Verlassen Sie sich nicht mehr auf Sprache und Aussehen. Prüfen Sie stattdessen drei Dinge: Passt die Absenderadresse Zeichen für Zeichen? Wird eine Handlung unter Zeitdruck verlangt? Führt der Link dorthin, wo er zu führen vorgibt? Technisch helfen zwei Einstellungen im Mailsystem mehr als jede Schulung.
Was sich verändert hat
Bis vor wenigen Jahren war schlechtes Deutsch das zuverlässigste Erkennungsmerkmal. Das ist weggefallen. Texte werden heute maschinell erzeugt, sind grammatikalisch einwandfrei und übernehmen den Tonfall echter Geschäftskorrespondenz.
Hinzu kommt die Personalisierung. Angreifer lesen öffentlich verfügbare Informationen – Handelsregister, Website, berufliche Netzwerke – und bauen daraus eine glaubwürdige Geschichte: der Name der Geschäftsführerin, die Bank, mit der man arbeitet, ein laufendes Bauprojekt.
In der gefährlichsten Variante ist tatsächlich ein Postfach übernommen worden. Dann kommt die Nachricht aus einer echten Konversation, hängt sich an einen bestehenden Mailverlauf und ist inhaltlich stimmig.
Drei Prüfungen, die im Alltag funktionieren
Die Adresse Zeichen für Zeichen
Nicht den angezeigten Namen prüfen, sondern die tatsächliche Adresse – und dort auf vertauschte Buchstaben, zusätzliche Bindestriche oder eine andere Endung achten. Eine Adresse auf einer Domain, die der echten zum Verwechseln ähnlich sieht, ist das häufigste Muster.
Zeitdruck und Ausnahme
Fast jeder Angriff verlangt eine Handlung, die eilt und vom normalen Weg abweicht: eine Zahlung heute noch, eine geänderte Kontonummer, eine Freigabe ausserhalb des üblichen Ablaufs. Genau diese Kombination ist das Warnzeichen, unabhängig davon, wie gut die Mail aussieht.
Wohin der Link führt
Den Mauszeiger über den Link halten und die angezeigte Zieladresse lesen, ohne zu klicken. Auf dem Mobiltelefon: lange gedrückt halten. Was im Text steht, hat mit dem Ziel nichts zu tun.
Was technisch mehr hilft als jede Schulung
Schulungen sind sinnvoll, aber sie halten nicht ewig, und im hektischen Moment greift die Routine. Zwei Einstellungen wirken dauerhaft:
- Externe Absender sichtbar markieren. Eine Kennzeichnung im Betreff oder am Anfang der Nachricht, sobald sie von ausserhalb der eigenen Organisation kommt. Das enttarnt die häufigste Variante – die vermeintlich interne Mail – sofort.
- Absenderprüfung aktivieren. Die Verfahren SPF, DKIM und DMARC prüfen, ob eine Mail überhaupt von einem berechtigten Server Ihrer Domain stammt. Richtig eingestellt verhindert das, dass jemand in Ihrem Namen schreibt.
Beides ist in einem üblichen Mailsystem an einem halben Tag eingerichtet und kostet danach nichts. Der zweite Punkt schützt zusätzlich Ihre Kunden und Lieferanten vor Nachrichten in Ihrem Namen.
Was tun, wenn es passiert ist
Nicht der Klick ist der Schaden, sondern das, was danach passiert. Wer merkt, dass er Zugangsdaten eingegeben hat, sollte in dieser Reihenfolge handeln:
- Passwort ändern – zuerst für das betroffene Konto, dann für alle, die dasselbe Passwort hatten
- Sofort melden, intern und beim IT-Betreuer. Ohne Vorwurf; Verzögerung durch Scham ist der eigentliche Schaden
- Aktive Sitzungen beenden lassen, damit ein bereits erfolgter Zugriff getrennt wird
- Weiterleitungsregeln im Postfach prüfen – Angreifer richten häufig eine Kopie an sich selbst ein
Der letzte Punkt wird fast immer vergessen und ist der Grund, warum ein übernommenes Postfach oft monatelang mitgelesen wird.