"Ihr Konto muss bestätigt werden."
"Wir haben ungewöhnliche Aktivität festgestellt."

Viele von uns haben solche Nachrichten erhalten. Manche sind offensichtliche Betrugsversuche. Andere können sehr professionell aussehen – mit korrektem Logo, korrekter Sprache und Informationen, die die Nachricht schwer von einer echten Anfrage zu unterscheiden machen.

Im Jahr 2026 ist die Herausforderung noch größer geworden. Künstliche Intelligenz macht es einfacher, überzeugende Texte, Übersetzungen, Bilder und andere Kommunikationsformen zu produzieren.

Für Kleinunternehmen bedeutet das eine Sache:

Es ist wichtiger denn je zu wissen, wie man eine Nachricht überprüft, bevor man klickt, bezahlt oder Informationen teilt.

Was ist Phishing?

Phishing ist ein Versuch, Sie dazu zu bringen, Informationen preiszugeben oder eine Handlung auszuführen, die der Angreifer wünscht. Das könnte zum Beispiel sein, Sie dazu zu bringen:

  • Benutzername und Passwort anzugeben
  • Eine Anmeldung zu genehmigen
  • Auf einen schädlichen Link zu klicken
  • Einen gefährlichen Anhang zu öffnen
  • Eine gefälschte Rechnung zu bezahlen
  • Geld zu überweisen
  • Software zu installieren
  • Vertrauliche Informationen zu teilen

Der Angriff kann über E-Mail, SMS, Telefon, soziale Medien, Messaging-Apps, gefälschte Websites oder andere digitale Kanäle erfolgen.

Warum ist Phishing so effektiv?

Bei Phishing geht es oft weniger um Technologie und mehr um menschliche Psychologie. Die Nachricht versucht in der Regel zu erzeugen:

Dringlichkeit — "Sie müssen dies innerhalb von 24 Stunden erledigen."

Angst — "Ihr Konto wird gesperrt."

Neugier — "Sehen Sie die Fotos von der Veranstaltung."

Autorität — "Nachricht von der Bank."

Finanzieller Gewinn — "Sie haben gewonnen."

Vertrauen — "Hallo, hier ist der Chef. Kannst du das schnell erledigen?"

Das Ziel ist, den Empfänger zum Handeln zu bringen, bevor er die Nachricht überprüfen kann.

1. Schauen Sie sich den Absender genau an

Das Erste, was Sie überprüfen sollten, ist, wer die Nachricht tatsächlich gesendet hat. Eine Nachricht könnte aussehen, als käme sie von Microsoft, aber die Absenderadresse könnte support@micros0ft-example.com sein. Oder sie könnte aussehen, als käme sie von der Post, aber die Adresse könnte eine völlig andere Domain sein.

Schauen Sie sich daher die vollständige E-Mail-Adresse an. Vertrauen Sie nicht nur dem Namen, der oben angezeigt wird.

2. Seien Sie vorsichtig mit Links

Ein Link kann echt aussehen, ohne es tatsächlich zu sein. Beispiel: "Melden Sie sich bei Ihrem Konto an" kann völlig legitim aussehen. Aber der Link könnte zu einer gefälschten Website führen, die versucht, Ihre Anmeldedaten zu stehlen.

Eine gute Regel: Nutzen Sie den Link in der Nachricht nicht, wenn Sie unsicher sind. Öffnen Sie stattdessen den Browser und geben Sie die Adresse des Dienstes selbst ein, oder nutzen Sie eine als Lesezeichen gespeicherte offizielle Seite.

3. Lassen Sie sich nicht stressen

Das ist vielleicht der wichtigste Rat. Wenn die Nachricht sagt "Sie müssen das jetzt tun!", sollten Sie das Gegenteil tun:

Stoppen → die Nachricht erneut lesen → den Absender überprüfen → die Informationen prüfen → die Person oder das Unternehmen über einen bekannten Kanal kontaktieren

Dringlichkeit ist oft Teil der Manipulation.

4. Seien Sie besonders vorsichtig bei Zahlungen

Kleinunternehmen können besonders anfällig für Versuche sein, Mitarbeiter dazu zu bringen, gefälschte Rechnungen zu bezahlen oder Zahlungsinformationen zu ändern. Ein Beispiel:

"Hallo, wir haben das Bankkonto gewechselt. Bitte nutzen Sie das neue Konto für die nächste Zahlung."

Das kann wie eine normale Lieferantennachricht aussehen. Aber wenn das Bankkonto tatsächlich geändert wurde, sollte dies überprüft werden.

Rufen Sie den Lieferanten unter einer Telefonnummer an, die Sie bereits kennen. Nutzen Sie nicht die Telefonnummer, die in der verdächtigen Nachricht steht.

5. "Der Chef" schickt eine SMS

Ein häufiges Szenario könnte sein:

"Hallo, ich bin in einem Meeting. Kannst du ein paar Geschenkkarten kaufen und mir die Codes schicken?"

Die Nachricht scheint vielleicht von der Geschäftsführung zu kommen. Aber es könnte Betrug sein. Das ist ein Beispiel für sogenannten CEO-Betrug, bei dem der Angreifer versucht, Vertrauen und Autorität auszunutzen.

Erstellen Sie eine einfache Regel: Alle ungewöhnlichen Zahlungsanfragen sollten über einen anderen Kanal überprüft werden.

6. Passwörter dürfen niemals geteilt werden

Ein seriöser Lieferant sollte Sie nicht bitten, Ihr Passwort per E-Mail zu senden. Seien Sie auch vorsichtig, wenn jemand Sie bittet, Einmalcodes, BankID-Informationen, Sicherheitscodes, Authentifizierungscodes oder Wiederherstellungscodes anzugeben. Ein Angreifer kann die Informationen sofort nutzen.

7. Gefälschte Anmeldeseiten

Eine der häufigsten Techniken ist, eine Website zu erstellen, die wie ein bekannter Dienst aussieht. Sie kann Logo, Farben, Schriftarten, Buttons, Anmeldefelder und Layout kopieren. Sie könnten also glauben, sich beim echten Dienst anzumelden. Aber Benutzername und Passwort werden an den Angreifer gesendet.

Vertrauen Sie nicht nur darauf, wie eine Website aussieht. Überprüfen Sie die Adresse im Browser.

8. KI macht Betrug schwerer zu erkennen

Früher konnte schlechte Sprache ein Anzeichen für Phishing sein. Eine Nachricht voller Rechtschreibfehler konnte verdächtig sein. Das ist kein zuverlässiger Indikator mehr.

KI kann es einfach machen, gutes Deutsch, professionelles Englisch, überzeugende Nachrichten, persönliche Anfragen, Übersetzungen und gefälschte Dokumente zu produzieren.

Deshalb sollten Sie nicht denken: "Das ist gut geschrieben, also muss es echt sein." Schauen Sie stattdessen: Worum werde ich gebeten? Ist diese Anfrage erwartet? Kann ich sie auf andere Weise überprüfen?

9. Deepfakes und Stimmenbetrug

Künstliche Intelligenz kann auch genutzt werden, um Audio und Video zu erstellen oder zu manipulieren. Das kann es möglich machen, die Stimme, das Gesicht oder den Schreibstil einer Person nachzuahmen.

Für Unternehmen bedeutet das, dass ein Anruf oder eine Videonachricht nicht unbedingt ausreichender Identitätsnachweis ist, wenn die Anfrage erhebliche finanzielle oder sicherheitsrelevante Konsequenzen hat.

Bei größeren Transaktionen: Nutzen Sie etablierte Kontrollroutinen. Zum Beispiel:

Anruf → Kontrollfrage → schriftliche Bestätigung → Genehmigung

Lassen Sie nicht eine einzelne Nachricht oder ein Telefonat die einzige Kontrolle sein.

10. SMS-Phishing – "Smishing"

Phishing geschieht nicht nur per E-Mail. SMS wird auch genutzt. Das wird oft Smishing genannt. Beispiele könnten sein:

  • "Ihr Paket konnte nicht zugestellt werden."
  • "Zahlen Sie hier den Zoll."
  • "Ihre BankID muss aktualisiert werden."
  • "Ihr Strafzettel muss bezahlt werden."
  • "Sie haben eine unbezahlte Rechnung."

SMS haben eine zusätzliche Herausforderung: Auf dem Handy kann es schwerer sein, den vollständigen Link zu sehen.

Unsicher? Tippen Sie nicht darauf. Öffnen Sie den betreffenden Dienst über die offizielle App oder Website.

11. QR-Codes können ebenfalls missbraucht werden

QR-Codes sind zu einem natürlichen Teil des Alltags geworden. Sie werden in Restaurants, auf Plakaten, bei Zahlungen, bei Veranstaltungen, auf Produkten und Informationsschildern genutzt. Aber auch QR-Codes können genutzt werden, um den Nutzer auf eine gefälschte Website zu leiten. Sogenanntes Quishing ist Phishing über QR-Codes.

Nehmen Sie nicht an, dass ein QR-Code sicher ist, nur weil er professionell aussieht.

12. Was sollten Sie tun, wenn Sie bereits geklickt haben?

Das ist sehr wichtig: Geraten Sie nicht in Panik. Aber handeln Sie schnell. Wenn Sie auf einen verdächtigen Link geklickt haben:

1. Geben Sie keine weiteren Informationen ein.
2. Wenn Sie ein Passwort eingegeben haben – ändern Sie es. Tun Sie dies von einem sicheren Gerät aus, wenn Sie vermuten, dass das Gerät kompromittiert ist.
3. Aktivieren oder überprüfen Sie MFA.
4. Kontaktieren Sie den IT-Verantwortlichen oder Lieferanten.
5. Überprüfen Sie die Kontoaktivität.
6. Wenn finanzielle Informationen betroffen sind – kontaktieren Sie sofort die Bank.
7. Dokumentieren Sie, was passiert ist.

Das Wichtigste ist, schnell zu reagieren.

Was sollten Sie tun, wenn ein Mitarbeiter einen Fehler gemacht hat?

Das ist genauso wichtig wie die Technologie. Wenn ein Mitarbeiter auf den falschen Link klickt, sollte er sich sofort melden können. Schaffen Sie keine Kultur, in der Mitarbeiter Fehler verstecken, weil sie Angst vor der Reaktion haben.

Eine gute Sicherheitskultur macht es möglich zu sagen:

"Ich glaube, ich habe auf etwas Verdächtiges geklickt."

so früh wie möglich. Zwei Minuten nach dem Vorfall können weit besser sein als zwei Tage danach.

Erstellen Sie eine einfache "Stopp – Prüfen – Bestätigen"-Regel

STOPP
Nicht klicken. Nicht bezahlen. Nicht antworten. Keine Informationen teilen.

PRÜFEN
Wer sendet? Worum werde ich gebeten? Ist das erwartet? Sieht der Link richtig aus?

BESTÄTIGEN
Kontaktieren Sie den Absender über einen bekannten Kanal. Lassen Sie einen Kollegen die Nachricht ansehen. Rufen Sie den Lieferanten an. Überprüfen Sie die Zahlungsinformationen.

Erst dann handeln Sie.

Eine Checkliste für Mitarbeiter

Bevor Sie auf einen Link klicken oder einen Anhang öffnen:

  • Kenne ich den Absender?
  • Habe ich diese Nachricht erwartet?
  • Ist die E-Mail-Adresse korrekt?
  • Ist der Link korrekt?
  • Werde ich nach Passwort oder Sicherheitscode gefragt?
  • Werde ich unter Druck gesetzt, schnell zu handeln?
  • Geht es um Geld?
  • Hat mich jemand gebeten, eine Kontonummer zu ändern?
  • Kann ich die Anfrage über einen anderen Kanal überprüfen?

Wenn sich etwas falsch anfühlt: stoppen.

So kann Ihr Kleinunternehmen das Risiko reduzieren

Technologie und Routinen sollten kombiniert werden. Das Unternehmen sollte unter anderem in Betracht ziehen:

MFA — bei wichtigen Konten.
Passwort-Manager — für einzigartige Passwörter.
E-Mail-Schutz — mit relevanten Spam- und Phishing-Filtern.
Backups — für wichtige Daten.
Updates — von Software und Systemen.
Zugriffsverwaltung — Mitarbeiter sollten nur den notwendigen Zugang haben.
Schulung — Mitarbeiter sollten häufige Betrugsversuche erkennen.
Zahlungsroutinen — größere oder ungewöhnliche Zahlungen sollten überprüft werden.
Notfallplan — alle sollten wissen, was zu tun ist, wenn etwas schiefgeht.

Sicherheit ist eine gemeinsame Verantwortung

Cybersicherheit ist nicht nur Aufgabe der IT-Abteilung. Ein kleines Unternehmen hat vielleicht gar keine IT-Abteilung. Dann wird Sicherheit zu einer gemeinsamen Verantwortung: Geschäftsführung, Mitarbeiter, Buchhalter, Webentwickler und Lieferanten. Jeder mit Zugang zu den digitalen Systemen des Unternehmens spielt eine Rolle.

1Fremdrift – Sicherheit als Teil der digitalen Lösung

Wenn ein Unternehmen eine neue Website oder digitale Lösung entwickelt, sollte Sicherheit von Anfang an dabei sein. Das umfasst unter anderem sichere Anmeldung, Zugriffsverwaltung, Updates, Backup, Serverkonfiguration, HTTPS, Datenschutz, Formulare, Integrationen und Lieferantenzugang.

Sicherheit sollte nicht etwas sein, das man später hinzufügt. Sie sollte von Anfang an in die Lösung eingebaut werden.

Bei 1Fremdrift betrachten wir daher Websites und digitale Lösungen als mehr als Design und Funktionalität. Eine gute Lösung soll benutzerfreundlich, schnell, zugänglich, wartbar und sicher sein.

SIE HABEN EINE IDEE. WIR SCHAFFEN FREMDRIFT.

Mit 1FREMDRIFT sprechen →

Fazit

Phishing wird nicht so bald leichter zu erkennen sein – im Gegenteil macht künstliche Intelligenz es zunehmend schwerer, eine gefälschte Nachricht von einer echten zu unterscheiden. Aber die meisten Versuche können mit denselben einfachen Maßnahmen aufgedeckt werden: stoppen, den Absender überprüfen und über einen bekannten Kanal bestätigen, bevor Sie klicken, bezahlen oder Informationen teilen.

Das Wichtigste ist nicht, sich nicht davon täuschen zu lassen, dass eine Nachricht professionell aussieht. Das Wichtigste ist, die Gewohnheit zu haben, vor dem Handeln zu überprüfen – und eine Kultur, in der Mitarbeiter sich trauen, sich zu melden, sobald sich etwas falsch anfühlt.

So baut ein kleines Unternehmen einen sicheren digitalen Alltag auf, ohne dass es ein großes Sicherheitsbudget erfordert.