Woran man Phishing erkennt
- Druck und Dringlichkeit: „Sofort handeln", „Konto wird gesperrt", „Zahlung heute noch".
- Ungewöhnlicher Absender: Absendername passt, die Adresse dahinter nicht; leicht veränderte Domains.
- Links mit anderem Ziel: Mit der Maus über den Link fahren, ohne zu klicken, und die Zieladresse prüfen.
- Unerwartete Anhänge: besonders Office-Dateien mit Makros, gepackte Archive und Rechnungen von Unbekannten.
- Aufforderung zu Anmeldedaten oder Zahlungen: seriöse Stellen fragen Passwörter nicht per E-Mail ab.
- Ungewöhnliche Bitten von Vorgesetzten: etwa Gutscheinkarten kaufen oder Überweisungen ändern (CEO-Fraud).
Was bei Verdacht zu tun ist
Nicht klicken, nichts öffnen, nicht antworten. Die Nachricht über den festgelegten Meldeweg weitergeben, zum Beispiel einen Melde-Button im Mailprogramm oder eine Adresse der IT. Wer bereits geklickt oder Daten eingegeben hat, sollte sich sofort melden, denn Schnelligkeit begrenzt den Schaden. Entscheidend ist, dass niemand Angst vor Vorwürfen haben muss.
Wie wirksame Schulung aussieht
- Kurz und regelmäßig: wenige Minuten, mehrmals im Jahr, statt einer langen Pflichtveranstaltung.
- Mit echten Beispielen: Phishing-Mails aus der Praxis, möglichst aus der eigenen Branche.
- Mit Simulationen, fair eingesetzt: Übungsmails zeigen, wo nachgeschult werden sollte. Sie dienen dem Lernen, nicht dem Bloßstellen.
- Mit klarem Meldeweg: ein Klick oder eine bekannte Adresse.
- Mit Rückmeldung: melden Mitarbeitende eine Mail, erhalten sie eine kurze Antwort.
Technische Unterstützung
Schulung ersetzt keine Technik. Sinnvoll sind ein Mailfilter, Mehrfaktor-Authentifizierung, damit gestohlene Passwörter allein nicht reichen, sowie Einschränkungen für Makros und riskante Dateitypen. Zusammen mit Berechtigungskonzept und Backup entsteht ein Schutz, der auch dann hält, wenn einmal jemand klickt.