In diesem Blogbeitrag möchten wir Ihnen einen Überblick darüber geben, was Phishing und Social-Engineering-Attacken genau sind, wie Sie diese erkennen und welche Vorkehrungen Sie treffen können, um Ihre Belegschaft und Ihr Unternehmen wirkungsvoll vor Phishing zu schützen. 

Was genau ist Social Engineering? 

Social Engineering basiert auf der Ausnutzung menschlicher Verhaltensweisen wie Hilfsbereitschaft, Vertrauen, Angst oder Ehrfurcht vor Autorität. Hierbei werden Menschen durch Manipulation dazu verleitet, sensible Daten preiszugeben, Sicherheitsmechanismen zu umgehen oder sogar schädliche Software zu installieren. Diese hinterhältige Methode wird von Cyberkriminellen angewendet und ist aufgrund ihrer Reichweite von Millionen potenziellen Opfern besonders attraktiv. Diese Taktik ist keineswegs neu und wurde schon in vergangenen Zeiten in Form von Telefonbetrug praktiziert. Phishing stellt eine spezifische Form des Social Engineering dar. 

Was versteht man unter Phishing? 

Phishing-E-Mails enthalten in der Regel Verknüpfungen zu gefälschten Websites, die den Websites von Banken, E-Mail-Anbietern oder Online-Händlern täuschend ähnlich sehen. Auch die Phishing-E-Mails selbst sehen oft aus wie die echten Mails, da sie Namen und Logos bekannter Organisationen verwenden. Wenn Ihre Mitarbeiter auf diesen Link klicken und ihre Daten auf der gefälschten Website eingeben, werden diese Daten an die Angreifer weitergegeben, die sie dann für illegale Aktivitäten nutzen können. 

Es ist wichtig, zwischen Phishing und Spear Phishing zu unterscheiden. Während Phishing eine breite Masse an Personen anspricht, zielt Spear Phishing auf bestimmte Individuen ab. Phishing-E-Mails beginnen oft mit Phrasen wie „Ihr Konto wurde gesperrt“, „Bitte aktualisieren Sie Ihr Passwort“ oder „Bitte aktualisieren Sie Ihre Bankinformationen“. Es gibt jedoch weitere Hinweise, die Ihnen helfen können, Phishing-E-Mails zu identifizieren. 

Wie lassen sich Phishing-Mails erkennen? 

Gefälschte Absender-Adresse 

Seien Sie wachsam bei verdächtigen Absenderadressen, die zwar den Adressen seriöser Unternehmen ähneln, jedoch nicht genau übereinstimmen. Ein Indikator dafür könnte beispielsweise eine auffällige Kombination aus Zahlen und Buchstaben in der Adresse sein. 

Empfänger-Adresse 

Kontrollieren Sie, ob die fragwürdige E-Mail an eine Adresse gesendet wurde, die nicht mit der Ihres Unternehmens übereinstimmt. Falls die E-Mail an mehrere Empfänger verschickt wurde, ist es ratsam, diese zunächst nicht zu öffnen. 

Verdächtiger Betreff 

Seien Sie aufmerksam, wenn der Betreff der E-Mail merkwürdig wirkt – etwa durch Rechtschreibfehler oder falsche Grammatik. Dies sollte auch für den restlichen Inhalt der E-Mail gelten. Jede Unregelmäßigkeit könnte ein Anzeichen für Phishing sein. 

Ungewöhnliche Formatierung 

Seien Sie aufmerksam, wenn die Formatierung der E-Mail unprofessionell wirkt. Beinhaltet sie beispielsweise wiederholt falsch eingesetzte Sonderzeichen? In diesem Fall könnte es sich möglicherweise um eine Phishing-Mail handeln. 

Unpersönliche Anrede 

Wenn die E-Mail nicht mit einer persönlichen Anrede startet, könnte dies ein Hinweis auf eine Phishing-Mail sein. Vertrauenswürdige Unternehmen neigen dazu, ihre Kunden oder Empfänger üblicherweise beim Namen anzusprechen. 

Aufforderung zur Bestätigung von persönlichen Daten 

Wenn die E-Mail Sie dazu auffordert, persönliche Informationen zu bestätigen oder preiszugeben, sollten Sie stutzig werden. Authentische Unternehmen werden Sie niemals per E-Mail auffordern, solche sensiblen Daten preiszugeben. 

Links auf Websites 

Falls die E-Mail Verlinkungen zu Websites enthält, ist besondere Vorsicht angebracht. Stellen Sie sicher, dass der Link zur Website mit dem tatsächlichen Absender der E-Mail übereinstimmt. 

Wieso sind Phishing-Attacken so gefährlich? 

Phishing-Angriffe zielen darauf ab, das Vertrauen und die Gutgläubigkeit von Menschen zu missbrauchen, um Zugang zu sensiblen Informationen zu erlangen. Aufgrund menschlicher Neigungen, in bestimmten Situationen impulsiv zu reagieren oder unter Stressstimmung Entscheidungen zu treffen, können Personen auf betrügerische Nachrichten oder Links klicken, ohne die potenzielle Gefahr zu prüfen. 

Ein weiterer Faktor, der Phishing-Angriffe erfolgreich macht, ist das mangelnde Bewusstsein und die fehlende Schulung vieler Menschen im Bereich der Cybersicherheit. Viele sind sich nicht der Existenz von Phishing-E-Mails, den damit verbundenen Risiken und den Möglichkeiten zum Schutz bewusst. Dies führt dazu, dass sie bereitwillig vertrauliche Informationen preisgeben, in dem Glauben, ein vermeintliches Problem zu lösen. 

Welchen Schutz gibt es gegen Phishing-Attacken? 

Bevor Sie eine E-Mail öffnen, prüfen Sie stets den Absender. Sollte Ihnen dieser unbekannt sein, öffnen Sie die E-Mail vorerst nicht. Um sich vor zukünftigen E-Mails von diesem Absender zu schützen, ist es ratsam, diesen zu blockieren. Selbst wenn die E-Mail scheinbar von Freunden oder Bekannten stammt, jedoch eine gewisse Unsicherheit besteht oder eines der genannten Phishing-Merkmale vorliegt, ist Vorsicht geboten. In solchen Fällen empfiehlt es sich, den vermeintlichen Absender auf einem anderen Weg zu kontaktieren und die Authentizität der E-Mail zu überprüfen. 

Dasselbe gilt für Unternehmen. Sollten Sie den Verdacht haben, eine gefälschte E-Mail von einem vermeintlich bekannten Unternehmen erhalten zu haben, kontaktieren Sie das betreffende Unternehmen, um die Echtheit der E-Mail bestätigen zu lassen. Dies dient natürlich auch dem Schutz des betroffenen Unternehmens. 

Falls eine E-Mail einen Link enthält, prüfen Sie diesen, bevor Sie darauf klicken. Sollte es sich um einen suspekten Link handeln, klicken Sie diesen keinesfalls an, sondern geben Sie die Adresse stattdessen manuell in ein neues Browserfenster ein. Achten Sie dabei darauf, dass die Webadresse mit „https“ beginnt, um eine sichere Verbindung zu gewährleisten. 

Um sicherzustellen, dass Ihre Mitarbeiter:innen in der Lage sind, diese Schritte einzuhalten, ist es von entscheidender Bedeutung, sie über die Risiken, die mit Phishing einhergehen, aufzuklären und das Bewusstsein für das Thema zu schärfen. 

Welche Schritte sollten nach Erhalt einer Phishing-Mail eingeleitet werden? 

Es ist wichtig, dass alle Mitarbeiter:innen eine erkannte Phishing-Mail innerhalb des Unternehmens meldet, um alle Kolleginnen und Kollegen zu warnen. Darüber hinaus sollte der Vorfall auch dem Unternehmen gemeldet werden, das als vermeintlicher Absender aufgeführt ist. Es ist zudem ratsam, alle Zugangsdaten wie Benutzernamen und Passwörter zu ändern. Sollten Sie einen Passwortmanager verwenden, müssen Sie zusätzliche Schritte unternehmen und alle Passwörter ändern, die in diesem Manager gespeichert sind. Um gezielte Virenangriffe durch Phishing-Mails abzuwehren, kann die Verwendung von Antiviren-Software hilfreich sein. 

Immer auf dem neuesten Stand – mit Smart Lens

Das Thema der Cybersicherheit erlangt zunehmend an Relevanz. Es ist eine unbestreitbare Tatsache, dass es keinen absoluten Schutz gegen Hackerangriffe gibt. Allerdings kann durch vorbeugende Maßnahmen bereits eine erhebliche Absicherung erreicht werden. Unser Smart Lens Penetration Testing Tool findet Netzwerkschwachstellen, bevor Angreifer:innen sie ausnutzen können. Wir freuen uns auf Ihre Anfrage!

Beitragsbild: © Shutterstock, wk1003mike