Phishing

Warum es wichtig ist

Phishing bleibt der häufigste Angriffsvektor für Cyberangriffe. Trotz jahrzehntelanger Aufklärung sind Phishing-Angriffe nach wie vor effektiv, da sie menschliche Psychologie statt technischer Schwachstellen ausnutzen – ein Kernelement des Social Engineering.

Die Zahlen sind eindeutig: Ein Großteil aller erfolgreichen Sicherheitsverletzungen beginnt mit einer Phishing-E-Mail. Egal wie ausgereift die technischen Kontrollen einer Organisation sind – ein einziger Mitarbeiter, der auf einen bösartigen Link klickt, kann alle anderen Verteidigungsmaßnahmen umgehen.

Phishing-Angriffe haben sich weiterentwickelt. Heutige Angriffe sind oft hochgradig zielgerichtet, gut recherchiert und täuschend realistisch. Sie reichen von massenhaft versendeten Credential-Harvesting-Versuchen bis zu sorgfältig gestalteten Spear-Phishing-Kampagnen gegen spezifische Führungskräfte.

Für Sicherheitsexperten ist das Verständnis von Phishing unerlässlich – ob Sie Security-Awareness-Programme gestalten, E-Mail-Sicherheitskontrollen implementieren oder Phishing-Vorfälle untersuchen.

Wie Phishing funktioniert

Anatomie eines Phishing-Angriffs

Komponenten effektiven Phishings:

1. Absender-Identität
 - Legitim erscheinende Adresse
 - Bekannter Markenname
 - Vertrauenswürdige Person

2. Dringlichkeit/Emotionaler Appell
 - "Ihr Konto wurde kompromittiert"
 - "Letzte Mahnung"
 - "Exklusives Angebot läuft ab"

3. Call to Action
 - Link zu gefälschter Seite
 - Anhang öffnen
 - Mit Informationen antworten

4. Legitimität-Signale
 - Professionelles Design
 - Markenlogos
 - Ähnliche Domain-Namen

Phishing-Typen

Massen-Phishing

Generische Nachrichten an große Empfängerlisten versenden. Niedrige Erfolgsquote pro E-Mail, aber effektiv durch Volumen.

Spear-Phishing

Zielgerichtete Angriffe auf spezifische Personen mit personalisierten Informationen.

Spear-Phishing-Beispiel:

Betreff: Folgeaktionen zum Verkaufsmeeting von letzter Woche

Hallo Thomas,

war schön, Sie letzte Woche beim Branchentreffen zu sehen!
Anbei die Präsentation, die ich erwähnt hatte.

Mit freundlichen Grüßen,
[Name einer echten Kontaktperson]

[Anhang: Folien.docx.exe]

Personalisierungselemente:
- Name des Empfängers
- Bezug auf echtes Event
- Name einer bekannten Person
- Kontextspezifischer Inhalt

Whaling

Spear-Phishing, das auf Führungskräfte (C-Level, Vorstände) abzielt.

Business Email Compromise (BEC)

Kompromittierte oder imitierte Geschäfts-E-Mail-Konten für betrügerische Anfragen.

BEC-Beispiel:

Von: geschaeftsfuehrer@firma.com (gefälscht oder kompromittiert)
An: buchhaltung@firma.com

Betreff: Dringende Überweisung

Ich bin gerade in einem wichtigen Meeting und brauche
eine dringende Überweisung für eine vertrauliche
Akquisition.

Bitte überweisen Sie 450.000€ an folgendes Konto:
[Kontodetails]

Dies ist zeitkritisch und vertraulich – bitte
besprechen Sie es mit niemandem.

Von meinem iPhone gesendet

Smishing und Vishing

• Smishing: Phishing per SMS
• Vishing: Phishing per Telefon

Clone-Phishing

Kopieren einer legitimen E-Mail mit ausgetauschten Links oder Anhängen.

Erkennungsindikatoren

E-Mail-Analyse

Warnsignale in E-Mails:

Absender:
- Ähnliche aber falsche Domain (firma-de.com statt firma.de)
- Kostenloser E-Mail-Dienst für Geschäftskommunikation
- Anzeigename vs. tatsächliche Adresse unterschiedlich

Inhalt:
- Rechtschreibfehler und schlechte Grammatik
- Generische Anrede ("Sehr geehrter Kunde")
- Ungewöhnliche Dringlichkeit
- Bedrohungen oder Panikmache

Links:
- Hover zeigt andere URL als Text
- URL-Shortener
- Falsch geschriebene Domains
- HTTP statt HTTPS

Anhänge:
- Unerwartete Dateitypen
- Doppelte Erweiterungen (.pdf.exe)
- Aufforderung, Makros zu aktivieren

Technische Indikatoren

• SPF/DKIM/DMARC-Prüfung fehlgeschlagen
• Header-Anomalien
• Reputationsprüfung der Absender-Domain
• URL-Analyse

Verteidigungsstrategien

Technische Kontrollen

E-Mail-Sicherheit

• SPF, DKIM, DMARC implementieren
• E-Mail-Gateway mit Phishing-Erkennung
• URL-Filtering und -Rewriting
• Sandbox-Analyse von Anhängen
• Banner für externe E-Mails

Authentifizierung

• MFA für alle Konten
• Phishing-resistente MFA (FIDO2/WebAuthn)
• Conditional Access Policies

Browser-Schutz

• Safe Browsing aktivieren
• Phishing-Site-Blockierung
• Credential-Guard-Funktionen

Benutzer-Awareness

Effektives Security-Awareness-Programm:

Regelmäßiges Training:
- Pflichtschulungen jährlich
- Kurze monatliche Updates
- Rollenspezifische Inhalte

Phishing-Simulationen:
- Regelmäßige Testkampagnen
- Verschiedene Schwierigkeitsgrade
- Sofortiges Feedback bei Klick
- Kein "Blame and Shame"

Meldeprozess:
- Einfacher Report-Button
- Schnelles Feedback zu Meldungen
- Positive Verstärkung für Meldung

Metriken verfolgen:
- Klickraten über Zeit
- Melderaten
- Wiederholfälle

Incident Response

• Verdächtige E-Mails isolieren
• Betroffene Zugangsdaten sofort zurücksetzen
• Kompromittierungsumfang bestimmen
• Organisationsweite Warnung bei aktiven Kampagnen

Karriereverbindung

Phishing-Expertise ist relevant für Security-Awareness-Rollen, E-Mail-Sicherheit, Incident Response und Social-Engineering-Tests.