Auf einen Blick
Phishing[1] gehört seit längerem zu den gefährlichsten Bedrohungen im Bereich der Cybersicherheit und ist fester Bestandteil des digitalen Gefahrenpotenzials. Als Methode des Social Engineerings[2] zielt Phishing darauf ab, Personen durch Täuschung zur Preisgabe sensibler Informationen wie Zugangsdaten, Kreditkartennummern oder geschäftskritischer Daten zu bewegen. Mittlerweile unterscheidet man folgende Varianten:
- Smishing[1] – Betrug per SMS
- Quishing[1] – Betrug per QR-Code
- Vishing[1] – Phishing am Telefon (abgeleitet von voice)
Insgesamt bedienen sich Cyberkriminelle zunehmend professioneller Mittel – von täuschend echt wirkenden E-Mails über gefälschte Webseiten bis hin zu KI-gestützten Angriffen. Besonders perfide sind Varianten wie Spear-Phishing[1] (gezielt personalisiert) oder CEO-Fraud[3], bei denen gezielt Einzelpersonen zur Preisgabe von Informationen oder hochrangiges Personal zwecks Geldüberweisung angesprochen werden.
Im Gesamtbild der Cybersicherheitsbedrohungen nimmt Phishing eine führende Stellung ein, da es häufig als Einstiegspunkt für weiterführende Angriffe wie Ransomware[4] oder Datendiebstahl dient. Die steigende Digitalisierung, mobile Arbeitsweisen und die zunehmende Vernetzung von Systemen verstärken das Risiko zusätzlich. Phishing ist deshalb nicht nur ein technisches, sondern vor allem ein menschliches Problem. Es erfordert ganzheitliche Schutzmaßnahmen – von technischen Abwehrmechanismen über Schulungen bis hin zu strategischem Sicherheitsmanagement. In einer Zeit wachsender Bedrohungen bleibt Phishing ein dynamisches und ernstzunehmendes Risiko, das kontinuierliche Aufmerksamkeit und Anpassung erfordert.
Bedrohungs- und Gefährdungslage
Die Gefahr durch Phishing ist derzeit weiterhin als sehr hoch einzustufen und bleibt eine der häufigsten und wirkungsvollsten Angriffsmethoden im Bereich der Cyberkriminalität. Angreifer nutzen zunehmend ausgefeilte Techniken, um ihre Opfer zu hintergehen, darunter täuschend echt gestaltete E-Mails, SMS oder gefälschte Webseiten, die legitimen Anbietern ähneln. Dabei zielen Phishing-Angriffe nicht mehr nur auf Privatpersonen, sondern zunehmend auf Unternehmen und Organisationen, um Zugang zu sensiblen Daten, Netzwerken oder finanziellen Ressourcen zu erlangen.
Ein Trend ist das sogenannte „Spear-Phishing“, bei dem gezielt Einzelpersonen innerhalb eines Unternehmens angesprochen werden, oft unter Ausnutzung öffentlich verfügbarer Informationen, etwa aus sozialen Netzwerken. Auch Deepfakes[5] und KI-generierte Inhalte kommen vermehrt zum Einsatz, um die Glaubwürdigkeit von Angriffen zu erhöhen.
Gleichzeitig erschweren Cloud-Dienste und Homeoffice-Strukturen die klare Abgrenzung interner und externer Kommunikation, was Phishing weiter begünstigt. Um dieser dynamischen Bedrohungslage zu begegnen, sind kontinuierliche Sensibilisierung des Personals, technische Schutzmaßnahmen (z. B. E-Mail-Filter, Zwei-Faktor-Authentifizierung) sowie ein gut funktionierendes Management bei Vorfällen im Bereich der IT-Sicherheit (Incident-Response-Management) essenziell.
Maßnahmen und Lösungsansätze
Der Umgang mit der Gefahr durch Phishing erfordert einen ganzheitlichen Ansatz, der technische, organisatorische und menschliche Faktoren gleichermaßen berücksichtigt. Technische Maßnahmen können z. B. der Einsatz von E-Mail-Filtern und Spam-Erkennungssystemen sein, die verdächtige Nachrichten identifizieren und entsprechend blockieren, bevor sie den Nutzer erreichen. Ergänzend dazu sollten Authentifizierungsverfahren, insbesondere die Zwei-Faktor-Authentifizierung (2FA), eingesetzt werden, um den unberechtigten Zugriff zu verhindern.
Weiterhin ist eine regelmäßige Aktualisierung und Patch-Strategie von Software und Betriebssystemen notwendig, um Sicherheitslücken zu schließen, die bei Phishing-Angriffen ausgenutzt werden könnten. Als eine weitere Maßnahme kann ein Domain-basiertes Authentifizierungsverfahren wie Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) und Domain-based Message Authentication, Reporting, and Conformance (DMARC) eigesetzt werden, um Mails mit gefälschten Absenderadressen zu erkennen. Ergänzend empfiehlt sich der Einsatz von Security-Information- und Event-Management-Systemen (SIEM) [6], um verdächtige Aktivitäten frühzeitig zu erkennen.
Ein entscheidender Erfolgsfaktor ist die Sensibilisierung und Schulung der Nutzerinnen und Nutzer der E-Mail-Kommunikation. Awareness-Programme, regelmäßige Phishing-Simulationen und praxisnahe Schulungen helfen dabei, das Bewusstsein für Gefahren zu schärfen und im Ernstfall richtig zu reagieren. Das Personal sollte in der Lage sein, typische Merkmale von Phishing wie unübliche Absender, Dringlichkeitsappelle oder fehlerhafte Links zu erkennen.
Darüber hinaus sollten klare interne Prozesse für den Umgang mit Phishing-Vorfällen etabliert werden. Dazu gehören z. B. abgestimmte Kommunikationswege, definierte Eskalationsstufen und ein festgelegtes Team, das im Ernstfall schnell handeln kann.
Herausforderungen
Beim Umgang mit den Gefahren durch Phishing stehen Unternehmen vor verschiedenen komplexen Herausforderungen. Die Erkennung von Phishing-Versuchen ist dabei wohl die größte Schwierigkeit. Cyberkriminelle nutzen mittlerweile auch die Möglichkeiten der künstlichen Intelligenz (KI), so dass das Phishing täuschend echt gestaltet wird.
Neben dieser eher formellen Bedrohung stellt die menschliche Komponente ein wesentliches Risiko dar. Mitarbeitende können trotz bestehender Sicherheitsrichtlinien in stressigen Situationen oder aus Unachtsamkeit auf manipulierte Nachrichten falsch reagieren. Hier müssen periodisch Schulungen und Maßnahmen zur Sensibilisierung durchgeführt werden. Ihre Inhalte müssen kontinuierlich angepasst werden, da sich die Angriffsmethoden ständig weiterentwickeln. Dieser Aufwand ist relativ hoch.
Weitere Herausforderungen bestehen in der Implementierung und laufenden Anpassung von Schutzmaßnahmen wie E-Mail-Filtern, Firewalls, Mehrfach-Authentifizierungen oder Monitoring-Systemen. Hier sind spezialisierte Fachkenntnisse und finanzielle Mittel erforderlich. Weiterhin müssen interne Prozesse zur schnellen Erkennung, Meldung und Reaktion auf Phishing-Vorfälle klar definiert und regelmäßig überprüft werden.
Nicht zuletzt kann ein erfolgreicher Phishing-Angriff erhebliche finanzielle Schäden und Vertrauensverluste bei Kunden und Geschäftspartnern nach sich ziehen. Unternehmen sind daher gefordert, Sicherheitsstrategien zu entwickeln, die technische, organisatorische und menschliche Faktoren gleichermaßen berücksichtigen.
Quellen und weiterführende Inhalte
- Phishing: https://www.bsi.bund.de – Phishing
- Social Engineering: https://www.bsi.bund.de – Social Engineering
- CEO-Fraud: https://www.bsi.bund.de – CEO-Fraud
- Ransomware: https://www.bsi.bund.de – Ransomware
- Deep Fakes: https://www.bsi.bund.de – Deepfakes
- Was ist ein SIEM?: Security Insider: Was ist ein SIEM?
Aktuelle Bedrohungslage
- Aktuelle Cyber-Sicherheitswarnungen: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Technische-Sicherheitshinweise-und-Warnungen/Cyber-Sicherheitswarnungen/cyber-sicherheitswarnungen_node.html
- Die Lage der IT-Sicherheit in Deutschland: https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html
