---
title: "Phishing"
description_de: "Phishing sind betrügerische Nachrichten, die Opfer zur Preisgabe von Zugangsdaten oder zur Ausführung schädlicher Aktionen verleiten."
description_en: "Phishing uses fraudulent messages to trick victims into revealing credentials or performing harmful actions."
url: /wissen/glossar/phishing
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Was ist Phishing?"
---

# Phishing

<AnswerCapsule>
  Phishing sind täuschend echte E-Mails, Chats oder Anrufe, die Mitarbeitende zur Eingabe von Passwörtern, zum Öffnen infizierter Anhänge oder zu Sofortüberweisungen verleiten — oft im Namen von Bank, Behörde oder Chef.
</AnswerCapsule>

## Was bedeutet Phishing?

Angreifer imitieren vertrauenswürdige Absender: gleiche Logos, ähnliche Domains, Druck („Konto gesperrt in 2 Stunden“). Klick führt auf gefälschte Login-Seiten oder startet Schadcode. CEO-Fraud variant: gefälschte Mail der Geschäftsführung mit neuer IBAN. Phishing ist weniger Technik-Hacking als Social Engineering.

Moderne Kampagnen nutzen kompromittierte Lieferantenpostfächer — echte Threads mit falschen Anhängen. Deshalb reicht „merkt euch schlechtes Deutsch“ nicht. Technische Abwehr umfasst [SPF](/wissen/glossar/spf)/[DKIM](/wissen/glossar/dkim)/[DMARC](/wissen/glossar/dmarc), Link-Schutz, [MFA](/wissen/glossar/mfa) und Reporting-Button in Outlook.

Spear-Phishing zielt gezielt auf einzelne Personen mit recherchierten Details — Mandantenname, laufendes Projekt, echte Signaturkollegen. Für Steuerberater und Makler deshalb: interne Informationen nicht unnötig in Signatur und Out-of-Office packen; Angreifer sammeln Vorinformationen aus öffentlichen Quellen.

Angriffe nutzen oft Dringlichkeit („Konto gesperrt in einer Stunde“) oder Autorität (gefälschte Geschäftsführung). Schulungen sollten deshalb konkrete Signale trainieren: abweichende Absenderdomäne, unübliche Anrede, Links mit Tippfehlern und Aufforderungen, vertrauliche Daten per E-Mail zu senden.

## Warum ist Phishing relevant für KMU?

KMU haben flache Hierarchien: Assistenz und Buchhaltung haben oft Zahlungsfreigaben. Ein erfolgreicher Phishing-Angriff kann sechsstellige Schäden verursachen — ohne dass Malware im klassischen Sinne nötig wäre.

[Versicherungsmakler](/wissen/branchen/versicherungsmakler) und Steuerberater verarbeiten besonders sensible Daten. Ein Klick kann Mandantendaten exfiltrieren und meldepflichtige [Datenpannen](/wissen/glossar/datenpanne) auslösen. Phishing-Abwehr ist deshalb Geschäftsrisiko, nicht nur IT-Thema.

Technische Filter fangen nicht alles. Prozessregeln — Rückruf bei Zahlungsänderung, keine IBAN nur aus Mail — kosten nichts und stoppen Schäden, die trotz [DMARC](/wissen/glossar/dmarc) und Schulung durchkommen. Phishing-Abwehr ist deshalb Prozess plus Technik.

Menschliche Fehler bleiben — deshalb müssen technische und organisatorische Schutzschichten greifen, wenn jemand doch klickt. [MFA](/wissen/glossar/mfa), [Backup](/wissen/glossar/backup) und Meldeweg verwandeln einen Fehler von Totalverlust in beherrschbaren Vorfall. Phishing-Bewusstsein ist Kulturarbeit über Jahre, nicht einmalige Schulung.

Lieferanten und Mandanten sensibilisieren — gefälschte Mails nutzen oft echte Projektnamen. [SPF](/wissen/glossar/spf) allein schützt Ihre Domain nach außen; eingehende Mails prüfen Sie trotzdem. Kombination aus Technik, Prozess und Kultur — ein Element allein reicht selten.

## Typische Fehler

* Jährliche Pflichtschulung ohne Alltagsbezug und ohne Meldeweg
* Keine Vier-Augen-Regel bei geänderten Bankverbindungen
* [MFA](/wissen/glossar/mfa) fehlt — gestohlenes Passwort reicht
* Phishing-Meldungen werden bestraft statt als Frühwarnung genutzt

## Praxisbeispiel

Ein Makler erhält eine Mail „neue Schadenunterlagen“ vom scheinbar echten Versicherer — Domain eine Ziffer anders. Buchhaltung will Anhang öffnen; Kollegin erinnert an Rückrufregel. Anruf beim Versicherer: keine Mail versendet. Fall wird anonym im Team besprochen, DMARC-Report zeigt weiterhin Spoof-Versuche — aber kein Schaden.

## Verwandte Begriffe

* [Multi-Faktor-Authentifizierung](/wissen/glossar/mfa)
* [Ransomware](/wissen/glossar/ransomware)
* [DMARC](/wissen/glossar/dmarc)
* [DSGVO für KMU](/wissen/it-sicherheit/dsgvo-kmu)

<ServiceCta />


## FAQ

### Hilft Technik allein gegen Phishing?

E-Mail-Filter, [DMARC](/wissen/glossar/dmarc) und [MFA](/wissen/glossar/mfa) reduzieren Risiko — aber Rückrufregeln bei Zahlungsänderungen und Schulung bleiben Pflicht.