Phishing ist längst nicht mehr die plumpe E-Mail vom “nigerianischen Prinzen”. Die Betrugsmaschen sind mittlerweile so raffiniert, dass selbst erfahrene IT-Profis kurz zweimal hinschauen müssen. Wer weiß, worauf man achten muss, kann sich und sein Team aber wirkungsvoll schützen – ganz ohne teure Software, sondern einfach mit einer gesunden Portion Aufmerksamkeit.

Was ist Phishing eigentlich genau?

Phishing bedeutet, dass Betrüger versuchen, an sensible Daten wie Passwörter, Bankdaten oder Zugänge zu Firmensystemen zu kommen, indem sie sich als jemand anderes ausgeben – zum Beispiel als Bank, Chef, Lieferant oder bekannter Dienstleister. Der Trick dahinter ist immer der gleiche: Man soll auf einen Link klicken, eine Datei öffnen oder Daten eingeben, ohne lange nachzudenken. Meistens wird dafür Druck aufgebaut, etwa durch eine angebliche Fristsetzung, eine gesperrte Zahlung oder eine dringende Chef-Anfrage.

Die aktuellen Tricks der Betrüger

Klassisches Phishing per E-Mail gibt es zwar immer noch, aber die Methoden haben sich deutlich weiterentwickelt:

CEO-Fraud / Chef-Betrug: Eine E-Mail oder Nachricht, die angeblich vom Geschäftsführer kommt und eine dringende Überweisung oder den Kauf von Gutscheinen verlangt – oft mit dem Hinweis, man sei “gerade in einem wichtigen Meeting” und nicht erreichbar.
Smishing: Phishing per SMS, zum Beispiel eine angebliche Paketbenachrichtigung mit Link, über den man “Zollgebühren” nachzahlen soll.
Quishing: Phishing über QR-Codes, etwa auf gefälschten Parkscheinautomaten-Aufklebern oder in Restaurants, die auf präparierte Webseiten führen.
Deepfake-Anrufe: Mit KI nachgemachte Stimmen von Vorgesetzten oder Kollegen, die am Telefon eine dringende Überweisung oder Datenweitergabe fordern.
Fake-Login-Seiten: Perfekt nachgebaute Anmeldeseiten von Microsoft 365, Banken oder Paketdiensten, die kaum vom Original zu unterscheiden sind.
Business Email Compromise (BEC): Betrüger kapern echte E-Mail-Konten von Geschäftspartnern und schreiben von dort aus scheinbar legitime Nachrichten mit geänderten Bankverbindungen.

So erkennst du Phishing-Versuche

Auch wenn die Maschen immer besser werden, gibt es ein paar Warnsignale, die fast immer verraten, dass etwas nicht stimmt:

Ungewöhnlicher Zeitdruck: “Sofort handeln”, “nur heute gültig” oder “Konto wird sonst gesperrt” sind klassische Alarmglocken.
Absenderadresse genau prüfen: Oft weicht die E-Mail-Adresse minimal vom echten Absender ab (z. B. ein vertauschter Buchstabe oder eine andere Domain-Endung).
Unpersönliche oder komische Anrede: “Sehr geehrter Kunde” statt des eigenen Namens kann ein Hinweis sein, auch wenn KI-generierte Texte heute oft täuschend echt formuliert sind.
Links vor dem Klicken prüfen: Mit der Maus über den Link fahren (ohne zu klicken) zeigt oft die tatsächliche Ziel-URL, die häufig gar nicht zur angeblichen Firma passt.
Ungewöhnliche Zahlungswege: Bitte um Gutscheinkarten, Kryptowährung oder plötzliche Änderung von Bankdaten sind fast immer Betrug.
Kanal-Wechsel als Warnsignal: Wenn eine WhatsApp-Nachricht oder SMS auf einmal eine dringende Firmenangelegenheit regeln will, obwohl das sonst nie so gemacht wird, sollte man skeptisch sein.

So schützt du dich und dein Team

Technik allein reicht nicht – der Mensch ist und bleibt die wichtigste Verteidigungslinie. Ein paar einfache Gewohnheiten machen schon einen riesigen Unterschied:

Bei jeder unerwarteten oder dringenden Anfrage kurz innehalten und auf einem zweiten Weg nachfragen – zum Beispiel den Kollegen kurz anrufen statt direkt zu antworten.
Niemals Passwörter, Zugangsdaten oder Zahlungsinformationen über Links aus E-Mails oder Nachrichten eingeben, sondern immer direkt über die bekannte, selbst eingetippte Adresse einloggen.
Zwei-Faktor-Authentifizierung überall aktivieren, wo es möglich ist – selbst wenn ein Passwort gestohlen wird, kommt der Angreifer dann trotzdem nicht rein.
Regelmäßig kleine Awareness-Schulungen im Team durchführen, damit Phishing-Erkennung zur Routine wird statt zur Ausnahme.
Eine klare, einfache Meldestelle im Unternehmen einrichten, an die verdächtige Mails ohne Scham weitergeleitet werden können – lieber einmal zu oft nachgefragt als einmal zu spät reagiert.
Software, Browser und Sicherheitslösungen immer aktuell halten, denn viele Angriffe nutzen bekannte Sicherheitslücken in veralteten Systemen aus.

Am Ende gilt: Phishing lebt davon, dass Menschen unter Druck schnell und unüberlegt handeln. Wer sich einen kurzen Moment Zeit nimmt, genau hinschaut und im Zweifel lieber einmal zu viel nachfragt, macht es Betrügern deutlich schwerer – und das kostet nichts außer ein bisschen Aufmerksamkeit im Alltag.