Phishing-Angriffe verleiten Menschen dazu, Zugangsdaten, Geld oder andere Informationen preiszugeben. Der Angreifer gibt sich als vertrauenswürdige Institution aus: Bank, Kollege, Softwareanbieter oder Behörde. Die Nachricht erzeugt Dringlichkeit: Ihr Konto wird geschlossen. Eine Zahlung ist überfällig. Ein Paket konnte nicht zugestellt werden. Klicken Sie auf den Link, geben Sie Ihr Passwort ein – und der Angreifer hat, was er braucht.

Phishing ist der häufigste Angriffsweg bei Sicherheitslücken. Es funktioniert, weil es auf Menschen und nicht auf Systeme abzielt. Technische Kontrollen helfen. E-Mail-Filter erkennen bekannte Phishing-Domains. DMARC und SPF erschweren das Spoofing. Link-Scanner prüfen URLs, bevor Nutzer darauf klicken. Doch auch Filter können Fehler übersehen. Eine gut gestaltete Phishing-E-Mail von einem kompromittierten, legitimen Konto besteht jede Prüfung. Schulungen sind zwar hilfreich, aber kein Allheilmittel. Menschen klicken, wenn sie beschäftigt, abgelenkt oder verängstigt sind. Der beste Schutz kombiniert Filterung, Schulung und Multi-Faktor-Authentifizierung (MFA). Wird ein Passwort gestohlen, verhindert MFA den Anmeldeversuch. Wird MFA über einen Proxy umgangen, erkennt die Verhaltenserkennung diese Anomalie. Keine einzelne Schutzmaßnahme ist ausreichend.

Gängige Phishing-Köder

• Warnungen zur Kontosperrung
• Gefälschte Rechnungen und Zahlungsaufforderungen
• Lieferbenachrichtigungen
• Benachrichtigungen zum Zurücksetzen des Passworts
• Benachrichtigungen für freigegebene Dokumente

Melden Sie Phishing-E-Mails, anstatt sie zu löschen. Das Sicherheitsteam muss wissen, welche E-Mails durchkommen.