Fast jeder erfolgreiche Angriff auf ein kleines Unternehmen beginnt mit einer Mail. Nicht mit der plumpen Erbschaftsnachricht von früher, sondern mit einer korrekt formulierten Nachricht, die zum Arbeitsalltag passt: eine Rechnung, eine Freigabeanfrage, eine angebliche Nachricht aus dem eigenen Team. Seit Sprachmodelle Texte fehlerfrei erzeugen, ist der klassische Hinweis auf schlechtes Deutsch wertlos geworden.
Sieben Merkmale, die wirklich tragen
- Absenderadresse statt Anzeigename. Der Name kann alles sein. Sehen Sie sich die Domain hinter dem @ an, inklusive Zusätzen wie firmenname-service.de.
- Kein nachvollziehbarer Anlass. Eine Rechnung ohne Bestellung, eine Freigabe ohne Vorgang, ein Passwortablauf, den niemand angestoßen hat.
- Zeitdruck und Konsequenzdrohung. „Innerhalb von 24 Stunden", „sonst wird Ihr Konto gesperrt". Druck schaltet Nachdenken aus, genau dafür steht er da.
- Ziel ist eine Anmeldeseite. Ein Link, der zu einem Login führt, ist das häufigste Muster. Melden Sie sich nie über einen Maillink an, sondern über Lesezeichen.
- Anhänge mit Aufforderung. Besonders Archive, Makro-Dateien oder eine PDF, die zum Klick auf einen weiteren Link auffordert.
- Bank- oder Zahlungsdaten ändern sich. Der Klassiker im Rechnungsbetrug, oft mitten in einem echten Mailverlauf.
- Umgehung des normalen Wegs. „Bitte nicht mit den Kollegen besprechen", „ich bin gerade im Termin, antworte nur per Mail".
Die drei Varianten, die Betriebe am häufigsten treffen
| Variante | Typisches Vorgehen | Wirksamste Gegenmaßnahme |
|---|---|---|
| Zugangsdaten-Phishing | Nachgebaute Anmeldeseite von Microsoft 365 oder Google | Mehrfaktor mit App oder Sicherheitsschlüssel, Anmeldung nur über Lesezeichen |
| Rechnungsbetrug | Geänderte Bankverbindung in einem laufenden Vorgang | Rückruf unter der bekannten Nummer, Vieraugenprinzip bei Zahlungen |
| Chef-Masche | Angebliche Anweisung der Geschäftsführung, eilig und vertraulich | Feste Regel: Zahlungsanweisungen werden nie ausschließlich per Mail bestätigt |
Ein Meldeweg, den das Team tatsächlich nutzt
Technik filtert einen großen Teil, aber nicht alles. Entscheidend ist, dass verdächtige Mails gemeldet werden, und zwar bevor jemand klickt. Dafür braucht es drei Dinge: eine klare Adresse oder einen Meldeknopf im Mailprogramm, eine Rückmeldung innerhalb weniger Stunden und die verbindliche Zusage, dass ein Fehlklick niemals zu Ärger führt. Wer eine Fehlermeldung fürchtet, meldet zu spät oder gar nicht.
Was nach einem Klick zu tun ist
- Passwort des betroffenen Kontos ändern, aktive Sitzungen zentral beenden.
- Mehrfaktor prüfen, unbekannte gekoppelte Geräte und App-Passwörter entfernen.
- Postfachregeln kontrollieren. Angreifer legen gern Regeln an, die Antworten heimlich weiterleiten oder löschen.
- Anmeldeprotokolle der letzten Tage auf fremde Standorte prüfen.
- Vorgang dokumentieren und intern kurz informieren, damit weitere Mails auffallen. Bei Verdacht auf Datenabfluss den Notfallablauf starten.
Technische Grundlagen, die viel abfangen
Richten Sie SPF, DKIM und DMARC für Ihre Domain ein, damit Fremde nicht in Ihrem Namen schreiben. Aktivieren Sie Warnhinweise für externe Absender, sperren Sie ältere Anmeldeverfahren ohne Mehrfaktor und lassen Sie automatische Weiterleitungen nach außen nur mit Freigabe zu. Diese Punkte gehören in jede Grundkonfiguration, siehe Microsoft 365 und Google Workspace absichern.
