Phishing-Angriffe
Phishing bezeichnet den Versuch, über gefälschte E-Mails, Webseiten oder Nachrichten an vertrauliche Daten wie Passwörter, Bankdaten oder Zugangsdaten zu gelangen. Die Angreifer geben sich dabei als vertrauenswürdige Absender aus – zum Beispiel als Bank, Behörde oder Geschäftspartner. Für Unternehmen ist Phishing besonders gefährlich, weil ein einziger Klick eines Mitarbeiters ausreicht, um das gesamte Netzwerk zu kompromittieren.
Wie funktioniert Phishing-Angriffe?
Phishing-Angriffe folgen einem bewährten Muster: Die Angreifer recherchieren zunächst ihr Ziel. Bei gezielten Angriffen auf Unternehmen (sogenanntes Spear-Phishing) informieren sie sich über Mitarbeiter, Geschäftspartner und interne Abläufe – oft über LinkedIn, die Firmenwebseite oder öffentliche Handelsregistereinträge.
Im nächsten Schritt erstellen die Angreifer eine täuschend echte E-Mail oder Webseite. Moderne Phishing-Mails sind kaum noch von echten Nachrichten zu unterscheiden: Logos, Schriftarten und sogar der Absendername werden perfekt kopiert. Häufig wird Zeitdruck erzeugt – etwa durch eine angebliche Kontosperrung oder eine dringende Rechnung.
Klickt ein Mitarbeiter auf den Link und gibt Daten ein, haben die Angreifer sofort Zugriff. Mit gestohlenen Zugangsdaten können sie sich in Firmensysteme einloggen, weitere Schadsoftware installieren oder Überweisungen auf eigene Konten umleiten.
Besonders perfide ist CEO-Fraud (auch Business Email Compromise genannt): Hier geben sich Angreifer als Geschäftsführer aus und weisen Mitarbeiter per E-Mail an, hohe Geldbeträge zu überweisen. Da die Anweisung scheinbar vom Chef kommt, wird sie oft ohne Rückfrage ausgeführt.
Phishing-Angriffe in Zahlen
So trifft Phishing-Angriffe Unternehmen
CEO-Fraud bei Mittelständler aus NRW
Ein Mitarbeiter der Buchhaltung erhielt eine E-Mail, die scheinbar vom Geschäftsführer stammte. Darin wurde eine dringende Überweisung an einen neuen Zulieferer angeordnet. Die E-Mail-Adresse war bis auf einen Buchstaben identisch mit der echten. Der Betrag von 1,8 Mio. Euro wurde auf ein Konto in Osteuropa überwiesen. Erst nach drei Tagen fiel der Betrug auf – das Geld war nicht mehr rückholbar.
Phishing-Angriff auf Arztpraxis in Bayern
Eine Mitarbeiterin einer Gemeinschaftspraxis klickte auf einen Link in einer vermeintlichen E-Mail der KV Bayern. Über die gefälschte Login-Seite gelangten die Angreifer an die Zugangsdaten zum Praxisverwaltungssystem. Die Patientendaten von über 12.000 Patienten wurden verschlüsselt, und die Praxis musste zwei Wochen lang auf Papier arbeiten. Neben den IT-Kosten kamen DSGVO-Meldepflichten und Reputationsschäden hinzu.
Schutzmaßnahmen gegen Phishing-Angriffe
Technische Maßnahmen
- E-Mail-Filter mit KI-basierter Phishing-Erkennung einsetzen
- Multi-Faktor-Authentifizierung (MFA) für alle Zugänge aktivieren
- DMARC, SPF und DKIM für die eigene E-Mail-Domain konfigurieren
- Webfilter zum Blockieren bekannter Phishing-Seiten einrichten
- Automatische Warnung bei externen E-Mails im Posteingang anzeigen
- Regelmäßige Sicherheitsupdates für E-Mail-Clients und Browser
- Passwort-Manager unternehmensweit einführen
Organisatorische Maßnahmen
- Regelmäßige Phishing-Simulationen für alle Mitarbeiter durchführen
- Awareness-Schulungen mindestens zweimal pro Jahr anbieten
- Vier-Augen-Prinzip bei Überweisungen über einem Schwellenwert einführen
- Klare Meldewege für verdächtige E-Mails etablieren
- Rückruf-Pflicht bei ungewöhnlichen Zahlungsanweisungen per E-Mail
Was die Cyberversicherung bei Phishing-Angriffe abdeckt
Abgedeckte Leistungen
- Kosten für IT-Forensik zur Aufklärung des Angriffs
- Betriebsunterbrechungsschäden durch den Ausfall
- Kosten für Datenwiederherstellung und Systemreinigung
- Haftpflichtansprüche bei Datenschutzverletzungen (DSGVO)
- Kosten für Krisenkommunikation und PR-Beratung
- Rechtsberatungskosten im Zusammenhang mit dem Vorfall
- Lösegeldzahlungen bei anschließender Ransomware-Attacke
- Kosten für Benachrichtigung betroffener Personen nach DSGVO
Typische Ausschlüsse
- Schäden durch vorsätzliches Handeln von Mitarbeitern
- Bereits vor Vertragsbeginn bekannte Sicherheitslücken
- Reputationsschäden, die nicht direkt bezifferbar sind
- Bußgelder durch Aufsichtsbehörden (je nach Tarif)
- Schäden an Dritten durch weitergeleitete Phishing-Mails ohne eigene Schutzmaßnahmen
Schützen Sie Ihr Unternehmen vor Phishing-Angriffe
Vergleichen Sie jetzt die besten Cyberversicherungs-Tarife und finden Sie den passenden Schutz für Ihr Unternehmen.
JETZT TARIFE VERGLEICHEN