Phishing erkennen: Beispiele aus dem Posteingang

Gefährlich – Microsoft-365-Phishing – die aktuelle Welle

• Absender echt – Konto übernommen – Die E-Mail kommt tatsächlich von der Kanzlei, denn deren Konto wurde übernommen. Absenderprüfungen (SPF, DKIM, DMARC) schlagen deshalb nicht an.
• Unerwartete Datei – Niemand hat einen Jahresabschluss angekündigt. Die richtige Reaktion: anrufen, nicht klicken.
• Linkziel ist nicht Microsoft – Der Knopf führt auf login.microsoftonline.com.account-verify.xyz – entscheidend ist das Ende der Adresse: account-verify.xyz, nicht microsoftonline.com.
• Anmeldung verlangt – Eine echte Freigabe fragt nicht erneut nach dem Passwort, wenn Sie bereits in Microsoft 365 angemeldet sind.

Als echt behandelt: Anmeldedaten und Postfach gehören dem Angreifer, dazu alles, was das Konto sehen kann: freigegebene Postfächer, SharePoint und OneDrive samt Ausweiskopien. Die nächste Welle geht in Ihrem Namen an Ihre Kontakte.

Diese Masche ist mit dem Auge kaum zu erkennen, darum schützt verlässlich nur Technik, etwa FIDO2-Schlüssel oder Passkeys statt Passwort, der Passwortschutz im Browser und bedingter Zugriff. Nach einer Übernahme wird nicht nur mitgelesen. Alles, was das Konto sehen kann, wird kopiert, also Postfach, freigegebene Postfächer, SharePoint und OneDrive. Ausweiskopien und Kontodaten aus diesen Ablagen werden noch Monate später gegen jeden missbraucht, dessen Daten dort lagen.

Gefährlich – Rechnungsbetrug: geänderte Bankverbindung

• Bankverbindung per E-Mail geändert – Der Klassiker des Rechnungsbetrugs. Eine neue IBAN wird niemals allein auf Zuruf per E-Mail übernommen.
• Antwort im echten Betreff – Die Angreifer kennen die Rechnungsnummer – oft, weil ein Postfach (Ihres oder das des Lieferanten) mitgelesen wird.
• Deutsche IBAN beim heimischen Lieferanten – Ein oberösterreichischer Lieferant mit plötzlich deutschem Konto bei einer „Online Business Bank“ – das passt nicht.
• Zeitdruck und Umleitung – Alte Rechnung stornieren, neu überweisen: Das soll Geld auf das fremde Konto lenken, bevor jemand nachfragt.

Als echt behandelt: Die nächste Überweisung geht auf das fremde Konto. Der echte Lieferant mahnt Wochen später, das Geld ist weg und die Rechnung weiter offen.

Bestätigen Sie neue oder geänderte Bankverbindungen immer telefonisch, und zwar unter der Nummer, die Sie bereits haben, nicht unter einer aus der E-Mail.

Gefährlich – Schadsoftware per Office-Makro

• Anhang vom Typ .docm – Das ist ein makrofähiges Word-Dokument. Rechnungen kommen als PDF, denn eine Rechnung braucht kein Makro.
• Aufforderung „Inhalt aktivieren“ – Der Klassiker: Der Anhang ist der Köder, das Makro der Angriff. Kein echtes Dokument braucht diesen Klick.
• Fremde Absenderdomain – metallbau-rechnungen-online.com statt der bekannten Adresse des Lieferanten.
• Rechnungsnummer unbekannt – Die Buchhaltung kennt keine 2026-1187 – ein Anruf beim Lieferanten klärt das in einer Minute.

Als echt behandelt: Das Makro lädt Schadsoftware nach. Ohne zentrale Makrosperre wäre zuerst der Arbeitsplatz verschlüsselt und über die Netzlaufwerke der Rest des Betriebs.

Office-Makros aus dem Internet sind auf den von uns betreuten Arbeitsplätzen zentral gesperrt.

Gefährlich – CEO-Fraud (Chef-Masche)

• Fremde Domain, bekannter Name – firma-gmbh-office.com ist nicht die Firmendomain. Nur der Anzeigename stimmt – den kann jeder eintragen.
• Dringlichkeit und Geheimhaltung – Zeitdruck plus „mit niemandem sprechen“ soll genau die Rückfrage verhindern, die den Betrug auffliegen ließe.
• Ungewöhnliche Bitte – Zahlungen laufen über den vereinbarten Freigabeprozess – nie auf Zuruf per E-Mail.
• Nicht erreichbar – Wer 24.800 € überwiesen haben will, hebt ab. Rückruf unter der gespeicherten Nummer, nicht unter einer aus der E-Mail.

Als echt behandelt: Der Betrüger bekommt Ihre Zusage, die zweite Mail mit den Kontodaten folgt in Minuten, und ohne Vier-Augen-Prinzip sind 24.800 € weg.

CEO-Fraud funktioniert ohne jede Technik, nur mit Druck. Das Gegenmittel ist ein Vier-Augen-Prinzip für Zahlungen, das ausnahmslos gilt, auch wenn „der Chef“ drängt.

Gefährlich – Phishing auf Zahlungsdaten

• Fremde Domain – post-paket-info.net gehört keinem Paketdienst. Echte Dienste schreiben von ihrer eigenen Domain.
• Kleinbetrag als Köder – Die 2,99 € sind nur der Köder. Den Angreifern geht es um die Kartendaten, die Sie dafür eingeben.
• 24-Stunden-Frist – Druck ersetzt Argumente.
• Keine Anrede, keine Bestellung – Wer nichts bestellt hat, bekommt kein Paket. Sendungsnummern prüft man direkt auf der Website des Dienstes.

Als echt behandelt: Für 2,99 € Gebühr geben Sie Kartennummer, Ablaufdatum und Prüfziffer preis. Abgebucht werden später ganz andere Beträge, und ein Paket kommt nie.

Diese Domain steht bereits auf den Sperrlisten – der Klick landet beim DNS-Filter.

Gefährlich – Phishing über Microsoft Teams

• „Extern“-Kennzeichnung – Teams markiert Nachrichten von außerhalb Ihrer Organisation. Der echte Microsoft-Support schreibt Ihnen nicht per externem Teams-Chat.
• Neue Masche – Angreifer nutzen Teams, weil dort viele weniger misstrauisch sind als bei E-Mails.
• Fremde Domain – ms-teams-helpdesk.online hat mit Microsoft nichts zu tun.
• 30-Minuten-Frist, Kontosperre – Dringlichkeit und Drohung – wieder dasselbe Muster wie in Phishing-Mails.

Als echt behandelt: Der Link führt auf eine falsche Anmeldeseite. Mit Ihren Zugangsdaten übernimmt der Angreifer Teams und Postfach und schreibt von dort an Ihre Kolleginnen und Kollegen.

Phishing kommt längst nicht mehr nur per E-Mail, auch über Teams, SMS, Anrufe und QR-Codes. Externe Teams-Kontakte lassen sich zentral einschränken. Der Link hier läuft in den DNS-Filter.

Gefährlich – Quishing (Phishing per QR-Code)

• QR-Code statt Link – Ein QR-Code führt an den Link-Prüfungen im Mailfilter vorbei – und aufs private Handy, das selten geschützt ist.
• Wechsel aufs Smartphone – Dieser Wechsel ist das eigentliche Ziel. Auf dem ungeschützten Smartphone greifen weder der DNS-Filter noch der Passwortschutz im Browser.
• Fremde Absenderdomain – secure-doc-access-beispiel.com ist weder Microsoft noch Ihr Lohnbüro. Wohin ein QR-Code führt, sehen Sie erst, wenn die Seite schon offen ist; einen Link hätten Sie vorher prüfen können.
• Gehalt als Köder – Eine Gehaltsabrechnung öffnet jeder sofort, deshalb ist sie bei Angreifern als Köder beliebt.

Als echt behandelt: Der QR-Code bringt Sie am privaten Handy auf eine Anmeldeseite, an der kein Filter des Betriebs mehr mitliest. Mit den Zugangsdaten liest der Angreifer Ihr Postfach, eine Gehaltsabrechnung gab es dort nie.

QR-Phishing („Quishing“) nimmt zu, weil der Code Filter umgeht und aufs Privatgerät zielt. Faustregel: QR-Codes aus E-Mails nie scannen. Gehaltsabrechnungen holt man im bekannten Portal ab.

Gefährlich – Phishing auf Zugangsdaten

• Absender ist nicht Ihr IT-Dienstleister – Wir schreiben von t2.at – nie von einer „Portal“-Domain.
• Passwörter laufen nicht per E-Mail ab – Microsoft 365 meldet so etwas in der Anwendung selbst, nie über einen Link in einer E-Mail.
• Drohung mit Zugriffsverlust – Angst ist das zweitbeliebteste Werkzeug nach Zeitdruck.
• Linkziel – it-support-portal24.com – wieder zählt nur das Ende der Adresse.

Als echt behandelt: Auf der Seite hinter dem Link geben Sie Ihr Passwort direkt an den Angreifer. Es läuft nicht ab, aber ab jetzt verwendet es jemand anderer.

Verlangt eine Nachricht Zugangsdaten, melden Sie sich nie über den Link an. Gehen Sie immer über die bekannte Adresse oder die App selbst.

Gefährlich – Vorschussbetrug (Klassiker seit 1995)

• Zu schön, um wahr zu sein – Niemand verschenkt Millionen an Fremde.
• Unbekannter Absender, Freemail – Ein „Prinz“ mit Freemail-Adresse und Geburtsjahr im Namen.
• Vorleistung verlangt – Erst 850 € zahlen, dann Millionen bekommen – das Muster jedes Vorschussbetrugs.
• Bankverbindung und Ausweiskopie verlangt – Mit beidem lassen sich Konten eröffnen und Identitäten missbrauchen. Kein seriöser Partner fragt per E-Mail danach.

Als echt behandelt: Jede Antwort bestätigt, dass die Adresse gelesen wird. Es folgen Gebühren, Bearbeitungskosten und Vorleistungen, nie die 12,5 Millionen.

Der Klassiker lebt weiter – heute als „Erbschaft“, „Krypto-Gewinn“ oder „Steuerrückzahlung“. Das Muster bleibt gleich: Vorleistung gegen Versprechen.

Echt – Echte Nachricht

• Bekannte Absenderdomain – t2.at – die Adresse, von der wir immer schreiben.
• Keine Links, keine Anhänge – Es gibt nichts anzuklicken und nichts zu öffnen.
• Kein Zeitdruck, keine Forderung – Information statt Aufforderung.
• Passt zum bekannten Ablauf – Das Patchfenster ist mit Ihnen vereinbart und steht im Systembericht.

Als gefährlich gemeldet: Die Technik sieht die Meldung, erkennt die eigene Nachricht und gibt sie nach wenigen Minuten frei. Kein Schaden. Im Zweifel ist Melden immer richtig, es kostet nur einen kurzen Blick.

Diese Nachricht ist echt. Echte Nachrichten verlangen nichts Sofortiges und passen zu Abläufen, die Sie kennen. Im Zweifel hilft ein Anruf unter der bekannten Nummer.

Echt – Echte Nachricht

• Bezug auf ein Telefonat – Die E-Mail setzt ein Gespräch fort, das Sie geführt haben.
• PDF statt Makro-Dokument – Ein normales PDF ohne Aufforderung, irgendetwas zu aktivieren.
• Bekannter Ansprechpartner, erwarteter Inhalt – Name, Adresse und Thema passen zusammen.
• Antwort im laufenden Gespräch – „AW:“ auf eine Anfrage, die Sie gestellt haben.

Als gefährlich gemeldet: Die IT prüft die Nachricht, gibt sie frei, und Frau Mayr wartet ein paar Stunden länger auf Ihre Bestellung. Kein Schaden. Eine echte Nachricht, die versehentlich gemeldet wird, kostet nur Zeit.

Diese Nachricht ist echt. Sie war erwartet und angekündigt und passt zum laufenden Vorgang, so sieht normale Geschäftspost aus. Misstrauen muss kein Dauerzustand sein; es genügt als Reflex, sobald etwas abweicht.