Phishing-Simulationen für KMU, Behörden & Krankenhäuser. Testen Sie die Reaktion Ihrer Mitarbeitenden auf Phishing-Angriffe.
Eine Phishing-Mail muss nicht schlecht geschrieben oder unpersönlich sein. Moderne Angriffe können täuschend echt aussehen und sogar Ihren Namen, Ihre Firma oder aktuelle Vorgänge aufgreifen.
Deshalb gilt: Nicht nach Bauchgefühl entscheiden – sondern gezielt prüfen.
Ein Anzeigename wie „Microsoft“, „Geschäftsführung“ oder „Sparkasse Kundenservice“ sagt zunächst wenig darüber aus, von wem die Nachricht tatsächlich stammt.
So prüfen Sie es:
Klicken Sie auf den Namen des Absenders oder fahren Sie mit der Maus darüber, sodass die vollständige E-Mail-Adresse sichtbar wird.
Achten Sie besonders auf den Teil hinter dem @.
Beispiel:
Angezeigt wird: Microsoft 365
Tatsächliche Adresse: security@microsoft-konto24.com
Entscheidend ist hier alles nach dem @-Zeichen: microsoft-konto24.com
Sie ist nicht microsoft.com.
Wichtig:
Auch eine bekannte oder korrekt aussehende Absenderadresse ist kein hundertprozentiger Beweis, dass eine Nachricht sicher ist. Absender können gefälscht oder echte E-Mail-Konten kompromittiert werden.
Merksatz: Name ignorieren. E-Mail-Adresse anzeigen. Domain prüfen.
Der Text eines Links und sein tatsächliches Ziel können unterschiedlich sein. Ein Button kann beispielsweise mit „Microsoft 365 – Konto bestätigen“ beschriftet sein und trotzdem auf eine völlig andere Webseite führen.
So prüfen Sie es am Computer:
Bewegen Sie den Mauszeiger über den Link oder Button, ohne zu klicken. Ihr Browser oder E-Mail-Programm zeigt Ihnen anschließend das tatsächliche Linkziel an.
Beispiel:
Im Text steht portal.office.com. Der Link führt tatsächlich zu https://office-login.security-check.example
Entscheidend ist nicht, was auf dem Button steht, sondern welche Domain tatsächlich aufgerufen wird.
Besonders genau hinschauen bei:
Beispiel: microsoft.com.example.org
gehört zu example.org – nicht zu microsoft.com.
Merksatz: Nicht den Linktext prüfen, sondern das tatsächliche Linkziel.
Eine technisch perfekt gemachte E-Mail kann trotzdem Phishing sein. Fragen Sie sich deshalb vor einem Klick: Passt diese Aufforderung zu einem Vorgang, den ich tatsächlich erwarte?
Zum Beispiel:
Besondere Vorsicht ist sinnvoll, wenn eine Nachricht Sie zu einer unmittelbaren Aktion bewegen möchte, beispielsweise:
„Konto wird heute gesperrt.“
„Dokument sofort freigeben.“
„Zahlung dringend bestätigen.“
„Passwort läuft ab – jetzt anmelden.“
Zeitdruck allein beweist noch kein Phishing. Er soll aber verhindern, dass Sie genauer hinschauen.
Merksatz: Erst prüfen, ob der Vorgang plausibel ist - dann handeln.
Wenn Sie beispielsweise eine Nachricht von Microsoft, Ihrer Bank, einem Paketdienst oder einem anderen Anbieter erhalten und sich unsicher sind: Klicken Sie nicht auf den Link in der E-Mail.
Öffnen Sie stattdessen Ihren Browser und rufen Sie die bekannte Webseite selbst auf.
Beispiel:
„In Ihrem Microsoft-Konto wurde eine ungewöhnliche Anmeldung festgestellt. Jetzt prüfen.“
Statt den Button anzuklicken:
Bei einer Nachricht von einer Kollegin, einem Kollegen oder Geschäftspartner können Sie ebenfalls über einen anderen bekannten Kommunikationsweg nachfragen.
Nutzen Sie dafür beispielsweise eine bereits gespeicherte Telefonnummer - und nicht eine Telefonnummer aus der verdächtigen E-Mail.
Merksatz: Im Zweifel nicht dem Link folgen, sondern den bekannten Weg selbst öffnen.
Nicht nur Links können gefährlich sein.
Fragen Sie sich vor dem Öffnen eines Anhangs:
Erwarte ich diese Datei?
Passt die Datei zum beschriebenen Vorgang?
Kenne ich den Absender und ist die Nachricht plausibel?
Welche Dateiendung hat die Datei?
Besondere Vorsicht gilt bei Dateien, die Programme oder Skripte ausführen können.
Auch ein Dokument von einem bekannten Kontakt ist nicht automatisch sicher. E-Mail-Konten können übernommen worden sein.
Bei einer unerwarteten E-Mail sollten Sie niemals allein aufgrund eines Links in der Nachricht Ihr Passwort, einen zweiten Faktor, Zahlungsinformationen oder andere vertrauliche Daten eingeben.
Werden Sie über eine E-Mail zur Anmeldung aufgefordert:
Öffnen Sie den jeweiligen Dienst nach Möglichkeit selbst und melden Sie sich dort an.
So vermeiden Sie, Ihre Zugangsdaten auf einer nachgebauten Anmeldeseite einzugeben.
Früher waren Rechtschreibfehler, merkwürdige Formulierungen und unpersönliche Anreden häufig gute Warnzeichen.
Heute reicht das nicht mehr.
Phishing-Mails können:
Deshalb sollte die Entscheidung nicht lauten:
„Sieht diese Mail professionell aus?“
Sondern:
„Habe ich Absender, Ziel und Vorgang überprüft?“
Bevor Sie auf einen Link klicken oder einen Anhang öffnen:
Welche vollständige E-Mail-Adresse steckt hinter dem Namen?
Auf welche Domain führt der Link tatsächlich?
Erwarte ich diese Nachricht und diese konkrete Aktion?
Kann ich die Webseite oder Anwendung stattdessen selbst öffnen?
Wenn Ihnen dabei etwas ungewöhnlich vorkommt:
Nicht klicken. Nachfragen oder den bekannten Zugangsweg verwenden.