Phishing sind täuschend echte E-Mails, Chats oder Anrufe, die Mitarbeitende zur Eingabe von Passwörtern, zum Öffnen infizierter Anhänge oder zu Sofortüberweisungen verleiten — oft im Namen von Bank, Behörde oder Chef.
Was bedeutet Phishing?
Angreifer imitieren vertrauenswürdige Absender: gleiche Logos, ähnliche Domains, Druck („Konto gesperrt in 2 Stunden“). Klick führt auf gefälschte Login-Seiten oder startet Schadcode. CEO-Fraud variant: gefälschte Mail der Geschäftsführung mit neuer IBAN. Phishing ist weniger Technik-Hacking als Social Engineering.
Moderne Kampagnen nutzen kompromittierte Lieferantenpostfächer — echte Threads mit falschen Anhängen. Deshalb reicht „merkt euch schlechtes Deutsch“ nicht. Technische Abwehr umfasst SPF/DKIM/DMARC, Link-Schutz, MFA und Reporting-Button in Outlook.
Spear-Phishing zielt gezielt auf einzelne Personen mit recherchierten Details — Mandantenname, laufendes Projekt, echte Signaturkollegen. Für Steuerberater und Makler deshalb: interne Informationen nicht unnötig in Signatur und Out-of-Office packen; Angreifer sammeln Vorinformationen aus öffentlichen Quellen.
Angriffe nutzen oft Dringlichkeit („Konto gesperrt in einer Stunde“) oder Autorität (gefälschte Geschäftsführung). Schulungen sollten deshalb konkrete Signale trainieren: abweichende Absenderdomäne, unübliche Anrede, Links mit Tippfehlern und Aufforderungen, vertrauliche Daten per E-Mail zu senden.
Warum ist Phishing relevant für KMU?
KMU haben flache Hierarchien: Assistenz und Buchhaltung haben oft Zahlungsfreigaben. Ein erfolgreicher Phishing-Angriff kann sechsstellige Schäden verursachen — ohne dass Malware im klassischen Sinne nötig wäre.
Versicherungsmakler und Steuerberater verarbeiten besonders sensible Daten. Ein Klick kann Mandantendaten exfiltrieren und meldepflichtige Datenpannen auslösen. Phishing-Abwehr ist deshalb Geschäftsrisiko, nicht nur IT-Thema.
Technische Filter fangen nicht alles. Prozessregeln — Rückruf bei Zahlungsänderung, keine IBAN nur aus Mail — kosten nichts und stoppen Schäden, die trotz DMARC und Schulung durchkommen. Phishing-Abwehr ist deshalb Prozess plus Technik.
Menschliche Fehler bleiben — deshalb müssen technische und organisatorische Schutzschichten greifen, wenn jemand doch klickt. MFA, Backup und Meldeweg verwandeln einen Fehler von Totalverlust in beherrschbaren Vorfall. Phishing-Bewusstsein ist Kulturarbeit über Jahre, nicht einmalige Schulung.
Lieferanten und Mandanten sensibilisieren — gefälschte Mails nutzen oft echte Projektnamen. SPF allein schützt Ihre Domain nach außen; eingehende Mails prüfen Sie trotzdem. Kombination aus Technik, Prozess und Kultur — ein Element allein reicht selten.
Typische Fehler
- Jährliche Pflichtschulung ohne Alltagsbezug und ohne Meldeweg
- Keine Vier-Augen-Regel bei geänderten Bankverbindungen
- MFA fehlt — gestohlenes Passwort reicht
- Phishing-Meldungen werden bestraft statt als Frühwarnung genutzt
Praxisbeispiel
Ein Makler erhält eine Mail „neue Schadenunterlagen“ vom scheinbar echten Versicherer — Domain eine Ziffer anders. Buchhaltung will Anhang öffnen; Kollegin erinnert an Rückrufregel. Anruf beim Versicherer: keine Mail versendet. Fall wird anonym im Team besprochen, DMARC-Report zeigt weiterhin Spoof-Versuche — aber kein Schaden.
Verwandte Begriffe
Persönliche IT-Betreuung
Sie brauchen einen festen Ansprechpartner statt Einzel-Lösungen? Tim unterstützt Unternehmen bis 25 Mitarbeiter verständlich und persönlich.
Externe IT-Betreuung anfragen