Phishing zählt zu den grössten Cyberbedrohungen für Unternehmen weltweit. Laut dem Acronis Cyberthreats Report für das 2. Halbjahr 2024 war Phishing mit 74 % der häufigste Angriffsvektor. Cyberkriminelle nutzen gezielte Manipulation, um sensible Daten zu stehlen, finanzielle Schäden zu verursachen oder sich unbefugt Zugang zu Unternehmensnetzwerken zu verschaffen. In diesem Artikel zeigen wir, wie Schulungsmassnahmen und technologische Schutzmechanismen helfen, diese Angriffe zu erkennen und abzuwehren.

Phishing – Eine unterschätzte Gefahr

Phishing ist eine raffinierte Form des digitalen Betrugs, bei der Cyberkriminelle gefälschte E-Mails, Webseiten oder Nachrichten in sozialen Netzwerken nutzen, um sensible Informationen wie Passwörter, Kreditkartendaten oder Unternehmenszugänge zu stehlen. Dabei geben sie sich gezielt als vertrauenswürdige Institutionen, Geschäftspartner:innen oder Mitarbeitende aus, um ihre Opfer zur Preisgabe vertraulicher Daten zu verleiten.

Neben klassischen Phishing-Mails haben sich weitere Angriffsformen etabliert: Smishing (SMS-Phishing) nutzt Kurznachrichten, um Empfänger:innen auf gefälschte Webseiten zu locken, während Vishing (Voice-Phishing) betrügerische Telefonanrufe einsetzt, um sensible Informationen zu erschleichen. Besonders perfide ist Business Email Compromise (BEC), bei dem Angreifende in legitime Unternehmenskommunikation eingreifen, um Zahlungen umzuleiten oder interne Systeme zu kompromittieren. Zudem wird Angler-Phishing über soziale Netzwerke immer beliebter – hier tarnen sich Kriminelle als Support-Mitarbeitende, um Nutzerdaten zu erbeuten.

Während Spam in erster Linie aus unerwünschter Werbung besteht, verfolgt Phishing ein kriminelles Ziel: den gezielten Diebstahl von Identitäten, Zugangsdaten oder finanziellen Ressourcen. Die Angriffe reichen von simpel gestalteten Betrugsmails bis hin zu hochentwickelten Täuschungsversuchen, die Deepfake-Technologien nutzen. Angesichts der stetig wachsenden Bedrohungslage ist eine ganzheitliche Sicherheitsstrategie unerlässlich, um Phishing-Angriffe frühzeitig zu erkennen und wirkungsvoll abzuwehren.

Erkennungsmerkmale von Phishing-Angriffen

Phishing-Attacken werden immer raffinierter. Früher konnten auffällige Grammatikfehler oder unprofessionelle Formulierungen als Warnsignale dienen, doch moderne Angriffe sind oft durch Künstliche Intelligenz (KI) optimiert und schwerer zu identifizieren. Dennoch gibt es Anzeichen, die helfen können:

  • Ungewöhnliche Absenderadressen: Phishing-Domains unterscheiden sich oft nur minimal von echten Unternehmensadressen. Beispielsweise könnte ein Betrüger „support@paypa1.com“ statt „support@paypal.com“ verwenden, um Vertrauen zu erschleichen.
  • Dringlichkeitsrhetorik: Formulierungen wie „Sofortige Aktion erforderlich“ setzen das Opfer unter Druck. Cyberkriminelle nutzen diese Taktik, um Menschen zu unüberlegten Handlungen zu verleiten, wie das Eingeben von Passwörtern oder das Öffnen von schädlichen Anhängen.
  • Falsche Links und Anhänge: Bevor Sie auf einen Link klicken, fahren Sie mit der Maus darüber, um die tatsächliche URL anzuzeigen. Häufig unterscheidet sie sich von der sichtbaren Adresse und kann zu einer betrügerischen Website führen.
  • Ungewöhnliche Kommunikationsweisen: Plötzliche Änderungen in der Ansprache oder Sprache können verdächtig sein. Wenn eine Führungskraft plötzlich eine vertrauliche Finanzüberweisung per E-Mail fordert oder eine Kolleg:in in ungewohnter Sprache schreibt, könnte es sich um eine Täuschung handeln.

Kreative Betrugsmethoden: Phishing wird immer raffinierter

Einige Phishing-Mails zeichnen sich durch kreative, aber auffällige Merkmale aus. Beispielsweise gibt es gefälschte E-Mails, die täuschend echt aussehende Antwortketten verwenden, um den Eindruck einer legitimen Korrespondenz zu erwecken.

Auch „Deepfake-Phishing“, bei dem KI-generierte Stimmen oder Videos verwendet werden, um sich als Führungskräfte oder Geschäftspartner:innen auszugeben, wird zunehmend genutzt. Fehlerhafte Übersetzungen wie „Für Ihren Schutz haben wir Ihre Kreditkarte aufgehangen“ oder unprofessionelle Begriffe wie „Açtion Required“ können Indizien sein. Darüber hinaus nutzen Angreifende emotionale Manipulation, indem sie Angst oder Neugier gezielt auslösen, um Opfer zu unüberlegtem Handeln zu bewegen.

Technologische Schutzmassnahmen gegen Phishing

Neben Sensibilisierung spielen technische Lösungen eine entscheidende Rolle in der Abwehr von Phishing-Angriffen. Unternehmen sollten verschiedene Sicherheitsmechanismen kombinieren:

  • E-Mail-Authentifizierung: Technologien wie DMARC, SPF und DKIM verhindern, dass Betrüger E-Mails im Namen eines Unternehmens versenden. Diese Mechanismen validieren die Echtheit des Absenders, indem sie prüfen, ob die empfangene E-Mail tatsächlich von einer autorisierten Quelle stammt.
  • DNS-Sicherheit: DNSSEC schützt vor Manipulationen an DNS-Einträgen und verhindert betrügerische Umleitungen. Dadurch wird sichergestellt, dass Nutzer:innen beim Aufruf einer legitimen Website nicht auf eine gefälschte, identisch aussehende Phishing-Seite umgeleitet werden.
  • Zwei-Faktor-Authentifizierung (2FA): Selbst wenn Zugangsdaten gestohlen werden, verhindert 2FA unbefugte Zugriffe. Besonders bei Cloud-Diensten und VPN-Zugängen reduziert diese Massnahme das Risiko von Account-Übernahmen erheblich.
  • KI-gestützte Bedrohungserkennung: Künstliche Intelligenz analysiert Muster in E-Mails und filtert verdächtige Nachrichten heraus. Moderne Systeme nutzen Machine Learning, um betrügerische Inhalte, Anomalien in der Kommunikation und verdächtige Anhänge automatisiert zu erkennen.

Mitarbeitendenschulungen als entscheidende Verteidigungslinie

Technische Massnahmen allein reichen nicht aus – der Mensch bleibt die letzte Verteidigungslinie gegen Phishing-Angriffe. Deshalb sind regelmässige Schulungen essenziell, um das Sicherheitsbewusstsein in Unternehmen zu stärken:

  • Phishing-Simulationen: Simulierte Angriffe helfen, Schwachstellen im Unternehmen zu identifizieren, indem sie zeigen, wie viele Mitarbeitende auf betrügerische E-Mails hereinfallen. Solche Tests ermöglichen es, gezielt Schulungsmassnahmen für gefährdete Nutzer:innen abzuleiten.
  • Interaktive Trainings: Praxisnahe Schulungen vermitteln, wie Phishing-Versuche erkannt und darauf richtig reagiert werden. Besonders effektive Trainings nutzen realistische Szenarien und spielerische Elemente, um die Aufmerksamkeit und das Erinnerungsvermögen der Mitarbeitenden zu steigern.
  • Etablierung klarer Meldewege: Unternehmen sollten definierte Prozesse einführen, um verdächtige Mails sofort an das IT Security Team weiterzuleiten.

Ganzheitlicher Schutz vor Phishing

Mit dem Security-Awareness-Programm von CONVOTIS stärken Unternehmen ihre Cyberabwehr nachhaltig. Cyberkriminelle setzen gezielt auf psychologische Manipulation, um Mitarbeitende zur Preisgabe sensibler Daten zu verleiten. Deshalb ist es entscheidend, Sicherheitsbewusstsein und Handlungskompetenz kontinuierlich zu stärken.

Durch interaktive Trainings, simulierte Angriffsszenarien und regelmässige Tests lernen Teams, Bedrohungen frühzeitig zu erkennen und angemessen darauf zu reagieren. Eine Unternehmenskultur, die auf Aufklärung statt Angst setzt, schafft ein effektives Sicherheitsbewusstsein und reduziert die Anfälligkeit für Cyberangriffe massgeblich.

Schützen Sie Ihr Unternehmen mit gezielter Security-Awareness. Lassen Sie sich jetzt beraten und stärken Sie Ihre Cyberabwehr nachhaltig.