Phishing erkennen: Wie schulen Sie Ihr Team wirksam?

Woran erkennt man Phishing heute?

Viele Phishing-Mails sind inzwischen fehlerfrei geschrieben, persönlich angesprochen und optisch kaum vom Original zu unterscheiden. Onlinesicherheit.gv.at beschreibt fünf psychologische Hebel, mit denen Angreifer arbeiten. Wer sie kennt, erkennt auch gut gemachte Versuche.

Welche Maschen treffen Büros am häufigsten?

CERT.at hat im August 2026 vor vermehrten Betrugsversuchen mit kompromittierten Geschäfts-E-Mails gewarnt. Für kleine Betriebe sind vor allem diese Maschen relevant:

Die WKO Oberösterreich rät bei geänderten Kontodaten ausdrücklich zum Rückruf unter einer bereits bekannten Nummer und zum Vier-Augen-Prinzip bei Zahlungen. Die Nummer aus der verdächtigen E-Mail ist dafür ungeeignet.

Ein Beispiel zur Veranschaulichung

Freitag, 15:40 Uhr. Die Buchhaltung bekommt eine E-Mail vom Stammlieferanten, im gewohnten Mailverlauf, mit korrekter Signatur. Inhalt: Man habe die Bank gewechselt, die offene Rechnung möge bitte noch heute auf das neue Konto überwiesen werden, sonst verzögere sich die nächste Lieferung. Im Anhang die Rechnung mit neuer IBAN. Hier kommen drei Hebel zusammen: Vertrauen durch den echten Verlauf, Knappheit durch den Zeitdruck und Imitation durch die Signatur. Der einzige sichere Weg ist der Anruf beim Lieferanten unter der Nummer aus Ihren Stammdaten.

Warnsignale auf einen Blick

• Unerwartete Nachricht mit Bitte um Zahlung, Anmeldung oder Datenabgabe
• Absenderadresse weicht leicht ab, etwa ein Buchstabe vertauscht oder eine andere Endung
• Link führt auf eine Adresse, die nicht zum angeblichen Absender passt
• Ungewöhnlicher Kanal: Die Geschäftsführung schreibt sonst nie per privater Adresse
• Bitte um Verschwiegenheit gegenüber Kollegen
• Anhang als Archiv oder Dokument, das „Inhalte aktivieren“ verlangt

Welche Prüfregeln sollte jede Person im Büro kennen?

1. Die vollständige Absenderadresse ansehen, nicht nur den angezeigten Namen.
2. Mit der Maus über den Link fahren, ohne zu klicken, und das Ziel lesen.
3. Fragen: Habe ich diese Nachricht erwartet? Passt sie zum Absender?
4. Bei Zeitdruck, Geheimhaltung oder Zahlungen immer misstrauisch werden.
5. Bei Zweifeln über einen bekannten Kanal zurückfragen, nie per Antwort auf die verdächtige Mail.
6. Zugangsdaten nur auf Seiten eingeben, die Sie selbst über ein Lesezeichen aufgerufen haben.
7. Verdächtige Nachrichten melden, auch wenn Sie nicht geklickt haben.

Wie läuft eine wirksame Schulung im kleinen Betrieb ab?

Eine Schulung muss nicht lang sein. Wichtiger ist, dass sie regelmäßig stattfindet und echte Beispiele aus Ihrem Alltag verwendet. Der folgende Plan ist ein Vorschlag für Büros mit 3 bis 50 Arbeitsplätzen:

Gutes, kostenloses Material bietet das IT-Sicherheitshandbuch für Mitarbeiter der WKO. Aktuelle Fälle veröffentlichen die Watchlist Internet und CERT.at. Für Einrichtungen unter dem NISG 2026 sind regelmäßige Schulungsangebote für die Beschäftigten Pflicht. Mehr dazu im Beitrag NIS2 in Österreich.

Wie richten Sie einen einfachen Meldeweg ein?

Ein Meldeweg funktioniert nur, wenn er einfach ist und Melden keine Nachteile bringt. Für kleine Büros reicht meist:

• Eine feste Ansprechperson und eine Vertretung, deren Namen alle kennen.
• Verdächtige Mails als Anlage weiterleiten oder die Melden-Schaltfläche in Outlook nutzen.
• Bei Klick oder Dateneingabe zusätzlich anrufen, nicht nur schreiben.
• Jede Meldung bekommt eine kurze Rückmeldung, auch wenn es Fehlalarm war.
• Wer sich vertan hat, bekommt Hilfe statt Vorwürfe.

Sind Phishing-Tests sinnvoll?

Simulierte Phishing-Mails können zeigen, ob die Schulung wirkt. Wenn Sie das machen, informieren Sie das Team vorher, werten Sie nur anonym aus und stimmen Sie sich mit dem Betriebsrat ab, wo es einen gibt. Ziel ist Lernen, nicht Bloßstellen. Wer sich nach einem Klick schämt, meldet beim nächsten Mal nicht.

Wie sichern Sie Zahlungen gegen Betrug ab?

• Vier-Augen-Prinzip für Überweisungen ab einem festgelegten Betrag.
• Neue oder geänderte Kontodaten nur nach Rückruf unter einer bekannten Nummer übernehmen.
• Kontodaten wichtiger Lieferanten schriftlich im Vertrag oder Stammblatt festhalten.
• Keine Ausnahmen bei „dringenden“ Zahlungen, auch nicht für die Geschäftsführung.
• Mehr-Faktor-Anmeldung beim Online-Banking und bei allen E-Mail-Konten, wie im Ratgeber Passwort-Manager und Zwei-Faktor beschrieben.

Was ist nach einem Klick sofort zu tun?

1. Sofort der zuständigen Person oder dem IT-Dienstleister melden. Jede Minute zählt.
2. Wurde ein Anhang geöffnet: Gerät vom Netzwerk trennen, WLAN aus, Kabel ziehen.
3. Wurden Zugangsdaten eingegeben: Passwort von einem anderen Gerät aus ändern und alle Sitzungen abmelden lassen.
4. Wurde Geld überwiesen: sofort die Bank anrufen und einen Rückruf der Zahlung versuchen.
5. E-Mail und Screenshots als Beweis sichern, nichts löschen.
6. Anzeige bei der Polizei erstatten. Die Meldestelle against-cybercrime@bmi.gv.at gibt eine Einschätzung, ersetzt aber keine Anzeige.
7. Prüfen, ob personenbezogene Daten betroffen sind. Dann ist meist eine Meldung an die Datenschutzbehörde binnen 72 Stunden nötig.

Bei Verschlüsselung oder größeren Schäden hilft der Ransomware-Notfallplan für kleine Betriebe mit Kontaktliste und Ablauf.

Welche Technik fängt ab, was trotzdem durchrutscht?

Schulung und Technik ergänzen sich. Die Mehr-Faktor-Anmeldung verhindert, dass gestohlene Passwörter allein reichen. Ein Mailfilter sortiert viel Schadpost aus, bevor sie jemand sieht. In Microsoft 365 sind dafür voreingestellte Schutzrichtlinien vorhanden, die wir im Beitrag Microsoft 365 absichern Schritt für Schritt erklären. Ein Passwort-Manager füllt Zugangsdaten nur auf der echten Adresse aus und warnt so indirekt vor gefälschten Seiten. Einen Überblick über alle Grundmaßnahmen gibt der Beitrag IT-Sicherheit für KMU.

Zwei weitere Einstellungen helfen im Alltag. Erstens: E-Mails von außen werden im Postfach sichtbar als extern markiert. Dann fällt auf, wenn die angebliche Geschäftsführung von einer fremden Adresse schreibt. Zweitens: Ihre eigene Domain bekommt korrekte SPF-, DKIM- und DMARC-Einträge. Das erschwert es Betrügern, E-Mails mit Ihrer Absenderadresse an Kunden zu schicken.

Warum die Geschäftsführung vorangehen muss

Regeln wirken nur, wenn sie für alle gelten. Wenn die Geschäftsführung selbst dringende Überweisungen per Kurznachricht anordnet, wird das Team auch eine gefälschte Nachricht dieser Art befolgen. Legen Sie deshalb gemeinsam fest, auf welchem Weg Zahlungsaufträge kommen, und halten Sie sich selbst daran. Ein Satz im Team wie „Bei mir dürfen Sie immer zurückrufen“ senkt die Hemmschwelle deutlich.

Ihr nächster Schritt: Schulung und Schutz zusammen planen

Prüfen Sie mit dem IT-Sicherheits-Check, wie Ihr Büro bei Mehr-Faktor-Anmeldung, Mailfilter und Notfallplan dasteht. Unsere Schulung gegen Phishing dauert etwa 90 Minuten, für bis zu 12 Personen, vor Ort in Wien oder online, ab 290 € netto je Termin. Details stehen auf der Seite IT-Sicherheit für kleine Unternehmen. Die laufende Betreuung mit Updates und Kontrolle des Virenschutzes ist Teil unseres IT-Supports. Wenn Sie eine Schulung planen, schreiben Sie uns, wie viele Personen teilnehmen.