Der Moment ist immer derselbe. Du klickst auf einen Link, gibst dein Passwort ein oder öffnest einen Anhang, und eine Sekunde später denkst du: Moment mal, das war doch komisch. Der Absender stimmt nicht ganz. Die Anrede war seltsam. Oder die Seite, auf der du gerade dein Passwort eingetippt hast, sah nur fast aus wie die echte. Du bist auf eine Phishing-Mail hereingefallen.
Willkommen im Club. Auf Phishing fallen nicht nur unvorsichtige Leute rein. Die Maschen werden jedes Jahr besser gemacht, und viele Phishing-Mails sind kaum noch vom Original zu unterscheiden. Wichtig ist jetzt nicht, sich zu ärgern. Wichtig ist, was du in den nächsten Minuten machst. Denn die entscheiden meistens darüber, ob aus dem Klick ein echtes Problem wird oder ob die Sache glimpflich ausgeht.
Ich nenne das die 5-Minuten-Regel. Fünf Schritte, die du direkt nacheinander abarbeitest, bevor du irgendetwas anderes machst. Kein Fachwissen nötig. Los geht’s.
Warum die ersten Minuten nach dem Phishing so wichtig sind
Wenn du auf Phishing reinfällst, sitzen meistens Angreifer am anderen Ende. Sie haben es auf eine von zwei Sachen abgesehen: deine Zugangsdaten oder Schadsoftware auf deinem Gerät. In beiden Fällen läuft ab dem Klick eine Uhr.
Ab dem Klick läuft eine Uhr
Hast du dein Passwort auf einer gefälschten Phishing-Seite eingegeben, versuchen sich viele Angreifer innerhalb von Minuten damit einzuloggen, manches läuft sogar automatisch ab. Hast du einen infizierten Anhang aus einer Phishing-Mail geöffnet, will die Schadsoftware sich einnisten, bevor du sie bemerkst.
Genau deshalb zählt Tempo. Nicht Panik, aber Tempo. Du musst schneller sein als die andere Seite. Und das schaffst du, wenn du weißt, was zu tun ist, statt erst zu googeln, während dir das Herz bis zum Hals schlägt. Die folgenden fünf Schritte sind dein Notfallplan nach einem Phishing-Angriff.
Du möchtest die IT-Sicherheit in deinem Unternehmen auf ein neues Level heben, weißt aber nicht so wirklich, wo du beginnen sollst? Kontaktiere uns!
Schritt 1: Nicht weiterklicken – und bei Schadsoftware das Netzwerk trennen
Der erste Reflex vieler Leute ist, nervös weiterzuklicken. Auf „Abbrechen“, auf „Schließen“, vielleicht nochmal auf den Phishing-Link, um zu schauen, ob das wirklich so gemeint war. Lass das. Jeder weitere Klick auf einer betrügerischen Seite kann die Sache schlimmer machen.
Wenn du nur auf einen Link geklickt und nichts eingegeben hast, ist meistens noch nicht viel passiert. Schließ einfach den Tab und geh zu Schritt 5 (Melden). Ein reiner Klick lädt in den seltensten Fällen automatisch Schadsoftware, auch wenn das oft behauptet wird.
Wann du das Gerät sofort vom Netz nimmst
Kritischer wird es, wenn du einen Anhang geöffnet oder eine Datei heruntergeladen und ausgeführt hast. Word-Dokument, PDF, ZIP-Datei, irgendeine .exe: Wenn da etwas aufging und du den Verdacht hast, dass die Phishing-Mail Schadsoftware transportiert hat, dann trenne das Gerät sofort vom Internet. Bei Laptop oder PC: WLAN ausschalten oder das Netzwerkkabel ziehen. Beim Handy: Flugmodus an.
Das klingt drastisch, ist aber der wirksamste Sofortschritt gegen viele Angriffe. Viel Schadsoftware braucht eine Verbindung nach draußen, um Daten abzugreifen oder Befehle zu empfangen. Kappst du die Verbindung, nimmst du ihr das Wichtigste. Ausschalten musst du das Gerät übrigens nicht unbedingt. Bei manchen Schädlingen kann das sogar Spuren vernichten, die später für die Analyse wichtig wären. Netzwerk trennen reicht erstmal.
Schritt 2: Passwort ändern – aber vom richtigen Gerät aus
Wenn du dein Passwort auf einer Phishing-Seite eingegeben hast, ist das jetzt dein wichtigster Schritt. Die Angreifer haben es. Punkt. Du musst es ändern, bevor sie damit etwas anfangen. Zwei Dinge sind dabei entscheidend.
Nicht am infizierten Gerät, nicht nur bei einem Dienst
Erstens: Ändere das Passwort möglichst nicht auf dem Gerät, das eventuell infiziert ist. Nimm ein anderes, also dein Handy statt des Laptops, ein Tablet oder den Rechner von jemand anderem im Haushalt. Falls tatsächlich Schadsoftware im Spiel ist, könnte sie deine Tastatureingaben mitlesen, und dann wäre auch das neue Passwort sofort wieder verraten.
Zweitens: Ändere das Passwort nicht nur bei dem einen Dienst, sondern überall, wo du dasselbe oder ein ähnliches benutzt hast. Das ist der unangenehme Teil. Viele Leute nutzen dasselbe Passwort für E-Mail, Onlineshop und Streamingdienst. Wenn die Angreifer eins aus dem Phishing haben, probieren sie es automatisch bei Dutzenden anderen Diensten durch. Fang bei den wichtigsten an: dein E-Mail-Konto zuerst.
Warum die E-Mail zuerst? Weil dein Postfach der Generalschlüssel ist. Über „Passwort vergessen“ lassen sich fast alle anderen Konten zurücksetzen, und die Bestätigungsmail landet in genau diesem Postfach. Wer deine Mail kontrolliert, kontrolliert schnell den Rest.
Schritt 3: Zwei-Faktor-Authentifizierung einschalten
Direkt nach dem neuen Passwort kommt der Schritt, der dich am besten vor den Folgen eines Phishing-Angriffs schützt: die Zwei-Faktor-Authentifizierung, oft abgekürzt als 2FA oder „Bestätigung in zwei Schritten“.
So funktioniert der zweite Faktor
Das Prinzip ist einfach. Zum Anmelden reicht dann nicht mehr nur das Passwort. Du brauchst zusätzlich einen zweiten Nachweis, meistens einen Code aus einer App auf deinem Handy oder per SMS. Selbst wenn die Angreifer durch das Phishing dein Passwort haben, kommen sie ohne dein Handy nicht rein.¹
Fast alle großen Dienste bieten das an: Google, Apple, Microsoft, Amazon, PayPal, dein Onlinebanking sowieso. Du findest die Einstellung normalerweise unter „Sicherheit“ oder „Anmeldung“ in deinem Kontoprofil. Wenn du eine App nutzen kannst statt SMS, nimm die App, sie gilt als sicherer. Bekannt sind zum Beispiel Google Authenticator oder Authy, aber es gibt viele.
Ja, das ist ein kleiner Aufwand, und ja, es nervt manchmal, beim Login zum Handy greifen zu müssen. Aber es ist mit Abstand die wirksamste Einzelmaßnahme, um dein Konto zu schützen. Wenn du 2FA nach so einem Phishing-Vorfall überall einschaltest, wo es geht, hast du aus dem Schreck wenigstens etwas Gutes gemacht.
Schritt 4: Gerät auf Schadsoftware prüfen
Hast du einen Anhang geöffnet oder eine Datei ausgeführt, solltest du dein Gerät checken lassen. Bei reinen „Link geklickt, Passwort eingegeben“-Fällen ist das oft nicht nötig, aber im Zweifel schadet ein Scan nach einem Phishing-Versuch nie.
Windows, Mac und Handy im Check
Auf einem Windows-Rechner ist der eingebaute Windows Defender schon ganz brauchbar. Öffne die „Windows-Sicherheit“, geh auf „Viren- und Bedrohungsschutz“ und starte eine vollständige Überprüfung. Die dauert eine Weile, lass sie in Ruhe durchlaufen. Wenn du ein anderes Antivirenprogramm installiert hast, mach dort einen kompletten Scan. Wichtig ist, dass dein Schutzprogramm aktuell ist, nur dann erkennt es auch neue Schädlinge.
Auf dem Mac ist die Wahrscheinlichkeit einer Infektion über so einen Anhang geringer, aber nicht null. Auch hier gibt es seriöse Scan-Programme, falls du unsicher bist.
Auf dem Handy funktioniert das etwas anders. Bei iPhones ist eine klassische Vireninfektion sehr unwahrscheinlich. Hier ist eher die Gefahr, dass du auf einer Phishing-Seite Daten eingegeben hast, dann sind Schritt 2 und 3 dein Thema. Bei Android-Handys solltest du keine Apps aus unbekannten Quellen installiert haben. Falls die Phishing-Mail dich zu einer App-Installation gedrängt hat, deinstalliere die sofort wieder.
Wenn der Scan anschlägt
Wenn der Scan etwas findet, folge den Anweisungen des Programms zum Entfernen. Und wenn du dir unsicher bist oder der Rechner sich merkwürdig verhält, also langsam wird, komische Pop-ups zeigt oder Programme von allein starten, hol dir Hilfe. Bei einem Firmengerät ist das die IT-Abteilung, privat vielleicht jemand, der sich auskennt, oder ein Fachgeschäft. Im schlimmsten Fall hilft nur, das Gerät komplett neu aufzusetzen. Das ist ärgerlich, aber manchmal der sauberste Weg.
Mach mit uns einen erstes, kostenloses IT-Checkup mit unseren IT-Experten. Kontaktiere uns jetzt!
Schritt 5: Phishing melden – bei der IT, der Bank oder dem Dienst
Der letzte Schritt wird am häufigsten vergessen, dabei ist er wichtig. Melde den Vorfall. Wem genau, hängt davon ab, wo du gerade bist und was passiert ist.
Im Job zuerst die IT, beim Geld zuerst die Bank
Bist du auf einem Firmengerät oder mit deinem Arbeitskonto auf das Phishing reingefallen, informiere sofort deine IT-Abteilung oder den IT-Support. Und zwar auch dann, wenn es dir peinlich ist. Das ist kein Grund zur Scham. IT-Leute wissen, dass jeder mal auf eine gut gemachte Phishing-Mail reinfallen kann, und sie brauchen die Info schnell. Vielleicht bist du nicht die einzige Person, die diese Mail bekommen hat. Je früher die IT Bescheid weiß, desto eher kann sie andere warnen und Konten sperren, bevor größerer Schaden entsteht. Ein früher, ehrlicher Hinweis ist für ein Unternehmen Gold wert. Eine verschwiegene Sache, die drei Tage später auffliegt, ist ein Albtraum.
Ging es um Bankdaten, Kreditkartennummern oder dein Onlinebanking, ruf sofort deine Bank an. Die meisten Banken haben eine Sperr-Hotline, die rund um die Uhr erreichbar ist. Deutschlandweit kannst du Karten und Onlinebanking-Zugänge auch über den zentralen Sperr-Notruf 116 116 sperren lassen, kostenlos aus dem deutschen Festnetz und rund um die Uhr.² Lass Karte oder Zugang sperren und schau in den nächsten Tagen genau auf deine Umsätze.
Den Dienst und die Mail selbst melden
Hast du bei einem konkreten Dienst deine Zugangsdaten verloren, etwa bei PayPal, Amazon oder deinem E-Mail-Anbieter, nutzt du oft eine eigene Melde- oder Sicherheitsfunktion des Anbieters. Damit kannst du verdächtige Aktivitäten prüfen und dich aus allen aktiven Sitzungen abmelden.
Und die Phishing-Mail selbst? Die kannst du melden, damit andere geschützt werden. In Deutschland nimmt die Verbraucherzentrale NRW verdächtige Phishing-Mails unter phishing@verbraucherzentrale.nrw entgegen und wertet sie für ihre Warnungen aus.³ Danach: löschen, nicht antworten, nicht nochmal draufklicken.
Was du auf keinen Fall tun solltest
Ein paar typische Fehler machen die Lage nach einem Phishing-Angriff schlimmer, statt sie zu retten.
Die Klassiker, die es schlimmer machen
Antworte nicht auf die Mail, auch nicht wütend. Damit bestätigst du den Betrügern nur, dass deine Adresse aktiv ist. Ruf keine Telefonnummern an, die in der verdächtigen Phishing-Mail stehen. Bei manchen Maschen sitzt am anderen Ende genau der Betrüger, der dich dann telefonisch weiter aushorcht. Gib niemals weitere Daten preis, weil eine Folgemail dich auffordert, den Vorgang zu „bestätigen“. Und verschweige die Sache nicht aus Scham, vor allem nicht im Job. Der Schaden durch Schweigen ist fast immer größer als die kurze Peinlichkeit.
Privat oder in der Firma – wo liegt der Unterschied?
Die fünf Schritte gelten überall. Aber ein paar Dinge sind je nach Situation anders.
Im Job führt der Weg über die IT
Passiert dir das Phishing im Job, ist deine IT-Abteilung der wichtigste Ansprechpartner, und zwar vor fast allem anderen. Das gilt für Betriebe in Hagen genauso wie in Iserlohn, Witten oder Dortmund. Sie hat Werkzeuge, die du nicht hast, und sie muss den Überblick behalten, ob noch andere betroffen sind. Halte dich an die Regeln deiner Firma, auch wenn du denkst, du könntest das allein regeln. Manchmal ist es Vorschrift, das Gerät nicht selbst anzufassen, sondern es der IT zu übergeben.
Privat bist du dein eigener IT-Support. Das heißt: Du entscheidest, wann ein Scan reicht und wann du dir Hilfe holst. Nimm im Zweifel lieber jemanden dazu, der sich auskennt, statt lange allein zu probieren. Und denk an alle Konten, die zusammenhängen, etwa das gemeinsame Familienpasswort oder den Zugang, den auch dein Partner nutzt.
Woran du merkst, dass wirklich etwas passiert ist
Manchmal war es doch nur ein harmloser Fehlklick, manchmal nicht. Ein paar Warnzeichen solltest du in den Tagen nach dem Phishing im Blick behalten.
Diese Warnzeichen ernst nehmen
Achte auf E-Mails über Anmeldungen oder Passwortänderungen, die du nicht selbst gemacht hast. Schau, ob in deinem Postfach im Ordner „Gesendet“ Mails auftauchen, die du nie geschrieben hast. Behalte deine Kontoauszüge und Kreditkartenabrechnungen genau im Auge, auch kleine Beträge. Betrüger testen manchmal mit ein, zwei Euro, bevor sie größer zuschlagen. Und wenn Freunde oder Kollegen dir schreiben, sie hätten eine seltsame Nachricht von dir bekommen, ist das ein deutliches Zeichen, dass jemand dein Konto benutzt.
Fällt dir so etwas auf, geh die fünf Schritte nochmal durch und zieh diesmal auf jeden Fall jemanden hinzu, der sich auskennt.
Damit es nicht nochmal passiert
Wenn der erste Schreck vorbei ist, lohnt ein kurzer Blick darauf, woran du Phishing künftig früher erkennst. Ein paar Muster tauchen immer wieder auf.
So erkennst du Phishing beim nächsten Mal
Fast alle Phishing-Mails erzeugen Druck. „Ihr Konto wird in 24 Stunden gesperrt“, „letzte Mahnung“, „verdächtige Anmeldung, bitte sofort bestätigen“. Dieses künstliche Dringlichkeitsgefühl soll dich zum schnellen, unüberlegten Klicken bringen. Seriöse Anbieter setzen dich selten so unter Zeitdruck. Schau dir außerdem die echte Absenderadresse an, nicht nur den angezeigten Namen. Oft steckt hinter einem vertrauten Namen eine kryptische oder leicht falsch geschriebene Adresse. Und fahr mit der Maus über Links, ohne zu klicken: Unten im Browser oder Mailprogramm siehst du dann die tatsächliche Zieladresse. Passt die nicht zum angeblichen Absender, Finger weg.
Die beste Faustregel bleibt: Kein echtes Unternehmen und keine Bank fragt dich per Mail nach Passwort, PIN oder TAN.⁴ Wenn eine Nachricht genau das will, ist sie mit ziemlicher Sicherheit ein Phishing-Versuch. Im Zweifel nicht auf den Link in der Mail klicken, sondern die Seite selbst im Browser eintippen oder die App öffnen und dort nachschauen.
Zum Schluss: Kein Grund zur Panik
Auf eine Phishing-Mail reinzufallen ist unangenehm, aber es ist kein Weltuntergang und schon gar nichts, wofür du dich schämen müsstest. Die Maschen werden immer raffinierter, und selbst Fachleute klicken manchmal daneben. Was zählt, ist die Reaktion.
Die fünf Schritte auf einen Blick
Für den Ernstfall zum Merken: ruhig bleiben und nicht weiterklicken, bei Verdacht auf Schadsoftware das Netzwerk trennen, Passwörter von einem sauberen Gerät aus ändern, Zwei-Faktor-Authentifizierung einschalten, das Gerät prüfen und das Phishing melden. Fünf Schritte, ein paar Minuten. Wenn du sie kennst, bevor du sie brauchst, bist du der anderen Seite einen entscheidenden Schritt voraus.
Und wenn du magst, sorg gleich vor: Schalte 2FA schon jetzt bei deinen wichtigsten Konten ein und nimm dir einen Passwort-Manager, damit du nicht überall dasselbe Passwort benutzt. Dann ist der nächste Phishing-Versuch nur noch halb so schlimm.
Unterstützung von Systempartner Hagen für die Region
Wenn du bei der Absicherung Hilfe willst
Nicht jeder Betrieb hat eine eigene IT-Abteilung, die im Ernstfall in Minuten reagiert. Genau da hilft ein Partner vor Ort. Systempartner Hagen ist ein IT-Systemhaus aus Hagen und betreut Unternehmen in der Region, von Witten, Schwerte und Herdecke über bis Iserlohn, Lüdenscheid und Dortmund. Wenn bei dir im Umkreis von rund 40 Kilometern um Hagen eine Phishing-Mail für Unruhe sorgt, ist der Weg kurz.
Am besten rufst du nicht erst an, wenn das Kind schon in den Brunnen gefallen ist. Wer seine Mitarbeiter schult, Konten mit Zwei-Faktor-Authentifizierung absichert und einen klaren Notfallplan hat, macht aus einem Phishing-Angriff meistens einen Schreck ohne Folgen. Und falls doch mal jemand klickt, weißt du oder dein IT-Partner genau, was in den ersten fünf Minuten zu tun ist.
Kontaktiere jetzt die IT-Experten bei Systempartner Hagen für ein kostenloses Beratungsgespräch zu deiner Cybersicherheit!
Häufige Fragen zum Thema Phishing
Woran erkennen meine Mitarbeiter eine betrügerische E-Mail?
Meistens an ein paar wiederkehrenden Mustern. Solche gefälschten E-Mails nennt man Phishing – Kriminelle geben sich darin als Bank, Lieferdienst oder sogar als Chef aus, um an Passwörter oder Geld zu kommen. Typisch sind künstlicher Zeitdruck („Ihr Konto wird gesperrt“), eine seltsame Absenderadresse und Links, die nicht zum angeblichen Absender passen. Wenn deine Leute diese Signale kennen, fällt der Großteil der Phishing-Mails schon vor dem Klick auf.
Reicht unser Spamfilter, um solche Mails zu stoppen?
Ein Spamfilter hilft, reicht aber nicht allein. Moderne Phishing-Mails sind so gut gemacht, dass ein Teil durch jeden Filter rutscht, besonders gezielte Angriffe auf einzelne Mitarbeiter. Technik fängt viel ab, die letzte Entscheidung trifft trotzdem der Mensch am Bildschirm. Deshalb gehört zu gutem Schutz vor Phishing immer beides: ein guter Filter und geschulte Mitarbeiter.
Was passiert, wenn ein Mitarbeiter auf einen falschen Link geklickt hat?
Dann zählen die nächsten Minuten. Nach einem Klick auf einen Phishing-Link geht es darum, schnell zu reagieren: bei Verdacht auf Schadsoftware das Gerät vom Netz trennen, betroffene Passwörter von einem sauberen Gerät aus ändern und den Vorfall der IT melden. Je früher das passiert, desto kleiner der Schaden. Ein klarer Notfallplan für Phishing-Fälle sorgt dafür, dass im Ernstfall niemand erst überlegen muss, was zu tun ist.
Sind kleine Unternehmen aus der Region überhaupt ein lohnendes Ziel?
Ja, gerade die. Ein großer Teil der Phishing-Angriffe läuft automatisiert und trifft wahllos Firmen jeder Größe, vom Handwerksbetrieb in Wetter bis zur Kanzlei in Hagen. Kleine Betriebe sind bei Kriminellen sogar beliebt, weil sie oft schlechter geschützt sind als Konzerne. Wer sich für Phishing zu unwichtig hält, macht sich damit erst recht angreifbar.
Kann man Mitarbeiter darauf trainieren, gefälschte Mails zu erkennen?
Ja, und das wirkt erstaunlich gut. In einer Phishing-Schulung lernen deine Mitarbeiter an echten Beispielen, wie so eine Masche aussieht und woran man sie erkennt. Viele Anbieter verschicken danach harmlose Test-Mails, um zu sehen, ob es sitzt. Nach ein paar Runden sinkt die Klickrate auf Phishing-Mails in den meisten Betrieben spürbar.
Was kostet uns so ein Vorfall im schlimmsten Fall?
Deutlich mehr als die Vorsorge. Ein erfolgreicher Phishing-Angriff endet schnell bei gesperrten Konten, verschlüsselten Daten durch nachgeladene Erpressersoftware oder Geld, das an Betrüger überwiesen wurde. Dazu kommen Ausfallzeit, Wiederherstellung und der Vertrauensverlust bei Kunden. Gemessen daran ist ein solider Schutz vor Phishing fast immer die günstigere Rechnung.
Jemand verschickt in unserem Namen gefälschte E-Mails – was nun?
Das ist ärgerlich, aber beherrschbar. Wenn Kriminelle deinen Firmennamen für ihre Phishing-Mails missbrauchen, solltest du Kunden und Partner kurz warnen, dass gerade gefälschte Nachrichten in deinem Namen kursieren. Technisch lässt sich mit Verfahren wie SPF, DKIM und DMARC einstellen, dass fremde Absender deine Domain nicht mehr so leicht für Phishing nutzen können. So etwas richtet dir ein IT-Partner ein.
Müssen wir einen solchen Vorfall melden, und wem?
Das kommt darauf an, was passiert ist. Sind durch einen Phishing-Angriff personenbezogene Daten abgeflossen, greift die DSGVO: Eine Datenpanne musst du in der Regel binnen 72 Stunden der zuständigen Datenschutzbehörde melden. Die verdächtige Mail selbst kannst du zusätzlich der Verbraucherzentrale oder der Polizei melden. Im Zweifel hilft dein IT-Dienstleister einzuschätzen, welche Meldung bei einem Phishing-Vorfall nötig ist.
Wie sorgen wir dafür, dass gestohlene Passwörter nicht gleich Schaden anrichten?
Mit einem zweiten Türschloss. Selbst wenn ein Passwort über Phishing abgegriffen wird, kommen Angreifer mit aktivierter Zwei-Faktor-Authentifizierung nicht ins Konto, weil ihnen der zweite Faktor fehlt, meist ein Code auf dem Handy. Für Firmenkonten, Microsoft 365 und Onlinebanking sollte das der Standard sein. Es ist die wirksamste Einzelmaßnahme gegen die Folgen von Phishing.
Wie fangen wir mit dem Schutz an, und lohnt sich Hilfe von außen?
Am besten mit einer nüchternen Bestandsaufnahme. Zu klären ist: Wie leicht kommen Phishing-Mails bei euch durch, sind die Konten mit Zwei-Faktor-Authentifizierung geschützt, und wissen die Mitarbeiter, was im Ernstfall zu tun ist? Daraus wird ein einfacher Plan aus Technik, Schulung und Notfallregeln. Genau so einen Phishing-Schutz richtet Systempartner Hagen für Unternehmen in Hagen, Iserlohn, Schwerte, Dortmund und Umgebung ein, mit klaren Regeln statt Zettelwirtschaft.
