Phishing-Angriffe auf Unternehmen beginnen nicht mit dem Versand einer gefälschten E-Mail, sondern mit einer gezielten Vorbereitungsphase, in der Angreifer systematisch Informationen über ihr Ziel sammeln, Schwachstellen identifizieren und täuschend echte Szenarien konstruieren. Je mehr Zeit und Sorgfalt ein Angreifer in diese Vorbereitung investiert, desto schwieriger ist der Angriff für Mitarbeitende zu erkennen. Die folgenden Fragen beleuchten jeden Schritt dieser Vorbereitungsphase und zeigen, worauf Sie und Ihre Belegschaft achten sollten.
Welche Informationen sammeln Angreifer vor einem Phishing-Angriff?
Vor einem Phishing-Angriff sammeln Angreifer öffentlich zugängliche Informationen über das Zielunternehmen, seine Mitarbeitenden, seine Technologien und seine Geschäftsbeziehungen. Dieser Prozess wird als Open Source Intelligence (OSINT) bezeichnet und kann vollständig ohne direkten Kontakt zum Unternehmen durchgeführt werden.
Typische Quellen sind Unternehmenswebseiten, LinkedIn-Profile, Pressemitteilungen, Stellenanzeigen und Handelsregistereinträge. Aus Stellenanzeigen lässt sich beispielsweise ableiten, welche Software ein Unternehmen einsetzt. LinkedIn verrät Hierarchien, Abteilungsstrukturen und Namen von Ansprechpersonen. Pressemitteilungen enthüllen laufende Projekte, neue Partnerschaften oder bevorstehende Veränderungen.
Darüber hinaus durchsuchen Angreifer Datenlecks aus früheren Sicherheitsvorfällen, um bereits kompromittierte Zugangsdaten von Mitarbeitenden zu finden. Diese können direkt für Angriffe genutzt oder als Grundlage für glaubwürdige Phishing-Nachrichten verwendet werden. Die Qualität dieser Recherche bestimmt maßgeblich, wie überzeugend der spätere Angriff wirkt.
Wie wählen Angreifer ihre Zielpersonen im Unternehmen aus?
Angreifer wählen Zielpersonen anhand ihres Zugangs zu sensiblen Daten, Systemen oder finanziellen Ressourcen aus. Mitarbeitende in der Buchhaltung, im IT-Bereich, in der Geschäftsführung oder im HR-Bereich stehen besonders häufig im Fokus, weil sie entweder Zahlungen autorisieren, Systemzugriffe verwalten oder über vertrauliche Personalinformationen verfügen.
Gleichzeitig geraten auch weniger offensichtliche Personen ins Visier: Mitarbeitende an der Rezeption oder im Helpdesk haben häufig weitreichende Zugänge und werden oft als leichtere Einstiegspunkte betrachtet. Angreifer suchen bewusst nach Personen, die regelmäßig externe Anfragen bearbeiten und deshalb weniger misstrauisch gegenüber unbekannten Kontaktversuchen sind.
Die Auswahl erfolgt oft in mehreren Stufen. Zunächst wird eine breite Liste möglicher Zielpersonen erstellt, die anschließend auf Basis der verfügbaren Informationen priorisiert wird. Wer viele öffentliche Informationen teilt, ein aktives LinkedIn-Profil pflegt oder in Pressemitteilungen namentlich erwähnt wird, erhöht damit unbeabsichtigt das eigene Risiko, gezielt angesprochen zu werden. Sicherheitsanalysen können aufzeigen, welche Informationen Ihr Unternehmen nach außen preisgibt.
Wie bauen Angreifer glaubwürdige Phishing-Nachrichten auf?
Glaubwürdige Phishing-Nachrichten entstehen durch die Kombination aus gesammelten Informationen, einer passenden Absenderadresse und einem psychologisch wirksamen Handlungsaufruf. Angreifer nutzen echte Namen, aktuelle Ereignisse und vertraute Formulierungen, um den Eindruck zu erwecken, die Nachricht stamme von einer bekannten oder autorisierten Quelle.
Typische Elemente einer gut vorbereiteten Phishing-Nachricht sind:
- Täuschend ähnliche Absenderadressen: Domains wie „m-privacv.de“ statt „m-privacy.de“ oder Subdomains wie „login.echtebank.angreifer.com“
- Persönliche Ansprache: Verwendung des echten Namens und der Berufsbezeichnung der Zielperson
- Kontext aus dem Unternehmensalltag: Bezugnahme auf laufende Projekte, bekannte Kollegen oder aktuelle Ereignisse
- Dringlichkeit oder Autorität: Formulierungen wie „sofortige Handlung erforderlich“ oder Nachahmung des Stils der Geschäftsführung
- Vertraute Optik: Logos, Schriftarten und Layouts bekannter Unternehmen oder interner Systeme
Besonders wirkungsvoll sind Nachrichten, die auf ein konkretes Ereignis reagieren, etwa eine laufende Ausschreibung, einen angekündigten Systemwechsel oder eine bevorstehende Zahlung. Je spezifischer der Kontext, desto geringer die Wahrscheinlichkeit, dass die Zielperson die Nachricht hinterfragt.
Welche technischen Vorbereitungen treffen Angreifer für Phishing-Kampagnen?
Technisch bereiten Angreifer Phishing-Kampagnen vor, indem sie gefälschte Domains registrieren, täuschend echte Webseiten nachbauen und Infrastruktur aufsetzen, die Antworten, Zugangsdaten oder Klicks abfängt. Dieser Aufwand kann erheblich sein und deutet darauf hin, dass professionelle Angriffe keine spontanen Aktionen sind.
Zu den häufigsten technischen Vorbereitungsmaßnahmen gehören:
- Registrierung von Look-alike-Domains, die dem Zielunternehmen oder seinen Dienstleistern ähneln
- Einrichtung von HTTPS-Zertifikaten für gefälschte Seiten, um den Eindruck von Sicherheit zu erwecken
- Aufbau von Phishing-Kits, die Login-Seiten bekannter Dienste originalgetreu nachahmen
- Konfiguration von E-Mail-Servern mit gefälschten SPF- und DKIM-Einträgen, um Spamfilter zu umgehen
- Einsatz von Weiterleitungsketten, die die wahre Zieladresse verschleiern
Ein zentrales Risiko liegt darin, dass viele dieser technischen Maßnahmen für normale Nutzerinnen und Nutzer unsichtbar sind. Eine HTTPS-Verbindung bedeutet lediglich, dass die Verbindung verschlüsselt ist, nicht dass die Seite vertrauenswürdig ist. Für den sicheren Internetzugang am Arbeitsplatz sind deshalb technische Schutzmaßnahmen unverzichtbar, die über den Browser selbst hinausgehen.
Was ist der Unterschied zwischen Phishing, Spear-Phishing und Whaling?
Phishing, Spear-Phishing und Whaling unterscheiden sich hauptsächlich im Grad der Zielgenauigkeit und im Aufwand der Vorbereitung. Klassisches Phishing richtet sich an eine möglichst große Zahl von Empfangenden, Spear-Phishing zielt auf bestimmte Personen oder Gruppen, und Whaling konzentriert sich ausschließlich auf Führungskräfte der obersten Ebene.
Phishing: Breite Streuung, geringer Aufwand
Beim klassischen Phishing werden identische oder leicht variierte Nachrichten an Tausende oder Millionen von Empfangenden verschickt. Die Erfolgsrate ist niedrig, aber selbst ein kleiner Prozentsatz an Reaktionen kann für Angreifer profitabel sein. Typische Beispiele sind gefälschte Paketbenachrichtigungen, Bankwarnungen oder Gewinnmitteilungen.
Spear-Phishing und Whaling: Präzision statt Masse
Spear-Phishing verwendet die gesammelten Informationen aus der Recherchephase, um personalisierte Nachrichten zu erstellen, die auf eine spezifische Person oder Abteilung zugeschnitten sind. Der Aufwand ist deutlich höher, aber die Erfolgsquote steigt erheblich. Whaling ist eine Unterform des Spear-Phishings und richtet sich gegen Vorstände, Geschäftsführende oder andere hochrangige Entscheidungsträger, deren Zugänge besonders weitreichende Konsequenzen haben. Im Kontext der Internet-Sicherheit für Unternehmen ist Spear-Phishing heute die gefährlichste Variante, weil sie selbst erfahrene Mitarbeitende täuschen kann.
Woran erkennen Mitarbeitende einen gut vorbereiteten Phishing-Versuch?
Gut vorbereitete Phishing-Versuche lassen sich erkennen, indem Mitarbeitende auf unerwartete Handlungsaufforderungen, ungewöhnliche Absenderadressen, Dringlichkeit ohne klaren Grund und Anfragen achten, die normale Kommunikationswege umgehen. Selbst wenn eine Nachricht vertraut wirkt, sollte jede Bitte um Zugangsdaten, Zahlungen oder Systemzugriffe kritisch hinterfragt werden.
Konkrete Warnsignale sind:
- Die Absenderdomain weicht minimal vom bekannten Namen ab (z. B. ein fehlender oder hinzugefügter Buchstabe)
- Die Nachricht fordert zur sofortigen Handlung auf und begründet dies mit Dringlichkeit oder Konsequenzen bei Nichthandeln
- Links in der Nachricht führen auf eine andere Domain als erwartet (sichtbar beim Hovern über den Link)
- Die Anfrage weicht vom üblichen Kommunikationsweg ab, etwa eine Bitte per E-Mail, die normalerweise über ein internes System läuft
- Anhänge werden unerwartet zugesandt, besonders wenn sie zur Eingabe von Zugangsdaten auffordern
Die wichtigste Schutzmaßnahme ist die Verifikation über einen zweiten Kanal: Wer eine verdächtige Nachricht erhält, sollte den vermeintlichen Absender telefonisch kontaktieren, bevor er handelt. Regelmäßige Schulungen zur IT-Sicherheit helfen dabei, diese Aufmerksamkeit im Arbeitsalltag zu verankern.
Wie m-privacy GmbH Ihr Unternehmen vor Phishing schützt
Phishing-Schutz für Unternehmen erfordert mehr als eine einzelne Maßnahme. Wir bei m-privacy GmbH kombinieren technische Lösungen, Beratung und Schulungen, um Ihr Unternehmen umfassend abzusichern:
- TightGate-Pro: Unsere BSI-zertifizierte Remote-Controlled-Browser-Lösung trennt den Webbrowser physisch vom Arbeitsplatzrechner. Selbst wenn Mitarbeitende auf einen Phishing-Link klicken, bleibt Ihr internes Netzwerk vollständig geschützt, weil der Browser in einer isolierten Umgebung ausgeführt wird.
- Security Audits nach ISO 27001: Wir analysieren Ihre bestehenden Sicherheitsprozesse, identifizieren Schwachstellen und zeigen konkrete Verbesserungsmaßnahmen auf.
- Mitarbeiterschulungen: Wir schulen Ihre Belegschaft praxisnah in der Erkennung von Phishing-Versuchen und datenschutzkonformen Verhaltensweisen, damit Internet-Sicherheit im Unternehmensalltag gelebt wird.
- Externer Datenschutzbeauftragter: Als externe Datenschutzbeauftragte unterstützen wir Sie bei der Einhaltung gesetzlicher Anforderungen und der nachhaltigen Verbesserung interner Abläufe.
Möchten Sie wissen, wie gut Ihr Unternehmen gegen gezielte Phishing-Angriffe geschützt ist? Kontaktieren Sie uns für ein unverbindliches Erstgespräch.