Eine E-Mail wirkt wie eine dringende Nachricht eines Lieferanten. Eine SMS warnt vor einem gesperrten Konto. Am Telefon meldet sich angeblich ein bekannter Dienstleister. Oder eine Führungskraft möchte plötzlich, dass noch heute eine Zahlung ausgelöst wird. Solche Situationen wirken oft alltäglich – und genau das macht sie gefährlich.
Phishing und Social Engineering setzen nicht nur auf technische Schwachstellen. Sie versuchen vor allem, Menschen zu einer Handlung zu bewegen: einen Link öffnen, Zugangsdaten eingeben, Geld überweisen, eine Datei starten oder vertrauliche Informationen weitergeben.
Der Oktober ist der European Cybersecurity Month. Die EU-weite Kampagne soll Bürgerinnen, Bürger und Organisationen für sicheres Verhalten in der digitalen Welt sensibilisieren. Für KMU ist das ein guter Anlass, einfache Schutzmechanismen im Alltag zu überprüfen.
Phishing ist mehr als die klassische schlechte E-Mail
Phishing kann über unterschiedliche Kanäle kommen. Neben E-Mails gibt es betrügerische SMS-Nachrichten, Anrufe, gefälschte Login-Seiten oder QR-Codes, die auf manipulierte Webseiten führen. Social Engineering ist der breitere Begriff: Dabei werden Vertrauen, Gewohnheit, Autorität, Hilfsbereitschaft oder Zeitdruck ausgenutzt, um Menschen zu einer gewünschten Reaktion zu bringen.
Wichtig ist deshalb: Eine Nachricht muss nicht voller Rechtschreibfehler sein, um verdächtig zu sein. Moderne Betrugsversuche können professionell formuliert und optisch sehr überzeugend gestaltet sein. Auch bekannte Namen, Logos und scheinbar passende Signaturen sind kein verlässlicher Echtheitsbeweis.
Typische Warnsignale im Unternehmensalltag
Ein einzelnes Merkmal beweist noch keinen Betrugsversuch. Mehrere ungewöhnliche Signale zusammen sollten aber dazu führen, kurz anzuhalten und zu prüfen.
• Ungewöhnlicher Zeitdruck: „sofort“, „noch heute“, „letzte Chance“ oder angebliche Sperrdrohungen.
• Unerwartete Änderungen: neue Bankverbindung, geänderte Zahlungsanweisung oder ungewöhnlicher Empfänger.
• Aufforderung zur Eingabe von Zugangsdaten oder zur Bestätigung eines Logins über einen zugesandten Link.
• Dateianhänge oder QR-Codes, die nicht erwartet wurden oder deren Zweck unklar ist.
• Absender, Domain oder Antwortadresse passen nicht ganz zur bekannten Organisation.
• Die Nachricht weicht vom üblichen Ablauf ab – etwa weil eine Führungskraft plötzlich Gutscheinkarten oder eine vertrauliche Information verlangt.
Der 30-Sekunden-Stopp
Viele Angriffe funktionieren deshalb, weil sie eine sofortige Reaktion auslösen sollen. Eine einfache Gegenmaßnahme ist ein kurzer Stopp: Muss ich jetzt wirklich handeln? Habe ich diese Nachricht erwartet? Passt die Aufforderung zum normalen Ablauf? Kann ich die Information auf einem unabhängigen Weg überprüfen?
Besonders bei Zahlungen, Änderungen von Bankdaten oder ungewöhnlichen Anweisungen sollte eine zweite Bestätigung vorgesehen sein. Wichtig: nicht einfach auf dieselbe Nachricht antworten. Besser ist ein bereits bekannter Kontaktweg – zum Beispiel die gespeicherte Telefonnummer oder eine bekannte Ansprechpartnerin bzw. ein bekannter Ansprechpartner.
Vier einfache Regeln für KMU
- Keine Zugangsdaten über Links in unerwarteten Nachrichten eingeben. Den Dienst im Zweifel über die bekannte Adresse oder App selbst aufrufen.
- Ungewöhnliche Zahlungs- oder Bankdatenänderungen über einen zweiten, unabhängigen Kontaktweg verifizieren.
- Verdächtige Nachrichten intern melden, statt sie nur zu löschen. So können auch Kolleginnen und Kollegen gewarnt werden.
- Mitarbeitende regelmäßig sensibilisieren. Kurze, konkrete Beispiele aus dem eigenen Alltag sind meist hilfreicher als einmalige theoretische Schulungen.
Wenn doch geklickt wurde
Fehler passieren. Entscheidend ist, nicht aus Angst oder Peinlichkeit zu warten. Wenn Zugangsdaten eingegeben, eine verdächtige Datei geöffnet oder eine ungewöhnliche Zahlung ausgelöst wurde, sollte die zuständige IT- oder Sicherheitsstelle sofort informiert werden. Je früher reagiert wird, desto besser lassen sich mögliche Folgen begrenzen.
Bei einem konkreten IT-Sicherheitsvorfall können österreichische Unternehmen außerdem die Hinweise und Meldewege von CERT.at nutzen. Welche Schritte im Einzelfall notwendig sind, hängt vom Vorfall und den betroffenen Systemen ab.
Fazit: Nicht misstrauisch gegen alles – aber aufmerksam bei Abweichungen
Phishing-Schutz bedeutet nicht, jede Nachricht grundsätzlich für Betrug zu halten. Es geht darum, ungewöhnliche Situationen zu erkennen und bei kritischen Handlungen einen kurzen Prüfmechanismus einzubauen.
Oft braucht es dafür gar kein großes Sicherheitsprogramm. Ein paar klare Regeln im Alltag machen bereits einen spürbaren Unterschied: Zeitdruck nicht automatisch mit Dringlichkeit verwechseln, ungewöhnliche Zahlungswünsche verifizieren, Zugangsdaten schützen und verdächtige Vorfälle intern weitergeben. Wichtig ist vor allem, dass alle im Team wissen, was im Zweifel zu tun ist.
Sicherheit lässt sich trainieren
Gerade bei Phishing und Social Engineering ist Technik nur ein Teil der Lösung. Ebenso wichtig sind verständliche interne Regeln, kurze Entscheidungswege und Mitarbeitende, die typische Warnsignale kennen. Das KMU Center unterstützt Unternehmen dabei mit Beratung, Sensibilisierung und praxisnahen Schulungsformaten sowie bei der Auswahl und Umsetzung geeigneter digitaler und organisatorischer Sicherheitsmaßnahmen.
Sind Ihre internen Abläufe ausreichend gegen Betrugsversuche abgesichert?
Wenn Sie Ihre bestehenden Abläufe einmal aus der Praxisperspektive durchgehen möchten, sprechen Sie mit uns. Oft lassen sich schon mit wenigen gezielten Maßnahmen unnötige Risiken deutlich reduzieren.