Phishing-Angriffe
Phishing bezeichnet den Versuch, über gefälschte E-Mails, Webseiten oder Nachrichten an vertrauliche Daten wie Passwörter, Bankdaten oder Zugangsdaten zu gelangen. Die Angreifer geben sich dabei als vertrauenswürdige Absender aus – zum Beispiel als Bank, Behörde oder Geschäftspartner. Für Unternehmen ist Phishing besonders gefährlich, weil ein einziger Klick eines Mitarbeiters ausreicht, um das gesamte Netzwerk zu kompromittieren.
Funktionsweise von Phishing-Angriffe
Phishing-Angriffe folgen einem bewährten Muster: Zunächst recherchieren die Angreifer ihr Ziel. Bei gezielten Angriffen auf Unternehmen – dem sogenannten Spear-Phishing – informieren sie sich über Mitarbeiter, Geschäftspartner und interne Abläufe. Quellen sind LinkedIn-Profile, Firmenwebseiten, Handelsregistereinträge oder auch Datenlecks aus früheren Angriffen. Je mehr Informationen die Angreifer sammeln, desto überzeugender wird die spätere Nachricht.
Im zweiten Schritt erstellen die Angreifer eine täuschend echte E-Mail oder Webseite. Moderne Phishing-Mails sind kaum noch von echten Nachrichten zu unterscheiden: Logos, Schriftarten, Farben und sogar der Absendername werden perfekt kopiert. Häufig wird psychologischer Druck aufgebaut – etwa durch eine angebliche Kontosperrung, eine dringende Rechnung oder eine vermeintliche Steuernachzahlung. Dieses Gefühl der Dringlichkeit soll dazu verleiten, ohne gründliche Prüfung zu handeln.
Klickt ein Mitarbeiter auf den Link und gibt Zugangsdaten ein, gelangen die Angreifer sofort in Besitz dieser Credentials. Mit gestohlenen Zugangsdaten können sie sich in Firmensysteme einloggen, im Netzwerk ausbreiten, weitere Schadsoftware installieren oder Überweisungen auf eigene Konten umleiten. Besonders im Gesundheitswesen und bei Kanzleien sind die Folgen dramatisch: Patientendaten oder Mandanteninformationen werden kompromittiert, und die DSGVO-Meldepflicht greift.
Besonders perfide ist CEO-Fraud, auch Business Email Compromise (BEC) genannt: Hier geben sich Angreifer als Geschäftsführer oder leitende Mitarbeiter aus und weisen Kollegen per E-Mail an, hohe Geldbeträge zu überweisen. Da die Anweisung scheinbar vom Chef kommt, wird sie oft ohne Rückfrage ausgeführt. Angreifer warten dabei häufig auf günstige Momente – wenn die Führungskraft auf Reisen ist und eine persönliche Rückfrage schwierig erscheint.
Neben dem klassischen E-Mail-Phishing gibt es mittlerweile weitere Varianten: Smishing (Phishing per SMS), Vishing (Phishing per Telefon) und Quishing (Phishing über QR-Codes). All diese Methoden zielen auf das schwächste Glied in der Sicherheitskette ab: den Menschen. Technische Schutzmaßnahmen allein reichen nicht aus – regelmäßige Schulungen und simulierte Phishing-Tests sind unverzichtbar.
Phishing-Angriffe auf einen Blick
So trifft Phishing-Angriffe Unternehmen
Die folgenden vereinfachten Szenarien erklären typische Abläufe. Sie sind keine Behauptung über konkrete, identifizierbare Einzelfälle.
CEO-Fraud bei Mittelständler aus NRW
Ein Mitarbeiter der Buchhaltung erhielt eine E-Mail, die scheinbar vom Geschäftsführer stammte und eine dringende Überweisung an einen neuen Zulieferer anordnete. Die E-Mail-Adresse war bis auf einen Buchstaben identisch mit der echten. Der Betrag von 1,8 Mio. Euro wurde auf ein Konto in Osteuropa überwiesen. Erst nach drei Tagen fiel der Betrug auf – das Geld war nicht mehr rückholbar. Die Cyberversicherung übernahm einen Teil des Schadens, verlangte aber den Nachweis, dass kein Vier-Augen-Prinzip implementiert war.
Phishing-Angriff auf Arztpraxis in Bayern
Eine Mitarbeiterin einer Gemeinschaftspraxis klickte auf einen Link in einer vermeintlichen E-Mail der KV Bayern. Über die gefälschte Login-Seite gelangten die Angreifer an die Zugangsdaten zum Praxisverwaltungssystem. Die Patientendaten von über 12.000 Patienten wurden verschlüsselt, und die Praxis musste zwei Wochen auf Papier arbeiten. Neben den IT-Kosten kamen DSGVO-Meldepflichten an den Landesdatenschutzbeauftragten und erhebliche Reputationsschäden hinzu.
Spear-Phishing gegen Steuerberatungskanzlei
Eine Kanzlei erhielt eine täuschend echte E-Mail vom vermeintlichen Finanzamt mit einer Anfrage zur Nachreichung von Belegen. Der eingebettete Link führte auf eine gefälschte ELSTER-Seite. Die eingegebenen Zugangsdaten wurden gestohlen und für den Zugriff auf Mandantenkonten genutzt. Neben dem direkten Schaden musste die Kanzlei alle betroffenen Mandanten über den Vorfall informieren und eine aufwendige forensische Analyse in Auftrag geben.
Schutzmaßnahmen gegen Phishing-Angriffe
Technische Maßnahmen
- E-Mail-Filter mit KI-basierter Phishing-Erkennung einsetzen
- Multi-Faktor-Authentifizierung (MFA) für alle Zugänge aktivieren
- DMARC, SPF und DKIM für die eigene E-Mail-Domain konfigurieren
- Webfilter zum Blockieren bekannter Phishing-Seiten einrichten
- Automatische Warnung bei externen E-Mails im Posteingang anzeigen
- Regelmäßige Sicherheitsupdates für E-Mail-Clients und Browser
- Passwort-Manager unternehmensweit einführen
- Browser-Isolation für risikoreiche URLs aktivieren
Organisatorische Maßnahmen
- Regelmäßige Phishing-Simulationen für alle Mitarbeiter durchführen
- Awareness-Schulungen mindestens zweimal pro Jahr anbieten
- Vier-Augen-Prinzip bei Überweisungen über einem Schwellenwert einführen
- Klare Meldewege für verdächtige E-Mails etablieren
- Rückruf-Pflicht bei ungewöhnlichen Zahlungsanweisungen per E-Mail
Was die Cyberversicherung bei Phishing-Angriffe abdeckt
Abgedeckte Leistungen
- Kosten für IT-Forensik zur Aufklärung des Angriffs
- Betriebsunterbrechungsschäden durch den Ausfall
- Kosten für Datenwiederherstellung und Systemreinigung
- Haftpflichtansprüche bei Datenschutzverletzungen (DSGVO)
- Kosten für Krisenkommunikation und PR-Beratung
- Rechtsberatungskosten im Zusammenhang mit dem Vorfall
- Lösegeldzahlungen bei anschließender Ransomware-Attacke
- Kosten für Benachrichtigung betroffener Personen nach DSGVO
Typische Ausschlüsse
- Schäden durch vorsätzliches Handeln von Mitarbeitern
- Bereits vor Vertragsbeginn bekannte Sicherheitslücken
- Reputationsschäden, die nicht direkt bezifferbar sind
- Bußgelder durch Aufsichtsbehörden (je nach Tarif)
- Schäden an Dritten durch weitergeleitete Phishing-Mails ohne eigene Schutzmaßnahmen
Schützen Sie Ihr Unternehmen vor Phishing-Angriffe
Vergleichen Sie jetzt die besten Cyberversicherungs-Tarife und finden Sie den passenden Schutz für Ihr Unternehmen.
JETZT TARIFE VERGLEICHEN