Wie erkennt man einen Phishing-Angriff? — 7 Kontrollpunkte

Phishing ist die Methode Nr. 1, mit der Angreifer in Organisationen eindringen. Nicht wegen technischer Raffinesse — sondern weil sie das Eine ausnutzt, das man nicht patchen kann: menschliches Verhalten. Laut Verizon 2024 DBIR waren an 74% der Verletzungen menschliche Elemente beteiligt.

Hier sind 7 Kontrollpunkte, um Phishing zu erkennen, bevor es zu spät ist.

---

Kontrollpunkt 1: Absenderadresse

Der Anzeigename sagt „Microsoft Support” — aber die tatsächliche E-Mail-Adresse ist [email protected]. Prüfen Sie immer die vollständige Absenderadresse.

Warnsignale:

• Domain stimmt nicht mit dem Unternehmen überein
• Kostenlose E-Mail-Anbieter für „offizielle” Kommunikation
• Zusätzliche Zeichen, Zahlen statt Buchstaben (0 statt o)

✅ [email protected]
❌ [email protected]
❌ [email protected]

Kontrollpunkt 2: Dringlichkeit und Drohungen

„Ihr Konto wird in 24 Stunden gesperrt.” „Unbefugter Zugriff erkannt — sofort bestätigen.” Phishing-E-Mails erzeugen künstliche Dringlichkeit, um rationales Denken zu umgehen.

Legitime Unternehmen:

• Drohen nicht mit sofortiger Kontosperrung per E-Mail
• Fordern keine „Bestätigung” durch Klicken auf einen Link
• Bieten mehrere Kontaktkanäle zur Verifizierung

Kontrollpunkt 3: URL-Prüfung

Bewegen Sie den Mauszeiger über Links ohne zu klicken. Die im Tooltip angezeigte URL zeigt das tatsächliche Ziel.

https://login.microsoft.com/oauth        ← ✅ Legitim
https://login.microsoft.com.evil.site/   ← ❌ Subdomain-Trick
https://microsoft-login.phishsite.com/   ← ❌ Völlig andere Domain

Kontrollpunkt 4: Anhänge

Unerwartete Anhänge sind gefährlich:

Erweiterung	Risikostufe	Warum
.exe, .scr, .bat	🔴 Kritisch	Direkt ausführbar
.docm, .xlsm	🔴 Hoch	Makro-aktivierte Office-Dateien
.zip, .rar	🟡 Mittel	Kann alles enthalten
.pdf	🟡 Mittel	Kann Exploit-Code enthalten

Regel: Nicht angefordert? Nicht öffnen. Von bekanntem Kontakt aber unerwartet? Über anderen Kanal verifizieren.

Kontrollpunkt 5: Grammatik und Formatierung

KI hat Phishing-E-Mails professioneller gemacht, aber viele enthalten noch:

• Generische Anreden („Sehr geehrter Kunde” statt Ihres Namens)
• Inkonsistente Formatierung
• Ungewöhnliche Formulierungen
• Niedrigauflösende Logos

Verlassen Sie sich nicht allein darauf — KI-generiertes Phishing wird zunehmend ununterscheidbar.

Kontrollpunkt 6: Anforderung sensibler Informationen

Kein legitimer Dienst fragt per E-Mail nach:

• Ihrem Passwort
• Kreditkartendetails über einen E-Mail-Link
• MFA-Codes oder Wiederherstellungsschlüssel
• Download und Ausführung von „Sicherheitsüberprüfungs”-Software

Wenn eine E-Mail nach etwas davon fragt: Es ist Phishing.

Kontrollpunkt 7: E-Mail-Header

Für fortgeschrittene Überprüfung:

Received-SPF: pass
DKIM-Signature: v=1; d=microsoft.com (gültige Signatur)
Authentication-Results: dmarc=pass

---

Phishing-Typen

E-Mail-Phishing

Klassisches Massentargeting. An Tausende gesendet.

Spear-Phishing

Gezielter Angriff mit persönlichen Informationen (Name, Unternehmen, Position).

Smishing (SMS-Phishing)

„Ihr Paket wartet auf Zustellung. Hier verfolgen: bit.ly/xxx”

Vishing (Voice-Phishing)

Telefonanrufe, die vorgeben, von Ihrer Bank oder IT-Abteilung zu sein.

---

Was tun nach dem Klicken

1. Passwort sofort ändern — auf dieser Seite und überall mit gleichem Passwort
2. MFA aktivieren falls nicht bereits aktiv
3. Gerät scannen mit aktualisiertem Antivirus/EDR
4. IT-Team benachrichtigen
5. Konten 30 Tage überwachen
6. Bei Bankdaten — Bank sofort anrufen

---

Unternehmensschutz: SPF, DKIM, DMARC

SPF (Sender Policy Framework)

Legt fest, welche Server E-Mails für Ihre Domain senden dürfen.

DKIM (DomainKeys Identified Mail)

Fügt ausgehenden E-Mails eine kryptographische Signatur hinzu.

DMARC

Teilt empfangenden Servern mit, was bei SPF/DKIM-Fehlern zu tun ist.

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100

Ergebnis: Mit allen drei konfiguriert wird Domain-Spoofing nahezu unmöglich.

---

Phishing-Simulation für Schulung

• GoPhish — Open Source, selbst gehostet
• KnowBe4 — Enterprise-Plattform
• Microsoft Attack Simulator — in Microsoft 365 E5 integriert

Simulationen vierteljährlich durchführen. Klickraten messen. Sofortschulung für Klicker. Das Ziel ist nicht Bestrafung — es ist Bewusstsein.