Phishing: Phishing ist eine Betrugsmethode, bei der Angreifer über gefälschte E-Mails, Websites oder Kurznachrichten versuchen, Zugangsdaten, Zahlungsinformationen oder andere sensible Daten von Opfern zu erlangen.
Phishing zählt seit Jahren zu den häufigsten Einfallstoren für Cyberangriffe auf Unternehmen. Die klassische Form nutzt massenhaft versendete E-Mails, die bekannte Absender wie Banken, Lieferanten oder Behörden imitieren. Daneben haben sich gezieltere Varianten etabliert: Spear Phishing richtet sich an einzelne Personen mit individualisierten Inhalten, beim CEO-Fraud (Business E-Mail Compromise) gibt sich der Angreifer als Geschäftsführung aus und fordert dringende Zahlungen an, Smishing und Vishing nutzen SMS beziehungsweise Telefonanrufe.
Typische Erkennungsmerkmale sind eine ungewöhnliche Absenderadresse, Zeitdruck, Rechtschreibfehler und Links, die auf abweichende Domains führen. Da moderne Angriffe zunehmend professionell gestaltet sind, reicht technische Erkennung allein nicht mehr aus.
| Variante | Kanal | Typisches Ziel |
|---|---|---|
| Spear Phishing | E-Mail, personalisiert | Einzelne Mitarbeitende |
| CEO-Fraud | E-Mail, gefälschte Identität | Buchhaltung, Finanzabteilung |
| Smishing/Vishing | SMS, Telefon | Zugangsdaten, Codes |
Technische Maßnahmen wie E-Mail-Filter, Zwei-Faktor-Authentifizierung und regelmäßige Security-Awareness-Schulungen gelten als wirksamste Kombination gegen Phishing.
Auch wenn technische Filter einen Großteil der Massen-Phishing-Mails abfangen, zielen gezielte Angriffe zunehmend auf einzelne Rollen mit Zahlungsbefugnis oder Systemzugriff. Kriminelle recherchieren dazu öffentlich verfügbare Informationen aus Impressum, Karriereseiten oder sozialen Netzwerken, um ihre Nachrichten glaubwürdiger zu gestalten. Ein bewährter Prüfschritt vor jeder ungewöhnlichen Zahlungsanweisung oder Datenfreigabe ist der Rückruf über eine bekannte, unabhängig verifizierte Telefonnummer statt einer Antwort auf die verdächtige E-Mail selbst. Auch technisch gut abgesicherte Unternehmen bleiben verwundbar, wenn Mitarbeitende Warnsignale nicht erkennen oder sich unter Zeitdruck zu schnellem Handeln verleiten lassen – deshalb gilt Security Awareness als ebenso wichtig wie jede Firewall.
Relevanz für die Zertifizierung
Für Unternehmen mit ISO 27001-Zertifizierung ist Phishing ein zentrales Thema der Risikobewertung: Anhang A verlangt sowohl technische Schutzmaßnahmen als auch nachweisbare Awareness-Schulungen für alle Mitarbeitenden. Auditoren prüfen regelmäßig, ob Phishing-Simulationen durchgeführt und Vorfälle über einen definierten Meldeweg erfasst werden. Wiederholte, unangekündigte Phishing-Tests gelten dabei als wirksamerer Nachweis als eine einmalige Pflichtschulung, weil sie zeigen, ob gelerntes Verhalten im Alltag tatsächlich greift.
Häufige Fragen zu Phishing
Typische Warnzeichen sind eine ungewöhnliche oder leicht abweichende Absenderadresse, unangemessener Zeitdruck, Rechtschreibfehler und Links, die zu einer abweichenden Domain führen. Bei ungewöhnlichen Zahlungsanweisungen oder Datenanfragen hilft ein Rückruf über eine bekannte, unabhängig verifizierte Telefonnummer statt einer Antwort auf die verdächtige Mail.
Anhang A verlangt sowohl technische Schutzmaßnahmen als auch nachweisbare Awareness-Schulungen für alle Mitarbeitenden. Auditoren prüfen regelmäßig, ob Phishing-Simulationen tatsächlich durchgeführt und Vorfälle über einen definierten Meldeweg erfasst werden – eine einmalige Schulung ohne Wiederholung gilt meist nicht als ausreichender Nachweis.
Klassisches Phishing verschickt identische, massenhafte Nachrichten an viele Empfänger. Spear Phishing richtet sich gezielt an einzelne Personen mit individualisierten, recherchierten Inhalten – etwa unter Nutzung von Informationen aus Impressum oder sozialen Netzwerken – und ist dadurch deutlich schwerer zu erkennen als Massen-Phishing.