Phishing erkennen: So schützt du deinen Handwerksbetrieb (Teil2)

Im ersten Teil dieser Serie hast du erfahren, was Phishing ist und wie es funktioniert. Jetzt geht es ans Eingemachte: Wie erkennst du Phishing-Versuche? Wie schützt du dich und deinen Betrieb? Und wie sorgst du dafür, dass auch deine Mitarbeitenden wachsam sind?

Phishing-Mails werden immer professioneller. Trotzdem gibt es verräterische Merkmale, die dir helfen, Fälschungen zu enttarnen. Schauen wir uns diese Schritt für Schritt an:

1. Der Absender: Wer schreibt dir wirklich?

Das ist verdächtig:

• Seltsame E-Mail-Adressen: statt
• Kleine Schreibfehler: (mit einem speziellen Zeichen)
• Fremde Domains: oder , Endungen
• Persönliche Adresse für Firmenmails: für angeblich offizielle Post

Dein Check:
Fahre mit der Maus über den Absendernamen (nicht klicken!). Die tatsächliche E-Mail-Adresse wird angezeigt. Passt sie zum angeblichen Absender?

2. Die Anrede: Kennt man dich überhaupt?

Warnzeichen:

• Unpersönlich: "Sehr geehrter Kunde" oder "Lieber Nutzer"
• Falsch geschrieben: "Herr Müler" oder "Sarah Schmitt" (wenn du Schmidt heißt)
• Gar keine Anrede

Bedenke: Deine Bank, dein Steuerberater oder deine Handwerkskammer kennen deinen Namen. Echte Mails sind fast immer persönlich adressiert.

3. Der Inhalt: Was wird von dir verlangt?

Typische Phishing-Trigger:

Dringlichkeit und Drohungen:

• "Dein Konto wird in 24 Stunden gesperrt!"
• "Letzte Mahnung!"
• "Sofortiger Handlungsbedarf!"

Verlockende Angebote:

• "Du hast gewonnen!"
• "Exklusiver Rabatt nur für dich!"
• "Steuerrückerstattung – jetzt abholen!"

Aufforderungen zu Handlungen:

• "Klicke hier, um deine Daten zu bestätigen"
• "Öffne den Anhang für die Rechnung"
• "Verifiziere dein Konto sofort"

Ungewöhnliche Anfragen:

• Deine Bank fragt nach dem Passwort (macht sie nie!)
• Ein Lieferant ändert "plötzlich" seine Bankverbindung
• Du sollst Geschenkgutscheine kaufen und die Codes zusenden

4. Die Sprache: Wie ist der Text formuliert?

Verdächtige Merkmale:

• Rechtschreib- und Grammatikfehler: "Ihre Sendung konten nicht zugestelt werden"
• Holpriges Deutsch (oft automatisch übersetzt): "Wir bedauern Sie zu informieren über Problem". Findet sich im Zeitalter der KI immer seltener.
• Unpassender Ton: Zu förmlich oder zu salopp
• Übertriebene Höflichkeit oder aggressive Sprache
  
  

5. Links: Wohin führt der Klick wirklich?

So prüfst du Links (OHNE zu klicken):

1. Fahre mit der Maus über den Link (auf dem Smartphone: Link gedrückt halten)
2. In der Statusleiste oder im Tooltip siehst du die echte Ziel-URL
3. Prüfe: Passt die Domain?

Beispiele für gefälschte Links:

• Angezeigt: "www.sparkasse.de" → Echter Link: "www.sparkasse-verify.xyz"
• Angezeigt: "Zum Portal" → Echter Link: "http://185.244.xxx.xxx" (IP-Adresse statt Domain)
• Angezeigt: "www.dhl.com" → Echter Link: "www.dh1.scam.com" (1 statt l)

Goldene Regel: Im Zweifelsfall nicht klicken! Gib die Webseite manuell in deinem Browser ein.

6. Anhänge: Die versteckte Gefahr

Hochriskante Dateitypen:

• , , – Ausführbare Dateien (haben in Mails nichts verloren!)
• , – Gepackte Dateien (können Schadsoftware enthalten)
• , – Office-Dokumente mit Makros
• Doppelte Dateiendungen:

Bei unerwarteten Anhängen:

1. NICHT öffnen
2. Beim Absender telefonisch (!) nachfragen
3. Mit Virenschutz scannen
4. Im Zweifelsfall löschen
   

   ---

7. QR-Codes: Die neue Gefahr

Warnzeichen bei QR-Codes:

• QR-Code in unerwarteten E-Mails ("Rechnung per QR-Code")
• Aufforderung zum sofortigen Scannen
• Angeblich von Bank, Behörde oder Lieferant
• Dringlichkeit: "Scan sofort für Lieferung"

Dein Check:

• Nutze einen QR-Scanner mit URL-Vorschau
• Prüfe die angezeigte URL vor dem Öffnen
• Scanne keine QR-Codes aus unerwarteten E-Mails oder SMS

Bevor du auf einen Link klickst, einen Anhang öffnest oder Daten eingibst, stelle dir diese Fragen:

• Erwarte ich diese Nachricht?
• Kenne ich den Absender persönlich?
• Passt die E-Mail-Adresse zum Absender?
• Bin ich persönlich angesprochen?
• Ist der Ton angemessen (nicht übertrieben dringend)?
• Gibt es Rechtschreibfehler oder seltsame Formulierungen?
• Wohin führt der Link wirklich?
• Ist der Anhang erwartet und sicher?

Wenn du auch nur bei EINER Frage unsicher bist: Stopp!

Phishing zu erkennen ist wichtig – aber noch besser ist es, wenn gefährliche Mails gar nicht erst bei dir ankommen oder keinen Schaden anrichten können.

Technische Schutzmaßnahmen

1. Spam- und Phishing-Filter aktivieren

• Moderne E-Mail-Anbieter filtern die meisten Phishing-Mails automatisch heraus
• Prüfe, ob der Filter aktiviert ist
• Markiere Phishing-Mails als Spam (hilft dem Filter zu lernen)

2. Aktueller Virenschutz

• Installiere eine gute Antivirus-Software
• Halte sie immer aktuell (automatische Updates!)
• Scanne regelmäßig dein System
• Empfehlenswert: Lösungen mit Echtzeit-Schutz vor Phishing

3. Software-Updates

• Halte Betriebssystem, Browser und Programme aktuell
• Viele Updates schließen Sicherheitslücken
• Aktiviere automatische Updates, wo möglich

4. Zwei-Faktor-Authentifizierung (2FA)

• Aktiviere 2FA für alle wichtigen Konten (Bank, E-Mail, Online-Shops)
• Selbst wenn Betrüger dein Passwort haben, kommen sie nicht rein
• Nutze Apps wie Google Authenticator oder SMS-Codes

5. Browser-Sicherheit

• Moderne Browser warnen vor Phishing-Seiten
• Achte auf das Schloss-Symbol in der Adressleiste (HTTPS)
• Nutze Browser-Erweiterungen für zusätzlichen Phishing-Schutz

6. Regelmäßige Backups

• Sichere wichtige Daten regelmäßig (täglich oder wöchentlich)
• Speichere Backups offline oder in der Cloud
• Bei Ransomware-Angriff kannst du Daten wiederherstellen
• Teste deine Backups: Funktioniert die Wiederherstellung?

Organisatorische Schutzmaßnahmen

1. Klare Prozesse für sensible Aktionen

Lege Regeln fest, wie in deinem Betrieb mit sensiblen Dingen umgegangen wird:

Beispiel: Änderung von Bankverbindungen

• Niemals per E-Mail akzeptieren
• Immer telefonisch rückbestätigen (mit bekannter Nummer!)
• Erst dann die Änderung durchführen
• Bei neuen Lieferanten: Daten nur von offiziellen Dokumenten übernehmen

Beispiel: Überweisungen

• Großen Überweisungen immer vom Chef freigeben lassen
• Vier-Augen-Prinzip bei Beträgen über X Euro
• Keine Überweisungen unter Zeitdruck
• Bei ungewöhnlichen Anfragen: Rückfrage per Telefon

2. Berechtigungen einschränken

• Nicht jeder Mitarbeiter braucht Zugriff auf alles
• Buchhaltungs-Zugang nur für berechtigte Personen
• Administratoren-Rechte nur wo nötig
• Prinzip der minimalen Berechtigung

3. Starke Passwörter

• Mindestens 12 Zeichen, Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen
• Für jeden Dienst ein eigenes Passwort
• Nutze einen Passwort-Manager (z.B. KeePass, Bitwarden, 1Password)
• Niemals: "Handwerk2024" oder "Passwort123"