Lesezeit: 7 Minuten

Phishing erkennen und abwehren – IT-Sicherheit für Unternehmen 

Phishing-Angriffe gehören zu den häufigsten Methoden der Cyberkriminalität. Dabei werden gefälschte E-Mails, Webseiten, Nachrichten, Telefonanrufe oder QR-Codes eingesetzt, um vertrauliche Informationen zu stehlen oder bestimmte Handlungen auszulösen. Im Fokus stehen häufig Passwörter, Zugangsdaten, Zahlungsinformationen und interne Unternehmensdaten.

Die Angreifenden geben sich dabei als vertrauenswürdige Personen oder Organisationen aus. Eine Nachricht kann beispielsweise scheinbar von der Geschäftsleitung, der Hausbank, einem Kunden, einem Lieferanten oder einer Behörde stammen. Durch die täuschend echte Gestaltung wird der Eindruck erweckt, dass eine legitime Handlung erforderlich ist.

Phishing eine Gefahr für Unternehmen und Organisationen

Für Unternehmen jeder Größe und Branche sowie für Steuerberatungskanzleien stellt Phishing deshalb ein ernstzunehmendes Risiko dar. Ein einziger unbedachter Klick kann ausreichen, um Angreifenden den Zugang zu einem E-Mail-Konto, einer Cloud-Anwendung oder einem internen Netzwerk zu ermöglichen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zählt Phishing weiterhin zu den größten Bedrohungen für Unternehmen und Privatpersonen.

Blog-Tipp: Grundlagen in der IT-Sicherheit – Was Unternehmen beachten sollten

Was sind Phishing-Angriffe?

Unter einem Phishing-Angriff wird der Versuch verstanden, eine Person durch Täuschung zu einer bestimmten Handlung zu bewegen. In vielen Fällen soll ein Link geöffnet, ein Dateianhang heruntergeladen oder eine gefälschte Webseite besucht werden. Dort werden die Betroffenen zur Eingabe von Zugangsdaten oder anderen vertraulichen Informationen aufgefordert.

Manchmal geht es auch darum, eine Zahlung freizugeben, eine Rechnung zu begleichen oder eine Änderung von Bankdaten zu bestätigen. Ebenso können manipulierte Anhänge Schadsoftware enthalten, die nach dem Öffnen unbemerkt auf dem Gerät installiert wird.

Phishing nicht mehr nur per E-Mail

Phishing findet längst nicht mehr ausschließlich per E-Mail statt. Beim sogenannten Spear-Phishing werden Nachrichten gezielt auf einzelne Personen oder Unternehmen zugeschnitten. Dafür können Informationen von der Unternehmenswebseite, aus sozialen Netzwerken oder aus vorherigen E-Mail-Verläufen genutzt werden.

Eine weitere bekannte Variante ist der CEO-Fraud. Dabei wird vorgegeben, dass eine Nachricht von der Geschäftsleitung stammt. Häufig wird eine dringende Überweisung verlangt oder die Weitergabe vertraulicher Informationen angeordnet. Der erzeugte Zeitdruck soll verhindern, dass die Anweisung sorgfältig überprüft wird.

Beim Quishing werden QR-Codes für den Angriff verwendet. Nach dem Scannen wird auf eine manipulierte Webseite weitergeleitet, auf der beispielsweise Zugangsdaten abgefragt werden. Das BSI weist auf die zunehmende Verbreitung dieser Methode hin, da QR-Codes in vielen alltäglichen und geschäftlichen Situationen eingesetzt werden.

Auch SMS, Messenger und Telefonanrufe können für Phishing genutzt werden. Beim sogenannten Smishing erfolgt der Angriff per SMS oder Kurznachricht, während beim Vishing telefonisch versucht wird, an vertrauliche Informationen zu gelangen. Durch moderne technische Möglichkeiten können Nachrichten inzwischen sehr professionell formuliert und Stimmen künstlich erzeugt werden. Dadurch wird es schwieriger, betrügerische Kommunikationsversuche allein anhand von Rechtschreibfehlern oder einem ungewöhnlichen Sprachstil zu erkennen.

Blog-Tipp: Awareness in der IT-Sicherheit – regelmäßig aktuell halten

Warum Phishing für Unternehmen so gefährlich ist

Phishing betrifft nicht nur einzelne E-Mail-Postfächer. Ein erfolgreicher Angriff kann weitreichende Folgen für die gesamte IT-Infrastruktur und den Geschäftsbetrieb haben.

Werden Zugangsdaten erbeutet, können Angreifende auf E-Mail-Konten, Cloud-Dienste, CRM-Systeme, Finanzanwendungen oder interne Netzwerke zugreifen. Ein betroffenes E-Mail-Konto kann anschließend dazu verwendet werden, weitere Nachrichten an Kunden, Lieferanten oder Geschäftspartner zu versenden. Diese Nachrichten wirken besonders glaubwürdig, weil sie von einer tatsächlich bekannten Adresse stammen.

Phishing ist außerdem häufig nur der erste Schritt einer größeren Cyberattacke. Über einen manipulierten Anhang oder einen schädlichen Link kann Schadsoftware eingeschleust werden. Im weiteren Verlauf können Systeme ausspioniert, Daten gestohlen oder Dateien verschlüsselt werden. Bei einem Ransomware-Angriff wird für die Wiederherstellung der Daten häufig ein Lösegeld verlangt.

Finanzielle Schäden durch gefälschte Zahlungsaufforderungen

Auch unmittelbare finanzielle Schäden sind möglich. So können gefälschte Zahlungsanweisungen dazu führen, dass Überweisungen auf Konten der Angreifenden vorgenommen werden. Besonders gefährlich ist es, wenn zuvor ein E-Mail-Konto übernommen wurde. In diesem Fall können echte Kommunikationsverläufe beobachtet und Zahlungsprozesse gezielt manipuliert werden.

Darüber hinaus besteht das Risiko, dass vertrauliche Unternehmensdaten abfließen. Dazu zählen Kundendaten, Personalinformationen, Verträge, Kalkulationen, Zugangsdaten und interne Dokumente. Neben den direkten finanziellen Folgen können Datenschutzverletzungen, Betriebsunterbrechungen und ein erheblicher Vertrauensverlust entstehen.

Warum Steuerberater ein attraktives Angriffsziel sind

Steuerberatungskanzleien arbeiten mit besonders sensiblen Informationen. Dazu gehören unter anderem Steuerunterlagen, Jahresabschlüsse, Gehaltsdaten, Bankverbindungen und persönliche Daten von Mandanten. Gleichzeitig stehen Kanzleien regelmäßig mit Mandanten, Behörden, Banken und weiteren Geschäftspartnern in digitalem Austausch.

Diese Kombination macht Steuerberater zu einem attraktiven Ziel für Cyberkriminelle. Gefälschte Nachrichten können beispielsweise vorgeben, von einem Mandanten zu stammen und eine neue Bankverbindung mitzuteilen. Ebenso können Zahlungsaufforderungen, angebliche Steuerbescheide oder vermeintliche Nachrichten von Finanzbehörden als Täuschungsversuch eingesetzt werden.

Auch digitale Beleg- und Dokumentenprozesse können für Angriffe missbraucht werden. Eine gefälschte Nachricht kann dazu auffordern, sich auf einer angeblichen Plattform anzumelden oder ein Dokument herunterzuladen. Werden die Zugangsdaten auf der manipulierten Webseite eingegeben, gelangen sie direkt in die Hände der Angreifenden.

Blog-Tipp: Wie gelingt die Digitalisierung von Steuerkanzleien und Unternehmen?

Mandantendaten als Angriffsziel

Eine besondere Gefahr besteht darin, dass eine Kanzlei häufig Informationen von vielen Mandanten verarbeitet. Wird ein Kanzleikonto kompromittiert, können daher nicht nur die eigenen Systeme, sondern auch zahlreiche Mandanten und Geschäftspartner betroffen sein.

Phishing erkennen: Typische Warnsignale

Phishing-Nachrichten sind nicht immer sofort als Fälschung erkennbar. Moderne Angriffe werden häufig gezielt vorbereitet und wirken sprachlich sowie optisch professionell. Eine Nachricht sollte daher nicht allein deshalb als vertrauenswürdig eingestuft werden, weil sie fehlerfrei formuliert ist oder ein bekanntes Logo enthält.

Ein wichtiges Warnsignal ist ungewöhnlicher Zeitdruck. Formulierungen wie „sofort handeln“, „letzte Warnung“ oder „Ihr Konto wird heute gesperrt“ sollen dazu führen, dass eine Handlung ohne ausreichende Prüfung vorgenommen wird. Auch die Aufforderung, Zugangsdaten, Passwörter, TANs oder andere vertrauliche Informationen über einen Link einzugeben, sollte misstrauisch machen.

Absender prüfen

Die vollständige Absenderadresse sollte ebenfalls geprüft werden. Eine scheinbar bekannte Domain kann leicht verändert worden sein. Oft wird nur ein einzelner Buchstabe ausgetauscht oder eine ähnlich aussehende Internetadresse verwendet.

Besondere Vorsicht ist bei unerwarteten Zahlungsanweisungen geboten. Wenn kurzfristig eine Bankverbindung geändert oder eine dringende Überweisung verlangt wird, sollte die Information über einen bereits bekannten und unabhängigen Kommunikationsweg bestätigt werden. Ein Rückruf unter einer bekannten Telefonnummer ist deutlich sicherer, als die Kontaktdaten aus der verdächtigen E-Mail zu verwenden.

Auch Links und Anhänge sollten sorgfältig geprüft werden. Das sichtbare Linkziel kann von der tatsächlich aufgerufenen Adresse abweichen. Unerwartete Office-Dokumente, komprimierte Archive und ausführbare Dateien sollten nicht geöffnet werden, bevor ihre Herkunft eindeutig geklärt wurde.

Im nächsten Teil dieses Blogs lesen Sie, wie Sie Phishing verhindern können und welche Maßnahmen Sie ergreifen sollten.

Das Team von MC-Netzwerke betreut Steuerberater, Unternehmen und andere Organisationen bundesweit im Bereich Digitalisierung und unterstützt diese auch im Bereich IT-Sicherheit und Cloud-Lösungen. Nehmen Sie einfach mit uns Kontakt auf und wir erstellen Ihnen gerne ein praxisnahes und individuelles Angebot.

Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit.

Sollten Sie sich unsicher sein, ob Ihre IT-Lösung Schwachstellen hat, nehmen Sie gerne mit uns Kontakt auf.