Phishing

Phishing, auf Deutsch auch Datenfischen, kombiniert technische Täuschung mit psychologischer Manipulation. Angreifer imitieren beispielsweise Banken, Paketdienste, Geschäftspartner, Vorgesetzte oder bekannte Plattformen. Das Ziel besteht darin, den Empfänger zu einer Handlung zu bewegen, die dem Angreifer Zugriff auf Daten, Konten oder IT-Systeme verschafft.

Wie funktioniert Phishing?

Ein Phishing-Angriff beginnt häufig mit einer Nachricht, die Vertrauen, Neugier oder Handlungsdruck erzeugt. Der Empfänger soll ein angeblich gesperrtes Konto bestätigen, eine Rechnung prüfen, eine Datei öffnen oder eine Zahlung freigeben. Der sichtbare Absendername kann dabei seriös wirken, obwohl die tatsächliche Absenderadresse zu einer fremden Domain gehört.

Ein typischer Angriff besteht aus vier Schritten:

• Der Angreifer wählt eine Organisation oder konkrete Person als Ziel aus.
• Eine gefälschte Nachricht oder Website imitiert einen bekannten Absender.
• Der Empfänger wird zur Eingabe von Daten, zum Öffnen einer Datei oder zur Freigabe einer Transaktion aufgefordert.
• Die erbeuteten Informationen werden für Kontoübernahmen, Zahlungen oder weitere Angriffe genutzt.

Eine häufige Fehlannahme lautet, eine Website mit HTTPS und Schlosssymbol sei automatisch vertrauenswürdig. HTTPS verschlüsselt lediglich die Verbindung zwischen Browser und Server. Auch eine betrügerische Domain kann ein gültiges TLS-Zertifikat besitzen. Prüfe deshalb zusätzlich den vollständigen Domainnamen, den Kontext der Nachricht und die angeforderte Handlung.

Welche Phishing-Arten gibt es?

Phishing ist ein Oberbegriff für verschiedene Angriffsmethoden. Die Varianten unterscheiden sich vor allem durch den Kommunikationskanal, die Personalisierung und das gewählte Ziel.

Spear Phishing ist meist schwerer zu erkennen als eine breit gestreute Betrugsmail, weil die Nachricht echte Namen, Zuständigkeiten oder Projektdaten enthalten kann. Solche Informationen stammen beispielsweise aus Unternehmenswebsites, sozialen Netzwerken, öffentlichen Dokumenten oder bereits kompromittierten Postfächern. Prüfe ungewöhnliche Zahlungs- und Datenanfragen deshalb über einen zweiten Kommunikationsweg.

Woran lässt sich Phishing erkennen?

Ein einzelner Schreibfehler beweist keinen Angriff, und eine sprachlich einwandfreie Nachricht beweist keine Echtheit. Moderne Phishing-Nachrichten können das Erscheinungsbild und den Schreibstil eines Unternehmens überzeugend nachbilden. Aussagekräftiger ist die Kombination aus Absender, Domain, Kontext und geforderter Handlung.

• Die Absenderadresse passt nicht zur behaupteten Organisation.
• Der Link führt zu einer unerwarteten oder ähnlich geschriebenen Domain.
• Die Nachricht verlangt Passwörter, Sicherheitscodes oder Zahlungsdaten.
• Eine ungewöhnlich kurze Frist soll eine schnelle Reaktion erzwingen.
• Der Anhang hat ein unerwartetes Dateiformat oder fordert die Aktivierung von Inhalten.
• Eine bekannte Person verlangt eine unübliche Zahlung oder Änderung von Kontodaten.
• Die Nachricht umgeht den üblichen Freigabeprozess des Unternehmens.

Der tatsächliche Link lässt sich am Computer häufig durch Bewegen des Mauszeigers über den verlinkten Text prüfen, ohne den Link anzuklicken. Auf mobilen Geräten ist die Kontrolle schwieriger, weil lange Domains gekürzt dargestellt werden können. Öffne eine bekannte Plattform im Zweifel über ein selbst gespeichertes Lesezeichen oder durch manuelle Eingabe der Adresse.

Phishing, Spam und Spoofing

Der Unterschied zwischen Phishing und Spam liegt im Ziel der Nachricht. Spam bezeichnet vor allem unerwünschte Massenkommunikation, etwa Werbung. Phishing verfolgt eine betrügerische Absicht und soll Zugangsdaten, Geld oder Systemzugriff erlangen. Eine massenhaft versendete Nachricht kann deshalb gleichzeitig Spam und Phishing sein.

Spoofing bezeichnet die technische oder visuelle Fälschung einer Identität. Dazu gehören manipulierte Absenderangaben, nachgeahmte Telefonnummern und gefälschte Domains. Spoofing ist häufig ein Bestandteil von Phishing, führt allein jedoch nicht zwingend zu einem Betrugsversuch.

Malware ist Schadsoftware, die Geräte oder Daten beeinträchtigt. Ein Phishing-Anhang kann Malware installieren, doch viele Angriffe benötigen keine Schadsoftware. Eine gefälschte Anmeldeseite reicht aus, um Benutzername, Passwort und gegebenenfalls einen einmaligen Sicherheitscode abzufangen.

Social Engineering umfasst die psychologische Beeinflussung von Menschen, um Sicherheitsmaßnahmen zu umgehen. Phishing ist eine konkrete Form des Social Engineering. Andere Formen sind beispielsweise vorgetäuschte Supportanrufe oder der persönliche Zutrittsversuch unter einer erfundenen Identität.

Folgen für SEO, SEA und GEO

Phishing betrifft Online-Marketing, wenn Angreifer Zugriff auf das Content-Management-System, die Domainverwaltung, Analysekonten oder Werbekonten erhalten. Ein kompromittiertes Website-Konto kann für neue Spam-Seiten, schädliche Downloads, Weiterleitungen oder veränderte interne Links missbraucht werden. Ein technischer SEO-Audit nach einem Sicherheitsvorfall kann Indexierungsprobleme und unerwartete Seiten sichtbar machen, ersetzt jedoch keine forensische Sicherheitsprüfung.

Für SEO können eingeschleuste Inhalte dazu führen, dass unerwünschte URLs indexiert werden oder Nutzer auf fremde Seiten gelangen. Webmaster sollten nach einem Vorfall unter anderem veröffentlichte URLs, Weiterleitungen, Canonical Tags, XML-Sitemaps, robots.txt, Benutzerkonten und Änderungen am Quellcode prüfen. Auch nach der technischen Bereinigung kann es dauern, bis Suchmaschinen veränderte URLs erneut crawlen und Warnhinweise aktualisieren.

Bei SEA kann eine Kontoübernahme Budgets, Anzeigen, Zielseiten und Zahlungsdaten betreffen. Unbekannte Nutzer, neue Kampagnen, veränderte Zugriffsrechte oder unerwartete Ausgaben erfordern eine sofortige Sperrung der betroffenen Zugänge. Eine strukturierte Analyse des Google-Ads-Kontos kann anschließend klären, welche Einstellungen und Kampagnen verändert wurden.

Für GEO, also Generative Engine Optimization, und die Markenwahrnehmung entsteht ein Risiko, wenn gefälschte Domains oder betrügerische Inhalte unter einem bekannten Unternehmensnamen auftreten. Unternehmen sollten Markenbegriffe, ähnliche Domains und missbräuchliche Anzeigen beobachten. Ein abgestimmtes Konzept zur digitalen Brand Protection verbindet technische Meldungen mit klaren Zuständigkeiten für Kommunikation, Anzeigen und Suchergebnisse.

Schutz vor Phishing

Wirksamer Schutz kombiniert technische Kontrollen mit festen Prozessen. Schulungen allein verhindern keinen Angriff, wenn Freigaben nur über eine E-Mail erfolgen oder ein einzelnes Passwort vollständigen Kontozugriff ermöglicht.

• Nutze für jedes Konto ein eigenes, langes Passwort und verwalte es in einem Passwortmanager.
• Aktiviere Mehrfaktor-Authentifizierung, bevorzugt mit Passkeys oder Sicherheitsschlüsseln.
• Bestätige Änderungen von Bankdaten und ungewöhnliche Zahlungen über einen zweiten Kanal.
• Beschränke Benutzerrechte auf die tatsächlich benötigten Konten und Funktionen.
• Entferne nicht mehr benötigte Zugänge zeitnah und protokolliere administrative Änderungen.
• Konfiguriere SPF, DKIM und DMARC für geschäftlich genutzte E-Mail-Domains.

SPF legt fest, welche Server E-Mails für eine Domain versenden dürfen. DKIM versieht Nachrichten mit einer kryptografischen Signatur. DMARC definiert, wie empfangende Systeme mit Nachrichten umgehen sollen, die diese Prüfungen nicht bestehen, und kann Berichte über den Missbrauch einer Domain liefern. Diese Verfahren reduzieren gefälschte Absender, verhindern aber keine Angriffe über ähnlich geschriebene fremde Domains.

Passkeys und Sicherheitsschlüssel sind widerstandsfähiger gegen klassische Anmeldeseiten-Kopien als einmalige Codes per SMS oder Authenticator-App. Die Anmeldung ist an die echte Domain gebunden. Ein Angreifer kann einen Passkey deshalb nicht einfach über ein Formular auf einer ähnlich aussehenden Website abfragen.

Phishing-Risiken messbar machen

Messbar ist Phishing beispielsweise über kontrollierte Simulationen und interne Meldungen. Die Melderate berechnet sich aus gemeldeten Testnachrichten geteilt durch zugestellte Testnachrichten, multipliziert mit 100. Werden 42 von 600 zugestellten Testmails gemeldet, beträgt die Melderate 7 Prozent. Aussagekräftig wird der Wert erst im Vergleich ähnlicher Tests, da Schwierigkeit, Zielgruppe und Vorankündigung das Ergebnis verändern.

Was tun nach einem Vorfall?

Wer nur eine verdächtige Nachricht erhalten hat, sollte die Nachricht über den vorgesehenen Meldeweg an die IT-Abteilung oder den E-Mail-Anbieter weitergeben. Die Nachricht sollte bis zur Prüfung nicht geöffnet, beantwortet oder weitergeleitet werden, weil eine normale Weiterleitung technische Kopfzeilen verändern kann.

Wurden Zugangsdaten eingegeben, sollte das Passwort über ein sauberes Gerät und die manuell aufgerufene Originalseite geändert werden. Zusätzlich sind aktive Sitzungen zu beenden, Wiederherstellungsdaten zu prüfen und unbekannte Weiterleitungsregeln im Postfach zu entfernen. Dasselbe Passwort muss bei allen weiteren Konten geändert werden, bei denen es ebenfalls verwendet wurde.

Bei übermittelten Zahlungsdaten ist die Bank oder der Zahlungsdienst über die offizielle Kontaktmöglichkeit zu informieren. Wurde eine Datei geöffnet oder Software ausgeführt, sollte das betroffene Gerät vom Unternehmensnetz getrennt und durch die IT geprüft werden. Eine schnelle Meldung verbessert die Chance, Sitzungen zu sperren, Zahlungen anzuhalten und weitere Empfänger zu warnen.

Wenn ein Sicherheitsvorfall bereits Website, Werbekonten oder Suchergebnisse betrifft, kann ein unverbindlicher Potenzialcheck die nächsten Schritte für SEO, SEA und Markenkommunikation einordnen.

Kostenloser Potenzialcheck

Häufige Fragen zu Phishing