder zu Fake-Login-Seiten führen
6. Fehlerhafte Sprache – aber nicht immer
Früher war schlechtes Deutsch ein klares Zeichen. 2026 ist das anders. KI-Tools wie ChatGPT erzeugen perfektes Deutsch. Trotzdem: Achten Sie auf subtile Fehler, ungewöhnliche Formulierungen oder einen Stil, der vom üblichen Ton des Absenders abweicht.
7. Aufforderung zur Eingabe sensibler Daten
Keine seriöse Bank, kein Provider und kein Dienstleister fordert Sie per E-Mail auf, Passwörter, PINs oder TANs einzugeben. Niemals. Wenn eine E-Mail das tut, ist sie Phishing.
8. Abweichende Bankverbindung
Bei Rechnungen per E-Mail: Vergleichen Sie die Bankverbindung immer mit früheren Rechnungen. Hat sich die IBAN geändert? Rufen Sie beim Absender an und bestätigen Sie die Änderung telefonisch.
9. Zu gute Angebote oder unerwartete Gewinne
„Sie haben 500 € Guthaben", „Kostenlose iPhone-Verlosung", „Exklusiver Mitarbeiter-Bonus" – wenn es zu gut klingt, um wahr zu sein, ist es das meistens auch.
10. Fehlende oder gefälschte Signatur
Seriöse Geschäfts-E-Mails haben eine vollständige Signatur mit Name, Position, Telefonnummer und Firmenanschrift. Fehlt diese oder wirkt sie unprofessionell? Vorsicht.
Was tun bei Phishing-Verdacht?
- Nicht klicken, nicht antworten, keine Anhänge öffnen
- E-Mail melden – an Ihre IT-Abteilung oder Ihren IT-Dienstleister
- Absender verifizieren – über einen separaten Kanal (Telefon, persönlich)
- E-Mail löschen oder in Quarantäne verschieben
- Wenn Sie geklickt haben: Sofort Passwörter ändern, IT informieren, Systeme prüfen lassen
Phishing-Schutz für Unternehmen: Technische Maßnahmen
Neben der Sensibilisierung der Mitarbeiter gibt es technische Schutzmaßnahmen, die Phishing-Mails gar nicht erst in den Posteingang lassen:
E-Mail-Authentifizierung einrichten
- SPF (Sender Policy Framework): Definiert, welche Server E-Mails für Ihre Domain versenden dürfen
- DKIM (DomainKeys Identified Mail): Digitale Signatur für ausgehende E-Mails
- DMARC (Domain-based Message Authentication): Bestimmt, was mit nicht authentifizierten E-Mails passiert
Diese drei Protokolle zusammen reduzieren die Wahrscheinlichkeit, dass jemand E-Mails in Ihrem Namen fälscht, um über 99%.
Weitere technische Schutzmaßnahmen
- E-Mail-Gateway mit KI-basierter Erkennung (z.B. Microsoft Defender for Office 365)
- Link-Rewriting: URLs in E-Mails werden beim Klick durch einen Sicherheits-Proxy geleitet
- Sandbox-Analyse: Anhänge werden in einer isolierten Umgebung geöffnet und geprüft
- Impersonation Protection: Erkennt, wenn jemand sich als Geschäftsführer oder Lieferant ausgibt
Security Awareness Training: Der wichtigste Schutz
Technik allein reicht nicht. Der Mensch ist die letzte Verteidigungslinie – und gleichzeitig die größte Schwachstelle. Regelmäßige Schulungen sind Pflicht:
- Simulierte Phishing-Mails versenden und auswerten
- Quartalsweise Kurzschulungen (15-20 Minuten)
- Gamification: Belohnungen für das Melden verdächtiger E-Mails
- Aktualisierung: Neue Angriffsmethoden vorstellen (KI-generierte Deepfake-Mails, Voice-Phishing)
Fun Fact: Unternehmen, die regelmäßig simulierte Phishing-Tests durchführen, reduzieren die Klickrate auf echte Phishing-Mails um bis zu 80% innerhalb eines Jahres.
Fazit: Gesunde Skepsis ist Ihr bester Schutz
Phishing wird immer raffinierter, aber die Grundregeln bleiben gleich: Vertrauen Sie nicht blind, prüfen Sie Absender und Links, und melden Sie verdächtige E-Mails. Kombiniert mit technischen Schutzmaßnahmen und regelmäßigen Schulungen machen Sie es Angreifern deutlich schwerer.
Sie möchten den Phishing-Schutz in Ihrem Unternehmen verbessern? Wir bieten Security Awareness Trainings und simulierte Phishing-Kampagnen speziell für KMU. Lassen Sie uns sprechen.
