Phishing: Die unsichtbare Gefahr in deiner Mailbox

Der Begriff "Phishing" kommt vom englischen "fishing" – also Angeln. Und genau das tun Cyberkriminelle: Sie werfen ihre Angel aus und hoffen, dass jemand anbeißt.

Beim Phishing verschicken Betrüger gefälschte E-Mails, SMS oder Nachrichten, die aussehen, als kämen sie von vertrauenswürdigen Absendern. Das kann deine Bank sein, ein Lieferant, die Handwerkskammer, ein Paketdienst oder sogar ein Mitarbeiter. Ziel ist es, dich dazu zu bringen, vertrauliche Informationen preiszugeben oder schädliche Links anzuklicken.

Die Konsequenzen können verheerend sein:

• Gestohlene Zugangsdaten zu deinem Online-Banking
• Abgefischte Kundendaten
• Verschlüsselte Firmendaten durch Ransomware
• Finanzielle Verluste durch Überweisungen an Betrüger
• Rufschädigung deines Betriebs

m Gegensatz zu einem Einbruch in deine Werkstatt brauchen die Täter beim Phishing kein Werkzeug und keine körperliche Anwesenheit. Sie nutzen etwas viel Mächtigeres: menschliche Psychologie.

Phishing-Angriffe spielen mit unseren Emotionen:

• Angst: "Dein Konto wird gesperrt!"
• Neugier: "Du hast ein Paket erhalten"
• Dringlichkeit: "Handle sofort!"
• Vertrauen: "Dein Lieferant bittet um Aktualisierung"
• Gier: "Du hast gewonnen!"

Unter Zeitdruck und Stress – Alltag in jedem Handwerksbetrieb – treffen wir schnelle Entscheidungen. Genau darauf setzen die Betrüger.

Phishing ist nicht gleich Phishing. Die Methoden werden immer raffinierter und vielfältiger. Hier sind die wichtigsten Formen, die du kennen solltest:

1. E-Mail-Phishing (Der Klassiker)

Die häufigste Form: Massenhaft verschickte E-Mails, die vorgeben, von bekannten Unternehmen zu stammen. Typische Beispiele:

• "Deine Rechnung ist überfällig" (angeblich vom Energieversorger)
• "Bestätige deine Identität" (angeblich von der Bank)
• "Deine Sendung konnte nicht zugestellt werden" (angeblich von DHL oder Hermes)

Diese Mails enthalten Links zu gefälschten Webseiten oder schädliche Anhänge.

2. Spear-Phishing (Der gezielte Angriff)

Hier wird nicht mit dem Netz, sondern mit der Harpune gefischt. Die Angreifer recherchieren im Vorfeld und passen ihre Mails individuell an:

"Hallo Herr Müller, bezüglich deines Projekts in der Hauptstraße 15 benötigen wir noch die aktualisierte Rechnung. Könntest du diese über den folgenden Link hochladen?"

Der Angreifer weiß deinen Namen, kennt aktuelle Projekte – oft durch Informationen von deiner Webseite oder Social Media. Das macht diese Angriffe besonders glaubwürdig.

3. Smishing (Phishing per SMS)

Die mobile Variante des Phishings. Du erhältst eine SMS:

• "Dein Paket wartet auf dich: [Link]"
• "Letzte Mahnung! Zahle jetzt: [Link]"
• "Deine Lieferung von Baustoffhandel Meier verzögert sich. Details: [Link]"

Viele Menschen vertrauen SMS mehr als E-Mails, weil sie davon ausgehen, dass man eine Handynummer nicht so leicht fälschen kann. Ein Trugschluss.

4. Quishing (QR-Code-Phishing)

Eine relativ neue, aber stark wachsende Bedrohung: Phishing über QR-Codes. Die Betrüger nutzen aus, dass wir QR-Codes mittlerweile überall scannen – vom Restaurant bis zur Parkuhr.

So funktioniert's:

• Du erhältst eine E-Mail: "Deine Rechnung als QR-Code" oder "Scan für Lieferdetails"
• Der QR-Code führt zu einer gefälschten Webseite
• Du gibst dort deine Zugangsdaten ein oder lädst Schadsoftware herunter

Warum ist Quishing so gefährlich?

• Viele Sicherheitssysteme können QR-Codes nicht scannen und prüfen
• Menschen scannen QR-Codes oft unüberlegt mit dem Smartphone
• Die Ziel-URL ist für das Auge nicht erkennbar – du weißt erst nach dem Scannen, wohin der Code führt
• QR-Codes wirken modern und vertrauenswürdig

Typische Szenarien im Handwerk:

• Gefälschte Rechnungen mit "QR-Code für schnelle Zahlung"
• Angebliche Paketbenachrichtigungen mit Scan-Aufforderung
• Gefälschte Parkplatzkarten auf Baustellen
• Betrügerische "digitale Lieferscheine"
  
  

5. Vishing (Voice-Phishing)

Hier rufen die Betrüger direkt an. Sie geben sich aus als:

• Microsoft-Support ("Wir haben ein Problem auf deinem Computer festgestellt")
• Bankmitarbeiter ("Wir müssen verdächtige Transaktionen überprüfen")
• Lieferant ("Wir müssen unsere Bankverbindung aktualisieren")

Durch geschickte Gesprächsführung versuchen sie, an Informationen oder Zahlungen zu gelangen.

6. CEO-Fraud / Chef-Masche

Eine besonders perfide Variante: Der Angreifer gibt sich als Geschäftsführung aus und schreibt einem Mitarbeiter (oft Buchhaltung):

"Hallo Frau Meyer, ich bin gerade in einem wichtigen Kundentermin und kann nicht telefonieren. Bitte überweise dringend 15.000 € auf folgendes Konto. Höchste Dringlichkeit! Ich erkläre dir später alles."

Die Mitarbeiterin will nicht, dass das Geschäft platzt, und überweist – direkt an die Betrüger.

7. Pharming

Die technisch ausgeklügelte Variante: Hier wirst nicht du getäuscht, sondern dein Computer. Durch Manipulation wirst du automatisch auf gefälschte Webseiten umgeleitet – selbst wenn du die richtige Adresse eingibst. Du merkst oft nichts davon.

Lass uns einen konkreten Fall durchspielen, um zu verstehen, wie Phishing in der Praxis funktioniert:

Phase 1: Die Vorbereitung

Die Kriminellen verschaffen sich Informationen über deinen Betrieb:

• Name des Inhabers (Webseite, Impressum)
• Mitarbeiter (LinkedIn, Facebook)
• Lieferanten und Kunden (Social Media Posts)
• Aktuelle Projekte (Referenzen auf der Webseite)

Phase 2: Der Köder

Sie erstellen eine täuschend echte E-Mail. Das Logo deiner Bank wird kopiert, der Schreibstil imitiert, sogar die E-Mail-Adresse sieht fast echt aus:

Der Inhalt spielt mit Dringlichkeit: "Aus Sicherheitsgründen musst du dein Konto innerhalb von 24 Stunden verifizieren, sonst wird es gesperrt."

Phase 3: Der Angriff

Du klickst auf den Link in der E-Mail. Du landest auf einer Webseite, die aussieht wie deine Bank. Du gibst deine Zugangsdaten ein – und übermittelst sie direkt an die Betrüger.

Oder: Du öffnest den Anhang "Rechnung.pdf.exe" – und installierst unwissentlich Schadsoftware auf deinem Computer.

Phase 4: Der Schaden

Innerhalb von Minuten leeren die Täter dein Konto, stehlen Kundendaten oder verschlüsseln deine Unternehmensdaten und fordern Lösegeld.

Wir sind doch zu klein für Cyberangriffe" – ein gefährlicher Irrtum. Gerade kleine Betriebe sind attraktive Ziele:

• Weniger IT-Sicherheit: Keine eigene IT-Abteilung, oft veraltete Software
• Hohes Vertrauen: Im Handwerk kennt man sich, Geschäfte basieren auf Vertrauen
• Zeitdruck: Keine Zeit, jede Mail genau zu prüfen
• Unterschätzte Gefahr: "Uns passiert das nicht"
• Wertvolle Daten: Kundendaten, Bankzugänge, Geschäftsgeheimnisse

Ein erfolgreicher Phishing-Angriff kann für einen Handwerksbetrieb existenzbedrohend sein – nicht nur finanziell, sondern auch durch den Verlust von Kundenvertrauen.

Phishing ist keine abstrakte Bedrohung aus dem Internet – es ist eine reale Gefahr für deinen Betrieb. Die gute Nachricht: Mit dem richtigen Wissen und gesundem Misstrauen kannst du dich schützen.

Merke dir:

• Phishing nutzt menschliche Psychologie, nicht technische Schwachstellen
• Es gibt viele verschiedene Formen – von E-Mail über SMS und QR-Codes bis zum Anruf
• Auch kleine Betriebe sind attraktive Ziele
• Die Angriffe werden immer raffinierter und persönlicher

Im nächsten Artikel schauen wir uns an, wie du Phishing-Versuche erkennst und was du im Ernstfall tun solltest. Denn: Jeder kann Opfer werden – aber nicht jeder muss es bleiben.

Bleib wachsam!

Du hast Fragen zum Thema Cybersicherheit? Dann melde dich bei uns. Die Handwerkskammer Münster ist Teil des bundesweiten BIT-Netzwerks (Beratungsstellen für Innovation und Technologie) – einem Netzwerk spezialisierter Berater, die Handwerksbetriebe kostenlos bei Digitalisierung, neuen Technologien und Innovation unterstützen.

 Ansprechpartner zum Thema IT-Sicherheit