Ein informierter Mensch ist so viel wert wie zwei!
Lernen Sie, die Fallen des Phishings zu durchschauen
Häufig gestellte Fragen zum Phishing
Schützt MFA (Multi-Faktor-Authentifizierung) wirklich vor Phishing?
Ja, in der großen Mehrheit der Fälle. Selbst wenn ein Angreifer Ihr Passwort über eine Phishing-Seite erhält, kann er sich ohne den zweiten Faktor (SMS-Code, Authenticator-App, physischer Schlüssel) nicht anmelden. MFA blockiert 99,9 % der automatisierten Angriffe auf Konten (Microsoft 2024). Die einzige Ausnahme ist Echtzeit-Phishing (MITM / Adversary-in-the-Middle-Angriff), der den MFA-Code im selben Moment abfängt — dieser Angriffsvektor bleibt für KMU marginal. Empfehlung: MFA auf allen beruflichen Konten ohne Ausnahme aktivieren.
Sind Smishing (SMS) und Vishing (Telefon) genauso gefährlich wie E-Mail-Phishing?
Ja, und sie können effektiver sein, gerade weil man weniger damit rechnet.
Smishing (SMS): SMS haben eine Öffnungsrate von über 90 %, gegenüber 20 bis 30 % bei E-Mails. Die Nachrichten imitieren typischerweise eine Lieferbenachrichtigung (Post, DHL), eine Bankwarnung oder eine Behördennachricht. Der Link leitet auf eine gefälschte Anmeldeseite weiter. Auf Mobilgeräten ist die URL häufig gekürzt und schwer zu überprüfen.
Vishing (Sprache): Der Angreifer ruft sein Opfer direkt an und gibt sich als IT-Support, Bank oder Microsoft aus. Der Echtzeit-Druck und die menschliche Stimme umgehen die üblichen Schutzreflexe. KI-generierte Stimmdeepfakes können mittlerweile die Stimme eines Kollegen oder Vorgesetzten imitieren.
Die goldene Regel in beiden Fällen: Niemals vertrauliche Informationen infolge einer unaufgeforderten Nachricht oder eines unaufgeforderten Anrufs weitergeben — sondern die Organisation direkt über eine bekannte offizielle Nummer zurückrufen.
Smishing (SMS): SMS haben eine Öffnungsrate von über 90 %, gegenüber 20 bis 30 % bei E-Mails. Die Nachrichten imitieren typischerweise eine Lieferbenachrichtigung (Post, DHL), eine Bankwarnung oder eine Behördennachricht. Der Link leitet auf eine gefälschte Anmeldeseite weiter. Auf Mobilgeräten ist die URL häufig gekürzt und schwer zu überprüfen.
Vishing (Sprache): Der Angreifer ruft sein Opfer direkt an und gibt sich als IT-Support, Bank oder Microsoft aus. Der Echtzeit-Druck und die menschliche Stimme umgehen die üblichen Schutzreflexe. KI-generierte Stimmdeepfakes können mittlerweile die Stimme eines Kollegen oder Vorgesetzten imitieren.
Die goldene Regel in beiden Fällen: Niemals vertrauliche Informationen infolge einer unaufgeforderten Nachricht oder eines unaufgeforderten Anrufs weitergeben — sondern die Organisation direkt über eine bekannte offizielle Nummer zurückrufen.
Was ist Phishing?
Phishing (auf Deutsch auch Hameçonnage genannt) ist eine Online-Betrugsmethode, bei der E-Mails, SMS oder Nachrichten verschickt werden, die legitime Kommunikation imitieren (Bank, Behörde, Arbeitgeber), um das Opfer zu täuschen und vertrauliche Informationen zu entlocken — Passwörter, Bankdaten, berufliche Zugangsdaten. Phishing ist der häufigste Angriffsvektor: 91 % der Cyberangriffe beginnen mit einer betrügerischen E-Mail (Proofpoint 2024).
Was ist Spear Phishing und warum ist es gefährlicher?
Spear Phishing ist eine gezielte Variante des klassischen Phishings: Statt Millionen generischer E-Mails zu verschicken, personalisieren die Angreifer den Angriff mit echten Informationen über das Ziel (Name des Vorgesetzten, laufendes Projekt, Lieferantenname). Diese Zielgenauigkeit macht die E-Mail deutlich glaubwürdiger. Spear Phishing ist für 66 % der bestätigten Datenverletzungen verantwortlich (Verizon DBIR 2024). Mit KI können Angreifer diese personalisierten E-Mails nun in großem Maßstab generieren — die Kosten eines gezielten Angriffs sind erheblich gesunken.
Was tun, wenn ich auf einen Phishing-Link geklickt habe?
Handeln Sie sofort: (1) Trennen Sie sich vom Unternehmensnetzwerk (WLAN, Kabel); (2) melden Sie den Vorfall umgehend Ihrer IT-Abteilung oder dem Sicherheitsbeauftragten — per Telefon, nicht per E-Mail; (3) ändern Sie Ihr Passwort von einem anderen sicheren Gerät aus; (4) löschen Sie die verdächtige E-Mail nicht, sie dient der forensischen Analyse; (5) aktivieren Sie MFA, falls noch nicht geschehen. Je schneller Sie handeln, desto besser können die Schäden begrenzt werden.
Welche verschiedenen Formen von Phishing gibt es?
Es gibt 6 Hauptformen von Phishing:
- Klassisches Phishing — Massen-E-Mails, die eine Bank, eine Lieferung oder eine Behörde imitieren. Täglich werden mehr als 3,4 Milliarden betrügerische E-Mails versandt (Forbes 2024). Oft erkennbar an Fehlern und künstlicher Dringlichkeit.
- Spear Phishing — Gezielter Angriff auf eine bestimmte Person mit echten Informationen (Name des Vorgesetzten, laufendes Projekt). Verantwortlich für 66 % der bestätigten Verletzungen (Verizon DBIR 2024).
- Whaling — Variante des Spear Phishing, die gezielt Führungskräfte und Manager angreift, um Zugang zu Finanzen oder strategischen Entscheidungen zu erhalten.
- Smishing — Phishing per SMS. Imitiert in der Regel eine Bankwarnung, eine Paketzustellung oder einen öffentlichen Dienst. Die Öffnungsrate von SMS liegt bei über 90 % — dieser Vektor wächst stark.
- Vishing — Sprach-Phishing per Telefon. Der Betrüger gibt sich als IT-Support, Bank oder Behörde aus, um Informationen zu entlocken oder eine sofortige Aktion auszulösen.
- BEC (Business Email Compromise / CEO-Betrug) — Identitätsmissbrauch eines Managers oder Partners, um eine Überweisung anzuordnen oder sensible Daten zu erhalten. Größte Quelle finanzieller Verluste durch Cyberkriminalität: 2,9 Milliarden USD im Jahr 2023 (FBI IC3 2024).
Wie erkennt man eine Phishing-E-Mail?
Die wichtigsten Warnsignale sind: eine Absenderadresse, die leicht vom Original abweicht (z.B. support@rnazonl.com statt @amazon.com), ein Gefühl von Dringlichkeit oder Drohung, das zu schnellem Handeln drängt, eine Anfrage nach Passwort oder Bankdaten, eine Link-URL, die nicht der erwarteten Website entspricht (vor dem Klicken überprüfen), Rechtschreib- oder Formatierungsfehler. Achtung: Durch KI generierte E-Mails sind mittlerweile fehlerfrei — die Grammatik allein reicht nicht mehr zur Erkennung aus.
Wie schult man Teams effektiv gegen Phishing?
Theoretische Schulungen allein reichen nicht aus: Studien zeigen, dass Mitarbeitende 70 % des Inhalts einer Schulung innerhalb einer Woche vergessen (Ebbinghaus, in zahlreichen E-Learning-Studien bestätigt). Der effektivste Ansatz kombiniert Simulation und korrigierende Schulung: echte simulierte Phishing-Kampagnen durchführen (via PhishTrainer), Mitarbeitende identifizieren, die klicken, und sie automatisch auf eine gezielte Schulung weiterleiten (Bexxo Academy). Diese Methode reduziert die Klickrate in sechs Monaten um 60 bis 70 % (Proofpoint 2024). Regelmäßige Simulationen (4 bis 6 pro Jahr) halten das Wachsamkeitsniveau dauerhaft aufrecht.
Wie verändert künstliche Intelligenz Phishing-Angriffe?
Generative KI hat die Phishing-Bedrohung seit 2023 grundlegend verändert. Drei wesentliche Entwicklungen:
- Fehlerfrei formulierte E-Mails — Vorbei mit den Rechtschreibfehlern, die früher Phishing erkennbar machten. LLMs generieren makellose E-Mails auf Deutsch, angepasst an den Ton des anvisierten Unternehmens. Durch KI generierte E-Mails haben eine viermal höhere Klickrate als manuell erstellte (APWG / Keepnet 2025).
- Personalisierung im großen Maßstab — KI kann das LinkedIn-Profil, öffentliche Posts und die Website eines Ziels analysieren, um in Sekunden ein ultrarealistisches Spear-Phishing zu erstellen. Was für einen menschlichen Angreifer Stunden brauchte, dauert jetzt Sekunden.
- Voice- und Video-Deepfakes — Vishing-Anrufe, die die Stimme eines Managers imitieren, oder ganze Videokonferenzen mit Deepfake-Avataren wurden bereits genutzt, um betrügerische Überweisungen auszulösen (dokumentierte Fälle 2024 in Hongkong: 25 Millionen USD verloren).
Ja, in der großen Mehrheit der Fälle. Selbst wenn ein Angreifer Ihr Passwort über eine Phishing-Seite erhält, kann er sich ohne den zweiten Faktor (SMS-Code, Authenticator-App, physischer Schlüssel) nicht anmelden. MFA blockiert 99,9 % der automatisierten Angriffe auf Konten (Microsoft 2024). Die einzige Ausnahme ist Echtzeit-Phishing (MITM / Adversary-in-the-Middle-Angriff), der den MFA-Code im selben Moment abfängt — dieser Angriffsvektor bleibt für KMU marginal. Empfehlung: MFA auf allen beruflichen Konten ohne Ausnahme aktivieren.
Ja, und sie können effektiver sein, gerade weil man weniger damit rechnet.
Smishing (SMS): SMS haben eine Öffnungsrate von über 90 %, gegenüber 20 bis 30 % bei E-Mails. Die Nachrichten imitieren typischerweise eine Lieferbenachrichtigung (Post, DHL), eine Bankwarnung oder eine Behördennachricht. Der Link leitet auf eine gefälschte Anmeldeseite weiter. Auf Mobilgeräten ist die URL häufig gekürzt und schwer zu überprüfen.
Vishing (Sprache): Der Angreifer ruft sein Opfer direkt an und gibt sich als IT-Support, Bank oder Microsoft aus. Der Echtzeit-Druck und die menschliche Stimme umgehen die üblichen Schutzreflexe. KI-generierte Stimmdeepfakes können mittlerweile die Stimme eines Kollegen oder Vorgesetzten imitieren.
Die goldene Regel in beiden Fällen: Niemals vertrauliche Informationen infolge einer unaufgeforderten Nachricht oder eines unaufgeforderten Anrufs weitergeben — sondern die Organisation direkt über eine bekannte offizielle Nummer zurückrufen.
Smishing (SMS): SMS haben eine Öffnungsrate von über 90 %, gegenüber 20 bis 30 % bei E-Mails. Die Nachrichten imitieren typischerweise eine Lieferbenachrichtigung (Post, DHL), eine Bankwarnung oder eine Behördennachricht. Der Link leitet auf eine gefälschte Anmeldeseite weiter. Auf Mobilgeräten ist die URL häufig gekürzt und schwer zu überprüfen.
Vishing (Sprache): Der Angreifer ruft sein Opfer direkt an und gibt sich als IT-Support, Bank oder Microsoft aus. Der Echtzeit-Druck und die menschliche Stimme umgehen die üblichen Schutzreflexe. KI-generierte Stimmdeepfakes können mittlerweile die Stimme eines Kollegen oder Vorgesetzten imitieren.
Die goldene Regel in beiden Fällen: Niemals vertrauliche Informationen infolge einer unaufgeforderten Nachricht oder eines unaufgeforderten Anrufs weitergeben — sondern die Organisation direkt über eine bekannte offizielle Nummer zurückrufen.
Phishing (auf Deutsch auch Hameçonnage genannt) ist eine Online-Betrugsmethode, bei der E-Mails, SMS oder Nachrichten verschickt werden, die legitime Kommunikation imitieren (Bank, Behörde, Arbeitgeber), um das Opfer zu täuschen und vertrauliche Informationen zu entlocken — Passwörter, Bankdaten, berufliche Zugangsdaten. Phishing ist der häufigste Angriffsvektor: 91 % der Cyberangriffe beginnen mit einer betrügerischen E-Mail (Proofpoint 2024).
Spear Phishing ist eine gezielte Variante des klassischen Phishings: Statt Millionen generischer E-Mails zu verschicken, personalisieren die Angreifer den Angriff mit echten Informationen über das Ziel (Name des Vorgesetzten, laufendes Projekt, Lieferantenname). Diese Zielgenauigkeit macht die E-Mail deutlich glaubwürdiger. Spear Phishing ist für 66 % der bestätigten Datenverletzungen verantwortlich (Verizon DBIR 2024). Mit KI können Angreifer diese personalisierten E-Mails nun in großem Maßstab generieren — die Kosten eines gezielten Angriffs sind erheblich gesunken.
Handeln Sie sofort: (1) Trennen Sie sich vom Unternehmensnetzwerk (WLAN, Kabel); (2) melden Sie den Vorfall umgehend Ihrer IT-Abteilung oder dem Sicherheitsbeauftragten — per Telefon, nicht per E-Mail; (3) ändern Sie Ihr Passwort von einem anderen sicheren Gerät aus; (4) löschen Sie die verdächtige E-Mail nicht, sie dient der forensischen Analyse; (5) aktivieren Sie MFA, falls noch nicht geschehen. Je schneller Sie handeln, desto besser können die Schäden begrenzt werden.
Es gibt 6 Hauptformen von Phishing:
- Klassisches Phishing — Massen-E-Mails, die eine Bank, eine Lieferung oder eine Behörde imitieren. Täglich werden mehr als 3,4 Milliarden betrügerische E-Mails versandt (Forbes 2024). Oft erkennbar an Fehlern und künstlicher Dringlichkeit.
- Spear Phishing — Gezielter Angriff auf eine bestimmte Person mit echten Informationen (Name des Vorgesetzten, laufendes Projekt). Verantwortlich für 66 % der bestätigten Verletzungen (Verizon DBIR 2024).
- Whaling — Variante des Spear Phishing, die gezielt Führungskräfte und Manager angreift, um Zugang zu Finanzen oder strategischen Entscheidungen zu erhalten.
- Smishing — Phishing per SMS. Imitiert in der Regel eine Bankwarnung, eine Paketzustellung oder einen öffentlichen Dienst. Die Öffnungsrate von SMS liegt bei über 90 % — dieser Vektor wächst stark.
- Vishing — Sprach-Phishing per Telefon. Der Betrüger gibt sich als IT-Support, Bank oder Behörde aus, um Informationen zu entlocken oder eine sofortige Aktion auszulösen.
- BEC (Business Email Compromise / CEO-Betrug) — Identitätsmissbrauch eines Managers oder Partners, um eine Überweisung anzuordnen oder sensible Daten zu erhalten. Größte Quelle finanzieller Verluste durch Cyberkriminalität: 2,9 Milliarden USD im Jahr 2023 (FBI IC3 2024).
Die wichtigsten Warnsignale sind: eine Absenderadresse, die leicht vom Original abweicht (z.B. support@rnazonl.com statt @amazon.com), ein Gefühl von Dringlichkeit oder Drohung, das zu schnellem Handeln drängt, eine Anfrage nach Passwort oder Bankdaten, eine Link-URL, die nicht der erwarteten Website entspricht (vor dem Klicken überprüfen), Rechtschreib- oder Formatierungsfehler. Achtung: Durch KI generierte E-Mails sind mittlerweile fehlerfrei — die Grammatik allein reicht nicht mehr zur Erkennung aus.
Theoretische Schulungen allein reichen nicht aus: Studien zeigen, dass Mitarbeitende 70 % des Inhalts einer Schulung innerhalb einer Woche vergessen (Ebbinghaus, in zahlreichen E-Learning-Studien bestätigt). Der effektivste Ansatz kombiniert Simulation und korrigierende Schulung: echte simulierte Phishing-Kampagnen durchführen (via PhishTrainer), Mitarbeitende identifizieren, die klicken, und sie automatisch auf eine gezielte Schulung weiterleiten (Bexxo Academy). Diese Methode reduziert die Klickrate in sechs Monaten um 60 bis 70 % (Proofpoint 2024). Regelmäßige Simulationen (4 bis 6 pro Jahr) halten das Wachsamkeitsniveau dauerhaft aufrecht.
Generative KI hat die Phishing-Bedrohung seit 2023 grundlegend verändert. Drei wesentliche Entwicklungen:
- Fehlerfrei formulierte E-Mails — Vorbei mit den Rechtschreibfehlern, die früher Phishing erkennbar machten. LLMs generieren makellose E-Mails auf Deutsch, angepasst an den Ton des anvisierten Unternehmens. Durch KI generierte E-Mails haben eine viermal höhere Klickrate als manuell erstellte (APWG / Keepnet 2025).
- Personalisierung im großen Maßstab — KI kann das LinkedIn-Profil, öffentliche Posts und die Website eines Ziels analysieren, um in Sekunden ein ultrarealistisches Spear-Phishing zu erstellen. Was für einen menschlichen Angreifer Stunden brauchte, dauert jetzt Sekunden.
- Voice- und Video-Deepfakes — Vishing-Anrufe, die die Stimme eines Managers imitieren, oder ganze Videokonferenzen mit Deepfake-Avataren wurden bereits genutzt, um betrügerische Überweisungen auszulösen (dokumentierte Fälle 2024 in Hongkong: 25 Millionen USD verloren).
Schulen Sie Ihre Teams
Schulen Sie Ihre Teams mit PhishTrainer.
Verwandeln Sie mit PhishTrainer Ihre Mitarbeiter in die erste Verteidigungslinie gegen Phishing. Simulieren, sensibilisieren und sichern Sie Ihr Unternehmen nachhaltig dank realistischer und ansprechender Phishing-Kampagnen.
Demonstration ansehen