Was ist Phishing? Definition, Beispiele und Schutz

Jeden Tag landen Millionen von ihnen in den Mail-Postfächern. Und sie sehen aus wie ganz normale E-Mails, doch dahinter steckt eine gewaltige Betrugsmasche: Phishing E-Mails.

Das sogenannte Phishing, sei es über E-Mails oder andere Wege, ist ein gewaltiges Problem: „Die volkswirtschaftlichen Schäden von Cyber-Delikten, die mit gezielten Phishing-Attacken beginnen, werden in Deutschland pro Jahr mindestens auf einen zweistelligen Millionenbetrag geschätzt“, schreibt das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Die Angriffe können jeden treffen, auch Sie. Deshalb sollten Sie mehrere Vorsichtsmaßnahmen ergreifen.

Phishing: Bedeutung des Begriffs

Der Begriff „Phishing“ setzt sich definitionsgemäß aus den englischen Wörtern „password“ und „fishing“ zusammen. Denn die Cyberkriminellen, die auf Phishing setzen, wollen häufig an Passwörter herankommen, um damit Zugriff auf gesicherte Systeme wie Konten oder Server zu erhalten.

Dazu hängen sie wie ein Angler einen Köder an eine Angel (beispielsweise eine E-Mail, die Angst macht), damit ein Fisch – in diesem Fall: Ein menschliches Opfer – sinnbildlich anbeißt. Das geschieht, indem der Empfänger bzw. die Empfängerin auf einen Phishing-Link klickt oder die E-Mail-Anhänge öffnet.

Doch Phishing ist abseits der grundlegenden Bedeutung mittlerweile viel mehr als das Fischen nach Passwörtern: Die Betrüger und Betrügerinnen nutzen ihre Attacken auch dazu, IT-Infrastrukturen zu infiltrieren, um diese zu sabotieren.

Wie gefährlich ist Phishing?

Die meisten Cyberkriminellen verüben Phishing-Angriffe per E-Mail, aber auch über Social Media. Eine Art von Phishing kann auch das sogenannte Smishing sein. Anstatt eine Schadsoftware per E-Mail zu verschicken, werden beim Smishing Angriffe über SMS oder Messaging Apps verübt.

Die Zahl der Phishing-Fälle ist in den letzten Jahren rasant gestiegen. Allein 2021 gab es über 870 Millionen Angriffe. Dank moderner KI-Tools, wie ChatGPT, könnte die Anzahl der Cyberattacken weiter rasant ansteigen, befürchten IT-Experten und -Expertinnen.

Was ist der Unterschied zwischen Spam und Phishing?

Als Spam bezeichnet man elektronisch versandte Werbung, die unerwünscht in E-Mail- oder SMS-Postfächern landet. Die enthaltenen Links sind in der Regel nicht gefährlich, sondern führen z. B. zu Onlineshops mit Angeboten.

Phishing dagegen hat immer das Ziel, den Empfängern und Empfängerinnen geheime oder persönliche Informationen zu entlocken. Die Phishing-Mails sind somit nicht nur wie Spam unerwünscht, sondern auch schädlich für die Opfer.

Was ist Spear Phishing?

Spear Phishing ist eine spezifische Variante des Phishing-Angriffs und zielt bewusst auf ausgewählte Personen oder Unternehmen ab.

Während „normale“ Phishing-Versuche mit einer breiten und unspezifischen Herangehensweise durchgeführt werden, zeichnet sich Spear Phishing durch individuell angepasste und authentisch wirkende E-Mails und E-Mail-Adressen aus.

Um dies zu erreichen, wenden die Phishing-Absender und -Absenderinnen zum Beispiel das Spoofing an.

Welche Branchen sind von Phishing betroffen?

Cyberkriminelle, die mit Phishing arbeiten, zielen aktuell am häufigsten auf Lieferunternehmen, Onlineshops und Banken. Das ergibt eine Erhebung von Statista. Doch im Grunde sind alle Industrien und Branchen von den Attacken betroffen, denn hinter den Phishing-Versuchen steckt häufig die organisierte Kriminalität, die damit ein lukratives Geschäft betreibt.

„206 Milliarden Euro Schaden entstehen der deutschen Wirtschaft jährlich durch Diebstahl von IT-Ausrüstung und Daten sowie digitale und analoge Industriespionage und Sabotage”, schreibt bitkom. „Bei den Cyberattacken steht [2023] Phishing mit 31 Prozent (2022: 25 Prozent) an der Spitze”, so der IT-Branchenverband weiter.

So schützen Sie Ihr Unternehmen vor Phishing-Angriffen

Wir stellen Ihnen hier mehrere Maßnahmen vor, die Sie ergreifen können, um sich und Ihr Unternehmen vor verschiedenen Phishing-Techniken zu schützen.

1. Erstellen Sie einen DMARC-Eintrag

DMARC (Domain-based Message Authentication Reporting and Conformance) ist ein modernes E-Mail-Authentifizierungsprotokoll. Es nutzt zwei andere Authentifizierungsprotokolle, SPF (Sender Policy Framework) und DKIM (Domain Keys Identified Mail).

So können vertrauenswürdige Nachrichten, die von Ihrer Domain gesendet werden verifiziert und betrügerische E-Mails und verdächtige E-Mail-Anhänge blockieren werden, die den Anschein erwecken, von Ihrer Domain gesendet zu werden.

Diese E-Mail-Authentifizierungsprotokolle sind technisch eher kompliziert. Kurz gesagt ist SPF ein Datensatz von IP-Adressen, die berechtigt sind, E-Mails in Ihrem Namen zu versenden, und die von E-Mail-Diensten überprüft werden. Bei DKIM handelt es sich um einen Verifizierungsprozess, der kryptografische Authentifizierung nutzt.

DMARC ist die einzige Technologie, die sicherstellen kann, dass Ihre Absenderadresse in der E-Mail-Kopfzeile, also das, worauf Phishing-Opfer normalerweise zuerst schauen, vertrauenswürdig ist.

Für eine erfolgreiche DMARC-Authentifizierung muss eine E-Mail die SPF-Authentifizierung und den SPF-Abgleich oder die DKIM-Authentifizierung und den DKIM-Abgleich bestehen. Wenn eine Nachricht eine dieser beiden Authentifizierungen und Abgleiche nicht besteht, wird sie von der DMARC-Technologie zurückgewiesen.

Die Nutzung von DMARC ermöglicht es Ihnen auch, E-Mail-Diensten mitzuteilen, was Sie mit betrügerischen E-Mails tun sollen, die scheinbar von Ihrer Domain gesendet werden. Sie können entweder alle E-Mails überwachen, nicht authentifizierte Nachrichten in die Spam-Ordner der Benutzenden verschieben oder entscheiden, diese Art von E-Mails überhaupt nicht an Posteingänge auf Ihrem Server zuzustellen.

Zusätzlich senden Ihnen E-Mail-Dienste regelmäßig detaillierte DMARC-Berichte. So wissen Sie, welche E-Mails authentifiziert werden und welche nicht, und können besser nachvollziehen, wieso das der Fall ist.

2. Stellen Sie Informationen zur Erkennung von Phishing-Angriffen bereit

Aufklärung ist ein wichtiger Hebel, um Phishing-Attacken abzuwehren. Um Ihren Mitarbeitenden und Ihrer Kundschaft bei der Erkennung derartiger Angriffe zu helfen und Ihr Unternehmen besser davor zu schützen, sollten Sie sie über diese häufigen Phishing-Merkmale aufklären:

Inkorrekte Rechtschreibung, Grammatik oder Wortwahl

Betrüger und Betrügerinnen mit wenig Erfahrung auf ihrem Gebiet nehmen sich in der Regel nicht die Zeit, klare und überzeugende E-Mails zu verfassen – etwas, worauf echte Unternehmen hingegen viel Wert legen.

Zudem verlassen sich ausländische Cyberkriminelle meist auf Google Translate, um ihre Nachrichten zu übersetzen. So klingen die Zeilen der Phishing-E-Mails häufig holprig, ebenso ist der Inhalt der Nachricht oft voller Rechtschreibfehler.

Wenn Sie also eine schlecht geschriebene E-Mail aus scheinbar seriöser Quelle erhalten, sollten Sie vorsichtig sein und auf keinen Fall mit vertraulichen Informationen Antworten.

Verdächtige URLs

Die meisten Phishing-E-Mails sollen Personen dazu verleiten, sich zu einer bösartigen oder gefälschten Webseite durchzuklicken oder durch E-Mail-Anhänge darauf zu leiten. Um dies zu erreichen, fälschen Cyberkriminelle in der Regel den Phishing-Link, indem sie eine ähnlich aussehende URL erstellen. Alternativ maskieren sie ihre verdächtige URL, indem sie den Phishing-Link verkürzen.

Wann immer Sie eine seltsame oder verkürzte URL sehen, sollten Sie mit der Maus darüber fahren, um zu sehen, ob die Webadresse der Landingpage anders lautet oder gefälscht ist. Dieser Phishing-Schutz mag zwar im Alltag zeitfressend sein, doch er lohnt sich.

Abweichende Absenderadresse

Selbst wenn eine Phishing-E-Mail mit zahlreichen Attributen aufwartet, die einen vertrauenswürdigen Absender bzw. eine vertrauenswürdige Absenderin überzeugend imitiert, verfügen sie jedoch über ein Merkmal, das nicht kopiert werden kann: Ihre E-Mail-Adresse.

Um dieses Manko zu umgehen, erstellen Cyberkriminelle in der Regel eine ähnlich aussehende E-Mail-Adresse oder verwenden einfach eine Zeichenfolge, in der Hoffnung, dass Sie diese nicht überprüfen. Um eine Absenderadresse verifizieren zu können, überprüfen Sie die Absender-Domain in der Kopfzeile der Nachricht unter „Von“.

3. Investieren Sie in E-Mail-Sicherheitssoftware

Wenn Ihr Unternehmen über die Mittel verfügt, bietet es sich an, in eine gute E-Mail-Sicherheitssoftware zu investieren. Proofpoint und Barracuda zählen zum Beispiel zu den zuverlässigsten und effektivsten Lösungen, die Sie vor verschiedenen Phishing-Angriff-Arten schützen.

Denn: Selbst versierte Mitarbeitende können Opfer raffiniert gestalteter Phishing-E-Mails werden. Die Betrügerinnen und Betrüger verfeinern ständig ihre Strategien. Zum Beispiel versenden sie Phishing-E-Mails von den legitimen Domains kompromittierter Webseiten, sie lassen die Betreffzeilen ihrer Phishing-E-Mails von KI verfassen oder sie gestalten „attraktive“ Anhänge, die zum Öffnen animieren.

Da eine E-Mail-Sicherheitssoftware ungewöhnlichen Datenverkehr identifiziert und verdächtige URLs überwacht, kann sie auch derart raffinierte Angriffe effektiv erkennen, blockieren und darauf reagieren, bevor sie den Posteingang der potenziellen Opfer erreichen.

Das können Sie tun, wenn Sie Opfer von Phishing sind

Sollten Sie vermuten oder sicher sein, ein Ziel eines Phishing-Angriffs geworden zu sein, müssen Sie umgehend Maßnahmen ergreifen, um den Schaden zu minimieren.

1. Melden Sie den Zwischenfall

Informieren Sie die in Ihrem Unternehmen zuständigen Stellen über den Phishing-Versuch, beispielsweise Ihre IT-Abteilung. In diversen Ländern existieren spezifische Online-Dienste für die Meldung von Phishing-Attacken.

2. Überprüfen Sie die Situation

Mit einem Virenscanner oder einer Anti-Malware-Suite lässt sich erkennen, ob und wie weit Ihre Systeme kompromittiert wurden. Bei harten Attacken kann auch eine IT-Forensikerin bzw. ein IT-Forensiker weiterhelfen.

3. Passwörter wechseln

Aktualisieren Sie unverzüglich die Passwörter und Zugangsdaten inklusive Benutzernamen aller betroffenen Accounts. Und wählen Sie sichere Passwörter.

4. Benachrichtigen Sie Ihre Bank

Falls Kreditkartennummer, Kontodaten oder Zugangsdaten gefährdet sind, klären Sie Ihre Bank und weitere Geldhäuser über Ihre Situation auf. Lassen Sie unter Umständen vorübergehend Ihre Konten sperren. Überprüfen Sie auch ungewöhnliche Vorkommnisse in Ihrem Paypal und Online-Banking Account.

5. Schauen Sie genau hin

Behalten Sie in den kommenden Wochen Ihre Kreditkarten- und Bankkonten genau im Blick und achten Sie auf atypische Bewegungen. Lassen Sie von Experten und Expertinnen für IT-Security die Datenströme in Ihren Systemen überwachen.

6. Machen Sie es besser

Lernen Sie aus dem Vorfall und wie Sie in Zukunft Phishing besser erkennen, verdächtige E-Mail-Anhänge identifizieren und Ihre persönlichen Daten schützen können. Unter Umständen können spezielle Schulungen und Online-Seminare Ihnen helfen, weitere Phishing-Angriffe zu verhindern.

Fazit: Lassen Sie sich nicht ködern

Eine E-Mail mit Datei-Anhängen von einer bekannten Bank oder eine SMS von einem vertrauten Onlineshop – derartige Nachrichten kann man unbedarft öffnen? Nein! Phishing ist eine Gefahr, die Sie nie missachten sollten.

In den Phishing-Nachrichten könnte Schadsoftware enthalten sein. Oder die Phishing-Links lenken Sie auf Phishing-Websites, auf denen Ihre vertraulichen persönlichen Daten abgegriffen werden.

Nehmen Sie Cybersicherheit nicht auf die leichte Schulter und werden Sie nicht zum leichten Opfer dieser Fälschungen. Sorgen Sie mit organisatorischen und technischen Maßnahmen dafür, dass Sie und Ihr Unternehmen einen effektiven Phishing-Schutz gegen Schadprogramme aufbauen und Sie vor Identitätsdiebstahl und Betrugsversuchen bewahren.

Titelbild: Chiociolla / iStock / Getty Images Plus