Phishing Schutz für Unternehmen: Maßnahmen, Technik & Checkliste

Phishing Schutz entsteht aus zwei Bausteinen, die nur gemeinsam wirken: technische Schutzschichten, die gefährliche Nachrichten abfangen, und organisatorische Regeln, die verhindern, dass ein einzelner Klick zum Schaden führt.

Für kleine und mittlere Unternehmen ist das besonders relevant, weil Angreifer heute nicht mehr mit schlecht übersetzten Massenmails arbeiten. Sie recherchieren Rollen, Lieferanten und Zahlungsabläufe und formulieren Nachrichten so, dass sie in den Arbeitsalltag passen. Eine gefälschte Rechnung mit geänderter Bankverbindung enthält weder Schadsoftware noch Rechtschreibfehler – und richtet trotzdem erheblichen Schaden an.

Dieser Artikel zeigt, woran Sie Phishing-Mails konkret erkennen, welche technischen Maßnahmen sich schnell umsetzen lassen, wie Sie Meldewege und Zahlungsfreigaben absichern und was in den ersten Minuten eines Verdachtsfalls zu tun ist.

Inhaltsverzeichnis

• Was Phishing Schutz im Unternehmen umfasst
• Woran Sie eine Phishing-Mail erkennen
• Welche Phishing-Angriffe KMU am häufigsten treffen
• Technische Maßnahmen gegen Phishing
• Organisatorische Maßnahmen: Regeln, Meldewege, Awareness
• Erster Verdacht: die richtigen Schritte in den ersten 15 Minuten
• Checkliste für den Phishing Schutz
• Fazit
• FAQ zum Phishing Schutz

Was Phishing Schutz im Unternehmen umfasst

Phishing Schutz umfasst alle technischen Kontrollen und organisatorischen Abläufe, die betrügerische Nachrichten erkennen, blockieren und in ihrer Wirkung eindämmen. Ziel ist, Kontoübernahmen, Zahlungsbetrug und Schadsoftware zu verhindern, ohne die tägliche Kommunikation auszubremsen.

Wirksamer Schutz arbeitet in Schichten. Jede Schicht senkt die Wahrscheinlichkeit, dass eine Phishing-Mail überhaupt ankommt, geöffnet wird, Zugangsdaten abgreift oder eine Zahlung auslöst. Fällt eine Schicht aus, fängt die nächste ab.

Vier Ziele lassen sich dabei unterscheiden:

• Zustellung reduzieren: Filter, Absenderauthentifizierung und Richtlinien halten einen Großteil der Nachrichten fern
• Interaktion erschweren: geprüfte Links, Anhangsanalyse und eingeschränkte Makros verhindern den gefährlichen Klick
• Kontoübernahmen verhindern: Multifaktor-Authentifizierung und Zugriffsregeln entwerten gestohlene Passwörter
• Auswirkungen begrenzen: Endgeräteschutz, sparsame Berechtigungen und ein geübter Meldeprozess halten den Schaden klein

Ein Spamfilter allein greift zu kurz. Moderne Angriffe wirken technisch unauffällig: persönlich formuliert, ohne Anhang, mit Links auf legitime Cloud-Dienste oder von einem echten, aber kompromittierten Partnerkonto. Genau deshalb muss der Mensch die letzte Schicht sein – und dafür braucht er klare Erkennungsmerkmale.

Woran Sie eine Phishing-Mail erkennen

Die meisten Phishing-Mails lassen sich an wiederkehrenden Mustern erkennen. Entscheidend ist nicht ein einzelnes Merkmal, sondern die Häufung mehrerer Signale.

Die drei wichtigsten Prüfschritte

1. die echte Absenderadresse ansehen. Der Anzeigename ist frei wählbar und beweist nichts. Klappen Sie die vollständige Adresse auf und prüfen Sie die Domain zeichenweise.
2. das Linkziel prüfen, ohne zu klicken. Fahren Sie mit der Maus über den Link und lesen Sie die eingeblendete Zieladresse. Am Smartphone genügt langes Drücken. Achten Sie auf die Zeichenfolge unmittelbar vor dem ersten Schrägstrich – dort steht die tatsächliche Domain.
3. bei Geld und Zugangsdaten über einen zweiten Kanal rückfragen. Rufen Sie unter der Ihnen bekannten Nummer an, nicht unter der in der E-Mail angegebenen. Diese eine Regel verhindert den Großteil aller erfolgreichen Zahlungsbetrugsfälle.

Wichtig für die Praxis: Auch eine Mail von einem echten Kollegen oder Lieferanten kann Phishing sein, wenn dessen Konto übernommen wurde. Dann stimmen Absender, Signatur und sogar der bisherige Nachrichtenverlauf. Nur der Prozessbruch bleibt als Signal – etwa die plötzlich geänderte Kontonummer in einer laufenden Konversation.

Die österreichische Behördenseite onlinesicherheit.gv.at fasst Präventionsmaßnahmen und aktuelle Betrugsmaschen zusammen und eignet sich gut als Referenz für interne Schulungen.

Welche Phishing-Angriffe KMU am häufigsten treffen

Im Mittelstand dominieren drei Muster. Sie unterscheiden sich technisch, verfolgen aber dasselbe Ziel: Geld, Zugangsdaten oder Kontrolle über Systeme.

Rechnungs- und Zahlungsbetrug

Angreifer fälschen Rechnungen oder Mahnungen bekannter Lieferanten und ändern die Bankverbindung. Häufig wird der Zeitpunkt bewusst gewählt: kurz vor Monatsende oder während der Urlaubszeit, wenn Vertretungen weniger genau prüfen.

Wirksamster Schutz: Rückruf bei jeder Änderung von Bankdaten, über die im System hinterlegte Nummer, plus Vier-Augen-Prinzip ab einem definierten Betrag. Das ist eine organisatorische Regel, keine technische – und genau deshalb wird sie oft übersehen.

Microsoft-365-Login-Phishing

Täuschend echte Anmeldeseiten fangen Zugangsdaten ab, meist eingeleitet durch Hinweise auf ein ablaufendes Passwort, eine neue Sprachnachricht oder ein geteiltes Dokument.

Der beste Schutz ist Multifaktor-Authentifizierung, also die Anmeldung mit einem zweiten Faktor zusätzlich zum Passwort. Wie sich MFA im Unternehmen einführen lässt, beschreibt der Beitrag zur Multifaktor-Authentifizierung im Detail.

CEO-Fraud und Business Email Compromise

BEC steht für Business Email Compromise, also die Übernahme oder Nachahmung geschäftlicher E-Mail-Konten. Angreifer geben sich als Geschäftsführung oder Geschäftspartner aus und drängen auf eine schnelle Überweisung außerhalb des üblichen Wegs.

Diese Angriffe enthalten meist weder Link noch Anhang. Technische Filter haben deshalb wenig Angriffsfläche – BEC wird über Prozesse abgewehrt, nicht über Software.

Für kleine und mittlere Unternehmen, die diese Schutzschichten nicht selbst aufbauen und betreiben können, ist eine strukturierte IT-Betreuung der pragmatischste Weg. FIGULI CONSULTING richtet E-Mail-Sicherheit, Identitätsschutz und Meldeprozesse so ein, dass sie im Alltag tragen und nicht nach wenigen Wochen umgangen werden.

Phishing Schutz mit FIGULI verbessern

Technische Maßnahmen gegen Phishing

Technische Maßnahmen sollen möglichst viele gefährliche Nachrichten abfangen, bevor sie jemanden erreichen – und den Schaden begrenzen, wenn doch eine durchkommt.

E-Mail-Filter und Anhangsprüfung

Ein modernes E-Mail-Gateway prüft eingehende Nachrichten anhand mehrerer Signale: Ruf des Absenders, Auffälligkeiten in Kopfzeilen und Inhalt, bekannte Schadsoftware sowie Muster für gefälschte Absender.

Zwei Funktionen sind besonders wirksam:

• Linkprüfung zum Klickzeitpunkt: Die Zieladresse wird erst beim Anklicken geprüft, nicht nur bei der Zustellung. Das fängt Links ab, die erst nachträglich bösartig werden – eine gängige Taktik zur Umgehung von Filtern.
• Anhangsanalyse in isolierter Umgebung: Verdächtige Dateien werden vor der Zustellung in einer abgeschotteten Testumgebung ausgeführt und beobachtet. Das hilft besonders gegen neue, noch unbekannte Schadsoftware.

FIGULI CONSULTING setzt hierfür unter anderem auf Hornetsecurity als E-Mail-Sicherheitslösung.

Wichtig ist ein geregelter Umgang mit der Quarantäne: Wer darf blockierte Nachrichten freigeben, und nach welchen Kriterien? Können Mitarbeitende beliebig selbst freigeben, entsteht genau die Lücke, die der Filter schließen sollte.

Absenderauthentifizierung: SPF, DKIM und DMARC

Drei technische Verfahren im Domain Name System (DNS) erschweren es Angreifern, im Namen Ihrer Domain zu versenden:

• SPF (Sender Policy Framework) legt fest, welche Mailserver für Ihre Domain senden dürfen
• DKIM (DomainKeys Identified Mail) versieht ausgehende Nachrichten mit einer kryptografischen Signatur
• DMARC verbindet beide und legt fest, wie Empfänger mit nicht bestandenen Prüfungen umgehen sollen



Die Einführung erfolgt stufenweise: zuerst im reinen Beobachtungsmodus, um alle legitimen Versandquellen zu erfassen, dann schrittweise strenger. Wer sofort auf Ablehnung schaltet, blockiert erfahrungsgemäß eigene Newsletter oder Systemmails. Eine ausführliche Darstellung der drei Verfahren finden Sie im Beitrag zur E-Mail Sicherheit.

Identitäten absichern

Viele Angriffe zielen nicht auf die Nachricht, sondern auf das Benutzerkonto.

Entscheidend sind daher:

• Multifaktor-Authentifizierung für alle Konten, nicht nur für Administratoren
• Abschalten veralteter Anmeldeverfahren, die keine modernen Sicherheitsprüfungen unterstützen
• getrennte Administratorkonten für administrative Tätigkeiten
• Warnmeldungen bei ungewöhnlichen Anmeldungen, etwa aus unerwarteten Ländern
• regelmäßige Kontrolle der Postfachregeln auf heimlich eingerichtete Weiterleitungen

Der letzte Punkt wird häufig unterschätzt. Nach einer Kontoübernahme richten Angreifer typischerweise eine Regel ein, die eingehende Antworten unbemerkt weiterleitet oder löscht. Diese Regel überlebt eine bloße Passwortänderung.

Endgeräte schützen

Kommt ein Angriff durch, entscheidet das Endgerät über die Schadenshöhe. Moderne Lösungen erkennen verdächtiges Verhalten – ungewöhnliche Skripte, Zugriffe auf Zugangsdaten, auffällige Netzwerkverbindungen – und können ein Gerät automatisch vom Netz isolieren.

Warum klassischer Virenschutz dafür nicht mehr ausreicht, erklärt der Beitrag zur Endpoint Security.

Organisatorische Maßnahmen: Regeln, Meldewege, Awareness

Technik verhindert keinen Prozessbetrug. Eine Zahlungsanweisung, die plausibel formuliert ist und von einem echten Konto kommt, passiert jeden Filter. Sie muss organisatorisch abgefangen werden.

Zahlungs- und Freigabeprozesse absichern

Die wirksamsten Regeln sind einfach und ausnahmslos:



• Änderungen von Bankverbindungen werden immer telefonisch über die hinterlegte Nummer bestätigt, nie über Kontaktdaten aus der E-Mail
• ab einem festgelegten Betrag gilt das Vier-Augen-Prinzip
• Abweichungen vom Standardprozess sind grundsätzlich ein Warnsignal, unabhängig davon, wer sie anfragt
• Dringlichkeit hebt keine Regel auf

Der letzte Punkt braucht Rückendeckung von oben. Solange die Geschäftsführung selbst Ausnahmen einfordert, funktioniert keine Kontrolle.

Meldeweg einrichten

Ein Meldeweg muss schneller sein als das Zögern. Nötig sind eine klar benannte Anlaufstelle, eine einfache Meldemöglichkeit direkt aus dem Mailprogramm und eine Rückmeldung an die meldende Person.



Entscheidend ist die Fehlerkultur: Wer nach einem Klick Angst vor Vorwürfen hat, meldet später oder gar nicht – und genau diese Stunden entscheiden über den Schaden. Eine Falschmeldung kostet fünf Minuten, eine verschwiegene Kontoübernahme kostet Tage.

Awareness verankern

Schulungen wirken, wenn sie kurz, regelmäßig und an realen Fällen orientiert sind. Mehrere kurze Einheiten pro Jahr bringen mehr als eine jährliche Langveranstaltung.

Besonders wichtig ist das Onboarding: Neue Mitarbeitende kennen die üblichen Abläufe noch nicht und sind ein bevorzugtes Ziel. In den ersten Wochen sollten MFA eingerichtet, der Meldeweg erklärt und die Zahlungsfreigaben besprochen sein.

Wie sich der Lernstand messen und gezielt verbessern lässt, zeigt der Beitrag zur Phishing Simulation.

Erster Verdacht: die richtigen Schritte in den ersten 15 Minuten

Bei einem Verdachtsfall zählt Eindämmung vor Analyse. Die Reihenfolge ist entscheidend.

1. Nicht klicken, nichts öffnen, nichts weiterleiten. Die Nachricht bleibt unverändert im Postfach als Beweismittel.
2. Sofort die zuständige Stelle informieren – auch bei Unsicherheit, ob es sich wirklich um Phishing handelt.
3. Bei möglichem Klick und eingegebenen Zugangsdaten: Passwort ändern und alle aktiven Sitzungen beenden. Ein reiner Passwortwechsel reicht nicht, solange bestehende Anmeldungen gültig bleiben. Konto sperren durch einen Administrator.
4. Postfachregeln prüfen auf neu angelegte Weiterleitungen, Löschregeln und verknüpfte Anwendungen.
5. Ähnliche Nachrichten suchen und entfernen, da Phishing selten nur an eine Person geht.
6. Vorfall dokumentieren: Zeitpunkt, betroffene Konten, ergriffene Maßnahmen.

Sind personenbezogene Daten betroffen, können Meldepflichten nach der Datenschutz-Grundverordnung greifen. Die österreichische Datenschutzbehörde beschreibt die Pflichten von Verantwortlichen. Dokumentieren Sie jeden Vorfall, auch wenn keine Meldung erforderlich ist.

Checkliste für den Phishing Schutz

• Multifaktor-Authentifizierung für alle Konten aktiv
• veraltete Anmeldeverfahren abgeschaltet
• getrennte Administratorkonten eingerichtet
• E-Mail-Filter mit Link- und Anhangsprüfung im Einsatz
• Quarantäne mit klar geregelten Freigaben
• SPF, DKIM und DMARC eingerichtet und überwacht
• Warnmeldungen bei riskanten Anmeldungen und neuen Postfachregeln
• Endgeräteschutz aktiv, Updates verbindlich geregelt
• Rückrufpflicht bei Änderung von Bankdaten
• Vier-Augen-Prinzip ab definiertem Betrag
• Meldeweg bekannt und einfach erreichbar
• Awareness-Einheiten mehrmals jährlich, Phishing im Onboarding verankert
• Ablauf für den Verdachtsfall dokumentiert und mindestens einmal durchgesprochen
  

Fazit

Phishing Schutz ist keine Software, die man kauft, sondern ein Zusammenspiel aus Filtern, Identitätsschutz, Endgerätesicherheit und klaren Regeln. Technik senkt die Zahl der Nachrichten, die überhaupt ankommen. Prozesse verhindern den Schaden bei jenen, die durchkommen.

Der wirksamste einzelne Hebel ist dabei unspektakulär: die telefonische Rückfrage über eine bekannte Nummer, bevor Geld fließt oder

Zugangsdaten eingegeben werden. Er kostet nichts und wehrt genau jene Angriffe ab, gegen die kein Filter hilft.

Ebenso wichtig ist eine Meldekultur ohne Schuldzuweisung. Unternehmen, in denen ein Fehlklick sofort gemeldet wird, begrenzen den Schaden meist auf wenige Stunden Aufwand.

FIGULI CONSULTING unterstützt österreichische KMU dabei, Phishing Schutz als Teil einer ganzheitlichen IT-Sicherheitsstrategie umzusetzen: mit E-Mail-Sicherheit, Microsoft-365-Härtung, Identitätsschutz, Endpoint Security sowie praxistauglichen Melde- und Freigabeprozessen.

IT-Sicherheit und Phishing Schutz mit FIGULI besprechen

FAQ zum Phishing Schutz

Wie schützen sich Unternehmen wirksam vor Phishing?

Wirksamer Schutz kombiniert mehrere Schichten: E-Mail-Filter mit Link- und Anhangsprüfung, Absenderauthentifizierung über SPF, DKIM und DMARC, Multifaktor-Authentifizierung, Endgeräteschutz sowie klare Melde- und Freigabeprozesse. Keine dieser Maßnahmen genügt allein.

Woran erkennt man eine Phishing-Mail?

Typische Signale sind eine abweichende echte Absenderadresse, Zeitdruck, die Bitte um Geheimhaltung, ein Bruch mit dem gewohnten Ablauf sowie Links, deren Ziel nicht zum angezeigten Text passt. Entscheidend ist die Häufung mehrerer Signale, nicht ein einzelnes Merkmal.

Warum reicht ein Spamfilter nicht aus?

Gezielte Angriffe wirken technisch unauffällig: persönlich formuliert, ohne Anhang, teils von echten kompromittierten Konten. Ein Filter erkennt vor allem bekannte Massenmuster. Gegen Zahlungsbetrug ohne Schadsoftware helfen nur zusätzliche Prozesskontrollen.

Was ist Business Email Compromise?

Business Email Compromise, kurz BEC, bezeichnet Angriffe, bei denen Geschäftsführung, Lieferanten oder Partner nachgeahmt oder deren Konten übernommen werden. Ziel ist meist eine umgeleitete Zahlung. Da solche Nachrichten oft weder Link noch Anhang enthalten, greifen technische Filter kaum.

Was ist bei Verdacht auf Phishing sofort zu tun?

Nicht klicken, nichts weiterleiten, sofort die zuständige Stelle informieren. Bei möglichem Klick oder eingegebenen Zugangsdaten das Konto sperren, Passwort ändern und alle aktiven Sitzungen beenden. Anschließend Postfachregeln auf neue Weiterleitungen prüfen.

Wie oft sollten Awareness-Schulungen stattfinden?

Mehrere kurze Einheiten pro Jahr wirken besser als eine jährliche Langveranstaltung. Ergänzend sinnvoll sind kurze Hinweise bei aktuellen Angriffswellen sowie eine feste Einführung im Onboarding neuer Mitarbeitender.

Welche technischen Maßnahmen schützen vor Phishing?

Technische Maßnahmen gegen Phishing sind E-Mail-Filter, Linkprüfung, Anhangsanalyse, SPF, DKIM, DMARC, Multifaktor-Authentifizierung, sichere Postfachregeln und moderner Endgeräteschutz. Wichtig ist, diese Maßnahmen gemeinsam zu betrachten, weil keine einzelne Lösung alle Angriffe verhindert.

Was ist der wichtigste Schutz gegen Zahlungsbetrug per E-Mail?

Der wichtigste Schutz gegen Zahlungsbetrug per E-Mail ist eine verbindliche Rückfrage über einen zweiten Kanal. Änderungen von Bankdaten oder ungewöhnliche Zahlungsanweisungen sollten immer telefonisch über eine bekannte Nummer bestätigt werden.