Die meisten Vorfälle, die wir bei Schweizer KMU begleiten, beginnen nicht mit einer gehackten Firewall. Sie beginnen mit einer E-Mail. Jemand klickt auf einen Link, gibt auf einer täuschend echten Seite sein Passwort ein, und ab diesem Moment hat der Angreifer ein gültiges Konto. Alles, was danach kommt, Datenabfluss, Rechnungsbetrug, Verschlüsselung, baut auf diesem einen Klick auf.
Technische Filter fangen einen grossen Teil der Phishing-Mails ab. Aber nicht alle, und die gefährlichsten sind genau die, die durchkommen: gut geschrieben, auf das Unternehmen zugeschnitten, ohne Rechtschreibfehler. Die Zeiten, in denen Phishing an holprigem Deutsch erkennbar war, sind vorbei. Darum lohnt es sich, dass alle im Unternehmen diese sechs Warnsignale kennen. Keines davon beweist für sich alleine einen Angriff. Aber wenn eines zutrifft, ist Innehalten richtig, und wenn zwei zutreffen, ist Melden richtig.
Warnsignal 1: Zeitdruck und Drohung
"Ihr Konto wird in 24 Stunden gesperrt." "Letzte Mahnung vor Betreibung." "Bitte heute noch bestätigen, sonst verfällt die Lieferung." Phishing lebt davon, dass du nicht nachdenkst, sondern reagierst. Dringlichkeit, Angst und die Aussicht auf einen Verlust schalten genau den Teil des Gehirns ab, der sonst fragt, ob das plausibel ist.
Echte Unternehmen und Behörden setzen selten Fristen von Stunden und drohen fast nie per E-Mail mit sofortigen Konsequenzen. Die Faustregel: Je mehr eine Mail drängt, desto mehr Zeit solltest du dir nehmen. Niemand verliert ein Konto, weil er eine Stunde gewartet und kurz nachgefragt hat.
Warnsignal 2: Der Absender stimmt nicht ganz
Der Anzeigename sagt "Microsoft" oder "Max Muster, Geschäftsleitung". Die tatsächliche Adresse dahinter sagt etwas anderes. Auf dem Handy ist die Adresse oft gar nicht sichtbar, und genau darauf verlassen sich Angreifer. Tippe auf den Absender oder fahre mit der Maus darüber und schau dir die Adresse an.
Achte auf Domains, die fast richtig sind: ein vertauschter Buchstabe, ein zusätzliches Wort, eine andere Endung. "goldoak-ch.com" ist nicht "goldoak.ch". Ebenso verdächtig: Die Antwortadresse unterscheidet sich von der Absenderadresse. Und auch eine korrekte Adresse ist kein Beweis, denn wenn das Konto eines Lieferanten gekapert wurde, kommt die Phishing-Mail tatsächlich von ihm. Dann helfen die anderen Signale.
Warnsignal 3: Der Link führt woandershin
Der Text eines Links und sein Ziel sind zwei verschiedene Dinge. "Jetzt anmelden" kann überallhin führen. Fahre am Computer mit der Maus über den Link, ohne zu klicken, und lies die Adresse, die unten im Fenster erscheint. Auf dem Handy hältst du den Link gedrückt, bis eine Vorschau erscheint.
Verdächtig ist, wenn die Anmeldeseite für Microsoft 365 nicht auf einer Microsoft-Domain liegt, wenn die Adresse aus einer langen Zeichenkette besteht oder wenn ein Kurzlink das Ziel verschleiert. Die sicherste Variante ist, den Link gar nicht zu benutzen: Öffne den Dienst über die Adresse, die du kennst, oder über das Lesezeichen, und schau dort nach, ob wirklich etwas ansteht. Wenn die angebliche Rechnung oder Sperrung dort nicht existiert, war es Phishing.
Warnsignal 4: Unerwartete Anhänge, Makros und QR-Codes
Eine Rechnung, die du nicht erwartest. Ein "Dokument", das sich nur öffnen lässt, wenn du die Bearbeitung aktivierst und Makros zulässt. Eine Bewerbung als ZIP-Datei. Eine HTML-Datei, die beim Öffnen eine Anmeldemaske zeigt. Anhänge sind der klassische Weg, Schadsoftware auf einen Rechner zu bringen, und die Bitte, Makros oder Inhalte zu aktivieren, ist fast immer ein Alarmsignal.
Neuer, aber inzwischen häufig: ein QR-Code in der Mail, den du mit dem Handy scannen sollst, etwa um MFA zu bestätigen oder ein Dokument abzurufen. Der Trick dahinter: Das Handy ist oft weniger geschützt als der Firmenrechner, und der Link im QR-Code wird von keinem Mailfilter geprüft. Ein QR-Code in einer E-Mail hat praktisch nie einen legitimen Grund.
Warnsignal 5: Eine ungewöhnliche Bitte vom Chef oder vom Lieferanten
"Ich bin in einer Sitzung und kann nicht telefonieren. Kannst du dringend diese Überweisung auslösen?" "Bitte kaufe fünf Gutscheinkarten und schicke mir die Codes." "Unsere Bankverbindung hat sich geändert, bitte zahle die offene Rechnung auf das neue Konto." Diese Mails enthalten weder Link noch Anhang und kommen durch jeden Filter. Sie zielen auf Menschen, nicht auf Technik.
Das Muster ist immer dasselbe: eine Autoritätsperson oder ein bekannter Geschäftspartner, eine Abweichung vom normalen Ablauf und ein Grund, warum ein Rückruf gerade nicht geht. Die einzige wirksame Gegenmassnahme ist eine Regel, die für alle gilt, auch für die Geschäftsleitung: Zahlungen, geänderte Bankverbindungen und Gutscheinkäufe werden über einen zweiten Kanal bestätigt. Ein Anruf auf die bekannte Nummer, nicht auf die in der Mail. Immer. Wer das als Misstrauen empfindet, hat das Problem nicht verstanden.
Warnsignal 6: Die Mail passt nicht zum Kontext
Du erhältst eine Zahlungsaufforderung von einem Dienst, den du nicht nutzt. Eine Paketbenachrichtigung, obwohl du nichts bestellt hast. Eine Antwort auf einen Mailverlauf von vor zwei Jahren, plötzlich mit einem Link. Eine Anrede, die nicht zu deinem Verhältnis zur Person passt, oder ein Ton, der nicht zu ihr passt. Ein Dokument, das "geteilt" wurde, ohne dass jemand davon gesprochen hat.
Dieses Signal ist das unschärfste, aber oft das wichtigste. Es ist das Bauchgefühl, dass etwas nicht stimmt. Angreifer kennen Namen, Logos und Abläufe, aber sie kennen selten den Kontext: was gerade läuft, wer mit wem wie spricht, was normal ist. Wenn eine Mail dieses Gefühl auslöst, ist das Grund genug, sie nicht zu bearbeiten, sondern zu melden.
Was tun bei Verdacht
Nicht klicken, nicht antworten, nichts öffnen. Antworten ist wichtig: Auch eine Rückfrage an den Absender bestätigt dem Angreifer, dass die Adresse aktiv ist und jemand liest. Stattdessen die Mail melden, an die IT oder an die Stelle, die im Unternehmen dafür vorgesehen ist. Viele Mailprogramme haben dafür einen Knopf. Wenn es ihn gibt, nutze ihn, denn er liefert der IT die Mail mit allen technischen Details.
Falls du unsicher bist, ob die Mail echt ist, frag beim angeblichen Absender nach, aber über einen Weg, den du selbst wählst: die Telefonnummer aus dem Adressbuch, nicht aus der Mail. Und wenn es sich um einen Kollegen oder eine Kollegin handelt, geh einfach hin.
Was tun nach einem Klick
Es passiert. Auch erfahrenen Leuten, auch in IT-Abteilungen. Entscheidend ist nicht, ob jemand klickt, sondern wie schnell es gemeldet wird. Wer auf einer falschen Seite ein Passwort eingegeben hat und das sofort meldet, verursacht meist keinen Schaden: Passwort ändern, Sitzungen beenden, fertig. Wer es aus Scham drei Tage verschweigt, gibt dem Angreifer drei Tage Vorsprung.
Deshalb ist die wichtigste Regel für Unternehmen nicht "klickt nicht", sondern "meldet sofort, und niemand wird dafür kritisiert". Eine Firma, in der Mitarbeitende Angst haben, einen Fehlklick zuzugeben, hat ein grösseres Sicherheitsproblem als eine, in der ab und zu jemand klickt und es fünf Minuten später sagt. Nach einer Meldung gilt die Reihenfolge aus unserem Notfallplan für die ersten 60 Minuten: Konto sperren, Sitzungen beenden, Passwort ändern, prüfen, was in der Zwischenzeit passiert ist.
Was die Technik übernehmen muss
Mitarbeitende sind ein wichtiger Sensor, aber sie dürfen nicht die letzte Verteidigungslinie sein. Drei Dinge gehören auf die Seite der Technik:
- MFA überall, möglichst phishing-resistent. Mit Passkeys oder Hardware-Schlüsseln nützt ein abgefischtes Passwort nichts, weil der zweite Faktor an die echte Domain gebunden ist. SMS-Codes und Push-Bestätigungen lassen sich dagegen mit etwas Aufwand ebenfalls abfischen.
- Mailfilter und Absenderschutz. SPF, DKIM und DMARC sorgen dafür, dass niemand in deinem Namen echt aussehende Mails verschicken kann, und ein guter Filter nimmt den Mitarbeitenden den Grossteil der Arbeit ab.
- Erkennung und Blockierung dessen, was durchkommt. Wenn ein Konto trotz allem übernommen wird, zeigt sich das an Anmeldungen aus fremden Ländern, neuen Weiterleitungsregeln oder ungewöhnlichem Verhalten auf dem Rechner. Genau dafür ist Spectacles gebaut: Es erkennt solche Muster auf Endpoints und in Cloud-Konten automatisiert, blockiert sie und kann ein betroffenes System isolieren, bevor sich der Angriff ausbreitet.
Fazit
Phishing erkennt man nicht mehr an Rechtschreibfehlern, sondern an Mustern: Druck, falscher Absender, falsches Linkziel, unerwarteter Anhang, ungewöhnliche Bitte, fehlender Kontext. Wer diese sechs Signale kennt, erkennt den Grossteil der Angriffe, die durch den Filter kommen. Und wer weiss, dass ein schneller Anruf bei der IT nach einem Fehlklick immer richtig ist, macht aus einem Vorfall eine Fussnote.
Wenn du wissen willst, wie gut dein Unternehmen gegen Phishing aufgestellt ist, von MFA über Mailfilter bis zur Erkennung, zeigt dir ein Security Health Check die Lücken mit Prioritäten. Und wenn du eine Schulung für dein Team willst, die ohne Schuldzuweisung auskommt, sprich uns im Consulting darauf an.