So schützen Sie sich vor Phishing

Selbst kleine Unternehmen erhalten heute tagtäglich eine Fülle von E-Mails. Unter diesen verstecken sich aber immer öfter auch solche, die richtig gefährlich werden können.

Auf den ersten Blick sind diese elektronischen Nachrichten gut getarnt und sehen so aus, als ob sie von einer Bank, einem Kreditkartenunternehmen oder anderen vertrauenswürdigen Absendern kommen würden. Zu diesem Zweck werden Firmenlogos, Schriftarten und Layouts des vermeintlichen Absenders nachgeahmt, um keinen Verdacht zu erregen. Die wahren Absender haben kriminelle Absichten: Sie versuchen, die Empfänger zur Übermittlung von vertraulichen Daten wie Passwörtern, Login-Daten und TANs zu verführen.

Tappt man in diese Falle, so droht massiver Schaden: Das Spektrum reicht von der Plünderung eines Bankkontos über das Ausspionieren von Firmengeheimnissen bis hin zum Identitätsdiebstahl.

So funktioniert Phishing

Diese unter dem Begriff Phishing (von Password fishing) bekannte Form des Datendiebstahls folgt meist folgendem Muster: In den betrügerischen E-Mails werden die Empfänger in der Regel aufgefordert, einen Link zu einer Webseite des vermeintlichen Absenders anzuklicken.

Diese Links führen aber zu einer in Wahrheit gefälschten – manchmal täuschend echt aussehenden, manchmal auch plump imitierten – Internet-Seite, die nur einen Zweck verfolgt: Die Opfer sollen ihre wertvollen (Zugangs-)Daten eingeben und so dem eigentlichen Betrugsvorgang Tür und Tor öffnen.

„Wir haben jetzt unsere Sicherheitsfunktionen für sicheres Online-Banking aktualisiert. Klicken Sie auf den folgenden Link, um Ihre Identität zu bestätigen.“ So oder so ähnlich könnte die Falle formuliert sein, in die leider gar nicht wenige Unternehmer und Firmenvertreter tappen.

Alternativ kann ein Phishing-Mail auch versuchen, Empfänger zum Download einer App oder von Schadsoftware (meist so genannten Trojanern) zu verführen.

Phishing enttarnen

Die Schlüsselfrage liegt somit auf der Hand: Wie erkennt man Phishing-E-Mails und gefälschte Login-Webseiten? Einige Anhaltspunkte – ohne Anspruch auf Vollständigkeit – sind:

• E-Mail ist in schlechtem Deutsch mit Fehlern verfasst
• fehlende persönliche Anrede mit Namen im E-Mail
• manipulierter E-Mail-Kopf, der die echte Absenderadresse verbirgt

Aufschluss bietet zudem das kritische Hinterfragen der E-Mail-Adresse des Absenders sowie vor allem der Internetadresse, zu der die Links oder Buttons im Mail führen. Fährt man mit dem Mauszeiger über einen verdächtigen Link (ohne ihn anzuklicken!), so lässt sich oft schon das wahre Weiterleitungsziel anhand der unpassenden Adresse enttarnen. Tatsache ist aber auch: Die Methoden der Phishing-Betrüger werden immer ausgefeilter, und wirklich jedes Unternehmen kann betroffen sein. Außerdem: Wer kann sich im Geschäftsalltag schon wirklich darauf verlassen, dass Mitarbeiter genug Zeit für den kritischen Blick auf sämtliche E-Mails haben?

Meist ein Fall für Profis

Der A1 Onlineschutz hat im Mai 2022 fast 15.010.566 Cybersecurity-Bedrohungen erkannt und abgewehrt - das 15-fache als im Vormonat April. Betrugsnachrichten sind darauf ausgelegt, sensible Informationen zu sammeln, um sie entweder für eine andere bösartige Aktivität zu verwenden oder um diese Daten im Dark Web zu verkaufen.

Tatsächlich erfordert die Phishing-Abwehr in der Praxis mehrere Maßnahmen.

Am Anfang steht dabei die Aufklärung und Sensibilisierung der Belegschaft, etwa durch externe Experten oder in Form von Webinaren. Hilfreich ist dabei ein in sämtlichen Security-Fragen erfahrener Partner wie A1, der sein Wissen kompetent zur Verfügung stellt. Und der zudem entsprechende Lösungen für den proaktiven Schutz von firmeneigenen E-Mail-Clients wie IKARUS mail.security anbieten kann.

Harmony Unified Endpoint ist ein vollständiger Schutz von Endgeräten auf höchstem Sicherheitsniveau, um Sicherheitsverstöße und Datenverletzungen von Smartphones, Tablets, Laptop, PC und Server zu vermeiden.

Auch ein Reporting-System für jeweils in Umlauf befindliche Phishing-Mails kann sinnvoll sein. Ermutigen Sie Mitarbeiter, die eventuell in eine Falle getappt sind, das auch tatsächlich (ohne Angst vor Konsequenzen haben zu müssen) zu melden. Versuchen Sie festzustellen, ob wirklich Daten eingegeben worden sind und ob es schon zu Missbrauch (etwa Geldbehebungen) gekommen ist.

Wenden Sie sich an erfahrene Security-Experten und beherzigen Sie die bewährte Vorsorge-Regel: Gerade wenn in der Vergangenheit (noch) alles gut gegangen ist, sollten Sie für die Zukunft vorsorgen.