Kurzdefinition: Phishing ist der Versuch, Menschen über gefälschte Nachrichten dazu zu bringen, Zugangsdaten preiszugeben, auf schädliche Links zu klicken oder Schadsoftware auszuführen. Es ist der häufigste Startpunkt erfolgreicher Cyber-Angriffe, weil es den Menschen statt die Technik überwindet.
Was ist Phishing?
Der Versuch, durch Täuschung an sensible Informationen zu gelangen. Angreifer geben sich als vertrauenswürdige Absender aus — Banken, Kollegen, Behörden — und erzeugen Handlungsdruck.
Was ist Spear-Phishing?
Zielgerichtetes Phishing gegen bestimmte Personen, oft mit persönlichen Details. Besonders gefährlich ist der CEO-Fraud, bei dem eine gefälschte Chef-Anweisung zu Zahlungen verleitet.
Woran erkennt man Phishing?
An unerwarteten Aufforderungen, Zeitdruck, ungewöhnlichen Absendern, Links auf abweichende Adressen und Bitten um Zugangsdaten. Doch professionelle Angriffe sind oft schwer zu erkennen.
Wie schützt man sich?
Durch Awareness, technische Filter, Multi-Faktor-Authentifizierung und klare Prozesse (etwa Vier-Augen-Prinzip bei Zahlungen). MFA entwertet erbeutete Passwörter.
Was tun bei einem Klick?
Ruhe bewahren, Vorfall melden, betroffene Zugänge sperren und Passwörter ändern. Eine gelebte Meldekultur ohne Schuldzuweisung ist entscheidend, damit Vorfälle früh gemeldet werden.
Häufige Fehlannahmen
- „Phishing erkennt jeder.“ Nein. Professionelle Angriffe täuschen auch Geübte.
- „Nur naive Nutzer fallen darauf herein.“ Nein. Zielgerichtete Angriffe treffen auch Fachleute.
- „Technische Filter reichen.“ Nein. Ein Teil kommt immer durch; der Mensch ist die letzte Linie.
- „Ein gemeldeter Klick ist eine Blamage.“ Nein. Frühe Meldung begrenzt den Schaden.
- „MFA hilft gegen Phishing nicht.“ Doch, jedenfalls gegen viele Folgen erbeuteter Passwörter. Gegen MFA-Phishing braucht es zusätzlich starke Verfahren und Sensibilisierung.
Was die Geschäftsleitung tun sollte
- Sensibilisieren. Regelmäßige Awareness und Phishing-Simulationen.
- Technisch filtern. E-Mail-Schutz einsetzen.
- MFA aktivieren. Erbeutete Passwörter entwerten.
- Meldekultur fördern. Meldung ohne Schuldzuweisung ermöglichen.
Für die Geschäftsleitung
Phishing ist der häufigste Einstieg in erfolgreiche Angriffe, weil es den Menschen täuscht. Wer Awareness, technische Filter, MFA und eine offene Meldekultur kombiniert, macht aus der größten Schwäche eine wirksame Verteidigungslinie.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
