Phishing im Unternehmen: Warum der gefährlichste Angriff oft ganz harmlos aussieht

Es gibt Angriffe, die laut sind. Ein Server fällt aus. Dateien sind verschlüsselt. Ein Bildschirm zeigt eine Lösegeldforderung. Mitarbeiter können nicht mehr arbeiten. Dann weiß jeder sofort: Wir haben ein Problem.

Phishing ist anders. Phishing beginnt oft leise: eine E-Mail, ein Link, ein QR-Code, eine scheinbar normale Microsoft-365-Anmeldung, eine angebliche Rechnung, eine Dateifreigabe, eine kurze Nachricht vom Chef, eine Anfrage eines Kunden, eine Benachrichtigung von Teams, ein Hinweis auf ein volles Postfach oder eine Bitte, schnell etwas freizugeben.

Nichts davon sieht auf den ersten Blick dramatisch aus. Und genau das macht es so gefährlich.

Moderne Phishing-Angriffe wirken nicht wie ein Angriff. Sie wirken wie Arbeit.

Phishing ist nicht mehr der plumpe Betrugsversuch von früher. Die Zeiten, in denen man solche Mails sofort an schlechter Übersetzung, komischen Absendern und absurden Geschichten erkannt hat, sind vorbei. Moderne Phishing-Angriffe sind oft sauber formuliert, optisch glaubwürdig und genau auf den Arbeitsalltag zugeschnitten.

Der gefährlichste Satz lautet: „Darauf fällt bei uns keiner rein“

Diesen Satz höre ich immer wieder: „Unsere Mitarbeiter sind vorsichtig.“ „Wir klicken nicht einfach auf Links.“ „So etwas erkennt man doch.“ „Bei uns würde das auffallen.“

Ich verstehe den Gedanken. Niemand möchte seinen Mitarbeitern unterstellen, leichtgläubig zu sein. Und das sollte man auch nicht tun. Aber genau hier liegt der Denkfehler.

Phishing funktioniert nicht, weil Menschen dumm sind. Phishing funktioniert, weil Menschen arbeiten.

Sie beantworten E-Mails. Sie prüfen Rechnungen. Sie öffnen Dokumente. Sie reagieren auf Kunden. Sie helfen Kollegen. Sie wollen Probleme lösen. Sie arbeiten unter Zeitdruck. Sie wechseln zwischen Telefon, E-Mail, Teams, Browser, Fachanwendung und Kundengespräch.

Ein Angriff nutzt nicht nur Technik aus. Er nutzt den normalen Arbeitsrhythmus aus. Und manchmal reicht ein einziger Moment. Nicht, weil jemand unfähig ist. Sondern weil der Angriff gut gemacht war und genau zur Situation gepasst hat.

Phishing greift Vertrauen an

Ein guter Phishing-Angriff fragt nicht: „Wie knacke ich die Firewall?“ Er fragt: „Wem vertraut dieser Mitarbeiter?“

• dem Chef
• dem Kunden
• dem Steuerberater
• dem Lieferanten
• Microsoft
• der Bank
• dem Paketdienst
• dem IT-Support
• der Personalabteilung
• dem Kollegen aus der Buchhaltung

Phishing nutzt Vertrauen, Autorität, Gewohnheit und Druck. Eine Nachricht vom Geschäftsführer mit der Bitte um schnelle Zahlung. Eine angebliche Microsoft-Meldung, dass das Konto gesperrt wird. Eine Rechnung von einem bekannten Lieferanten. Ein freigegebenes Dokument in SharePoint. Ein QR-Code auf einem Schreiben. Eine Teams-Nachricht mit einem Link.

Das Gemeine daran: Manche Angriffe kommen nicht mehr von komplett fremden Absendern. Sie kommen aus echten Postfächern, die vorher übernommen wurden. Dann sieht die Nachricht nicht nur glaubwürdig aus. Sie ist technisch gesehen sogar wirklich von einer bekannten Adresse gekommen.

Der Klassiker: Microsoft 365 als Köder

Für viele Unternehmen ist Microsoft 365 heute der zentrale Arbeitsraum. E-Mail, Teams, SharePoint, OneDrive, Kalender, Kontakte, Dateien, interne Kommunikation – vieles hängt daran. Deshalb ist Microsoft 365 für Angreifer so interessant.

Eine gefälschte Anmeldeseite kann täuschend echt aussehen. Der Mitarbeiter denkt, er meldet sich bei Microsoft an. In Wirklichkeit gibt er seine Zugangsdaten auf einer nachgebauten Seite ein.

Manchmal geht es noch weiter: Der Angriff fordert nicht nur das Passwort ab, sondern versucht auch, zusätzliche Freigaben, Token oder Gerätebestätigungen zu erschleichen. Der Nutzer sieht eine vertraute Oberfläche. Er möchte ein Dokument öffnen. Er möchte schnell weiterarbeiten. Er bestätigt, was abgefragt wird. Und plötzlich hat ein Angreifer Zugriff auf ein Konto.

Mit Zugriff auf ein Microsoft-365-Konto kann ein Angreifer E-Mails lesen, Regeln einrichten, Weiterleitungen setzen, Dateien einsehen, interne Informationen auswerten, weitere Phishing-Mails versenden und Vertrauen missbrauchen. Ein gekapertes Postfach ist oft nicht das Ende des Angriffs. Es ist der Anfang.

Warum Phishing nicht nur ein E-Mail-Problem ist

Viele denken bei Phishing nur an E-Mails. Das war einmal. Heute müssen Unternehmen breiter denken.

Phishing kann über E-Mail kommen, über SMS, QR-Codes, Teams, WhatsApp, gefälschte Webseiten, Telefonanrufe, LinkedIn, kompromittierte Lieferantenpostfächer, manipulierte Dateifreigaben, gefälschte Microsoft-Anmeldungen oder angebliche Paket-, Bank- und Behördennachrichten.

Besonders tückisch sind QR-Codes. Der Nutzer sieht nicht sofort, wohin der Link führt. Er scannt den Code mit dem Smartphone, landet auf einer Seite, die seriös wirkt, und gibt dort Daten ein.

Gerade im Unternehmensalltag ist das gefährlich, weil private und geschäftliche Geräte oft nebeneinander genutzt werden. Ein Mitarbeiter scannt schnell einen Code, öffnet eine Seite, meldet sich an – und niemand merkt sofort, dass etwas nicht stimmt.

Phishing ist also kein reines E-Mail-Thema mehr. Es ist ein Identitäts- und Vertrauensproblem.

Das Ziel ist nicht immer sofort Ransomware

Viele Unternehmen verbinden Cyberangriffe mit verschlüsselten Dateien. Das ist verständlich, aber zu kurz gedacht. Bei Phishing geht es oft zuerst um Zugang.

• Zugang zu E-Mail
• Zugang zu Microsoft 365
• Zugang zu Rechnungsprozessen
• Zugang zu Kundendaten
• Zugang zu interner Kommunikation
• Zugang zu weiteren Mitarbeitern
• Zugang zu Passwörtern
• Zugang zu Zahlungsinformationen

Ein Angreifer muss nicht sofort alles verschlüsseln. Manchmal liest er erst einmal mit. Er beobachtet Rechnungsabläufe. Er prüft, wer Entscheidungen trifft. Er sucht nach Kundendaten. Er richtet Weiterleitungen ein. Er wartet auf die passende Gelegenheit. Er nutzt das echte Postfach, um weitere Personen zu täuschen.

Das macht Phishing so gefährlich: Der Schaden beginnt oft, bevor jemand etwas bemerkt.

Der Angriff auf die Buchhaltung

Besonders gefährdet sind Bereiche, in denen Zeitdruck, Geld und Verantwortung zusammenkommen. Die Buchhaltung ist dafür ein klassisches Beispiel.

Dort landen Rechnungen, Mahnungen, Zahlungsaufforderungen, Kontodaten, Lieferantenkommunikation und Freigaben. Wenn ein Angreifer es schafft, eine Rechnung zu manipulieren oder eine gefälschte Zahlungsanweisung glaubwürdig aussehen zu lassen, kann schnell echter finanzieller Schaden entstehen.

Das muss nicht plump sein. Manchmal wird nur die Bankverbindung geändert. Manchmal wird eine echte Rechnung abgefangen und angepasst. Manchmal kommt eine E-Mail aus einem kompromittierten Lieferantenkonto. Manchmal wird ein angeblicher Geschäftsführer eingebunden. Manchmal wird Druck aufgebaut: „Bitte sofort erledigen, ich bin im Termin.“

Der Angriff funktioniert nicht, weil die Buchhaltung schlecht arbeitet. Er funktioniert, weil Abläufe ausgenutzt werden. Deshalb braucht es nicht nur Technik, sondern auch klare Prozesse.

• Zahlungsdatenänderungen müssen geprüft werden.
• Ungewöhnliche Freigaben brauchen Rückbestätigung.
• Eilige Zahlungsaufforderungen dürfen nicht ungeprüft durchgehen.
• Rückfragen müssen erlaubt sein.
• Der vermeintliche Chef darf nicht über dem Prozess stehen.

Gute Sicherheit schützt Mitarbeiter auch vor falschem Druck.

Der Angriff auf die Geschäftsführung

Auch Geschäftsführer sind attraktive Ziele. Nicht nur wegen Zugriffen, sondern wegen Autorität. Wenn eine E-Mail scheinbar von der Geschäftsführung kommt, reagieren Mitarbeiter oft schneller. Der Ton ist kurz, der Druck hoch, die Anfrage vertraulich.

Solche Angriffe leben davon, dass niemand widersprechen möchte. Deshalb muss die Geschäftsführung selbst Teil der Sicherheitskultur sein. Ein Unternehmen braucht eine Atmosphäre, in der Rückfragen nicht als Misstrauen gelten, sondern als Professionalität.

Wenn ein Mitarbeiter bei einer ungewöhnlichen Zahlungsfreigabe anruft, ist das kein Stören. Das ist gute Arbeit.

Mitarbeiter sind nicht das schwächste Glied

Oft hört man den Satz: „Der Mensch ist die Schwachstelle.“ Ich mag diesen Satz nicht. Er ist zu einfach. Und er führt in die falsche Richtung.

Mitarbeiter sind nicht das Problem. Mitarbeiter sind Teil der Verteidigung. Ja, Menschen machen Fehler. Das gilt für jeden. Auch für Geschäftsführer, Administratoren und IT-Dienstleister. Aber genau deshalb darf Sicherheit nicht darauf beruhen, dass niemand jemals einen Fehler macht.

Gute IT-Sicherheit baut Leitplanken: Mehr-Faktor-Authentifizierung, saubere Rechte, E-Mail-Schutz, Spam- und Phishing-Filter, sichere Microsoft-365-Konfiguration, klare Zahlungsprozesse, regelmäßige Schulung, Meldewege, Notfallabläufe, Protokollierung, Backup und Dokumentation.

Dann wird aus einem Fehler nicht sofort ein großer Schaden. Das ist der richtige Blick. Nicht: „Wer hat geklickt?“ Sondern: „Warum konnte ein Klick so gefährlich werden?“

Schulung darf nicht nach Pflichtveranstaltung riechen

Viele Unternehmen machen einmal im Jahr eine kurze IT-Sicherheitsschulung. Danach wird abgehakt. Das reicht nicht. Nicht, weil Mitarbeiter dauernd belehrt werden müssen. Sondern weil Angriffe sich verändern.

Neue Phishing-Mails sehen anders aus. Neue Betrugsmaschen kommen dazu. QR-Codes werden häufiger missbraucht. Microsoft-365-Anmeldungen werden besser gefälscht. KI macht Texte glaubwürdiger. Kompromittierte echte Konten wirken überzeugender. Angriffe werden stärker auf Rollen und Abläufe zugeschnitten.

Wirksam wird Awareness erst, wenn sie im Alltag verankert ist: kurze Hinweise, konkrete Beispiele, klare Meldewege, Wiederholung, Praxisnähe, keine Schuldzuweisung, Rückmeldung, wenn jemand etwas richtig gemeldet hat, und Regeln, die auch die Geschäftsführung einhält.

Der wichtigste Satz: „Lieber einmal zu viel melden“

In vielen Unternehmen melden Mitarbeiter verdächtige Nachrichten nicht, weil sie unsicher sind. Vielleicht war es doch echt. Vielleicht mache ich mich lächerlich. Vielleicht störe ich die IT. Vielleicht bekomme ich Ärger, wenn ich schon geklickt habe. Vielleicht merkt es keiner.

Das ist gefährlich. Ein Unternehmen braucht eine klare Regel: Lieber einmal zu viel melden als einmal zu spät. Und noch wichtiger: Wer meldet, bekommt keinen Ärger. Selbst dann nicht, wenn er vorher geklickt hat.

Natürlich muss man aus Fehlern lernen. Aber Schuldzuweisung im ersten Moment sorgt nur dafür, dass beim nächsten Mal weniger gemeldet wird. Im Sicherheitsfall zählt Geschwindigkeit.

Was nach einem Klick passieren muss

Auch das gehört zur Ehrlichkeit: Früher oder später klickt jemand. Dann entscheidet der Ablauf. Nicht hektisch löschen. Nicht schweigen. Nicht hoffen, dass nichts passiert. Nicht erst am nächsten Tag melden. Sondern klar handeln.

Wenn Zugangsdaten eingegeben wurden, müssen Kennwort und Sitzungen geprüft werden. Wenn Microsoft 365 betroffen ist, müssen Anmeldungen, Weiterleitungen, Postfachregeln und Geräte geprüft werden. Wenn MFA-Anfragen bestätigt wurden, muss genau geschaut werden, was passiert ist.

Wenn Anhänge geöffnet wurden, muss der Arbeitsplatz untersucht werden. Wenn Rechnungsdaten betroffen sind, müssen Zahlungsprozesse geprüft werden. Wenn Kundendaten betroffen sein könnten, müssen weitere Schritte geklärt werden.

Technik bleibt wichtig

Bei aller Betonung des menschlichen Faktors: Technik ist weiterhin entscheidend. Phishing-Schutz besteht nicht nur aus Schulung.

• gute E-Mail-Filter
• saubere DNS- und Mailkonfiguration
• SPF, DKIM und DMARC
• Mehr-Faktor-Authentifizierung
• Conditional Access
• Blockierung alter Authentifizierungsverfahren
• sichere Browser- und Endpoint-Konfiguration
• Überwachung auffälliger Anmeldungen
• Rechtebegrenzung
• Backup und Wiederherstellung
• Schutz vor externen Weiterleitungen
• regelmäßige Prüfung von Postfachregeln
• sichere Administratorenkonten

Für Geschäftsführer ist die Botschaft einfach: Ein einzelner Schutz reicht nicht. Phishing-Abwehr ist ein Zusammenspiel aus Technik, Prozessen und Menschen.

SPF, DKIM und DMARC: trocken, aber wichtig

E-Mail-Sicherheit beginnt auch bei der eigenen Domain. Viele Unternehmen verschicken E-Mails, ohne sauber geprüft zu haben, ob ihre Domain gegen Missbrauch geschützt ist.

SPF, DKIM und DMARC helfen dabei, E-Mail-Absender besser zu prüfen und Missbrauch der eigenen Domain zu erschweren. Das ist kein Allheilmittel. Aber es ist ein wichtiger Baustein.

Gerade wenn Kunden, Lieferanten und Geschäftspartner E-Mails von Ihrer Domain bekommen, sollte sauber geregelt sein, welche Systeme überhaupt im Namen Ihrer Domain senden dürfen. Sonst wird es Angreifern leichter gemacht, Vertrauen zu missbrauchen.

Die gefährlichste Lücke: alte Gewohnheiten

Viele Sicherheitsprobleme entstehen nicht durch fehlendes Wissen, sondern durch alte Gewohnheiten: Rechnungen werden schnell freigegeben, Passwörter wiederverwendet, Links aus Routine geöffnet, Chef-Mails nicht hinterfragt, externe Freigaben bleiben bestehen, Postfachregeln werden nie geprüft, Weiterleitungen bleiben aktiv und Dienstleisterzugänge bleiben offen.

Phishing nutzt genau diese Gewohnheiten. Deshalb muss Sicherheit dort ansetzen, wo der Alltag tatsächlich stattfindet. Nicht in theoretischen Richtlinien, die niemand liest. Sondern in echten Abläufen.

KI macht Phishing glaubwürdiger

Künstliche Intelligenz macht Betrugsversuche besser. Früher waren viele Phishing-Mails leicht zu erkennen: schlechte Sprache, falsche Anrede, komische Formatierung.

Heute können Angreifer Texte deutlich professioneller formulieren. Sie können Tonfall, Sprache und Stil besser anpassen. Sie können Mails bauen, die wie normale Geschäftskommunikation wirken. Sie können Informationen aus öffentlich sichtbaren Quellen nutzen, um Nachrichten glaubwürdiger zu machen.

Die Grenze zwischen „offensichtlich falsch“ und „könnte echt sein“ wird dünner. Deshalb reicht es nicht mehr, Mitarbeitern nur zu sagen: „Achten Sie auf Rechtschreibfehler.“ Das war früher schon zu wenig. Heute ist es erst recht zu wenig.

Quishing: Wenn der QR-Code zur Falle wird

QR-Codes sind bequem. Genau deshalb werden sie genutzt: auf Rechnungen, Plakaten, Briefen, E-Mails, Geräten, in Besprechungsräumen, für WLAN-Zugänge, Zahlungsseiten oder angebliche Microsoft-Anmeldungen.

Das Problem: Man sieht dem QR-Code nicht an, wohin er führt. Ein Mitarbeiter scannt ihn, landet auf einer Seite und glaubt, alles sei normal.

Gerade weil QR-Codes häufig mit dem Smartphone genutzt werden, verlassen sie manchmal die Schutzumgebung des Unternehmens. Ein geschäftlicher Vorgang landet plötzlich auf einem privaten Gerät oder in einem mobilen Browser, der nicht gleich geschützt ist wie der Arbeitsplatz.

Nicht jeder QR-Code ist gefährlich. Aber jeder QR-Code ist ein Link, den man nicht direkt lesen kann. Das allein reicht als Grund für Vorsicht.

Was Unternehmen konkret tun sollten

Phishing-Schutz beginnt mit Klarheit. Nicht mit Panik. Nicht mit Schuldzuweisung. Nicht mit einer langen Liste, die niemand umsetzt.

• Ist MFA für Microsoft 365 konsequent aktiv?
• Sind Administratorenkonten besonders geschützt?
• Gibt es Schutz gegen alte Anmeldeverfahren?
• Werden externe Weiterleitungen kontrolliert?
• Sind SPF, DKIM und DMARC sauber eingerichtet?
• Gibt es klare Meldewege für verdächtige Nachrichten?
• Wissen Mitarbeiter, was bei einem Klick zu tun ist?
• Gibt es Regeln für Zahlungsdatenänderungen?
• Werden Buchhaltung und Geschäftsführung besonders sensibilisiert?
• Wer prüft auffällige Anmeldungen?
• Sind Postfachregeln und Weiterleitungen im Blick?
• Gibt es regelmäßige, praxisnahe Hinweise statt einmaliger Pflichtschulung?
• Sind Backup und Wiederherstellung getestet?
• Gibt es einen Notfallplan?

Was Geschäftsführer wissen müssen

Als Geschäftsführer müssen Sie nicht jede Phishing-Technik im Detail kennen. Aber Sie müssen verstehen, dass Phishing nicht nur ein IT-Problem ist.

Es betrifft Kommunikation, Zahlungsprozesse, Kundendaten, Vertrauen, Mitarbeiterverhalten, Microsoft 365, Buchhaltung, Geschäftsführung, Dienstleister und Notfallfähigkeit.

Die entscheidenden Fragen sind unternehmerisch: Können unsere Mitarbeiter verdächtige Nachrichten einfach melden? Wer reagiert, wenn ein Konto kompromittiert wurde? Sind unsere wichtigsten Konten geschützt? Sind Zahlungsprozesse robust gegen Manipulation? Ist Microsoft 365 sauber abgesichert? Wissen wir, ob E-Mails weitergeleitet oder Postfachregeln missbraucht werden? Sind wir vorbereitet, wenn doch jemand klickt?

Was wir bei EDV Systeme Donner darunter verstehen

Wir sehen Phishing-Schutz nicht als reine Mitarbeiterschulung. Und auch nicht als reines E-Mail-Filter-Thema. Für uns ist Phishing-Schutz ein Teil der gesamten IT-Betriebsführung.

Wir schauen deshalb auf die Zusammenhänge: Microsoft 365, MFA, E-Mail-Sicherheit, SPF, DKIM und DMARC, Postfachregeln, externe Weiterleitungen, Benutzerrechte, Administratorenkonten, Zahlungsprozesse, Backup, Notfallabläufe, Meldewege, Dokumentation und Awareness im Alltag.

Angreifer denken nicht in Zuständigkeiten. Sie suchen den einfachsten Weg. Wenn die Technik gut ist, greifen sie Vertrauen an. Wenn Prozesse schwach sind, nutzen sie Druck. Wenn Rechte zu breit sind, vergrößern sie den Schaden. Wenn niemand meldet, gewinnen sie Zeit. Wenn kein Ablauf existiert, entsteht Chaos.

Gute IT-Sicherheit macht Mitarbeiter stärker

Der beste Zustand ist nicht, dass Mitarbeiter Angst vor jeder E-Mail haben. Das wäre Unsinn. Ein Unternehmen muss arbeiten können. Kommunikation muss laufen. Kunden müssen Antworten bekommen. Rechnungen müssen verarbeitet werden. Teams muss genutzt werden. Dokumente müssen geteilt werden.

Gute IT-Sicherheit bedeutet nicht, den Betrieb zu lähmen. Gute IT-Sicherheit bedeutet, den Betrieb mit klaren Leitplanken zu schützen.

Mitarbeiter wissen, worauf sie achten sollen. Sie wissen, wie sie melden. Sie wissen, dass Rückfragen erwünscht sind. Sie wissen, dass ungewöhnliche Zahlungsanweisungen geprüft werden. Sie wissen, dass ein Klick kein Weltuntergang ist, wenn er sofort gemeldet wird. Und sie arbeiten in einer Umgebung, die technisch nicht bei jedem Fehler komplett offensteht.

Typische Warnzeichen

• MFA ist nicht konsequent aktiv.
• Mitarbeiter wissen nicht, wohin sie verdächtige E-Mails melden sollen.
• Es gibt keine klare Regel für geänderte Bankverbindungen.
• Geschäftsführung und Buchhaltung sind nicht gesondert sensibilisiert.
• SPF, DKIM oder DMARC sind nicht sauber eingerichtet.
• Externe Weiterleitungen werden nicht kontrolliert.
• Postfachregeln werden nie geprüft.
• Alte Benutzerkonten existieren noch.
• Ehemalige Mitarbeiter sind noch irgendwo berechtigt.
• Verdächtige Anmeldungen werden nicht aktiv ausgewertet.
• Es gibt keinen Ablauf für kompromittierte Microsoft-365-Konten.
• Schulungen finden höchstens einmal jährlich und ohne Praxisbezug statt.

Der richtige erste Schritt

Der richtige erste Schritt ist eine ehrliche Bestandsaufnahme. Nicht erst ein neues Tool. Nicht erst eine große Schulung. Nicht erst zehn neue Richtlinien.

Zuerst muss klar sein: Wie ist Microsoft 365 abgesichert? Welche Konten sind besonders kritisch? Welche MFA-Regeln gelten? Welche E-Mail-Sicherheitsstandards sind eingerichtet? Welche Weiterleitungen existieren? Welche Postfachregeln fallen auf? Welche Zahlungsprozesse sind anfällig? Welche Meldewege gibt es? Welche Mitarbeitergruppen brauchen besondere Hinweise? Was passiert nach einem Klick?

Danach kann man gezielt verbessern. Schritt für Schritt. Verständlich. Alltagstauglich. Ohne Technikshow.

Mein Fazit

Phishing ist deshalb so gefährlich, weil es nicht wie ein Angriff aussehen muss. Es sieht aus wie eine normale Aufgabe: eine Mail öffnen, ein Dokument prüfen, einen QR-Code scannen, eine Anmeldung bestätigen, eine Rechnung bezahlen, eine Freigabe erteilen oder einem vermeintlichen Kollegen helfen.

Genau deshalb reicht es nicht, einfach zu sagen: „Unsere Mitarbeiter passen schon auf.“ Gute Phishing-Abwehr verbindet Menschen, Prozesse und Technik: MFA, Microsoft-365-Sicherheit, E-Mail-Schutz, SPF, DKIM, DMARC, klare Zahlungsregeln, einfache Meldewege, praktische Sensibilisierung, Kontrolle von Weiterleitungen und Postfachregeln, Backup, Notfallplan und eine Unternehmenskultur, in der Rückfragen erwünscht sind.

Die entscheidende Frage lautet nicht: „Würde bei uns jemand klicken?“ Die bessere Frage lautet: Was passiert, wenn jemand klickt?

Wenn Sie diese Frage nicht klar beantworten können, sollten wir miteinander sprechen. Nicht, weil Ihre Mitarbeiter das Problem sind. Sondern weil gute IT dafür sorgt, dass ein einzelner Fehler nicht zum Unternehmensschaden wird.

Häufige Fragen zu Phishing im Unternehmen

Warum ist Phishing im Unternehmen so gefährlich?

Phishing sieht oft nicht wie ein Angriff aus, sondern wie normale Arbeit: eine E-Mail, ein Link, eine Rechnung, eine Freigabe oder eine Microsoft-365-Anmeldung. Genau deshalb reicht ein kurzer Moment im Alltag.

Ist Phishing nur ein E-Mail-Problem?

Nein. Phishing kann über E-Mail, SMS, QR-Codes, Teams, WhatsApp, Telefonanrufe, gefälschte Webseiten, kompromittierte Lieferantenpostfächer oder manipulierte Dateifreigaben kommen.

Was ist Quishing?

Quishing ist Phishing über QR-Codes. Der Nutzer sieht nicht direkt, wohin der Code führt, scannt ihn mit dem Smartphone und landet möglicherweise auf einer gefälschten Anmeldeseite.

Was sollte nach einem Klick passieren?

Wichtig ist schnelles Melden und strukturiertes Vorgehen. Bei Microsoft 365 müssen zum Beispiel Anmeldungen, Sitzungen, Weiterleitungen, Postfachregeln und Geräte geprüft werden.

Was ist der wichtigste erste Schritt?

Der wichtigste erste Schritt ist eine ehrliche Bestandsaufnahme: Microsoft-365-Schutz, MFA, E-Mail-Sicherheitsstandards, Meldewege, Zahlungsprozesse, Postfachregeln und Notfallabläufe.