Phishing erkennen: Wie Betrugsversuche funktionieren und wie du dich schützt

Eine Mail landet im Postfach: „Ihr Konto wird in 24 Stunden gesperrt. Bitte bestätigen Sie jetzt Ihre Daten.“ Darunter ein Knopf, der aussieht wie von der eigenen Bank. Ein Klick, eine Eingabe, und die Zugangsdaten gehören jemand anderem. Der Betrug dauert nur Sekunden.

Phishing gehört zu den häufigsten Wegen, auf denen Angreifer in Unternehmen gelangen. Die Firewall aus dem Beitrag Firewall verstehen kann hier wenig tun, denn der Mensch öffnet die Tür selbst. In diesem Beitrag lernst du, wie die Täuschung funktioniert, woran du sie erkennst und was du tust, wenn es doch passiert ist.

Was ist Phishing?

Phishing (ein Wortspiel aus „Fishing“, Angeln, und „Password“) ist der Versuch, Menschen durch gefälschte Nachrichten zu Handlungen zu verleiten, die dem Angreifer nützen: Zugangsdaten preisgeben, Geld überweisen oder Schadsoftware öffnen. Es gehört zum Social Engineering, der Manipulation von Menschen statt von Technik. Im Beitrag IT-Sicherheit Grundlagen stand es schon in der Liste der typischen Bedrohungen.

Womit Angreifer arbeiten

Phishing funktioniert, weil es menschliche Reaktionen ausnutzt, nicht weil seine Opfer unvorsichtig wären. Die häufigsten Hebel:

Hebel	Wie er wirkt	Beispiel
Dringlichkeit	Zeitdruck verhindert Nachdenken	„Handeln Sie innerhalb von 24 Stunden“
Angst	Drohung mit Verlust oder Strafe	„Ihr Konto wird gesperrt“
Autorität	Anweisungen von Chefs oder Behörden werden selten hinterfragt	Mail im Namen der Geschäftsführung
Neugier	Etwas Unerwartetes wird geöffnet	„Ihre Rechnung“, „Foto von gestern“
Hilfsbereitschaft	Der Wunsch, Kollegen zu unterstützen	„Kannst du mir kurz einen Gefallen tun?“
Gier	Versprechen von Gewinn oder Vorteil	„Sie haben einen Gutschein gewonnen“

Die Varianten

Variante	Kanal	Besonderheit
Phishing	E-Mail	Massenversand an viele Empfänger
Spear-Phishing	E-Mail	Auf eine Person oder kleine Gruppe zugeschnitten, mit echten Details
Whaling	E-Mail	Zielt auf Führungskräfte
CEO-Fraud (Business Email Compromise)	E-Mail	Vorgetäuschte Anweisung der Chefetage, Geld zu überweisen
Smishing	SMS und Messenger	Kurze Nachrichten mit Link, zum Beispiel falsche Paketbenachrichtigungen
Vishing	Telefon	Anrufer geben sich als Support oder Bank aus
Quishing	QR-Code	Der QR-Code verbirgt den Link, den man in der Mail nicht prüfen kann

Gemeinsam ist allen: Es kommt eine unerwartete Nachricht, die Handlung verlangt, und die Frage „Stimmt das wirklich?“ wird durch Druck abgekürzt.

Woran du Phishing erkennst

Der Absender

Der angezeigte Name lässt sich frei wählen. „Beispielbank Service“ kann von jedem stammen. Wichtig ist die Adresse dahinter, und zwar der Teil nach dem @. Passt die Domain nicht zum angeblichen Absender, ist Vorsicht geboten. Auch eine abweichende Antwortadresse (Reply-To) ist ein Hinweis.

Die Domain richtig lesen

Domains werden von rechts nach links gelesen, wie im Beitrag DNS verstehen beschrieben. Die Endung (zum Beispiel .de) steht ganz rechts, davor der registrierte Name, und alles links davon sind frei wählbare Unterbereiche. Dieser Aufbau ist das wichtigste Werkzeug, um Links zu prüfen. Vier Beispiele mit erfundenen Namen:

Adresse	Echte Domain	Bewertung
https://www.beispielbank.de/login	beispielbank.de	In Ordnung, wenn dies die Bank ist
https://www.beispielbank.de.sicher-login.example/	sicher-login.example	Verdächtig. „beispielbank.de“ steht nur als Unterbereich vorn, die Seite gehört dem Inhaber von sicher-login.example
https://beispielbank-sicherheit.de/	beispielbank-sicherheit.de	Verdächtig. Eine andere Domain, die nur ähnlich klingt
https://beispie1bank.de/	beispie1bank.de	Verdächtig. Eine Ziffer 1 statt des Buchstabens l (Tippfehler-Domain)

Der Trick mit dem Unterbereich im zweiten Beispiel wirkt besonders gut, weil das Auge den bekannten Namen sofort findet. Gelesen wird aber immer von rechts bis zum ersten Schrägstrich. Eine einfache Prüfung mit Python zeigt das Prinzip. Die Regel „letzte zwei Teile“ ist dabei vereinfacht und gilt nicht für Endungen mit zwei Teilen wie co.uk. Für echte Prüfungen nutzt man die Public Suffix List:

from urllib.parse import urlparse

urls = [
    "https://www.beispielbank.de/login",
    "https://www.beispielbank.de.sicher-login.example/",
    "https://beispielbank-sicherheit.de/",
    "https://login.beispielbank.de/",
]
for url in urls:
    host = urlparse(url).hostname
    labels = host.split(".")
    print(f"{host:45} → Domain: {'.'.join(labels[-2:])}")

Die Ausgabe zeigt zu jeder Adresse die echte Domain, etwa sicher-login.example für das zweite Beispiel. Die Domain-Aufteilung hilft auch bei Links in Mails: Fahre mit der Maus über den Link, ohne zu klicken, und lies die Zieladresse in der Statusleiste. Bei QR-Codes zeigen viele Kamera-Apps die Zieladresse vor dem Öffnen an.

Inhalt und Anhang

• Unerwartet und dringend: Eine Nachricht, die du nicht erwartet hast und die sofortiges Handeln verlangt.
• Unpersönliche Anrede: „Sehr geehrter Kunde“ statt deines Namens. Bei gezieltem Spear-Phishing fehlt dieser Hinweis allerdings.
• Aufforderung zu Zugangsdaten, Zahlungen oder Codes: Seriöse Stellen fragen nie per Mail nach Passwörtern oder nach Einmalcodes aus der MFA-App.
• Ungewöhnliche Anhänge: HTML-Dateien, komprimierte Archive, Dateien mit doppelter Endung wie rechnung.pdf.exe oder Office-Dokumente, die zum Aktivieren von Makros auffordern.
• Ungewöhnlicher Zahlungsweg: Eine neue Kontonummer, Gutscheinkarten, Kryptowährung.

Verlasse dich nicht auf Rechtschreibfehler. Früher waren sie ein verlässliches Zeichen. Heute lassen sich fehlerfreie, täuschend echte Texte in jeder Sprache erzeugen, und gute Phishing-Mails sind sprachlich perfekt.

Den Mail-Kopf prüfen

Wer es genau wissen will, schaut in die Kopfzeilen (Header) der Mail. Im Mailprogramm gibt es dafür Punkte wie „Original anzeigen“ oder „Header anzeigen“. Ein erfundenes Beispiel:

From: "Geschäftsführung" <chef@firma-gf.example>
Return-Path: <bounce@mailer.sicher-login.example>
Authentication-Results: mx.firma.example;
    spf=fail; dkim=none; dmarc=fail

Hier passen Absender (From) und technischer Rückweg (Return-Path) nicht zusammen, und die drei Prüfungen SPF, DKIM und DMARC sind fehlgeschlagen. Mehr dazu im nächsten Abschnitt.

Technische Schutzmaßnahmen

Der Mensch ist die letzte Verteidigungslinie, aber nicht die einzige. Technik fängt vieles ab, bevor es ankommt:

Maßnahme	Wie sie hilft
SPF, DKIM, DMARC	Prüfen, ob eine Mail wirklich vom angegebenen Absender kommt, und legen fest, was bei Fälschungen passiert
Mailfilter und Anhangsprüfung	Sortieren Spam und Schadsoftware aus, öffnen Anhänge in einer geschützten Umgebung (Sandbox)
Makros aus dem Internet blockieren	Verhindert, dass Office-Dokumente aus Mails automatisch Code ausführen
DNS-Filter und Webfilter	Blocken bekannte Schadseiten, auch wenn jemand auf den Link klickt
Passwortmanager	Füllt Zugangsdaten nur auf der echten Domain aus. Bleibt das Feld leer, ist das ein Warnsignal
Phishing-resistente MFA (FIDO2, Passkeys)	Funktioniert auf gefälschten Seiten nicht, wie im Beitrag MFA verstehen beschrieben
Geringste Rechte	Ein übernommenes Konto richtet weniger Schaden an, siehe Authentifizierung und Autorisierung
Backup nach 3-2-1	Rettet Daten, falls Schadsoftware doch ausgeführt wurde

SPF, DKIM und DMARC: Wie Mail-Absender geprüft werden

Alle drei Verfahren nutzen das DNS, das du aus dem Beitrag DNS verstehen kennst, genauer die TXT-Records:

• SPF (Sender Policy Framework) listet auf, welche Server für eine Domain Mails verschicken dürfen. Ein Eintrag sieht zum Beispiel so aus: v=spf1 ip4:203.0.113.25 -all. Er erlaubt nur den Server 203.0.113.25 und lehnt alle anderen ab.
• DKIM (DomainKeys Identified Mail) signiert Mails digital. Der Empfänger prüft die Signatur mit einem öffentlichen Schlüssel aus dem DNS und erkennt, ob die Mail unterwegs verändert wurde.
• DMARC legt fest, wie Empfänger mit Mails umgehen sollen, die SPF oder DKIM nicht bestehen: zum Beispiel in Quarantäne schieben oder ablehnen. Außerdem schickt es dem Domaininhaber Berichte.

Ob für eine Domain ein DMARC-Eintrag existiert, siehst du mit einer DNS-Abfrage. Als Beispiel mit der Platzhalter-Domain example.com:

nslookup -type=TXT example.com
dig +short TXT _dmarc.example.com

Der erste Befehl zeigt die TXT-Einträge der Domain, in denen der SPF-Eintrag steht. Der zweite fragt den DMARC-Eintrag ab. Fehlen diese Einträge bei der eigenen Firmendomain, können Betrüger sie leichter fälschen. Die Einrichtung gehört zu den Aufgaben des Administrators.

Was tun bei Verdacht?

1. Nicht klicken, nichts öffnen, nicht antworten. Auch kein „Abmelden“-Link.
2. Über einen anderen Weg nachfragen. Ruf den angeblichen Absender unter einer Nummer an, die du selbst kennst, nicht unter einer, die in der Nachricht steht.
3. Melden. Leite die Mail an die IT oder das Meldepostfach weiter, am besten als Anhang, so bleiben die Kopfzeilen erhalten.
4. Löschen, wenn die IT es bestätigt hat.

Wenn es doch passiert ist

Fast jeder fällt irgendwann einmal auf eine gut gemachte Täuschung herein. Entscheidend ist, wie schnell das gemeldet wird. Die Reaktion nach einem Klick oder einer Eingabe:

Situation	Sofortmaßnahme
Link geklickt, nichts eingegeben	IT informieren. Das Gerät auf Auffälligkeiten prüfen lassen
Zugangsdaten eingegeben	Sofort die IT informieren. Das Passwort von einem sauberen Gerät ändern, aktive Sitzungen beenden, MFA prüfen. Wurde dasselbe Passwort anderswo benutzt, dort ebenfalls ändern
Anhang geöffnet, Makros aktiviert	Gerät sofort vom Netz trennen (Kabel ziehen, WLAN aus), nicht ausschalten und nicht weiterarbeiten, IT informieren
Geld überwiesen	Sofort die Bank kontaktieren und die Überweisung zurückrufen lassen, Geschäftsleitung und IT informieren. Hier zählen Stunden
MFA-Code weitergegeben	Sofort die IT informieren, Sitzungen beenden und Passwort ändern

Die IT folgt dann einem festen Ablauf, den man als Incident Response bezeichnet: erkennen, eindämmen, beseitigen, wiederherstellen und daraus lernen. Das Eindämmen kann auch bedeuten, Netze zu trennen, damit sich ein Angreifer nicht weiter ausbreitet. Wie das funktioniert, zeigt der nächste Beitrag.

Menschen und Abläufe: Die organisatorische Seite

• Meldekultur ohne Schuldzuweisung. Wer einen Fehler meldet, wird gelobt, nicht bestraft. Wer sich schämt, schweigt, und dann wird es teuer.
• Vier-Augen-Prinzip bei Zahlungen. Überweisungen ab einem Schwellwert, und jede Änderung von Kontodaten, werden von einer zweiten Person freigegeben und per Rückruf geprüft.
• Kurze, regelmäßige Schulungen mit echten Beispielen, auch für Führungskräfte.
• Übungsmails (Simulationen) können Aufmerksamkeit schaffen, sollten aber als Lernangebot dienen und nicht als Falle.
• Klare Regel zu Codes und Passwörtern: Niemand fragt dich je nach deinem Passwort oder deinem MFA-Code, auch nicht der Support.

Eine Rechnung zeigt, warum sich Schulung lohnt. Bei 80 Mitarbeitern und einer Klickrate von 12 Prozent klicken knapp 10 Personen auf einen Phishing-Link (80 × 0,12 = 9,6). Sinkt die Rate durch Training auf 4 Prozent, sind es nur noch gut 3 (80 × 0,04 = 3,2). Jeder verhinderte Klick ist ein möglicher Vorfall weniger. Noch wichtiger als eine niedrige Klickrate ist eine hohe Meldequote, denn gemeldete Mails warnen auch alle anderen.

Praxisbeispiel: Der Chef-Betrug in der Buchhaltung

Eine Mitarbeiterin der Buchhaltung bekommt eine Mail, die scheinbar vom Geschäftsführer stammt: „Bitte überweise heute noch 28.500 Euro an diese neue Kontoverbindung. Es ist eilig und vertraulich, sprich mit niemandem darüber. Ich bin in Terminen und telefonisch nicht erreichbar.“ Die Warnzeichen:

Merkmal	Warnzeichen
Absenderadresse	Domain weicht leicht ab (zum Beispiel firma-gf.example statt der echten Firmendomain)
Dringlichkeit und Geheimhaltung	„Heute noch“, „vertraulich“, „sprich mit niemandem“
Neue Kontoverbindung	Unbekanntes Konto, keine bestehende Rechnung
Nicht erreichbar	Verhindert die Rückfrage
Ungewöhnlicher Weg	Der Chef gibt Zahlungen sonst nie per Mail an Einzelne

Die Firma hat dafür eine klare Regel: Ab 5.000 Euro prüfen zwei Personen die Zahlung, und bei jeder neuen oder geänderten Kontoverbindung ruft die Buchhaltung unter der bekannten Nummer des Auftraggebers zurück. Die Mitarbeiterin hält sich daran, ruft den Geschäftsführer unter seiner Mobilnummer aus dem Telefonbuch an, und der weiß von nichts. Sie leitet die Mail an die IT weiter. Der Schaden von 28.500 Euro ist ausgeblieben, und das Meldepostfach hat zudem alle Kolleginnen und Kollegen gewarnt.

Typische Fehler und Missverständnisse

• Nur auf Rechtschreibfehler achten. Moderne Phishing-Mails sind sprachlich perfekt.
• Dem Anzeigenamen trauen. Er sagt nichts. Prüfe die Adresse und die Domain.
• Links aus Mails für den Login nutzen. Besser: die Seite selbst aufrufen, über ein Lesezeichen oder die App.
• „Unser Spamfilter fängt alles.“ Kein Filter ist perfekt, vor allem gezielte Mails kommen durch.
• Die Reply-To-Adresse nicht prüfen. Die Antwort geht dann an den Betrüger.
• Gutscheinkarten oder ungewöhnliche Zahlungen auf Anweisung besorgen. Das ist ein klassisches Betrugsmuster.
• Nach einem Klick schweigen. Die ersten Minuten entscheiden über den Schaden.
• Nur Mitarbeiter schulen, Führungskräfte nicht. Sie sind bevorzugte Ziele und haben die meisten Rechte.
• MFA-Codes am Telefon oder per Mail weitergeben. Das ist die häufigste Art, MFA zu umgehen.
• Phishing nur als Mail-Thema sehen. Es kommt auch per SMS, Messenger, Telefon und QR-Code.

Zum Üben

1. Nenne drei psychologische Hebel, die Phishing ausnutzt.
2. Welche ist die echte Domain in https://login.beispielbank.de.pruefung-online.example/?
3. Worin unterscheiden sich Phishing, Spear-Phishing und Whaling?
4. Was ist Quishing?
5. Wofür stehen SPF, DKIM und DMARC, und wo werden sie hinterlegt?
6. Du hast auf einen Link geklickt und dein Passwort eingegeben. Was tust du?
7. 80 Mitarbeiter, 15 Prozent klicken auf einen Phishing-Link. Wie viele sind das?
8. Warum widerstehen FIDO2-Sicherheitsschlüssel Phishing?

Lösungen: (1) Zum Beispiel Dringlichkeit, Angst, Autorität, Neugier, Hilfsbereitschaft, Gier. (2) pruefung-online.example. Von rechts: Endung .example, davor der Name pruefung-online, alles davor sind Unterbereiche. (3) Phishing geht als Massenmail an viele. Spear-Phishing ist auf eine Person oder Gruppe zugeschnitten. Whaling zielt auf Führungskräfte. (4) Phishing über QR-Codes, die den Link verbergen. (5) SPF listet die erlaubten Absenderserver, DKIM signiert Mails, DMARC legt den Umgang mit Fälschungen fest. Alle drei stehen als TXT-Records im DNS der Domain. (6) Sofort die IT informieren, das Passwort von einem sauberen Gerät ändern, aktive Sitzungen beenden, die MFA prüfen und das Passwort auch bei anderen Diensten ändern, wo es verwendet wurde. (7) 80 × 0,15 = 12 Personen. (8) Der Schlüssel ist an die Webadresse gebunden und antwortet nur der echten Domain.

Das solltest du dir merken

• Phishing täuscht Menschen durch gefälschte Nachrichten, um Zugangsdaten, Geld oder Zugriff zu erbeuten. Es nutzt Dringlichkeit, Angst, Autorität, Neugier und Hilfsbereitschaft.
• Es gibt viele Varianten: Phishing, Spear-Phishing, Whaling, CEO-Fraud, Smishing, Vishing und Quishing.
• Prüfe Absenderadresse, Link-Ziel und Domain. Domains liest du von rechts nach links.
• Verlasse dich nicht auf Rechtschreibfehler. Seriöse Stellen fragen nie nach Passwörtern oder MFA-Codes.
• SPF, DKIM und DMARC, Filter, Passwortmanager und phishing-resistente MFA fangen vieles ab.
• Bei Verdacht: nicht klicken, über einen zweiten Weg prüfen, melden. Nach einem Klick: sofort die IT informieren.
• Zahlungen brauchen ein Vier-Augen-Prinzip und einen Rückruf bei Kontoänderungen. Eine Meldekultur ohne Schuldzuweisung begrenzt den Schaden.

Selbst bei guter Vorbeugung kann ein Angreifer irgendwo hineingelangen. Dann zählt, wie weit er kommt. Wie du Netze so trennst, dass ein einzelner Vorfall begrenzt bleibt, zeigt der letzte Beitrag dieser Reihe: Netzwerksegmentierung.