Begriff
Phishing
Aktualisiert:
Phishing bezeichnet Nachrichten, die vorgeben, von einem vertrauenswürdigen Absender zu stammen, um an Zugangsdaten oder Geld zu kommen. Rechtschreibfehler taugen längst nicht mehr als Erkennungsmerkmal, heutige Nachrichten sind fehlerfrei und oft auf den Empfänger zugeschnitten. Verlässlich sind fünf andere Merkmale: künstlicher Zeitdruck, ein Linkziel, das nicht zum Absender passt, die Aufforderung zur Anmeldung, jede Abweichung vom üblichen Ablauf und ein unerwarteter Anhang. Eines davon genügt, um über einen zweiten Kanal nachzufragen.
Die fünf Merkmale, die bleiben
Erstens Zeitdruck ohne sachlichen Grund: „heute noch“, „Konto wird gesperrt“, „letzte Mahnung“. Zweitens ein Link, dessen tatsächliches Ziel nicht zum Absender passt; sichtbar wird es beim Darüberfahren mit der Maus, ohne zu klicken. Drittens die Aufforderung, sich anzumelden oder Daten zu bestätigen, obwohl man gerade nichts beantragt hat. Viertens eine Abweichung vom gewohnten Weg, etwa eine geänderte Bankverbindung, eine neue Telefonnummer oder ein Dienst, der plötzlich anders zahlen will. Fünftens ein Anhang, den niemand erwartet hat, besonders Rechnungen von unbekannten Absendern, Archive und Dokumente, die zum Aktivieren von Makros auffordern.
Die Spielarten
Klassisches Phishing kommt per Mail und lockt auf eine nachgebaute Anmeldeseite von Microsoft, der Bank oder einer Paketfirma. Gezieltes Phishing (Spear-Phishing) nennt den Empfänger beim Namen und bezieht sich auf einen echten Vorgang. Bei der Chef-Masche schreibt angeblich die Geschäftsführung an die Buchhaltung und verlangt eine eilige Überweisung. Es gibt auch Smishing per SMS und Vishing per Anruf, bei dem sich jemand als Techniker oder Bankmitarbeiter ausgibt. Gemeinsam ist allen, dass sie den Menschen überreden, nicht die Technik überwinden.
Die teuerste Variante ist die leiseste
Nicht die plumpe Massenmail richtet den Schaden an, sondern die Nachricht, die aussieht wie der Alltag: der bekannte Lieferant mit neuer Bankverbindung, die Geschäftsführung mit einer eiligen Überweisung. Manchmal ist vorher ein echtes Postfach übernommen worden, sodass die Mail im bestehenden Verlauf eintrifft. Dagegen hilft keine Software, sondern eine Regel: Jede Abweichung wird telefonisch geprüft, unter der Nummer, die man schon hat, nicht unter der aus der Mail.
Was technisch hilft
Technik fängt einen Teil ab und mildert den Rest. Dazu zählen Filter am Postfach, die Absenderprüfung der eigenen Domain (SPF, DKIM, DMARC), damit niemand im Namen des Betriebs Mails fälscht, und vor allem die Zwei-Faktor-Anmeldung: Wer sein Passwort auf einer falschen Seite eingibt, verliert damit nicht den Zugang, weil der zweite Faktor fehlt. Dazu getrennte Rechte, damit ein Klick nicht mit Administratorrechten läuft, und eine geprüfte Sicherung für den Fall, dass doch etwas durchkommt (siehe Ransomware).
Was bei einem Klick zu tun ist
Ruhe bewahren und nichts weiter eingeben. Wurde ein Passwort eingegeben, sofort ändern, und zwar nicht auf demselben Gerät, wenn dessen Zustand unklar ist; danach die aktiven Anmeldungen beenden. Wurde ein Anhang geöffnet, das Gerät vom Netz trennen und melden. Erst dann wird geklärt, was passiert ist. Die Schritte im Einzelnen beschreibt die Seite IT-Notfall; Hinweise zum Erkennen stehen im Beitrag Phishing-Mails erkennen.
Typische Fehler
Eine Schulung wird einmal gehalten und nie wiederholt. Es gibt keine Anlaufstelle, an die man verdächtige Mails schicken darf, ohne sich dumm vorzukommen. Der Betrieb verlässt sich auf den Spamfilter und merkt nicht, dass die gefährlichste Nachricht von einem echten, übernommenen Konto kam. Die Bankverbindung eines Lieferanten wird per Mail geändert, ohne dass jemand zurückruft. Und nach einem Vorfall wird niemandem Vorwürfe gemacht, aber auch nichts geändert, sodass es im nächsten Quartal wieder passiert.
In der Praxis
In einem Betrieb ohne eigene IT ist die wirksamste Maßnahme nicht eine Schulung, sondern eine schriftliche Regel für Zahlungen und Kontoänderungen, dazu die Zwei-Faktor-Anmeldung, damit ein abgefangenes Passwort allein nichts nützt. Beides zusammen kostet nichts außer einer Stunde Abstimmung und verhindert den größten Teil der Fälle, die vorkommen. Der zweite praktische Punkt ist eine Anlaufstelle: eine Person im Haus, an die jeder eine verdächtige Nachricht weiterleiten darf. Wo es sie nicht gibt, wird im Zweifel geklickt statt gefragt. Der IT-Sicherheitscheck für 490 € prüft unter anderem Postfachschutz und Anmeldung, und einzelne Fragen klären wir als Fernwartung für 95 € je Stunde.
Richtpreise, netto zzgl. USt. Stand: Oktober 2026 · IT-Betreuung Kosten
Der verbreitete Irrtum
„Unsere Leute erkennen so etwas.“ Menschen klicken, geschulte, aufmerksame, auch Sie, besonders freitags um 16 Uhr. Deshalb zählt die zweite Verteidigungslinie mehr als die erste: zweiter Faktor, getrennte Rechte, geprüfte Sicherung.
In Österreich: Wenn Zahlen und Zugänge betroffen sind
In Österreich häufen sich Nachrichten, die sich als Bank, Paketdienst, Finanzamt oder Sozialversicherung ausgeben, und Betriebe sind genauso Ziel wie Privatpersonen. Wird durch Phishing ein Postfach übernommen, in dem personenbezogene Daten liegen, ist das eine Datenschutzverletzung nach der DSGVO; eine Meldung an die Datenschutzbehörde (DSB) ist binnen 72 Stunden zu prüfen und, wenn ein Risiko für die Betroffenen besteht, auch vorzunehmen (Art. 33 DSGVO). Geld, das auf ein falsches Konto überwiesen wurde, lässt sich nur retten, wenn die Bank sofort verständigt wird, also noch am selben Tag. Betriebe, die als Zulieferer größerer Unternehmen arbeiten, werden zunehmend nach ihren Schutzmaßnahmen gefragt, mehr dazu im Beitrag NIS2 und Lieferkette.
Florin Feier aus Lenzing richtet Postfachschutz, Zwei-Faktor-Anmeldung und die Zahlungsregel für Betriebe in ganz Österreich meist per Fernwartung ein, bei Bedarf vor Ort, etwa in Linz, Wels, Gmunden, Vöcklabruck oder im Salzkammergut. Die passende Leistung ist IT-Sicherheit. Auskunft zu aktuellen Beratungsförderungen gibt die Wirtschaftskammer Oberösterreich.
Häufige Folgefragen
- Woran erkenne ich eine Phishing-Mail trotz fehlerfreiem Deutsch?
- Am Zeitdruck, am Linkziel und an der Abweichung vom gewohnten Ablauf, nicht am Stil. Fahren Sie mit der Maus über den Link, ohne zu klicken, und prüfen Sie, ob die Adresse zum Absender passt. Im Zweifel rufen Sie unter einer bekannten Nummer zurück.
- Was soll ich tun, wenn ich auf einen Link geklickt habe?
- Geben Sie nichts ein, schließen Sie die Seite und melden Sie es sofort. Falls schon Daten eingegeben wurden, ändern Sie das Passwort und beenden Sie alle aktiven Anmeldungen. Früh gemeldet ist ein Klick ein Ärgernis, spät gemeldet ein Vorfall.
- Schützt ein Spamfilter vor Phishing?
- Er fängt viele Massenmails, aber nicht alle. Gezielte Nachrichten und Mails aus übernommenen echten Konten kommen oft durch. Der Filter ist die erste Linie, der zweite Faktor die zweite.
- Ist ein Anruf von der Bank oder vom Support auch Phishing?
- Das kann sein. Beenden Sie das Gespräch und rufen Sie selbst unter der Nummer zurück, die Sie schon kennen. Eine echte Bank fragt nie nach Passwörtern oder Bestätigungscodes, und echter Support verlangt keine Fernsteuerung, die Sie nicht selbst beantragt haben.
Wollen Sie das für Ihren Betrieb klären? Sie können Ihren Fall zu IT-Sicherheit besprechen oder ein Angebot für IT-Sicherheit zusammenstellen.
Zum Weiterlesen: Die Vergleiche zwischen IT-Lösungen helfen bei der Entscheidung, die Checklisten für den Betrieb beim Abarbeiten.
Wir melden uns an Werktagen innerhalb von 24 Stunden.
So geht es weiter
- Wir lesen und ordnen ein
- Wir melden uns mit einer Einschätzung
- Erst danach entscheiden Sie
Wenn es eilt, rufen Sie an: +43 676 3808501