Phishing-Angriff: Was es ist, wie man ihn erkennt und das Unternehmen schützt

Phishing ist der häufigste Einstiegsvektor für Kompromittierungen in Organisationen jeder Größe. Laut einschlägigen Incident-Response-Analysen gehen über 70 % aller Verletzungen mit kompromittierten Anmeldedaten auf eine erfolgreiche Phishing-Kampagne zurück. Dennoch umfasst der Begriff Phishing-Angriff sehr unterschiedliche Techniken: von der Massenmail an Millionen Empfänger bis hin zur wochenlang vorbereiteten chirurgischen Operation gegen eine einzelne Führungskraft.

Wer versteht, wie sich Angriffsfläche und Angreiferprofil zwischen strukturierten Unternehmen und KMU unterscheiden, kann die Abwehrmaßnahmen gezielt und verhältnismäßig kalibrieren.

Was ist ein Phishing-Angriff und wie funktioniert er?

Ein Phishing-Angriff ist eine Social-Engineering-Operation, bei der der Angreifer eine vertrauenswürdige Einheit vortäuscht – eine Bank, einen Lieferanten, einen Kollegen oder eine Cloud-Plattform – mit dem Ziel, Zugangsdaten zu stehlen, den Nutzer zur Öffnung eines schadhaften Anhangs zu verleiten oder eine Aktion auszulösen (z. B. eine Überweisung oder eine Zugangsänderung).

Ein typischer Angriff verläuft in vier Phasen:

• Aufklärung: Sammlung von Informationen über das Ziel (LinkedIn, Unternehmens-Website, frühere Datenlecks).
• Vorwandaufbau: Erstellung der Nachricht, Klonung von Domänen, Aufbau glaubwürdiger Phishing-Seiten.
• Zustellung: per E-Mail, SMS (Smishing), Telefonanruf (Vishing) oder über Unternehmens-Messaging.
• Ausnutzung: Verwendung der gestohlenen Zugangsdaten, Ausführung der Schadroutine, laterale Bewegungen im Netzwerk.

Die Geschwindigkeit, mit der kompromittierte Zugangsdaten eingesetzt werden, ist dramatisch gestiegen: In manchen Fällen beträgt die Zeitspanne zwischen Klick und erstem unberechtigten Zugriff weniger als eine Stunde.

Großunternehmen und KMU: verschiedene Ziele, verschiedene Angriffe

Der für die Abwehr relevanteste Unterschied liegt nicht in der abstrakten Phishing-Art, sondern im Angreiferprofil und im Wert des Ziels. Große Organisationen und KMU ziehen Kampagnen mit völlig unterschiedlicher Logik an.

Phishing gegen KMU: hohes Volumen, geringe Personalisierung

Kleine und mittlere Unternehmen sind hauptsächlich von opportunistischen Kampagnen mit hohem Volumen betroffen: Dieselbe Nachricht wird an Zehntausende Empfänger verschickt und nutzt Logos von Kurierunternehmen, Banken oder dem Fiskus. Ziel ist die Massensammlung von Zugangsdaten oder die Verteilung von Malware, wobei auf den vergleichsweise niedrigen Reifegrad der Sicherheitsabwehr in einem Teil der Zielgruppe gesetzt wird.

Die häufigsten Angriffsvektoren bei KMU:

• Massen-Phishing per E-Mail mit Office-Anhängen oder Links zu gefälschten Login-Seiten.
• Smishing (SMS), das Versandbenachrichtigungen oder Bankwarnungen vortäuscht.
• Quishing: bösartige QR-Codes per E-Mail oder auf Papier, die von herkömmlichen Gateways kaum gefiltert werden.

In diesen Szenarien sind grundlegende Abwehrmaßnahmen – Antispam-Filter, Multi-Faktor-Authentifizierung (MFA) und elementare Security-Awareness – bereits in der Lage, die Angriffsoberfläche erheblich zu reduzieren. Die eigentliche Herausforderung ist organisatorischer Natur: Viele KMU verfügen über keine dedizierte Sicherheitsrolle, und das Bewusstsein der Mitarbeitenden ist ungleich verteilt.

Phishing gegen Großunternehmen: gezielt, persistent, kostspielig

Organisationen mit hohem Umsatz, Zugang zu kritischen Systemen oder vertraulichen Daten ziehen andere Angreifer an: APT-Gruppen (Advanced Persistent Threat), organisierte Ransomware-Banden, auf Finanzbetrug spezialisierte Teams. Hier zählt nicht Volumen, sondern Präzision.

Die vorherrschenden Techniken:

• Spear-Phishing: Die Nachricht ist auf die Identität des Empfängers zugeschnitten (Name, Funktion, laufendes Projekt, realer Kollege). Der Angreifer studiert das Ziel wochenlang, bevor er eine einzige E-Mail versendet.
• Whaling: Eine Variante des Spear-Phishings, die auf Führungskräfte (CEO, CFO, CIO) abzielt. Ziel ist oft die Genehmigung von Finanztransfers oder die Beschaffung privilegierter Systemzugänge.
• Business-E-Mail Compromise (BEC): Der Angreifer kompromittiert oder imitiert ein legitimes E-Mail-Konto (Lieferant, Führungskraft), um interne Prozesse zu manipulieren: Bestellungen, Zahlungen, IBAN-Änderungen.
• Erweitertes Vishing: Anrufe bei HR- oder IT-Mitarbeitenden, die Mitarbeiter, Lieferanten oder Behörden imitieren, häufig unterstützt durch über soziale Netzwerke gesammelte Informationen.

Ein typisches Szenario: Eine scheinbar vom CFO gesendete E-Mail an die Verwaltung, auf korrekt formuliertem Deutsch verfasst, mit der Bitte, dringend eine Zahlung auf eine neue IBAN zu veranlassen. Die Nachricht trifft außerhalb der Geschäftszeiten ein und nutzt den Zeitdruck. Ohne Out-of-Band-Verifizierungsverfahren ist der Fehler auch für erfahrene Mitarbeitende leicht möglich.

Der durchschnittliche Schaden einer erfolgreichen BEC-Operation liegt im sechsstelligen Bereich. Hinzu kommt das Risiko einer Datenpanne mit erheblichen regulatorischen Folgen im Rahmen von NIS2 und DSGVO – relevant für alle Unternehmen in Italien.

Anzeichen eines Phishing-Angriffs: Was Nutzende lernen sollten

Selbst bei ausgefeilten Angriffen gibt es Signale, die ein geübtes Auge erkennen kann. Das Problem: Diese Signale werden mit immer präziseren Techniken verborgen, und die kognitiven Verzerrungen, die Angreifer ausnutzen – Dringlichkeit, Autorität, Angst, Neugierde – verkürzen die Zeit für kritisches Nachdenken erheblich.

Die häufigsten Warnsignale:

• Absender-Domäne mit kaum wahrnehmbaren Abweichungen (z. B. @acme-group.com statt @acmegroup.com).
• Künstliche Dringlichkeit: „Bis 17:00 Uhr“, „Sofortiger Handlungsbedarf“.
• Ungewohnte Anfragen außerhalb der üblichen Abläufe (IBAN-Wechsel, Passwort-Reset außerhalb des Prozesses).
• Links, bei denen der Hover eine andere URL anzeigt als der sichtbare Text.
• Office-Anhänge mit Makros oder PDFs mit Links zu externen Seiten.
• Ungewohnt formeller oder informeller Ton im Vergleich zum angegebenen Absender.

Schnelles Melden ist oft der entscheidende Faktor zwischen einem eingedämmten Vorfall und einer ausgedehnten Kompromittierung. Organisationen mit klaren Meldekanälen und einer psychologisch sicheren Kultur – in der niemand für einen Klick beschuldigt wird – reagieren wirkungsvoller.

Was tun bei einem Phishing-Angriff: operativer Reaktionsplan

Das Zeitfenster zwischen Klick und Kompromittierung hat sich verringert. Ein strukturierter Reaktionsprozess muss bereits vor dem Vorfall definiert sein. Sofortmaßnahmen bei Verdacht auf eine Kompromittierung:

• Betroffene Sitzung oder Gerät vom Netzwerk isolieren.
• Aktive Sitzungen sofort widerrufen und Anmeldedaten zurücksetzen.
• Das Sicherheitsteam (SOC oder IT-Security) mit höchster Priorität benachrichtigen.
• Beweise sichern und aufbewahren: E-Mail-Header, URL, Screenshots, Zugriffsprotokolle.
• Prüfen, ob die Zugangsdaten für den Zugriff auf andere Systeme verwendet wurden (laterale Bewegungen).
• Meldepflicht prüfen: Im Rahmen der NIS2-Umsetzung in Italien müssen erhebliche Verletzungen der ACN (Agenzia per la Cybersicurezza Nazionale) innerhalb von 24 Stunden nach Feststellung gemeldet werden.

Der Unterschied zwischen einer Organisation, die einen Vorfall in Stunden eindämmt, und einer, die ihn erst Wochen später entdeckt, liegt fast immer in der Qualität des Monitorings und der Klarheit der Verfahren.

Angriffsfläche reduzieren: technische und organisatorische Maßnahmen

Die Prävention von Phishing-Angriffen erfordert überlappende Verteidigungsschichten. Kein einzelner Schutz ist ausreichend, besonders für Organisationen mit komplexer digitaler Infrastruktur.

Technische Maßnahmen

• Erweiterte E-Mail-Sicherheit: E-Mail Security mit Sandbox für die Analyse von Anhängen, DMARC/DKIM/SPF-Filter im Strict-Modus, Erkennung von Domain-Spoofing und Lookalike-Domänen.
• Multi-Faktor-Authentifizierung: MFA auf allen exponierten Systemen, mit Bevorzugung phishing-resistenter Methoden (Passkeys, FIDO2-Hardware-Token) gegenüber SMS-OTP.
• Kontinuierliches Monitoring: Ein rund um die Uhr aktives Security Operations Center (SOC), das Anomalie-Signale korreliert – wie Logins von ungewöhnlichen IP-Adressen, Zugriffe außerhalb der Arbeitszeiten oder Privileg-Eskalationen – bevor die Angriffskette sich vollendet.
• MDR/MXDR (Managed Extended Detection & Response, Managed Extended Detection & Response): Erweiterte Detection-und-Response-Kapazitäten, die Endpoint, Netzwerk, Identität und Cloud integrieren, mit Verhaltensanalyse zur Erkennung von Post-Exploitation-Techniken.
• Privileged Access Management: Reduzierung des Schadensradius bei Kompromittierung eines privilegierten Kontos.

Organisatorische Maßnahmen

• Regelmäßige Phishing-Simulationskampagnen: Auf das Risikoprofil der Organisation zugeschnittene Tests mit sofortigem Feedback für Nutzende, die mit der simulierten Nachricht interagieren.
• Strukturierte Cybersecurity-Awareness-Programme: kontinuierliche Schulungspfade, keine jährlichen Einzelveranstaltungen, mit Messung des Verhaltens im Zeitverlauf.
• Out-of-Band-Verifizierungsverfahren: Für sensible Vorgänge (IBAN-Wechsel, dringende Überweisungen, außergewöhnliche Zugriffe) obligatorische Bestätigung über einen alternativen Kanal.
• Dokumentierter Incident-Response-Plan: Rollen, Eskalationswege, Kontakte, Meldeverfahren und regelmäßige Übungen.

Die Rolle eines Kompetenzzentrums in der Phishing-Abwehr

Für Organisationen ohne dediziertes internes Sicherheitsteam – oder die es durch spezialisierte Kapazitäten ergänzen möchten – verändert die Zusammenarbeit mit einem Kompetenzzentrum mit eigenem 24/7-SOC die Risikogleichung grundlegend.

Ein in Italien operatives SOC, dessen Analysten den lokalen Rechtsrahmen (NIS2-Umsetzung in Italien, ACN, DSGVO) und die Dynamiken von Phishing-Kampagnen gegen den italienischen Markt kennen, kann:

• Anomale Zugriffsversuche in Echtzeit erkennen, die auf einen Klick auf einen Phishing-Link folgen.
• Verteilte Signale von Endpoints, E-Mail-Gateway und Identity-Providern korrelieren, um die Angriffskette zu rekonstruieren.
• Die operative Reaktion und das Incident-Management unterstützen, einschließlich der Dokumentation für die Meldung an die zuständigen Behörden.

Phishing-Simulationskampagnen, in ein strukturiertes Awareness-Programm eingebettet, ergänzen das Bild: nicht als isolierte periodische Übung, sondern als Messinstrument für eine kontinuierliche Verbesserung des Nutzerverhaltens. Die Simulation ist das wirksamste Mittel, um die Risikowahrnehmung vom abstrakten Konzept in eine konkrete Erfahrung zu verwandeln.

Phishing: ein Prozessproblem, nicht nur ein Technologieproblem

Ein Phishing-Angriff ist nie ein isoliertes Ereignis: Er ist der Auslöser einer Kette, die zu Ransomware, Datenpannen oder Finanzbetrug führen kann. Der Unterschied zwischen einem eingedämmten Vorfall und einem, der den Geschäftsbetrieb gefährdet, hängt von Erkennungsgeschwindigkeit, Qualität der Reaktionsverfahren und Vorbereitung der Mitarbeitenden ab.

Für strukturierte Unternehmen mit privilegierten Zugriffen und komplexen digitalen Infrastrukturen erfordert die Angriffssophistikation ein äquivalentes Abwehrniveau: kontinuierliches Monitoring, verhaltensbasierte Detection, privilegiertes Identitätsmanagement und realistische Simulationen. Für Unternehmen mit wachsender Sicherheitsreife ist der Ausgangspunkt, die Grundlagen zu festigen: robuste Authentifizierung, E-Mail-Sicherheit und Benutzerbewusstsein.

In beiden Fällen ist die Fähigkeit, schnell zu reagieren, entscheidender als die Fähigkeit, jeden einzelnen Klick zu verhindern.

FAQ – Häufige Fragen zu einem Phishing-Angriff

Was ist der Unterschied zwischen Phishing und Spear-Phishing?

Massen-Phishing ist eine undifferenzierte Kampagne, die an Tausende Empfänger verschickt wird und auf generischen Vorwänden basiert (Banken, Kuriere, Cloud-Plattformen). Spear-Phishing ist eine gezielte Operation: Die Nachricht ist auf die spezifische Identität des Empfängers zugeschnitten – Name, Funktion, reale Kollegen, laufende Projekte – und erfordert eine vorgelagerte Aufklärungsphase. Die Erfolgsquote von Spear-Phishing ist deutlich höher, bei einem wesentlich geringeren Volumen.

Was ist sofort zu tun, wenn ein Nutzer auf einen Phishing-Link geklickt hat?

Die ersten Maßnahmen sind: das Gerät vom Netzwerk isolieren, aktive Sitzungen widerrufen und die betroffenen Zugangsdaten zurücksetzen, das Sicherheitsteam unverzüglich benachrichtigen. Gleichzeitig die Beweise sichern (E-Mail-Header, URL, Zugriffsprotokolle) für die forensische Analyse. Sind kritische Systeme betroffen, ist die Meldepflicht gegenüber der ACN innerhalb von 24 Stunden gemäß NIS2-Umsetzung in Italien zu prüfen.

Sind Großunternehmen stärker phishing-gefährdet als KMU?

Das Risiko ist unterschiedlich, nicht zwangsläufig größer. KMU sind einem höheren Volumen opportunistischer Kampagnen ausgesetzt, jedoch mit weniger ausgefeilten Techniken. Große Organisationen ziehen gezielte Angriffe an – Spear-Phishing, Whaling, BEC – von fähigeren und motivierteren Akteuren, mit potenziell erheblich größeren wirtschaftlichen und reputationellen Folgen. Die Abwehrreife muss dem Risikoprofil entsprechen, nicht der Unternehmensgröße im absoluten Sinne.

Ist Phishing in Italien eine Straftat?

Ja. Die typischen Verhaltensweisen im Zusammenhang mit Phishing fallen unter verschiedene Tatbestände des italienischen Strafgesetzbuchs: Computerbetrug (Art. 640-ter c.p.), Identitätsmissbrauch (Art. 494 c.p.), unbefugter Zugriff auf ein Computersystem (Art. 615-ter c.p.). Betroffene Organisationen können – und müssen in bestimmten Fällen – Anzeige erstatten, zusätzlich zur Erfüllung der Meldepflichten nach DSGVO und NIS2.

Wie misst man die Wirksamkeit eines Anti-Phishing-Programms?

Die wichtigsten Kennzahlen sind: Click-Rate bei Simulationen im Zeitverlauf (sie muss sinken), Meldequote (sie muss steigen), durchschnittliche Zeit zwischen Klick und Meldung sowie der Anteil der Nutzenden, die die Awareness-Module abschließen. Ein wirksames Programm wird nicht am einzelnen Test gemessen, sondern am Verhaltens-Trend über mindestens 6–12 Monate. Periodische Simulationen ohne systematische Messung liefern episodische Daten – keine echte Verbesserung.