Phishing-Mail geöffnet: Was Unternehmen sofort tun sollten

Kurze Antwort: Was tun, wenn eine Phishing-Mail geöffnet wurde?

Wenn in einem Unternehmen eine Phishing-Mail geöffnet oder ein verdächtiger Link angeklickt wurde, sollten sofort die betroffene Person, die IT und bei Bedarf die Geschäftsführung informiert werden. Danach müssen Kennwörter geändert, aktive Sitzungen beendet, Mehr-Faktor-Authentifizierung geprüft, verdächtige Weiterleitungsregeln kontrolliert und betroffene Geräte untersucht werden.

Wurde ein Passwort eingegeben, ist besondere Eile geboten. Dann gilt das Konto als potenziell kompromittiert. Bei Microsoft 365 müssen zusätzlich Anmeldungen, aktive Sitzungen, MFA-Methoden, Postfachregeln, Weiterleitungen und mögliche App-Berechtigungen geprüft werden.

Erst einmal Ruhe bewahren - aber nicht abwarten

Viele Unternehmen verlieren im Ernstfall wertvolle Zeit, weil ein Vorfall intern klein geredet wird. Typische Sätze sind: „Ich habe ja nur geklickt“, „Die Seite sah komisch aus, aber ich habe nichts weiter gemacht“ oder „Ich wollte niemandem Umstände machen“.

Genau das ist gefährlich. Ein Klick allein ist nicht immer ein großer Sicherheitsvorfall. Aber er kann einer sein. Und ein eingegebenes Passwort ist fast immer ein Grund für sofortige technische Prüfung. Deshalb gilt: Lieber einmal zu früh melden als einmal zu spät.

Sofortmaßnahmen in den ersten 10 Minuten

Wenn eine Phishing-Mail geöffnet oder ein verdächtiger Link angeklickt wurde, sollte im Unternehmen ein klarer Ablauf starten. Je strukturierter die ersten Minuten ablaufen, desto besser lässt sich der Schaden eingrenzen.

1. Nicht weiterklicken

Die betroffene Person sollte keine weiteren Links anklicken, keine Anhänge öffnen, keine weiteren Eingaben machen und nicht versuchen, den Vorfall selbst zu bereinigen. Wichtig ist auch: Die Mail nicht einfach löschen. Für die technische Analyse kann sie hilfreich sein.

2. IT oder IT-Dienstleister sofort informieren

Die IT benötigt möglichst konkrete Informationen: Wer hat die Mail erhalten? Wann wurde sie geöffnet? Wurde ein Link angeklickt? Wurde ein Anhang geöffnet? Wurden Zugangsdaten eingegeben? Auf welchem Gerät ist es passiert? Haben weitere Mitarbeiter dieselbe Mail bekommen?

3. Gerät nicht vorschnell ausschalten

Das betroffene Gerät sollte nicht hektisch ausgeschaltet oder neu installiert werden, ohne dass die IT entschieden hat, was sinnvoll ist. In manchen Fällen können laufende Verbindungen, Browserdaten, Downloads oder Protokolle für die Analyse wichtig sein. Sinnvoll kann sein, das Gerät zunächst geordnet vom Netzwerk zu trennen.

4. Passwort sofort ändern, wenn Zugangsdaten eingegeben wurden

Wurden Benutzername und Passwort auf einer verdächtigen Seite eingegeben, muss das Passwort sofort geändert werden. Bei geschäftlichen Konten sollte die IT das Passwort zentral zurücksetzen, aktive Sitzungen beenden und danach das Konto prüfen.

5. Aktive Sitzungen beenden

Ein Passwortwechsel allein reicht nicht immer. Angreifer arbeiten häufig mit aktiven Sitzungen oder Tokens. Deshalb sollten aktive Anmeldungen beendet werden, damit ein bereits angemeldeter Angreifer nicht einfach weiter Zugriff behält.

6. Mehr-Faktor-Authentifizierung prüfen

Mehr-Faktor-Authentifizierung ist wichtig, aber kein Freifahrtschein. Es muss geprüft werden, ob neue MFA-Methoden hinterlegt wurden, ob unbekannte Telefonnummern oder Authenticator-Geräte auftauchen und ob ungewöhnliche Freigaben stattgefunden haben.

Was tun, wenn nur die Mail geöffnet wurde?

Wenn eine Phishing-Mail nur geöffnet wurde und weder Link noch Anhang genutzt wurden, ist das Risiko oft geringer. Trotzdem sollte die Mail gemeldet und geprüft werden. Wichtig ist: keine Links anklicken, keine Anhänge öffnen, Absender, Betreff und Zeitpunkt dokumentieren und prüfen lassen, ob andere Mitarbeiter dieselbe Nachricht erhalten haben.

In vielen Fällen ist damit kein großer Schaden entstanden. Trotzdem ist es wertvoll, die Mail zu analysieren. Oft zeigt sie, welche Masche gerade gegen das Unternehmen läuft.

Was tun, wenn ein Link angeklickt wurde?

Ein angeklickter Link ist ernster. Dann muss geprüft werden, wohin der Link geführt hat und ob dort Daten eingegeben oder Dateien heruntergeladen wurden.

Die wichtigsten Fragen lauten: Wurde eine Login-Seite angezeigt? Wurde ein Microsoft-365-, Bank-, Paketdienst-, Telekommunikations- oder Kundenportal imitiert? Wurde ein Passwort eingegeben? Wurde eine Datei heruntergeladen? Wurde eine MFA-Freigabe bestätigt?

Wenn keine Daten eingegeben und keine Datei heruntergeladen wurde, kann der Schaden begrenzt sein. Trotzdem sollte die IT die URL, den Browser und das betroffene Gerät prüfen.

Was tun, wenn ein Passwort eingegeben wurde?

Dann muss das Unternehmen vom Ernstfall ausgehen. In diesem Fall sollte nicht diskutiert werden, ob wahrscheinlich nichts passiert ist. Zugangsdaten, die auf einer Phishing-Seite eingegeben wurden, gelten als kompromittiert.

• Passwort zurücksetzen
• aktive Sitzungen beenden
• betroffene Konten temporär sperren, falls nötig
• MFA-Methoden prüfen
• Anmeldeprotokolle kontrollieren
• Postfachregeln und Weiterleitungen prüfen
• verdächtige App-Berechtigungen prüfen
• weitere Konten mit gleichem Passwort absichern

Besonders kritisch ist es, wenn dasselbe Passwort auch für andere Dienste genutzt wurde. Dann reicht es nicht, nur ein Konto zu ändern.

Microsoft 365: Diese Punkte müssen nach Phishing geprüft werden

Viele Phishing-Angriffe zielen heute auf Microsoft 365. Der Grund ist einfach: Wer Zugriff auf ein Microsoft-365-Konto bekommt, erhält oft Zugriff auf E-Mails, OneDrive, Teams, SharePoint, Kontakte, Kalender und interne Kommunikation.

Anmeldeprotokolle

Gab es Anmeldungen aus ungewöhnlichen Ländern, Städten, IP-Adressen oder Geräten? Gab es fehlgeschlagene und danach erfolgreiche Login-Versuche? Wurde das Konto außerhalb der normalen Arbeitszeiten genutzt?

Aktive Sitzungen

Aktive Sitzungen sollten beendet werden, wenn ein Konto kompromittiert sein könnte. Sonst besteht die Gefahr, dass ein Angreifer trotz Passwortwechsel weiter Zugriff hat.

Postfachweiterleitungen

Ein Klassiker nach erfolgreichem Phishing sind heimliche Weiterleitungen. Angreifer richten Regeln ein, damit eingehende Mails unbemerkt an externe Adressen weitergeleitet werden. Deshalb müssen automatische Weiterleitungen, Inbox-Regeln und Regeln zum Verschieben oder Löschen bestimmter Nachrichten geprüft werden.

Neue App-Berechtigungen

Manche Angriffe versuchen nicht nur ein Passwort zu stehlen, sondern eine App-Berechtigung zu erhalten. Dann kann eine fremde Anwendung Zugriff auf Daten bekommen. Administratoren sollten prüfen, ob neue oder unbekannte Apps genehmigt wurden.

MFA-Methoden und Adminrechte

Wenn ein Angreifer MFA-Methoden hinzufügen konnte, ist das Konto besonders kritisch. Falls ein Konto mit administrativen Rechten betroffen ist, muss der Vorfall mit höchster Priorität behandelt werden. Dann geht es nicht mehr nur um ein einzelnes Postfach, sondern möglicherweise um die gesamte Umgebung.

Warum Phishing für Unternehmen so gefährlich ist

Phishing ist nicht nur nervige E-Mail-Werbung. Gute Phishing-Angriffe sind heute professionell gemacht. Sie nutzen echte Logos, passende Sprache, nachgebaute Login-Seiten, gefälschte Absender, aktuelle Themen und manchmal sogar Informationen über das Unternehmen.

Mögliche Folgen sind Zugriff auf geschäftliche E-Mails, Diebstahl von Zugangsdaten, Rechnungsbetrug, veränderte Bankdaten, Versand weiterer Phishing-Mails vom echten Firmenkonto, Datenabfluss aus OneDrive, SharePoint oder Teams, Schadsoftware, Ransomware-Vorbereitung, Datenschutzvorfälle und Vertrauensverlust bei Kunden und Geschäftspartnern.

Das Problem ist nicht die eine Mail. Das Problem ist, was daraus entstehen kann.

Typische Anzeichen für Phishing-Mails

Phishing-Mails werden besser. Trotzdem gibt es Warnsignale, die Mitarbeiter kennen sollten:

• ungewohnte Absenderadresse
• Druck oder künstliche Eile
• Drohung mit Sperrung, Mahnung oder Fristablauf
• Aufforderung zur Passwortbestätigung
• Links zu unbekannten oder leicht veränderten Domains
• unerwartete Anhänge
• angebliche Nachrichten von Microsoft, Banken, Paketdiensten oder Behörden
• Aufforderung zur Freigabe einer Anmeldung
• ungewöhnliche Zahlungs- oder Kontodatenänderungen

Ein einzelnes Warnsignal beweist noch nichts. Mehrere Warnsignale zusammen sind aber ein klares Zeichen: Nicht klicken, sondern prüfen lassen.

Besonders gefährlich: Phishing in der Buchhaltung

Die Buchhaltung ist ein bevorzugtes Ziel. Dort laufen Rechnungen, Zahlungsfreigaben, Bankdaten und Lieferantenkommunikation zusammen. Ein typischer Angriff sieht so aus: Ein Angreifer übernimmt ein echtes E-Mail-Konto oder imitiert einen bekannten Lieferanten. Danach wird eine Rechnung mit geänderter Bankverbindung geschickt. Die Mail sieht plausibel aus, weil sie an eine bestehende Kommunikation anknüpft.

Wenn niemand prüft, wird gezahlt. Deshalb sollten Unternehmen feste Regeln einführen: Änderungen von Bankverbindungen niemals nur per E-Mail akzeptieren, Rückruf über bekannte Telefonnummern, Vier-Augen-Prinzip bei größeren Zahlungen, Zahlungsfreigaben dokumentieren und Lieferantenstammdaten nur nach Prüfung ändern.

Datenschutz: Wann muss ein Vorfall bewertet werden?

Wenn durch Phishing personenbezogene Daten betroffen sein könnten, muss der Vorfall auch aus Datenschutzsicht bewertet werden. Das bedeutet nicht automatisch, dass jeder Klick sofort eine Meldung an eine Aufsichtsbehörde auslöst. Aber es bedeutet: Der Vorfall muss dokumentiert und fachlich eingeordnet werden.

Wichtig sind Fragen wie: Hatte ein Angreifer Zugriff auf personenbezogene Daten? Welche Daten könnten betroffen sein? Welche Personen könnten betroffen sein? Gab es Zugriff auf E-Mails, Kundendaten, Personalunterlagen oder Gesundheitsdaten? Welche Maßnahmen wurden ergriffen?

Diese Bewertung sollte nicht nebenbei passieren. Hier sollten Geschäftsführung, IT, Datenschutzbeauftragter und bei Bedarf Rechtsberatung zusammenarbeiten.

Was Unternehmen nach einem Phishing-Vorfall dokumentieren sollten

Eine saubere Dokumentation hilft später bei der technischen Aufarbeitung, bei Versicherungen, bei Datenschutzfragen und bei interner Verbesserung. Dokumentiert werden sollten Datum und Uhrzeit, betroffene Person, betroffene Mailadresse, Absender und Betreff, angeklickte Links, geöffnete Anhänge, eingegebene Daten, betroffene Geräte, getroffene Sofortmaßnahmen, geprüfte Logs und das Ergebnis der Prüfung.

Das muss nicht kompliziert sein. Aber es muss nachvollziehbar sein.

Was Unternehmen dauerhaft gegen Phishing tun können

Phishing lässt sich nie zu 100 Prozent verhindern. Unternehmen können das Risiko aber deutlich senken, wenn Technik, Prozesse und geschulte Mitarbeitende zusammenwirken.

Mehr-Faktor-Authentifizierung konsequent nutzen

MFA sollte für alle wichtigen Konten aktiv sein. Besonders für Microsoft 365, VPN, Cloud-Dienste, Fernwartung, Banking und Administratorkonten. Noch besser ist phishing-resistentere Authentifizierung, wo sie sinnvoll eingesetzt werden kann.

SPF, DKIM und DMARC sauber einrichten

Diese Verfahren helfen dabei, gefälschte Absender besser zu erkennen und den Missbrauch der eigenen Domain zu reduzieren. Viele Unternehmen haben hier Lücken. Entweder fehlen Einträge komplett oder sie sind falsch konfiguriert.

Mailfilter und Sicherheitsrichtlinien prüfen

Ein guter Mailfilter ist Pflicht. Aber er muss richtig eingestellt sein. Zu prüfen sind unter anderem Schutz vor gefährlichen Anhängen, Linkprüfung, Impersonation-Schutz, Quarantäne-Regeln und Warnhinweise bei externen Absendern.

Mitarbeiter regelmäßig sensibilisieren

Technik ist wichtig. Aber Mitarbeiter bleiben ein entscheidender Faktor. Schulungen sollten nicht aus trockenen Folien bestehen, sondern aus kurzen, praxisnahen Beispielen: gefälschte Microsoft-Mails, angebliche Paketbenachrichtigungen, falsche Rechnungen, Chef-Mails mit Zahlungsaufforderung, QR-Code-Phishing und MFA-Freigaben unter Druck.

Rechte begrenzen und Backup prüfen

Nicht jeder Benutzer braucht Zugriff auf alles. Wenn ein Konto kompromittiert wird, entscheidet die Berechtigungslage darüber, wie groß der Schaden werden kann. Hinweise dazu finden Sie auch im Ratgeber zu Benutzerrechten und alten Konten. Zusätzlich bleibt ein belastbares Backup- und Wiederherstellungskonzept wichtig, falls aus Phishing ein Schadsoftware- oder Ransomware-Angriff wird. Für Exchange, OneDrive, SharePoint und Teams lohnt sich außerdem ein Blick auf das Backup-Konzept für Exchange, OneDrive, SharePoint und Teams.

Interner Notfallplan: Wer macht was?

Ein Unternehmen braucht keinen 80-seitigen Krisenordner. Aber es braucht einen klaren Ablauf. Mindestens sollte feststehen: Wer nimmt Phishing-Meldungen entgegen? Wer prüft betroffene Konten? Wer entscheidet über Sperrung von Benutzern? Wer informiert die Geschäftsführung? Wer prüft Datenschutzrelevanz? Wer dokumentiert den Vorfall?

Ohne Rollenklärung verliert man im Ernstfall Zeit.

Wann sollte ein IT-Dienstleister eingeschaltet werden?

Spätestens dann, wenn Zugangsdaten eingegeben wurden, ein Anhang geöffnet wurde oder ein Microsoft-365-Konto betroffen sein könnte, sollte professionelle Hilfe eingeschaltet werden. Auch wenn intern niemand sicher beurteilen kann, ob ein Schaden entstanden ist, sollte man nicht raten.

EDV Systeme Donner unterstützt Unternehmen bei der Prüfung und Absicherung nach Phishing-Vorfällen. Dazu gehören unter anderem die Prüfung von Microsoft-365-Konten, Anmeldeprotokollen, Postfachregeln, Weiterleitungen, MFA-Methoden, Mailfilter-Einstellungen und Sicherheitsrichtlinien.

Weitere Informationen zur grundsätzlichen Absicherung finden Sie auch im Bereich IT-Sicherheit.

Fazit: Schnell handeln, sauber prüfen, dauerhaft besser werden

Eine geöffnete Phishing-Mail ist kein Grund für Panik. Aber sie ist ein Grund für strukturiertes Handeln. Unternehmen sollten klare Abläufe haben, damit Mitarbeitende verdächtige Mails sofort melden und die IT schnell prüfen kann.

Entscheidend sind Passwortschutz, aktive Sitzungen, MFA, Postfachregeln, Weiterleitungen, Anmeldeprotokolle und eine saubere Dokumentation. Phishing wird nicht verschwinden. Deshalb brauchen Unternehmen eine Kombination aus Technik, klaren Prozessen und geschulten Mitarbeitenden.

Wenn Sie unsicher sind, ob ein Konto betroffen ist oder ob Ihre aktuelle Absicherung reicht, lassen Sie Ihre Umgebung prüfen.

Jetzt IT-Umgebung prüfen lassen

Hinweis: Dieser Beitrag ersetzt keine rechtliche oder datenschutzrechtliche Beratung. Bei konkreten Datenschutz- oder Meldepflichten sollten Datenschutzbeauftragte oder Rechtsberater einbezogen werden.