Phishing-Mail erkennen: Worauf Ihr Team heute achten muss

Die alte Faustregel gilt nicht mehr. Jahrelang hieß es, man erkenne Betrugsmails an holprigem Deutsch und an der Anrede „Sehr geehrter Kunde”. Beides stimmt nicht mehr. Heute liest sich eine Fälschung wie ein normaler Geschäftsbrief, mit Ihrem Namen, Ihrer Position und einem Bezug, der stimmt.

Was bleibt, sind Merkmale, die sich nicht so leicht fälschen lassen.

Hinter dem Anzeigenamen steht die echte Adresse

Der Anzeigename einer Mail ist frei wählbar. Dort kann „Sparkasse” stehen, „Microsoft” oder der Name Ihres Chefs. Entscheidend ist die Adresse dahinter.

Klicken Sie den Absender an oder fahren Sie mit der Maus darüber, bis die vollständige Adresse erscheint. Achten Sie dabei besonders auf die Endung: microsoft-support.de ist nicht Microsoft, und ihre-firma-buchhaltung.com ist nicht Ihre Firma. Der Trick funktioniert, weil das Auge den vertrauten Teil liest und den Rest überspringt.

Wohin ein Link führt, bevor Sie klicken

Fahren Sie am Rechner mit der Maus über den Link, ohne zu klicken. Unten links oder in einem kleinen Fenster erscheint die tatsächliche Zieladresse. Am Handy erreichen Sie dasselbe, indem Sie den Link gedrückt halten.

Der Text eines Links sagt gar nichts darüber aus, wohin er führt. Ein Knopf mit der Aufschrift „Zum Kundenportal” kann überall hinzeigen. Interessant ist immer der Anfang der Adresse bis zum ersten einzelnen Schrägstrich, denn dort steht, wem die Seite gehört.

Passt diese Nachricht in Ihren Alltag?

Das ist die stärkste Prüfung, und sie braucht keine Technik. Erwarten Sie eine Rechnung von diesem Absender? Haben Sie ein Paket bestellt? Verschickt Ihre Bank sonst Mails mit Links?

Betrugsmails leben davon, dass sie an einen wahrscheinlichen Vorgang andocken. In der Buchhaltung kommen Rechnungen, in der Personalabteilung Bewerbungen, im Vertrieb Anfragen. Wer das weiß, prüft genau die Mails besonders, die zum eigenen Aufgabengebiet passen.

Zeitdruck ist kein Zufall

Fast jede dieser Mails enthält einen Grund, warum es jetzt sofort sein muss. Das Konto wird gesperrt, die Lieferung geht zurück, die Frist läuft heute ab. Der Druck soll die Sekunde verhindern, in der jemand nachdenkt.

Ebenso verräterisch ist ein ungewöhnlicher Weg. Wenn die Geschäftsführung sonst nie per Mail um eine Überweisung bittet und es plötzlich tut, ist der Kanal selbst das Warnzeichen. Das gilt auch umgekehrt: Eine Bitte, ausnahmsweise nicht über den üblichen Weg zu gehen, ist immer verdächtig.

Anhänge und QR-Codes

• Office-Dateien, die zum Aktivieren von Inhalten auffordern. Wenn ein Dokument erst nach einem Klick auf einen gelben Balken lesbar wird, geht es fast nie um Formatierung.
• Archive im Anhang. Eine Zip-Datei verbirgt, was darin steckt, und wird von manchen Prüfungen schlechter erfasst.
• QR-Codes in Mails oder Briefen. Der Code führt an der Sicherheitsprüfung des Rechners vorbei direkt auf das eigene Handy. Genau deshalb nimmt diese Masche zu.
• Dateien mit doppelter Endung. Was wie Rechnung.pdf aussieht, kann Rechnung.pdf.exe heißen, wenn Windows bekannte Endungen ausblendet.

Was zu tun ist, wenn schon geklickt wurde

Hier entscheidet sich, ob aus einem Vorfall ein Schaden wird. Der wichtigste Schritt ist, dass die Person es sagt, und zwar sofort. In vielen Unternehmen passiert genau das nicht, weil es unangenehm ist, und die Stunden, in denen man das Kennwort noch hätte ändern können, verstreichen.

Legen Sie deshalb vorher fest, wer im Ernstfall informiert wird und dass eine Meldung nie zu Ärger führt. Diese eine Regel ist mehr wert als die meiste Technik. Wie sich Mailschutz, Meldewege und Schulung zusammen aufbauen lassen, steht unter IT-Sicherheit für kleine Unternehmen. Was im Ernstfall in welcher Reihenfolge passiert, hält ein IT-Notfallplan fest.