Was ist Phishing?

Wie läuft ein Phishing-Angriff typischerweise ab?

Phishing-Nachrichten geben sich als vertrauenswürdiger Absender aus: eine Bank, ein Lieferant, die eigene IT-Abteilung oder eine Behörde. Ziel ist es, Sie zum Klick auf einen präparierten Link, zum Öffnen eines Anhangs oder zur Eingabe von Zugangsdaten auf einer gefälschten Seite zu bewegen. Häufige Varianten sind das massenhafte Versenden identischer Nachrichten, das gezielte Spear-Phishing gegen einzelne Personen, und der Business E-Mail Compromise, bei dem sich Angreifer als Geschäftsführung oder Lieferant ausgeben, um Zahlungen oder Datenzugriffe zu erschleichen.

Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum Juli 2024 bis Juni 2025 weltweit täglich über 800 neue Phishing-Hostnamen bekannt, ein Hinweis auf das Tempo, mit dem neue Fälschungen entstehen und wieder verschwinden.

Wen betrifft Phishing in der Praxis (KMU in DE und CH)?

Phishing trifft Unternehmen jeder Grösse und Branche, weil es nicht auf technische Schwachstellen zielt, sondern auf Menschen. Kleine und mittlere Unternehmen sind besonders exponiert: Sie haben oft keine eigene Sicherheitsabteilung, die verdächtige Nachrichten filtert oder Mitarbeitende laufend sensibilisiert, und einzelne Personen tragen dadurch mehr Verantwortung als in grossen Organisationen.

Besonders gefährdet sind Rollen mit Zugriff auf Zahlungen, Personaldaten oder Kundendaten: Buchhaltung, Personalabteilung, Geschäftsleitung und deren Assistenz. In regulierten Branchen wie Luftfahrt, Finanzwesen, Versicherung oder MedTech kommt hinzu, dass ein erfolgreicher Phishing-Angriff häufig der erste Schritt zu einem meldepflichtigen Sicherheitsvorfall nach NIS2, DORA oder DSGVO ist. Wer Zulieferer eines grossen, regulierten Unternehmens ist, wird zunehmend auch vertraglich zu Mindestschutzmassnahmen gegen Phishing verpflichtet.

Was können Sie konkret gegen Phishing tun?

Wirksamer Schutz kombiniert Technik und Verhalten. Auf der technischen Seite gehören ein E-Mail-Sicherheitsfilter, die Absenderprüfung über SPF, DKIM und DMARC sowie eine Multi-Faktor-Authentifizierung für alle wichtigen Konten dazu, denn diese verhindert, dass ein erbeutetes Passwort allein zum Zugriff reicht.

Auf der organisatorischen Seite braucht es eine regelmässige, praxisnahe Schulung der Mitarbeitenden statt einer einmaligen Pflichtunterweisung, einen klaren und bekannten Meldeweg für verdächtige Nachrichten, und eine Regel, wonach ungewöhnliche Zahlungs- oder Datenanfragen immer telefonisch auf einem bekannten Weg gegengeprüft werden, bevor sie ausgeführt werden.

• Multi-Faktor-Authentifizierung für E-Mail, VPN und Cloud-Dienste
• SPF, DKIM und DMARC für die eigene Domain konfiguriert
• Regelmässige Awareness-Schulung statt einmaliger Unterweisung
• Fester Meldeweg für verdächtige Nachrichten
• Vier-Augen-Prinzip bei ungewöhnlichen Zahlungs- und Datenanfragen

Welche Fehler passieren beim Schutz vor Phishing am häufigsten?

Der häufigste Fehler ist, Phishing allein als technisches Problem zu behandeln und die Mitarbeitenden aussen vor zu lassen: Ein Filter fängt nicht jede Nachricht ab, und die letzte Verteidigungslinie ist immer ein Mensch, der eine Entscheidung trifft. Ebenso häufig ist eine Schulung, die einmalig im Onboarding stattfindet und danach nie wiederholt wird, obwohl sich die Maschen der Angreifer laufend ändern.

Ein dritter Fehler ist das Fehlen eines Meldewegs: Wenn Mitarbeitende einen Klick aus Scham nicht melden, geht wertvolle Zeit für die Reaktion verloren. Und viertens fehlt oft die Kopplung an einen Notfallplan: Wer weiss, dass ein Klick erfolgt ist, aber keinen definierten nächsten Schritt hat, verliert wertvolle Reaktionszeit.

Aufwand und Kostentreiber beim Schutz vor Phishing

Ohne erfundene Beträge lässt sich der Aufwand an vier Treibern festmachen: der Anzahl der Mitarbeitenden, der Komplexität der bestehenden E-Mail- und Identitätsinfrastruktur, der Häufigkeit der Schulungs- und Testzyklen, und dem gewünschten Reifegrad der technischen Filterung bis hin zu simulierten Phishing-Tests. Der grösste Kostentreiber ist in der Praxis meist nicht die Technik, sondern die Zeit für Aufbau und Wiederholung der Awareness-Massnahmen.

Wie hängt Phishing mit anderen Bedrohungen und Meldepflichten zusammen?

Phishing ist selten Selbstzweck, sondern meist der erste Schritt zu einem grösseren Vorfall wie Ransomware, Datendiebstahl oder Zahlungsbetrug. Ein erfolgreicher Angriff kann dadurch mehrere Pflichten gleichzeitig auslösen: eine Meldung nach Artikel 33 DSGVO bei einer Verletzung des Schutzes personenbezogener Daten, eine Meldung an die Aufsicht nach NIS2, wenn Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung gilt, oder eine Meldung nach DORA, wenn Sie im Finanzsektor tätig sind.

ISO 27001 verlangt im Rahmen des Statement of Applicability regelmässig Massnahmen gegen Social Engineering und eine dokumentierte Sensibilisierung der Mitarbeitenden. Wer ein ISMS betreibt, hat damit bereits einen grossen Teil des Phishing-Schutzes strukturell verankert.

Häufige Fragen