Phishing ist eine der häufigsten und gefährlichsten Bedrohungen für Unternehmen und Privatpersonen. Dabei versuchen Kriminelle, durch gefälschte E-Mails, Websites oder Nachrichten an vertrauliche Informationen zu gelangen.

Phishing setzt auf Täuschung und Zeitdruck, nicht auf Technik. Ein einziger unbedachter Klick kann reichen – deshalb ist Ihre Aufmerksamkeit die wichtigste Verteidigung.

Der Begriff "Phishing" ist eine Kombination aus "Password" und "Fishing" - Kriminelle "angeln" nach Ihren Passwörtern und vertraulichen Daten. Weltweit fallen täglich Millionen Menschen auf Phishing-Angriffe herein!

Was ist das Ziel von Phishing? Cyberkriminelle wollen: • Zugangsdaten (Passwörter, Benutzernamen) • Bankdaten und Kreditkarteninformationen • Persönliche Daten (Ausweis, Geburtsdatum, etc.) • Firmendaten und Geschäftsgeheimnisse • Zugang zu Unternehmenssystemen • Installation von Schadsoftware (Ransomware, Trojaner, Spyware)

Wie funktioniert Phishing?

1. Täuschung – Die E-Mail sieht aus wie von einer bekannten Quelle (Bank, Chef, Kollege, DHL, etc.).
2. Dringlichkeit – Zeitdruck wird erzeugt ("Ihr Konto wird gesperrt!", "Dringende Zahlung erforderlich!").
3. Aktion – Sie sollen auf einen Link klicken, einen Anhang öffnen oder Daten eingeben.
4. Schaden – Malware wird installiert, Daten werden gestohlen oder Geld wird überwiesen.

Phishing-Angriffe werden immer professioneller! Während früher E-Mails voller Rechtschreibfehler waren, sind moderne Phishing-Mails kaum von echten Nachrichten zu unterscheiden. Sogar Vorgesetzte, Kollegen oder Geschäftspartner werden perfekt imitiert.

Arten von Phishing:

E-Mail-Phishing (klassisch)

Massen-E-Mails an viele Empfänger, oft mit gefälschtem Absender (Bank, Paketdienst, etc.).

Spear-Phishing (gezielt)

Individuelle Angriffe auf bestimmte Personen mit personalisiertem Inhalt – oft mit Namen, Abteilung, aktuellen Projekten.

Whaling (CEO-Fraud)

Angriffe auf Führungskräfte. E-Mail sieht aus, als käme sie vom CEO, und fordert dringende Überweisung.

Smishing (SMS-Phishing)

Phishing per SMS, z.B. "Ihr Paket wartet", "Kontosperrung", "Gewinn abholen".

Vishing (Voice-Phishing)

Telefonbetrug, bei dem sich Kriminelle als Bank, IT-Support oder Microsoft ausgeben.

Clone-Phishing

Eine echte E-Mail wird kopiert, die Links durch schädliche ersetzt und erneut versendet.

Real-World-Beispiel: CEO-Fraud Ein Mitarbeiter der Finanzabteilung erhält eine E-Mail vom "CEO":

"Betreff: DRINGEND - Vertrauliche Überweisung Von: geschaeftsfuehrung@firma-de.com (beachte: .com statt .de!)

Hallo [Vorname],

ich bin gerade in einem Meeting und kann nicht telefonieren. Wir müssen dringend eine vertrauliche Zahlung für eine Übernahme tätigen. Bitte überweisen Sie 50.000 € an folgendes Konto: IBAN: DE... Verwendungszweck: Projekt Blauwal

Dies ist hochvertraulich, sprechen Sie mit niemandem darüber!

Danke, [Name des echten CEO]"

Problem: Die E-Mail ist gefälscht! Der echte CEO weiß nichts davon. Folge: Das Geld ist weg und kann selten zurückgeholt werden.[/EXAMPLE]

Warum ist Phishing so gefährlich? • Nur ein einziger Klick kann reichen, um Malware zu installieren • Gestohlene Zugangsdaten ermöglichen Zugriff auf Firmensysteme • Finanzielle Schäden durch betrügerische Überweisungen • Datenlecks können zu DSGVO-Verstößen führen • Rufschädigung des Unternehmens • Ransomware kann gesamte Unternehmensnetzwerke lahmlegen

Goldene Regel: Im Zweifel NICHT klicken! Bei verdächtigen E-Mails gilt: ✓ Pause machen und nachdenken ✓ Absender genau prüfen ✓ Links NICHT anklicken ✓ Anhänge NICHT öffnen ✓ Bei Unsicherheit: IT-Abteilung oder Vorgesetzten fragen

Moderne Phishing-E-Mails werden immer professioneller, aber es gibt typische Warnzeichen, die Sie kennen sollten.

Verlassen Sie sich nie auf ein einzelnes Warnzeichen. Prüfen Sie mehrere Merkmale zusammen – vor allem den echten Absender und die tatsächliche Link-URL.

10 Warnzeichen für Phishing-E-Mails:

1. Verdächtiger Absender

E-Mail-Adresse leicht verändert (paypa1.com) oder Anzeigename passt nicht zur Domain.

2. Unpersönliche Anrede

"Sehr geehrter Kunde", "Lieber Nutzer" oder gar keine Anrede.

3. Dringlichkeit & Angstmache

"Konto wird in 24 Stunden gesperrt!", "Handeln Sie sofort!".

4. Verdächtige Links

Angezeigte URL weicht von der tatsächlichen ab, Tippfehler, IP-Adressen, URL-Shortener.

5. Unerwartete Anhänge

.exe, .zip, Office-Dateien mit Makros, doppelte Endungen (rechnung.pdf.exe).

6. Rechtschreibfehler

Tippfehler, schlechte Übersetzungen – aber moderne Mails sind oft fehlerfrei!

7. Frage nach Daten

Aufforderung, Passwort, PIN, TAN oder Kreditkartennummer einzugeben.

8. Ungewöhnlicher Inhalt

Paket, das Sie nie bestellt haben; Gewinn ohne Teilnahme; Rechnung für nichts.

9. Fehlende Signatur

Kein Impressum, keine Adresse, keine Telefonnummer.

10. Bauchgefühl

"Irgendwas stimmt nicht" – Ihr Instinkt ist oft richtig.

1. Verdächtiger Absender • E-Mail-Adresse sieht ähnlich aus, ist aber leicht verändert Beispiel: "support@paypa1.com" (1 statt l) oder "info@ama2on.com" • Absendername stimmt, aber E-Mail-Adresse nicht (Name: "Deutsche Bank", Adresse: "xyz@gmail.com") • Unbekannte oder ungewöhnliche Domain • Absenderadresse ändert sich, wenn Sie darauf klicken

Trick: Anzeigename vs. tatsächliche E-Mail-Adresse In vielen E-Mail-Programmen wird nur der Anzeigename gezeigt: Angezeigt: "IT-Support <support@firma.de>" Tatsächlich: "IT-Support <hacker@bösedomain.com>"

Immer die tatsächliche E-Mail-Adresse prüfen (Cursor auf Absender halten oder Details anzeigen)![/WARNING]

2. Unpersönliche Anrede • "Sehr geehrter Kunde" (statt Ihres Namens) • "Lieber Nutzer" • "Hallo Mitarbeiter" • Keine Anrede

Ausnahme: Auch echte Unternehmen verwenden manchmal allgemeine Anreden. Dies ist daher nur EIN Indiz, kein Beweis!

3. Dringlichkeit und Angstmache • "Ihr Konto wird in 24 Stunden gesperrt!" • "Letzte Mahnung! Zahlen Sie sofort!" • "Sicherheitsproblem! Handeln Sie jetzt!" • "Sie haben nur noch 1 Stunde Zeit!" • "Klicken Sie sofort, sonst verlieren Sie den Zugang!"

Merke: Echte Unternehmen setzen Sie nie unter extremen Zeitdruck. Seriöse Banken oder Behörden geben Ihnen ausreichend Zeit und fordern Sie nicht auf, sofort zu handeln.

4. Verdächtige Links • Hovern Sie mit dem Mauszeiger über den Link (NICHT klicken!) • Die angezeigte URL unterscheidet sich von der tatsächlichen URL • URL enthält Tippfehler oder seltsame Zeichen Beispiel: "www.paypa1.com", "www.deutsche-bank-sicherheit.xyz" • Link führt zu IP-Adresse statt Domain (z.B. http://192.168.1.1) • Sehr lange, kryptische URL mit vielen Parametern • URL-Shortener (bit.ly, tinyurl) bei unerwarteten E-Mails

Link-Täuschung - Sieht harmlos aus, ist aber gefährlich!

Angezeigt: "https://www.deutsche-bank.de/login" Tatsächlich: "https://www.deutsche-bank-sicherheit-login-check.xyz/login"

Wie erkennen? • Maus ÜBER den Link bewegen (nicht klicken!) • In der Statusleiste am unteren Fensterrand erscheint die echte URL • Bei mobilen Geräten: Link lange antippen (erscheint als Vorschau)[/EXAMPLE]

5. Unerwartete Anhänge • Anhänge von unbekannten Absendern • Dateitypen: .exe, .zip, .rar, .scr, .bat, .cmd, .js • Office-Dokumente (.doc, .docx, .xls, .xlsx) mit Makros • PDF-Dateien mit Links • Doppelte Dateiendungen (z.B. rechnung.pdf.exe)

6. Rechtschreib- und Grammatikfehler • Viele Tippfehler • Ungewöhnliche Formulierungen • Schlechte Übersetzungen (oft aus dem Englischen) • Falsche Umlaute (ä, ö, ü werden durch ae, oe, ue ersetzt)

Achtung: Moderne Phishing-E-Mails haben kaum noch Fehler! KI-Tools wie ChatGPT werden von Kriminellen genutzt, um perfekte Texte zu erstellen. Verlassen Sie sich daher nicht allein auf dieses Kriterium!

7. Forderung nach vertraulichen Daten • Aufforderung, Passwort einzugeben • Frage nach PIN, TAN, Kreditkartennummer • Bitte um Übermittlung persönlicher Dokumente (Ausweis, etc.) • Nachfrage nach Zugangsdaten

Merke: Keine seriöse Organisation fragt per E-Mail nach Ihrem Passwort! Auch nicht: ✗ Ihre Bank ✗ PayPal, Amazon, eBay ✗ Ihre IT-Abteilung ✗ Microsoft, Apple, Google ✗ Finanzamt, Behörden

8. Ungewöhnlicher Inhalt • E-Mail passt nicht zum angeblichen Absender • Thema ist nicht relevant für Sie (z.B. Paketbenachrichtigung, obwohl Sie nichts bestellt haben) • Gewinnbenachrichtigung für Gewinnspiel, an dem Sie nie teilgenommen haben • Rechnung für Artikel, die Sie nicht gekauft haben

9. Fehlende oder gefälschte Signatur • Keine Kontaktdaten, Impressum, Adresse • Allgemeine Signatur ohne konkrete Angaben • Fehlende Telefonnummer oder E-Mail-Adresse

10. Gefühl sagt "irgendwas stimmt nicht" • Ihr Bauchgefühl ist oft richtig! • Wenn etwas zu schön klingt, um wahr zu sein, ist es das meist auch • Bei Unsicherheit: Immer nachfragen!

Typische Phishing-E-Mail - Paketbenachrichtigung

"Betreff: Ihr Paket konnte nicht zugestellt werden

Sehr geehrter Kunde,

leider konnten wir Ihre Sendung mit der Nummer 123456789 nicht zustellen, da Sie nicht zu Hause waren.

Bitte klicken Sie hier, um einen neuen Zustelltermin zu vereinbaren: → [LINK]

Wenn Sie nicht innerhalb von 48 Stunden reagieren, wird das Paket an den Absender zurückgeschickt.

Ihr DHL Team"

Warnzeichen: ✗ Unpersönliche Anrede ("Sehr geehrter Kunde") ✗ Sie haben gar nichts bestellt ✗ Zeitdruck (48 Stunden) ✗ Link führt zu seltsamer Domain (nicht dhl.de) ✗ Keine Sendungsnummer, die zu DHL passt[/EXAMPLE]

Checkliste: Ist die E-Mail echt oder Phishing?

□ Absender-Adresse korrekt? (nicht nur Name, auch Domain!) □ Persönliche Anrede mit Ihrem Namen? □ Erwarten Sie diese E-Mail? □ Keine Dringlichkeit oder Drohungen? □ Link zeigt korrekte URL? (Maus drüber halten, nicht klicken!) □ Keine Aufforderung, Passwörter oder Daten einzugeben? □ Rechtschreibung und Grammatik korrekt? □ Absender könnte über andere Kanäle kontaktiert werden (Telefon)?

Bei einem NEIN → Vorsicht! Nicht klicken, IT-Abteilung fragen![/TIP]

Wenn Sie eine verdächtige E-Mail erhalten, befolgen Sie diese Schritte:

Bei Verdacht gilt: Nicht klicken, melden, nicht löschen. Und wenn Sie doch geklickt haben: sofort das Gerät trennen und ehrlich die IT informieren – Schnelligkeit begrenzt den Schaden.

Sofortmaßnahmen:

1. NICHT klicken! • Keine Links anklicken • Keine Anhänge öffnen • Nicht auf "Antworten" klicken • Keine Formulare ausfüllen

2. E-Mail markieren und melden • Als Spam/Phishing markieren • An Ihre IT-Abteilung oder Security-Team weiterleiten • Kollegen warnen, wenn Sie denken, dass auch andere betroffen sein könnten

Interne Meldewege: Jedes Unternehmen sollte einen klaren Prozess haben. Fragen Sie Ihre IT-Abteilung: • An welche E-Mail-Adresse soll ich Phishing-Mails weiterleiten? • Gibt es einen Button "Phishing melden" in meinem E-Mail-Programm? • Wen kann ich bei Fragen anrufen?

3. NICHT löschen (zunächst) • Lassen Sie die E-Mail für Analysen stehen • IT-Abteilung kann daraus lernen und andere Mitarbeiter schützen • Nach Rücksprache mit IT: Dann löschen

Was tun, wenn Sie bereits geklickt haben?

ALARM - Sie haben geklickt? Handeln Sie SOFORT!

1. Gerät vom Netzwerk trennen (sofort!) – WLAN ausschalten, Netzwerkkabel ziehen. Verhindert die Ausbreitung von Malware im Firmennetzwerk.
2. IT-Abteilung informieren (dringend!) – Anrufen (nicht per E-Mail!), schildern, was passiert ist. Keine Angst vor Konsequenzen – Ehrlichkeit ist wichtig!
3. Passwörter ändern – Falls Zugangsdaten eingegeben: von einem ANDEREN, sicheren Gerät aus. Auch bei anderen Diensten mit gleichem Passwort.
4. Dokumentieren – Was angeklickt, welche Daten eingegeben, wann genau? Screenshot der E-Mail (falls möglich).
5. System überprüfen lassen – IT scannt das Gerät auf Malware, ggf. wird es neu aufgesetzt. Danach alle Passwörter erneut ändern.

Realfall: Mitarbeiter klickt auf Phishing-Link

Situation: Ein Mitarbeiter erhält eine E-Mail vom "HR-Team" mit der Aufforderung, seine persönlichen Daten zu aktualisieren. Er klickt auf den Link und gibt Benutzername und Passwort ein.

Was er richtig macht: ✓ Sofort nach dem Login merkt er: "Das sah komisch aus" ✓ Er trennt sein Laptop vom WLAN ✓ Er ruft die IT-Abteilung an (nicht E-Mail!) ✓ Er ist ehrlich und schildert alles

Was die IT-Abteilung tut: ✓ Passwort wird sofort zurückgesetzt ✓ Account wird temporär gesperrt ✓ Alle Aktivitäten werden überprüft ✓ Laptop wird auf Malware überprüft ✓ Andere Mitarbeiter werden gewarnt ✓ Zugang zu sensiblen Systemen wird überprüft

Ergebnis: Durch schnelles Handeln konnte größerer Schaden verhindert werden. Der Mitarbeiter erhält keine Konsequenzen, sondern wird für sein schnelles und ehrliches Handeln gelobt.[/EXAMPLE]

Allgemeine Verhaltensregeln:

DO's: ✓ Zweimal überlegen, einmal klicken ✓ Bei Unsicherheit: Fragen! ✓ Verdächtige E-Mails melden ✓ Kollegen warnen ✓ Ehrlich sein, wenn Sie einen Fehler gemacht haben ✓ Absender über andere Kanäle kontaktieren (Telefon, persönlich) ✓ Regelmäßig E-Mail-Adresse und URL prüfen

DON'Ts: ✗ Voreilig klicken aus Zeitdruck ✗ Aus Angst vor Konsequenzen schweigen ✗ Fehler vertuschen ✗ Passwörter per E-Mail versenden ✗ Auf Links in unerwarteten E-Mails klicken ✗ Anhänge von unbekannten Absendern öffnen ✗ Zugangsdaten eingeben, ohne URL zu prüfen

Goldene Regel der IT-Sicherheit: "Es ist besser, einmal zu viel nachzufragen, als einmal zu wenig!"

Niemand wird Sie für Vorsicht kritisieren. Im Gegenteil - Sie schützen damit das gesamte Unternehmen![/TIP]

Test: Können Sie Phishing erkennen?

Ihre IT-Abteilung führt möglicherweise Phishing-Simulationen durch: • Sie erhalten Test-E-Mails, um Ihre Aufmerksamkeit zu schulen • Diese sind harmlos, aber sehen echt aus • Ziel: Training, nicht Bestrafung • Wenn Sie durchfallen: Schulung, keine Konsequenzen

Warum Phishing-Tests? Studien zeigen: Durch regelmäßige Phishing-Simulationen sinkt die Klickrate von 30% auf unter 5%. Das schützt Ihr Unternehmen effektiv vor realen Angriffen!

Wie können Sie sich und Ihr Unternehmen vor Phishing schützen?

Schutz entsteht aus drei Ebenen zusammen: Technik (Filter, 2FA), Organisation (Meldewege, 4-Augen-Prinzip) und Ihr Verhalten. Die Zwei-Faktor-Authentifizierung allein verhindert 99,9% der Angriffe.

Technische Maßnahmen

Spam-Filter, E-Mail-Authentifizierung (SPF, DKIM, DMARC), Antivirus, Firewall, Link-Schutz, 2FA.

Organisatorische Maßnahmen

Schulungen, Phishing-Simulationen, klare Meldewege, 4-Augen-Prinzip, Incident-Response-Plan.

Persönliche Maßnahmen

Absender kritisch prüfen, starke einzigartige Passwörter, Passwort-Manager, HTTPS beachten.

1. Technische Schutzmaßnahmen

E-Mail-Sicherheit: ✓ Spam-Filter und Anti-Phishing-Tools nutzen ✓ E-Mail-Authentifizierung (SPF, DKIM, DMARC) ✓ Sandbox-Funktion für Anhänge ✓ Link-Schutz aktiviert (URLs werden vor dem Klicken geprüft) ✓ Automatische Warnungen bei externen E-Mails

Endpoint-Schutz: ✓ Aktuelle Antiviren-Software ✓ Firewall aktiviert ✓ Betriebssystem und Software immer aktuell (Auto-Update) ✓ Browser-Schutz gegen Phishing-Websites ✓ Makros in Office-Dokumenten standardmäßig deaktiviert

Zugangsschutz: ✓ Zwei-Faktor-Authentifizierung (2FA) überall, wo möglich ✓ Starke, einzigartige Passwörter für jeden Dienst ✓ Passwort-Manager verwenden ✓ Regelmäßiger Passwortwechsel (alle 3-6 Monate) ✓ Keine Passwörter weitergeben oder notieren

Zwei-Faktor-Authentifizierung (2FA): Selbst wenn ein Hacker Ihr Passwort stiehlt, kann er ohne den zweiten Faktor (z.B. SMS-Code, App, Hardware-Token) nicht auf Ihr Konto zugreifen. Dies verhindert 99,9% aller Phishing-Angriffe!

2. Organisatorische Maßnahmen

Schulung und Awareness: ✓ Regelmäßige Security-Awareness-Trainings ✓ Phishing-Simulationen durchführen ✓ Newsletter mit aktuellen Bedrohungen ✓ Poster und Erinnerungen im Büro ✓ Onboarding für neue Mitarbeiter

Prozesse und Richtlinien: ✓ Klare Meldewege für Phishing ✓ "4-Augen-Prinzip" bei Finanztransaktionen ✓ Überweisungen immer telefonisch bestätigen lassen ✓ Keine sensiblen Daten per E-Mail versenden ✓ Richtlinie für Umgang mit Anhängen und Links

Incident Response: ✓ Notfallplan für Phishing-Vorfälle ✓ Klare Ansprechpartner (IT-Security-Team) ✓ Schnelle Reaktion bei Verdachtsfällen ✓ Regelmäßige Überprüfung und Anpassung

Häufiger Fehler: "Das passiert uns nicht!" Viele Unternehmen unterschätzen die Gefahr. Statistik: 90% aller Cyberangriffe beginnen mit einer Phishing-E-Mail! JEDES Unternehmen ist gefährdet, unabhängig von Größe oder Branche.

3. Persönliche Schutzmaßnahmen

E-Mail-Hygiene: ✓ Absender immer kritisch prüfen ✓ Links und Anhänge nur öffnen, wenn erwartet ✓ Bei Unsicherheit: Telefon statt E-Mail ✓ Verdächtige E-Mails sofort melden ✓ Keine Auto-Vorschau für E-Mails

Passwort-Sicherheit: ✓ Für jeden Dienst ein anderes Passwort ✓ Mindestens 12 Zeichen: Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen ✓ Keine persönlichen Daten im Passwort (Geburtsdatum, Name, etc.) ✓ Passwort-Manager nutzen (z.B. 1Password, LastPass, Bitwarden) ✓ Keine Passwörter auf Post-Its oder in Notizbüchern

Browser-Sicherheit: ✓ Nur HTTPS-Websites vertrauen (Schloss-Symbol) ✓ Lesezeichen für wichtige Seiten (Bank, Shop) nutzen, nicht Google ✓ Cookies regelmäßig löschen ✓ Private/Inkognito-Modus für sensible Aktivitäten ✓ Browser immer aktuell halten

Mobile Sicherheit: ✓ Apps nur aus offiziellen Stores (Apple App Store, Google Play) ✓ Berechtigungen kritisch prüfen ✓ Öffentliche WLANs nur mit VPN nutzen ✓ Bildschirmsperre aktivieren ✓ Gerät verschlüsseln

Sichere Passwörter erstellen - die Satz-Methode

Schlechtes Passwort: "Max1234" → zu kurz, zu einfach, leicht zu erraten

Gutes Passwort: Merksatz: "Mein erster Hund hieß Bello und wurde 2015 geboren!" Passwort: "MeHhBuw2015g!"

• 14 Zeichen lang
• Groß- und Kleinbuchstaben
• Zahlen und Sonderzeichen
• Leicht zu merken, schwer zu knacken

Noch besser: Passwort-Manager nutzen! Generiert und speichert automatisch sichere, einzigartige Passwörter.[/EXAMPLE]

4. Verifikation und Rückfragen

Bei verdächtigen E-Mails: ✓ Absender über bekannten Kanal kontaktieren (nicht über Reply!) ✓ Offizielle Website direkt aufrufen (über Lesezeichen oder Google, nicht über Link in E-Mail) ✓ Telefonnummer aus offiziellem Impressum nutzen ✓ Bei firmeninternen E-Mails: Kollegen persönlich ansprechen

Bei Zahlungsaufforderungen: ✓ Immer telefonisch bestätigen (bekannte Nummer, nicht aus E-Mail!) ✓ 4-Augen-Prinzip einhalten ✓ Bei ungewöhnlichen Anfragen: Vorgesetzten einschalten ✓ Niemals unter Zeitdruck Geld überweisen

3-Sekunden-Regel: Bevor Sie auf einen Link klicken oder einen Anhang öffnen, pausieren Sie 3 Sekunden und fragen Sie sich: 1. Erwarte ich diese E-Mail? 2. Kenne ich den Absender? 3. Ist der Inhalt plausibel?

Diese 3 Sekunden können Sie vor großem Schaden bewahren![/TIP]

5. Notfallplan

Wenn Sie Opfer geworden sind:

1. Sofort handeln (innerhalb von Minuten!) 2. Gerät offline nehmen (WLAN aus, Kabel ziehen) 3. IT-Security anrufen (nicht E-Mail!) 4. Passwörter ändern (von anderem Gerät) 5. Dokumentieren (Was, Wann, Wo, Wie?) 6. Bankkonto sperren (bei Finanz-Phishing) 7. Strafanzeige erstatten (bei Polizei) 8. Kollegen/Kunden warnen (falls Ihr Account kompromittiert wurde)

Wichtig: Keine Panik, aber schnell handeln! Je schneller Sie reagieren, desto geringer der Schaden. Verzögerungen können kritisch sein, insbesondere bei Ransomware, die sich im Netzwerk ausbreitet.

Zusammenfassung - Die 10 Gebote gegen Phishing:

1. Immer skeptisch sein - Vertrauen ist gut, Kontrolle ist besser 2. Links prüfen - Maus drüber halten, nicht klicken 3. Absender verifizieren - E-Mail-Adresse genau anschauen 4. Keine Daten eingeben - Nie Passwort auf Anfrage senden 5. Anhänge nicht öffnen - Außer Sie erwarten sie 6. Zeitdruck ignorieren - Seriöse Firmen drängen nicht 7. 2FA aktivieren - Überall, wo möglich 8. Starke Passwörter - Einzigartig für jeden Dienst 9. Updates installieren - Software immer aktuell halten 10. Melden und lernen - Aus Fehlern wird man klüger

Denken Sie daran: Phishing ist nicht Ihre Schuld, aber Sie sind die erste Verteidigungslinie! Ihre Aufmerksamkeit schützt nicht nur Sie selbst, sondern auch Ihre Kollegen und das gesamte Unternehmen.

Smartphones und Tablets sind zunehmend Ziel von Phishing-Angriffen. Hier sind die Besonderheiten und Schutzmaßnahmen.

Auf dem Smartphone klicken Nutzer 3-mal häufiger auf Phishing-Links – kleiner Bildschirm, verkürzte URLs, schnelles Tippen. Die wichtigste Regel: Links in SMS und Messengern NIEMALS anklicken.

Warum sind mobile Geräte besonders gefährdet?

• Kleinerer Bildschirm → Details schwerer zu erkennen
• URLs werden oft nicht vollständig angezeigt
• Apps können E-Mail-Adressen verschleiern
• Schnelles Tippen → weniger Zeit zum Nachdenken
• Permanente Erreichbarkeit → mehr Gelegenheiten für Angreifer
• QR-Codes können direkt zu Phishing-Seiten führen

Mobile Nutzer klicken 3x häufiger auf Phishing-Links als Desktop-Nutzer! Der kleine Bildschirm und die Touch-Bedienung fördern unüberlegtes Handeln.

Arten von Mobile Phishing:

SMS-Phishing (Smishing)

Paketbenachrichtigungen, Kontosperrungen, Gewinnbenachrichtigungen, Verifizierungscodes.

WhatsApp/Messenger

"Neue Nummer" von angeblichem Freund, Notfall-Geldbitten, Geschenk-Links, gefälschte Kontakte.

QR-Code-Phishing (Quishing)

QR-Codes, die zu Phishing-Seiten führen – oft über echte Codes geklebt.

App-Phishing

Gefälschte Apps im Store mit ähnlichen Namen (WhatsAp statt WhatsApp), missbrauchte Berechtigungen.

Social-Media-Phishing

Gefälschte Profile, Direktnachrichten mit Links, gefälschte Gewinnspiele.

1. SMS-Phishing (Smishing): • Paketbenachrichtigungen: "Ihr Paket wartet auf Abholung: [Link]" • Kontosperrung: "Ihre Bank: Konto gesperrt, sofort handeln!" • Gewinnbenachrichtigungen: "Sie haben gewonnen! Klicken Sie hier!" • Verifizierungscodes: "Bestätigen Sie Ihre Nummer: [Link]"

Typisches Smishing-Beispiel:

"Ihr DHL-Paket konnte nicht zugestellt werden. Bitte geben Sie Ihre Lieferadresse ein: https://dh1-zustellung.com/track?id=123456"

Warnzeichen: ✗ URL ist nicht dhl.de (dh1 mit Ziffer 1 statt Buchstabe L) ✗ Sie haben nichts bestellt ✗ Echte DHL-SMS enthält Tracking-Nummer, die auf dhl.de geprüft werden kann ✗ DHL fragt nie nach Ihrer Adresse per SMS[/EXAMPLE]

2. WhatsApp/Messenger-Phishing: • "Hallo, ich habe eine neue Nummer: [Nummer]" (von angeblichem Freund) • "Kannst du mir kurz 500€ leihen? Notfall!" (Konto-Übernahme) • "Klick auf diesen Link für ein Geschenk: [Link]" • Gefälschte Kontakte, die sich als Freunde/Familie ausgeben

3. QR-Code-Phishing (Quishing): • QR-Code führt zu Phishing-Website • QR-Code wird über echten Code geklebt (z.B. Parkautomaten, Speisekarten) • E-Mails mit QR-Code statt Link (umgeht Link-Schutz)

4. App-Phishing: • Gefälschte Apps im App Store (sehen aus wie Originalapp) • Apps mit ähnlichen Namen (WhatsAp statt WhatsApp) • Berechtigungen werden missbraucht

5. Social-Media-Phishing: • Gefälschte Profile von Freunden/Kollegen • Direkt-Nachrichten mit Links • Gefälschte Gewinnspiele • "Jemand hat ein Video von dir gepostet: [Link]"

Schutzmaßnahmen für mobile Geräte:

Smartphone-Sicherheit: ✓ Bildschirmsperre mit PIN/Fingerabdruck/Gesichtserkennung ✓ Automatisches Sperren nach 1 Minute ✓ Gerät verschlüsseln (meist standardmäßig aktiviert) ✓ "Mein Gerät finden" aktivieren (für Fernlöschung) ✓ Regelmäßige Backups

App-Sicherheit: ✓ Apps nur aus offiziellen Stores (Apple App Store, Google Play Store) ✓ Entwickler und Bewertungen prüfen ✓ Berechtigungen kritisch hinterfragen - Warum braucht eine Taschenlampen-App Zugriff auf Kontakte? - Warum will ein Spiel meine Standortdaten? ✓ Apps regelmäßig aktualisieren ✓ Ungenutzte Apps löschen

SMS/Messenger-Sicherheit: ✓ Unbekannte Nummern mit Vorsicht behandeln ✓ Links in SMS NIEMALS anklicken (lieber App öffnen oder Website direkt aufrufen) ✓ Bei WhatsApp-Nachrichten von Freunden: Rückfrage bei Verdacht (Anruf!) ✓ Keine Verifizierungscodes weitergeben

Browser-Sicherheit mobil: ✓ Nur HTTPS-Websites vertrauen (Schloss-Symbol) ✓ Lesezeichen für wichtige Seiten nutzen ✓ Warnungen des Browsers ernst nehmen ✓ Cookies und Verlauf regelmäßig löschen ✓ "Passwörter speichern" vermeiden oder mit Geräte-PIN schützen

WLAN-Sicherheit: ✓ Öffentliche WLANs nur mit VPN nutzen ✓ Keine Finanztransaktionen in öffentlichen Netzwerken ✓ "Auto-Connect" für öffentliche WLANs deaktivieren ✓ Privates WLAN mit starkem Passwort schützen ✓ Hotspot-Funktion mit Passwort sichern

QR-Code-Sicherheit: Bevor Sie einen QR-Code scannen: ✓ Prüfen Sie, ob der Code echt aussieht (aufgeklebt? überklebt?) ✓ Viele QR-Scanner zeigen die URL VOR dem Öffnen - prüfen Sie diese! ✓ Bei verdächtigen URLs: NICHT öffnen ✓ QR-Codes von unbekannten Quellen ignorieren ✓ Im Zweifelsfall: Website manuell im Browser eingeben

Besonderheiten bei verschiedenen Plattformen:

iOS (iPhone/iPad): • Relativ sicher, aber nicht immun • iMessage: Vorsicht bei Links von unbekannten Nummern • FaceTime: Keine unerwarteten Anrufe annehmen • App Store: Auch hier gibt es vereinzelt Betrugs-Apps • "Safari Betrugswarnung" nicht ignorieren

Android: • Offener als iOS → größere Angriffsfläche • Sideloading (Apps aus unbekannten Quellen) vermeiden • Play Protect aktivieren (automatischer Malware-Scan) • Berechtigungen sehr kritisch prüfen • Hersteller-Updates zeitnah installieren

Achtung: Smishing-Kampagnen nehmen zu! 2023 wurden weltweit über 15 Milliarden Phishing-SMS versendet. Besonders betroffen: • Paketdienst-Benachrichtigungen • Bank-Warnungen • Steuerrückerstattungen • Covid-Test-Ergebnisse • Gewinnbenachrichtigungen

Was tun bei verdächtigen Nachrichten?

SMS: 1. NICHT auf Links klicken 2. Nummer blockieren 3. SMS löschen 4. Bei Unsicherheit: Offizielle Website oder App des Unternehmens aufrufen

WhatsApp/Messenger: 1. Kontakt telefonisch verifizieren (bekannte Nummer!) 2. NICHT auf Links klicken 3. Kontakt melden/blockieren 4. Eigenen Account auf Kompromittierung prüfen

Social Media: 1. Profil prüfen (wann erstellt, Anzahl Freunde, Posts) 2. Bei Verdacht: Profil melden 3. NICHT auf Links in Direktnachrichten klicken 4. Echten Freund über anderen Kanal kontaktieren

Real-World-Fall: WhatsApp-Übernahme

Angriff: 1. Opfer erhält SMS: "Ihr WhatsApp-Verifizierungscode: 123456" 2. Sofort danach WhatsApp-Nachricht: "Hey, kannst du mir den Code schicken, den du gerade bekommen hast? Hab mich ausgesperrt" 3. Opfer sendet Code ahnungslos

Folge: • Angreifer übernimmt WhatsApp-Account • Schreibt allen Kontakten mit Betrugs-Nachrichten • Fordert Geld von Freunden und Familie • Stiehlt persönliche Chat-Verläufe

Schutz: ✓ NIEMALS Verifizierungscodes weitergeben (auch nicht an Freunde!) ✓ Zwei-Faktor-Authentifizierung in WhatsApp aktivieren (Einstellungen → Account → Verifizierung in zwei Schritten) ✓ Bei unerwarteten Code-Anfragen: Telefon-Anruf statt Chat![/EXAMPLE]

Mobile Device Management (MDM) im Unternehmen:

Viele Unternehmen setzen MDM-Lösungen ein: • Erzwingung von Sicherheitsrichtlinien (PIN, Verschlüsselung) • Remote-Löschung bei Verlust/Diebstahl • App-Whitelisting (nur genehmigte Apps) • VPN-Konfiguration • Überwachung von Sicherheitsrisiken

BYOD (Bring Your Own Device): Wenn Sie Ihr privates Smartphone für die Arbeit nutzen: • Trennen Sie geschäftliche und private Daten (separate Profile/Apps) • Akzeptieren Sie MDM-Richtlinien • Nutzen Sie Arbeits-Apps nur über sichere Verbindungen • Informieren Sie IT bei Geräteverlust SOFORT

Zusammenfassung Mobile Security:

✓ Gerätesperre immer aktiviert ✓ Software und Apps aktuell halten ✓ Nur offizielle App Stores nutzen ✓ Berechtigungen kritisch prüfen ✓ Links in SMS und Messengern NIEMALS klicken ✓ Öffentliche WLANs nur mit VPN ✓ QR-Codes mit Vorsicht scannen ✓ Zwei-Faktor-Authentifizierung aktivieren ✓ Regelmäßige Backups ✓ Bei Verlust: Sofort IT-Abteilung informieren und Gerät fernlöschen

Mobile Geräte sind Ihre ständigen Begleiter - schützen Sie sie entsprechend!