Was ist Phishing?
Phishing sind gefälschte Nachrichten, mit denen Betrüger Empfänger dazu bringen wollen, Zugangsdaten preiszugeben, Geld zu überweisen oder Schadsoftware zu öffnen.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite4 Abschnitte
Einfach erklärt
Phishing heißt, dass Betrüger mit gefälschten Nachrichten an Zugangsdaten, Geld oder vertrauliche Informationen kommen wollen. Das Wort setzt sich laut BSI aus „Passwort“ und „Fishing“ zusammen: Die Mail ist der Köder, die nachgebaute Anmeldeseite der Haken. Typisch ist eine Nachricht, die aussieht wie von Ihrer Bank, von Microsoft, einem Paketdienst oder einem Lieferanten. Sie drängt zu einem schnellen Klick.
Woran Sie Phishing erkennen
- Zeitdruck: „Ihr Konto wird heute gesperrt“, „Zahlung bis 12 Uhr“.
- Ungewöhnliche Bitte: neue Bankverbindung, Kennwort bestätigen, Gutscheine kaufen.
- Link führt woanders hin: Halten Sie die Maus über den Link, ohne zu klicken. Das Mailprogramm zeigt dann die echte Adresse an. Passt sie nicht zum angeblichen Absender, ist Vorsicht geboten.
- Absender leicht verändert: etwa „ihre-flrma.de“ statt „ihre-firma.de“.
- Unerwarteter Anhang oder QR-Code: Auch ein QR-Code in einer Mail kann auf eine gefälschte Seite führen. Das BSI nennt das Quishing.
Was Sie tun können
- Im Zweifel nicht klicken, sondern beim Absender über einen bekannten Weg nachfragen, etwa unter der Telefonnummer aus Ihren Unterlagen.
- Verdächtige Mails Ihrem IT-Dienstleister melden, statt sie nur zu löschen. Dann lassen sich die anderen Postfächer prüfen.
- Wer schon geklickt und Daten eingegeben hat, ändert sofort das Passwort und sagt Bescheid. Je früher, desto kleiner der Schaden.
- Wichtige Konten mit Passkeys oder einer Zwei-Faktor-Authentifizierung schützen.
Was Technik nicht abfängt
Spamfilter erkennen viel, aber nicht alles. DMARC schützt nur Ihre eigene Domain vor Fälschung. Gegen ähnlich aussehende Domains und gegen echte, aber gekaperte Postfächer von Geschäftspartnern hilft nur Aufmerksamkeit. Auch ein Code per SMS schützt nicht, wenn die gefälschte Seite ihn sofort an die echte weiterreicht. Passkeys funktionieren dagegen nur auf der echten Seite.
Angriffswege
| Variante | Merkmal | Was technisch hilft |
|---|---|---|
| Massen-Phishing | allgemeiner Köder, nachgebaute Anmeldeseite | Mailfilter, Link-Prüfung, Passkeys |
| Spear-Phishing | auf Firma und Person zugeschnitten | Freigabeprozesse, Rückruf über bekannte Nummer |
| Echtzeit-Phishing (Adversary in the Middle) | Proxy zwischen Nutzer und echter Seite, leitet Passwort und Einmalcode weiter | phishingresistente Anmeldung mit Passkeys (FIDO2, WebAuthn) |
| Quishing | QR-Code statt Link, oft als Bild oder im PDF | Filter mit QR-Auswertung, Schulung |
| Smishing, Vishing | SMS oder Anruf statt Mail | Rückruf über bekannte Nummer |
Passkeys halten Echtzeit-Phishing stand, weil der Browser den Schlüssel an die Relying Party bindet, also an die Domain der echten Seite (W3C WebAuthn). Eine Phishing-Domain erhält keine gültige Signatur. SMS- und E-Mail-TAN sowie TOTP-Codes schützen nach der Bewertung des BSI nicht vor Phishing in Echtzeit.
Kopfzeilen lesen
Eine Phishing-Mail von einer ähnlichen Domain besteht oft alle Prüfungen, weil der Angreifer seine eigene Domain sauber einrichtet. Der Kopf Authentication-Results nach RFC 8601 zeigt, welche Domain tatsächlich geprüft wurde:
Authentication-Results: mx.ihre-firma.de;
spf=pass smtp.mailfrom=rechnung-ihre-flrma.de;
dkim=pass header.d=rechnung-ihre-flrma.de;
dmarc=pass header.from=rechnung-ihre-flrma.de
From: "Buchhaltung Ihre Firma" <buchhaltung@rechnung-ihre-flrma.de>
Reply-To: <zahlung@freemail.example>
pass heißt hier nur, dass die Mail wirklich von rechnung-ihre-flrma.de stammt. Über die Absicht sagt das nichts. Auffällig sind ein abweichendes Reply-To, frisch registrierte Domains und Links, deren Ziel nicht zur Absenderdomain passt.
Typische Fehler
- Jede Zwei-Faktor-Anmeldung für phishingfest halten. Gegen einen Proxy in Echtzeit helfen nur Verfahren mit Bindung an die Domain.
- Kein Meldeweg. Ohne Meldeknopf oder feste Adresse erfährt die IT von einer Welle erst, wenn jemand geklickt hat.
- Das Schloss im Browser als Echtheitsbeweis lehren. HTTPS zeigt nur, dass die Verbindung verschlüsselt ist, nicht, wem die Seite gehört.
- DMARC auf
p=none. Dann lassen sich auch Mails mit Ihrer exakten Domain fälschen, siehe Spoofing. - Gekaperte Partnerpostfächer übersehen. Eine Mail aus dem echten, aber übernommenen Postfach eines Lieferanten besteht SPF, DKIM und DMARC. Neue Bankverbindungen sollten deshalb immer telefonisch bestätigt werden.
Prüfen
grep -iE -A3 '^(Authentication-Results|From|Reply-To|Return-Path):' verdaechtig.eml
whois rechnung-ihre-flrma.de | grep -iE 'creat|regist'
Die Mail dafür mit vollständigem Kopf als .eml speichern, jedes Mailprogramm zeigt ihn über die Nachrichtenquelle an. whois liefert bei vielen Endungen das Registrierungsdatum. Bei .de zeigt es die Domainabfrage der DENIC im Web.