Schutz vor Phishing

Phishing-Erkennung als Pflicht-Wissen

Phishing ist die häufigste Cybercrime-Methode 2026 (Mehr in Phishing erkennen). Schutz liegt zu 80 % im Verhalten, zu 20 % in Technik.

Die fünf Pflicht-Verhaltensweisen

1. Niemals Links in E-Mails von Banken oder Diensten klicken

Auch nicht von vermeintlich vertrauten Anbietern. Stattdessen: Browser öffnen, Anbieter-URL manuell eintippen oder aus Lesezeichen wählen, dort einloggen.

2. Skepsis bei Eile-Druck

„Konto wird gesperrt in 24 h“, „letzte Mahnung“, „sofort handeln“. Echte Anbieter erzeugen keinen solchen Druck per E-Mail. Bei Eile-Druck: noch mehr Zeit nehmen.

3. Datenherausgabe per E-Mail/SMS = niemals

Banken, Behörden, seriose Anbieter fragen NIEMALS per E-Mail oder SMS nach Passwörtern, PINs, TANs, vollständigen Kartennummern oder Ausweis-Kopien.

4. Bei Verdacht: über bekannten Kanal verifizieren

Bank-Hotline aus echtem Kunden-Bereich oder von der Karten-Rückseite. Niemals die Nummer aus der E-Mail anrufen.

5. MFA aktivieren

Mehr in Passwörter und MFA. Selbst wenn Phishing erfolgreich war: ohne den zweiten Faktor kommt der Täter nicht rein.

Technische Schutzmaßnahmen

Im Browser

• Aktuelle Browser-Version (Chrome, Firefox, Safari, Edge)
• Safe-Browsing-Filter aktiviert
• Werbeblocker (uBlock Origin) - blockiert oft auch Phishing-Werbung
• Tracking-Schutz aktiviert

Im E-Mail-Programm

• Anti-Phishing-Filter aktiviert
• Spam-Erkennung pflegen („Als Phishing markieren“)
• Externe Bilder nicht automatisch laden
• HTML-Mails nicht automatisch rendern (bei sensiblen Konten)

Auf dem Gerät

• Betriebssystem aktuell halten
• Antivirus mit Phishing-Filter
• Firewall aktiv
• Datensicherung regelmäßig

DNS-Filter

Fortgeschrittene Maßnahme: DNS-basierter Phishing-Filter im Router oder Gerät.

• Quad9 (9.9.9.9) - blockiert bekannte Phishing-Domains
• AdGuard DNS
• NextDNS
• Im Unternehmen: Cisco Umbrella, Cloudflare Gateway

Speziell für Unternehmen

Mail-Server-Konfiguration

• SPF (Sender Policy Framework): wer darf für deine Domain senden
• DKIM (DomainKeys Identified Mail): Signatur der Mails
• DMARC (Domain-based Message Authentication): Policy bei SPF/DKIM-Verstoß

Korrekt konfiguriert verhindert das Spoofing der eigenen Domain. Pflicht 2026.

Mail-Filter mit Verhaltensanalyse

• Microsoft Defender for Office 365
• Proofpoint
• Mimecast
• Hornetsecurity (deutscher Anbieter, populär im Mittelstand)

Mitarbeiter-Sensibilisierung

Mehr in Mitarbeiter-Sensibilisierung:

• Regelmäßige Schulungen (mindestens jährlich)
• Phishing-Simulationen (kontrollierte Tests)
• Klare Melde-Wege für verdächtige Mails
• Kultur: lieber einmal zu oft nachfragen

Berichts-Workflow

Mitarbeiter sollen Phishing-Mails einfach melden können:

• „Melden“-Button im Mail-Client
• Zentrale Phishing-Mailbox (z.B. phishing@firma.de)
• IT-Team reagiert schnell, gibt Feedback
• Anerkennung statt Bloszustellung bei Aufmerksamkeit

Falls du schon geklickt hast

Wenn nur geklickt, nichts eingegeben

1. Browser-Tab schließen
2. Browser-Verlauf, Cookies und Cache löschen
3. Antivirus-Scan
4. Browser auf aktuelle Version prüfen
5. Verdächtiges Geräte-Verhalten beobachten

Wenn Daten eingegeben wurden

1. Sofort Passwort ändern beim echten Anbieter
2. Auf anderen Accounts mit gleichem Passwort: dort auch ändern
3. MFA aktivieren (falls nicht schon aktiv)
4. Bei Bank-Daten: Karten-Sperrung 116 116, Bank kontaktieren
5. Antivirus-Scan auf Schadsoftware
6. Anzeige bei Polizei

Wenn Geld bewegt wurde

Mehr in Bank sperren und Geld zurückholen.

Spezielle Phishing-Varianten

Quishing (QR-Code-Phishing)

QR-Codes auf Aufklebern an Parkautomaten, Ladestationen, etc. führen zu Phishing-Sites. Schutz: QR-Codes nur scannen, wenn die Herkunft eindeutig ist.

Spear-Phishing

Personalisierte Phishing-Mails mit echtem Namen, echtem Job, echtem Kontext. Schwer zu erkennen, weil glaubwürdig. Schutz: trotzdem die Pflicht-Verhaltensweisen anwenden.

Vishing (Voice-Phishing)

Phishing per Telefon. Schutz: bei Unsicherheit auflegen, über bekannte Nummer zurückrufen.

Smishing (SMS-Phishing)

Phishing per SMS. Schutz: Links nicht anklicken, beim vermeintlichen Anbieter über bekannte Wege nachfragen.