Woran erkenne ich eine Phishing-Mail, wenn sie keine Fehler mehr enthält?

An dem, was sie verlangt, nicht an der Sprache. Eine Aufforderung, sich anzumelden, Daten zu bestätigen, eine Zahlung zu ändern oder einen Anhang zu öffnen – unter Zeitdruck und außerhalb des gewohnten Ablaufs – ist das Merkmal, das bleibt. Dazu kommen Absenderadresse und Linkziel, die sich prüfen lassen. Die Vertiefung „Phishing erkennen“ geht die Merkmale einzeln durch.

Was tue ich, wenn ich auf einen Phishing-Link geklickt habe?

Ruhe bewahren und in dieser Reihenfolge handeln: Passwort des betroffenen Kontos von einem anderen Gerät aus ändern, Mehrfaktor-Anmeldung prüfen, die IT informieren, den Rechner vom Netz nehmen, wenn ein Anhang geöffnet wurde. Wer die IT sofort informiert, gibt ihr die Zeit, die ein Angreifer sonst nutzt. Die Störungsseite zum geklickten Link beschreibt die Schritte.

Sollte man bei Ransomware zahlen?

Das ist eine Entscheidung der Geschäftsführung im Einzelfall, mit Rechtsberatung und Ermittlungsbehörden. Zahlen garantiert weder den Schlüssel noch, dass gestohlene Daten nicht veröffentlicht werden, und es finanziert den nächsten Angriff. Wer eine Sicherung hat, die der Angreifer nicht erreicht hat, muss die Frage gar nicht stellen. Darauf zielt die Vorbereitung.

Muss ein Phishing-Vorfall gemeldet werden?

Das hängt davon ab, was passiert ist. Wurden personenbezogene Daten verletzt, verlangt Artikel 33 A1_DSGVO in der Regel eine Meldung an die Aufsichtsbehörde binnen 72 Stunden. Einrichtungen, die unter NIS2 fallen, melden erhebliche Sicherheitsvorfälle nach § 32 BSIG binnen 24 Stunden in einer Erstmeldung. Die Vertiefung zu den Meldepflichten ordnet das.

Reicht eine Schulung im Jahr?

Selten. Wirksam ist, was regelmäßig und konkret ist: kurze Einheiten mit echten Beispielen aus dem eigenen Posteingang, eine einfache Meldetaste und eine Kultur, in der ein gemeldeter Fehlklick gelobt und nicht bestraft wird. Das schützt mehr als ein jährlicher Pflichtfilm.

Phishing, Ransomware, CEO-Fraud: Wie Angriffe auf den Mittelstand beginnen – und an welchen Stellen man sie bricht

Fast jeder Angriff auf ein mittelständisches Haus beginnt nicht mit Technik, sondern mit einer Nachricht: einer E-Mail, die nach dem Paketdienst aussieht, einem Anruf, der nach dem Geschäftsführer klingt, einem QR-Code auf einem Brief. Was danach kommt – gestohlene Zugangsdaten, gefälschte Überweisungen, verschlüsselte Server – folgt einem Muster. Diese Seiten beschreiben das Muster, die Stellen, an denen es sich brechen lässt, und was in den ersten Stunden zu tun ist, wenn es nicht gelungen ist.

0621 877 55 990 · rund um die Uhr, 365 Tage im Jahr

Sicherheitsanalyse an Monitoren mit einer Netzwerkübersicht

14Jahre
unternehmerisch im IT-Betrieb, GmbH seit 2020
InternationaleExpertise
Betreuung in Deutschland, Europa und dem Nahen Osten
99,9 %Verfügbarkeit
der Cloud-Services, je Kalendermonat
15 Min.Reaktionszeit
im Notfall, rund um die Uhr
ISO 27001zertifiziert
Partner-Rechenzentren in Deutschland

Der Begriff Phishing ist ein Sammelname für einen Trick, der seit Jahrzehnten funktioniert: Eine Nachricht gibt sich als jemand aus, dem der Empfänger vertraut, und bringt ihn dazu, etwas zu tun – einen Link zu öffnen, ein Passwort einzugeben, eine Überweisung freizugeben, einen Anhang zu starten. Das BSI beschreibt das Muster nüchtern: gefälschte Absender, sorgfältig nachgeahmte Websites, Links hinter gut gestalteten Schaltflächen, gern mit verkürzten Adressen, damit das Ziel nicht sofort sichtbar ist.

Was sich verändert hat, ist die Qualität. Texte ohne Rechtschreibfehler, mit korrekter Anrede und passendem Anlass sind heute die Regel, nicht die Ausnahme. Der Kanal hat sich erweitert: Neben der E-Mail stehen SMS (Smishing), Anrufe und QR-Codes auf Briefen oder Rechnungen (Quishing). Und das Ziel hat sich verschoben – vom einzelnen Passwort zum Zugang ins Firmennetz, über den später eine Verschlüsselung folgt, oder zur einzelnen, gut getarnten Überweisung.

Für ein mittelständisches Haus ist das keine Frage der Technik allein. Die meisten Angriffe brechen an Stellen, die mit Abläufen zu tun haben: Wer darf eine Bankverbindung ändern, auf welchem Weg wird ein Zahlungsauftrag bestätigt, wer merkt eine Anmeldung aus dem Ausland, wie alt ist die letzte Sicherung, die ein Angreifer nicht erreicht. Die Vertiefungen dieses Bereichs nehmen sich diese Stellen einzeln vor.

Vier Angriffsmuster, die im Mittelstand ankommen

Gemessen an dem, was in Erstgesprächen nach Vorfällen vorliegt, und an den Suchanfragen, mit denen Betroffene danach suchen.

Zugangsdaten-PhishingEine Nachricht, die zur Anmeldung bei Microsoft 365, beim Paketdienst oder bei der Bank auffordert. Das Ziel ist das Passwort – und mit ihm das Postfach, aus dem der nächste Angriff verschickt wird.
CEO-Fraud und gefälschte RechnungenEine E-Mail im Namen der Geschäftsführung oder eines Lieferanten, die eine eilige Überweisung oder eine neue Bankverbindung verlangt. Keine Schadsoftware, nur Vertrauen und Zeitdruck.
Quishing und SmishingDer Link steckt in einem QR-Code auf einem Brief oder in einer SMS. Er wird mit dem Telefon geöffnet – außerhalb von E-Mail-Filter und Firmenrechner.
RansomwareDer Zugang aus einem der ersten drei Muster wird genutzt, um sich im Netz auszubreiten, Sicherungen zu suchen und am Ende Server zu verschlüsseln – oft verbunden mit der Drohung, gestohlene Daten zu veröffentlichen.

Wo ein Angriff bricht – fünf Stellen und was sie kosten

Die Spalte „Aufwand“ ist eine Größenordnung aus der Praxis, keine Pauschale. Jede Zeile hat eine eigene Vertiefung.

Stelle	Was dort passiert	Was bricht	Aufwand
Posteingang	Absenderprüfung (SPF, DKIM, DMARC), Filter, Kennzeichnung externer Mails	gefälschte Absender aus fremden Domains, die eigene Domain als Absender	Tage, einmalig
Mensch	Schulung mit echten Beispielen, eine Meldetaste, keine Schuldzuweisung	die Nachricht, die jeder Filter durchlässt	Stunden je Quartal
Abläufe	Rückruf auf bekannter Nummer bei Bankdatenänderung, Vier-Augen-Prinzip bei Überweisungen	CEO-Fraud, gefälschte Rechnungen	eine Anweisung, sofort
Zugang	Mehrfaktor-Anmeldung, Warnung bei Anmeldungen aus dem Ausland	gestohlene Passwörter werden wertlos	Tage, einmalig
Netz und Sicherung	Angriffserkennung rund um die Uhr, Sicherung außer Haus mit Sperrfrist, geprobte Rücksicherung	Ausbreitung, Verschlüsselung, Erpressung	laufender Betrieb

Tiefer im Thema

Die Vertiefungen dieses Bereichs und die Nachbarseiten, auf denen Angriffserkennung, Notfall und Meldepflichten schon beschrieben sind.

Häufige Fragen

Woran erkenne ich eine Phishing-Mail, wenn sie keine Fehler mehr enthält?: An dem, was sie verlangt, nicht an der Sprache. Eine Aufforderung, sich anzumelden, Daten zu bestätigen, eine Zahlung zu ändern oder einen Anhang zu öffnen – unter Zeitdruck und außerhalb des gewohnten Ablaufs – ist das Merkmal, das bleibt. Dazu kommen Absenderadresse und Linkziel, die sich prüfen lassen. Die Vertiefung „Phishing erkennen“ geht die Merkmale einzeln durch.
Was tue ich, wenn ich auf einen Phishing-Link geklickt habe?: Ruhe bewahren und in dieser Reihenfolge handeln: Passwort des betroffenen Kontos von einem anderen Gerät aus ändern, Mehrfaktor-Anmeldung prüfen, die IT informieren, den Rechner vom Netz nehmen, wenn ein Anhang geöffnet wurde. Wer die IT sofort informiert, gibt ihr die Zeit, die ein Angreifer sonst nutzt. Die Störungsseite zum geklickten Link beschreibt die Schritte.
Sollte man bei Ransomware zahlen?: Das ist eine Entscheidung der Geschäftsführung im Einzelfall, mit Rechtsberatung und Ermittlungsbehörden. Zahlen garantiert weder den Schlüssel noch, dass gestohlene Daten nicht veröffentlicht werden, und es finanziert den nächsten Angriff. Wer eine Sicherung hat, die der Angreifer nicht erreicht hat, muss die Frage gar nicht stellen. Darauf zielt die Vorbereitung.
Muss ein Phishing-Vorfall gemeldet werden?: Das hängt davon ab, was passiert ist. Wurden personenbezogene Daten verletzt, verlangt Artikel 33 A1_DSGVO in der Regel eine Meldung an die Aufsichtsbehörde binnen 72 Stunden. Einrichtungen, die unter NIS2 fallen, melden erhebliche Sicherheitsvorfälle nach § 32 BSIG binnen 24 Stunden in einer Erstmeldung. Die Vertiefung zu den Meldepflichten ordnet das.
Reicht eine Schulung im Jahr?: Selten. Wirksam ist, was regelmäßig und konkret ist: kurze Einheiten mit echten Beispielen aus dem eigenen Posteingang, eine einfache Meldetaste und eine Kultur, in der ein gemeldeter Fehlklick gelobt und nicht bestraft wird. Das schützt mehr als ein jährlicher Pflichtfilm.

Quellen und Nachweise

BSI: Passwortdiebstahl durch Phishing – gefälschte Absender, nachgeahmte Websites, verkürzte Links · Bundesamt für Sicherheit in der Informationstechnikamtlich
BSI: Social Engineering – der Mensch als Schwachstelle · Bundesamt für Sicherheit in der Informationstechnikamtlich
BSI: Ransomware-Angriffe – Verschlüsselung gegen Lösegeld · Bundesamt für Sicherheit in der Informationstechnikamtlich
BSI: Die Lage der IT-Sicherheit in Deutschland (Lageberichte) · Bundesamt für Sicherheit in der Informationstechnikamtlich
§ 32 BSIG – Meldepflichten (Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung nach einem Monat) · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
Verordnung (EU) 2016/679 (A1_DSGVO), Artikel 33 (Meldung an die Aufsichtsbehörde binnen 72 Stunden) und Artikel 34 (Benachrichtigung der Betroffenen) · Amtsblatt der Europäischen Unionamtlich

Ihr nächster Schritt

Sprechen wir über Ihre IT.

Schildern Sie uns Ihr Anliegen – Sie erhalten innerhalb der nächsten zwei Stunden eine Antwort von jemandem, der entscheiden kann.

Tiefer im Thema

Phishing erkennenRechtschreibfehler und seltsame Anreden waren jahrelang das Erkennungszeichen. Heute schreiben Angreifer fehlerfrei, kennen Namen und Anlässe und tarnen Links hinter QR-Codes. Was bleibt, sind fünf Merkmale, die mit dem Inhalt der Nachricht zu tun haben, nicht mit ihrer Form – und zwei Prüfungen, die jeder in zehn Sekunden machen kann.Ansehen →

CEO-FraudKeine Schadsoftware, kein Link, kein Anhang – nur eine glaubwürdige Nachricht im Namen der Geschäftsführung oder eines Lieferanten, die eine eilige Zahlung oder eine neue Bankverbindung verlangt. CEO-Fraud und Rechnungsbetrug gehen an jedem technischen Schutz vorbei. Sie brechen an einer einzigen Regel im Zahlungsablauf, die nichts kostet.Ansehen →

Ransomware-AblaufDie Verschlüsselung ist das Ende eines Angriffs, nicht sein Anfang. Davor liegen Tage oder Wochen, in denen sich jemand im Netz bewegt, Rechte sammelt, Sicherungen sucht und Daten abzieht. Wer die Phasen kennt, weiß, wo ein Angriff sichtbar wird – und dass die beste Gelegenheit, ihn zu stoppen, lange vor dem Erpresserschreiben liegt.Ansehen →

Die ersten 24 StundenEin Bildschirm mit Erpresserschreiben, ein Postfach, das Mails verschickt, die niemand geschrieben hat, Server, die nicht mehr starten. In den ersten Stunden nach einem Angriff entscheiden wenige Handgriffe darüber, wie groß der Schaden wird – und einige gut gemeinte machen ihn größer. Diese Seite ist die Reihenfolge, die wir im Ernstfall abarbeiten, mit den Fristen, die ab der Kenntnis laufen.Ansehen →

FirewallEine UTM-Firewall von Securepoint sichert den Übergang zwischen Ihrem Netz und dem Internet – als Gerät, das jemand einrichtet, pflegt und im Blick behält. Wir wählen die Baugröße nach Ihrer Umgebung, nicht nach Datenblatt.Ansehen →

Incident ResponseWenn ein Angriff läuft, entscheidet die Reihenfolge der Schritte über den Schaden. Sie rufen bei uns an, wir beurteilen die Lage, ziehen das Incident-Response-Team von G DATA hinzu und bringen Ihren Betrieb geordnet zurück.Ansehen →

IT-NotfallVerdacht auf einen Angriff, verschlüsselte Dateien, eine Erpressernachricht auf dem Bildschirm: Diese Seite sagt in kurzen Schritten, was in der ersten Stunde hilft – und was den Schaden vergrößert.Ansehen →

MXDREin Analystenteam bewertet die Signale Ihrer Endgeräte an jedem Tag des Jahres und greift ein, bevor aus einer Auffälligkeit ein Vorfall wird. Betreut von uns, technisch getragen von G DATA.Ansehen →

NIS2Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Diese Seite ordnet ein, welche Pflichten eine durchgehende Angriffserkennung berührt – und welche sie ausdrücklich nicht erfüllt.Ansehen →

IT-SicherheitAngriffserkennung rund um die Uhr, Hilfe im Ernstfall und ein kurzer Weg für Störungen im Alltag. Ein Ansprechpartner in Mannheim, im Rücken das Analystenteam von G DATA CyberDefense.Ansehen →

Die Stellen, an denen ein Angriff bei Ihnen bricht

Wir sehen uns an, wo bei Ihnen eine gefälschte Nachricht ankommen kann, was danach passiert und wer es merkt: E-Mail-Schutz, Absenderprüfung, Zugänge, Sicherung, Angriffserkennung, Notfallplan. Schriftlich, mit Reihenfolge – und mit dem, was Sie heute selbst tun können.

Störung sofort melden