Wer auf einen Phishing-Link geklickt hat, ändert zuerst von einem anderen, sauberen Gerät das Kennwort des betroffenen Kontos und beendet alle Sitzungen; erst danach wird das Gerät geprüft. Nur geklickt, ohne etwas einzugeben, ist meist harmlos, ein eingegebenes Kennwort oder ein geöffneter Anhang erfordert dagegen schnelles Handeln. Sind personenbezogene Daten betroffen, ist die Datenschutzbehörde binnen 72 Stunden zu informieren.
Wie Sie solche Mails vorab erkennen, steht in Phishing-Mails erkennen. Dieser Beitrag beginnt, wenn es bereits passiert ist.
Zuerst: Was genau ist passiert?
Die richtige Reaktion hängt von drei möglichen Fällen ab. Fall A: Sie haben die Mail nur geöffnet. Dann ist in aller Regel nichts geschehen, löschen Sie sie und melden Sie sie intern. Fall B: Sie haben auf den Link geklickt, aber auf der Seite nichts eingegeben. Dann kann die Seite versucht haben, etwas herunterzuladen oder Ihr Gerät auszuspähen; das Gerät wird geprüft, die Kennwörter bleiben vorerst. Fall C: Sie haben ein Kennwort, einen Code oder Bankdaten eingegeben, oder einen Anhang geöffnet. Das ist der Ernstfall, und alles Weitere gilt dafür. Ehrlichkeit gegenüber sich selbst ist hier der entscheidende Schritt, auch wenn er unangenehm ist.
Die Sofortmaßnahmen in dieser Reihenfolge
Erstens: Ändern Sie das Kennwort des betroffenen Kontos, aber nicht am verdächtigen Rechner, sondern an einem anderen Gerät, etwa dem Handy im Mobilfunknetz. Zweitens: Beenden Sie alle aktiven Anmeldungen des Kontos (bei Microsoft 365 und Google gibt es dafür die Funktion „Überall abmelden“). Drittens: Schalten Sie die Zwei-Faktor-Anmeldung ein, falls noch nicht geschehen (Zwei-Faktor-Authentifizierung). Viertens: Prüfen Sie im Postfach die Weiterleitungsregeln, dazu mehr in E-Mail-Postfach gehackt. Fünftens: Ändern Sie dasselbe Kennwort überall, wo Sie es sonst verwendet haben. Sechstens: Haben Sie Bankdaten eingegeben, rufen Sie sofort Ihre Bank an.
Das Gerät: trennen, prüfen, nicht weiterarbeiten
Wurde ein Anhang geöffnet oder ein Programm installiert, trennen Sie das Gerät vom Netzwerk, indem Sie das Kabel ziehen oder das WLAN ausschalten, und schalten Sie es nicht aus, solange Verdacht auf Verschlüsselungssoftware besteht (dazu Ransomware im Betrieb). Arbeiten Sie nicht weiter, auch wenn alles normal aussieht, denn Schadsoftware arbeitet gerade im Verborgenen. Ein Virenscan allein gibt keine Sicherheit; bei begründetem Verdacht ist die sicherste Lösung, das Gerät neu aufzusetzen, wofür die Daten aus der Sicherung zurückkommen sollten.
Meldepflicht: nur bei personenbezogenen Daten, dann binnen 72 Stunden
Nicht jeder Phishing-Klick ist meldepflichtig. Die Pflicht nach Art. 33 DSGVO entsteht, wenn personenbezogene Daten betroffen sind (Kunden-, Mitarbeiter- oder Lieferantendaten) und die Verletzung voraussichtlich ein Risiko für die betroffenen Personen bedeutet. Dann ist die Datenschutzbehörde (DSB) binnen 72 Stunden ab Kenntnis zu informieren. War nur ein Postfach mit Kundenmails offen für Fremde, kann das genügen. Wichtig ist die Dokumentation: Wann wurde es bemerkt, was ist passiert, was wurde unternommen. Auch wenn Sie nicht melden, halten Sie schriftlich fest, warum nicht. Im Zweifel fragen Sie jemanden, bevor die Frist abläuft.
Danach: Was Sie ändern, damit es nicht wieder passiert
Aus einem Vorfall wird nützliche Erfahrung, wenn drei Dinge folgen. Erstens Zwei-Faktor für alle Konten, damit ein erbeutetes Kennwort allein nicht mehr genügt. Zweitens eine kurze Absprache im Betrieb, wohin verdächtige Mails gemeldet werden, ohne dass sich jemand schämen muss. Drittens ein Blick auf die Technik: Spamfilter, aktuelle Updates, Berechtigungen. Einen Überblick, wie gut der Betrieb aufgestellt ist, gibt der IT-Sicherheits-Selbsttest, eine gründliche Prüfung der IT-Sicherheitscheck für 490 €, siehe IT-Sicherheit in der kleinen Firma. Wie solche Mails aufgebaut sind, erklärt der Glossareintrag Phishing.
Fehler, die den Schaden vergrößern
Drei Reaktionen verschlimmern die Lage häufig. Erstens: aus Scham schweigen. Je länger niemand davon weiß, desto länger hat ein Angreifer Zeit. Ein Betrieb, in dem man einen Klick melden kann, ohne Vorwürfe zu hören, ist im Vorteil. Zweitens: dasselbe Kennwort am betroffenen Rechner ändern, wo es der Angreifer womöglich mitliest. Drittens: den Rechner „bereinigen“ und weiterarbeiten, ohne zu prüfen, ob etwas nachgeladen wurde. Die ruhige Reihenfolge von oben ist besser als hektisches Handeln in der falschen Reihenfolge.
Wie ein Angriff mit Lieferanten-Rechnung abläuft
Ein verbreitetes Muster: Eine Mail, scheinbar von einem bekannten Lieferanten, enthält eine Rechnung als Link. Wer klickt, landet auf einer nachgebauten Anmeldeseite, gibt sein Postfach-Kennwort ein, und damit sitzt der Angreifer im Konto. Einige Tage später schreibt er in Ihrem Namen an Kunden eine Rechnung mit geänderter Kontonummer. Die Sofortmaßnahmen schneiden diesen Ablauf ab; entscheidend ist, dass sie vor dem ersten Gespräch mit den Kunden stehen.
In Österreich: DSB, Kammer, Hilfe vor Ort
Zuständige Aufsicht für die Meldung ist die Datenschutzbehörde mit Sitz in Wien; die Meldung erfolgt über deren Online-Formular. Bei Betrug mit Geldverlust kommt eine Anzeige bei der Polizei hinzu, bei Fragen zu Vorsorge und Beratung hilft die WKO Oberösterreich. Florin Feier aus Lenzing kann in akuten Fällen per Fernwartung sofort mit anschauen, was auf dem Gerät und im Konto passiert ist, und kommt bei Bedarf vor Ort, etwa nach Salzburg, Linz, Wels, Vöcklabruck oder Gmunden. Einzelhilfe ohne Vertrag gibt es unter IT-Hilfe, Notfälle unter IT-Notfall.
Häufige Folgefragen
- Reicht es, das Kennwort zu ändern, wenn ich nur geklickt habe?
- Wenn Sie nichts eingegeben haben, genügt meist eine Gerätekontrolle; das Kennwort ändern Sie zur Sicherheit trotzdem, es kostet zwei Minuten. Wichtig ist, es nicht am verdächtigen Gerät zu tun.
- Muss ich jeden Klick der Datenschutzbehörde melden?
- Nein, nur Verletzungen, bei denen personenbezogene Daten betroffen sind und ein Risiko für die betroffenen Personen besteht. Im Zweifel dokumentieren Sie die Entscheidung und holen Rat ein, bevor die 72 Stunden ablaufen.
- Woran merke ich, dass jemand mein Postfach übernommen hat?
- Typisch sind Mails im Gesendet-Ordner, die Sie nicht geschrieben haben, unbekannte Weiterleitungsregeln, Anmeldungen aus fremden Ländern in der Kontoaktivität und Rückfragen von Kontakten zu seltsamen Nachrichten. Das Vorgehen steht in E-Mail-Postfach gehackt.
- Was kostet Hilfe im Akutfall?
- Einzelhilfe ohne Vertrag kostet 95 € je Stunde per Fernwartung, Einsätze vor Ort 120 € je Stunde zuzüglich Anfahrt. Wer schon in der laufenden Betreuung ist, ruft einfach an.
- Soll ich die Mail löschen oder aufheben?
- Heben Sie sie auf, zum Beispiel in einem eigenen Ordner, und löschen Sie sie erst nach der Klärung. Die Mail enthält Absenderdaten und Links, mit denen sich der Vorfall einordnen lässt.
Kurz gesagt: Kennwort vom sauberen Gerät ändern, Sitzungen beenden, Zwei-Faktor einschalten, dann das Gerät prüfen. Meldepflichtig ist nur, was personenbezogene Daten betrifft, und dann binnen 72 Stunden.
Wollen Sie das für Ihren Betrieb klären? Sie können Ihren Fall zu IT-Sicherheit besprechen oder ein Angebot für IT-Sicherheit zusammenstellen.
Zum Weiterlesen: Die Vergleiche zwischen IT-Lösungen helfen bei der Entscheidung, die Checklisten für den Betrieb beim Abarbeiten.
Von Florin Feier · · Aktualisiert:
Wir melden uns an Werktagen innerhalb von 24 Stunden.
So geht es weiter
- Wir lesen und ordnen ein
- Wir melden uns mit einer Einschätzung
- Erst danach entscheiden Sie
Wenn es eilt, rufen Sie an: +43 676 3808501
In Ihrer Nähe: IT-Sicherheit in Lenzing · IT-Sicherheit in Timelkam · IT-Sicherheit in Kirchdorf an der Krems