Was ist Phishing? So erkennen Sie den Angriff

Zuletzt aktualisiert: 19. August 2026 · Lesezeit: etwa 13 Minuten · Für Geschäftsführung, IT-Leitung und Sicherheitsverantwortliche

Phishing ist der Angriff, mit dem fast alles andere anfängt. Die EU-Agentur ENISA ordnete zwischen Juli 2024 und Juni 2025 rund 60 Prozent aller beobachteten Erstzugriffe dem Phishing und seinen Verwandten zu, mehr als jeder anderen Methode (ENISA Threat Landscape 2025). In Deutschland meldeten 22 Prozent der Unternehmen für die vergangenen zwölf Monate einen konkreten Schaden durch Phishing (Bitkom, Wirtschaftsschutz 2025).

Das Tückische daran ist die Tarnung. Ein Phishing-Angriff sieht nicht nach einem Angriff aus, sondern nach einer Rechnung, einer Terminverschiebung oder einer Nachricht der eigenen IT-Abteilung. Dieser Beitrag erklärt, was Phishing ist, an welchen Merkmalen Sie es erkennen, welche Formen 2026 wirklich zählen und was zu tun ist, wenn doch jemand geklickt hat.

Kurz gesagt: Phishing ist der Versuch, über eine gefälschte Nachricht an Zugangsdaten, Geld oder Systemzugriff zu kommen. Erkennbar ist es an vier Dingen: ein unerwarteter Anlass, künstlicher Zeitdruck, ein Absender, der bei genauem Hinsehen nicht stimmt, und die Aufforderung, sich über einen mitgelieferten Link anzumelden. Prüfen Sie den Anlass über einen zweiten, selbst gewählten Kanal, klicken Sie nicht und melden Sie die Nachricht Ihrer IT. Technisch schützt phishing-resistente Mehr-Faktor-Authentifizierung am zuverlässigsten.

Was ist Phishing? Definition und Funktionsweise

Phishing ist ein Betrugsversuch, bei dem Angreifer sich als vertrauenswürdiger Absender ausgeben, um an Zugangsdaten, Zahlungen oder Zugriff auf ein System zu gelangen. Das Wort ist ein Kunstbegriff aus dem englischen fishing für Angeln und password. Das Bild trifft die Sache: Die Täter werfen einen Köder aus und warten, wer anbeißt.

Anders als beim Ausnutzen einer Softwarelücke greift Phishing keine Technik an, sondern eine Erwartung. Die Nachricht funktioniert, weil sie zu etwas passt, das im Arbeitsalltag ohnehin ständig vorkommt: eine offene Rechnung, ein abgelaufenes Passwort, ein geteiltes Dokument. Das BSI beschreibt genau dieses Vorgehen, wenn es davor warnt, dass Kriminelle Logo, Farbgebung und Schriftarten bekannter Marken sorgfältig nachbauen und sich als seriöse Bank, Internetanbieter oder Dienstleister ausgeben.

Wichtig für das Verständnis: Phishing ist kein Kanal, sondern eine Methode. Sie funktioniert per E-Mail, per SMS, am Telefon, über einen QR-Code auf Papier, in Microsoft Teams, über LinkedIn oder in einer Kalendereinladung. Wer nur den Posteingang absichert, sichert heute noch etwa die Hälfte der Angriffsfläche ab.

Warum Phishing 2026 gefährlicher ist als je zuvor

Phishing ist gleichzeitig sehr häufig und sehr billig geworden, und die Erkennung an schlechter Sprache funktioniert nicht mehr. Microsoft Threat Intelligence erfasste allein im ersten Quartal 2026 rund 8,3 Milliarden E-Mail-Bedrohungen und im zweiten Quartal weitere 7,6 Milliarden. Die Anti-Phishing Working Group zählte für das erste Quartal 2026 weltweit 971.181 einzelne Phishing-Angriffe, ein Plus von 13,8 Prozent gegenüber dem Vorquartal, verteilt auf 766 nachgeahmte Marken.

Kennzahl	Wert	Quelle und Zeitraum
Anteil Phishing an allen beobachteten Erstzugriffen (EU)	60 %	ENISA Threat Landscape 2025 (Juli 2024 bis Juni 2025)
Erfasste E-Mail-Bedrohungen weltweit	8,3 Mrd.	Microsoft Threat Intelligence (Q1 2026)
Einzelne Phishing-Angriffe weltweit	971.181	APWG (Q1 2026)
Unternehmen mit Phishing-Schaden in Deutschland	22 %	Bitkom Wirtschaftsschutz 2025 (12 Monate)
Anteil der Datenpannen mit menschlichem Faktor	62 %	Verizon DBIR 2026
Mittlere Zeit vom Öffnen einer Phishing-Mail bis zum Klick	21 Sekunden	Verizon DBIR 2025

Hinter dem Volumen steckt Arbeitsteilung. Phishing wird als Dienstleistung verkauft, mit fertigen Baukästen, gehosteten Köderseiten und Support. Wer angreifen will, muss nichts mehr können, sondern nur noch mieten. Dazu kommt Künstliche Intelligenz: Laut Bitkom setzen die Täter inzwischen bei rund der Hälfte aller Angriffe KI ein, unter anderem für überzeugendere Phishing-Nachrichten. Verizon ordnet 44 Prozent der KI-gestützten Erstzugriffe dem Phishing zu.

Praktische Folge für Ihre Belegschaft: Die alte Faustregel, dass man Phishing an Rechtschreibfehlern und holprigem Deutsch erkennt, ist nicht mehr belastbar. Eine fehlerfreie, perfekt formulierte Mail ist heute kein Echtheitsnachweis, sondern Normalfall.

Wie viel Phishing wird wirklich zum Einbruch? Zwei Zahlen, die sich zu widersprechen scheinen

ENISA nennt für Phishing einen Anteil von 60 Prozent am Erstzugriff, Verizon nur 16 Prozent. Beide haben recht, weil sie Unterschiedliches zählen. Diese Diskrepanz ist kein Detail für Statistiker, sondern entscheidet darüber, wie Sie Ihr Budget verteilen. Deshalb lohnt der genaue Blick.

Quelle	Was gezählt wird	Phishing	Schwachstellen
ENISA Threat Landscape 2025	4.875 beobachtete Vorfälle in der EU, inklusive Versuchen ohne bestätigten Einbruch	60 %	21,3 %
Verizon DBIR 2026	Über 22.000 bestätigte Datenpannen weltweit	16 %	31 %

ENISA selbst weist darauf hin, dass rund 27 Prozent der beobachteten Phishing-Fälle nachweislich zu einem Einbruch führten, während der Ausgang der übrigen Fälle unklar blieb. Verizon wiederum zählt nur bestätigte Datenpannen und führt Identitätsangriffe in drei getrennten Kategorien: Phishing mit 16 Prozent, Missbrauch gestohlener Zugangsdaten mit 13 Prozent und Pretexting, also die vorgetäuschte Gesprächssituation am Telefon oder im Chat, mit 6 Prozent. Zusammengenommen ergibt sich ein deutlich anderes Bild als die 16 Prozent allein.

Die belastbare Lesart lautet also: Phishing ist mit Abstand der häufigste Angriffsversuch und bleibt einer der häufigsten erfolgreichen Einstiege, auch wenn das Ausnutzen ungepatchter Schwachstellen 2026 die gestohlenen Zugangsdaten erstmals in der 19-jährigen Geschichte des Verizon-Berichts vom ersten Platz verdrängt hat. Wer nur eines von beidem absichert, lässt die jeweils andere Tür offen.

Woran erkennen Sie eine Phishing-Nachricht? Neun Merkmale

Einzelne Merkmale beweisen nichts, aber zwei oder drei zusammen sind ein verlässliches Warnsignal. Die folgende Liste ist nach Aussagekraft sortiert. Die ersten drei Punkte tragen am meisten, weil sie auch dann greifen, wenn die Nachricht sprachlich und optisch einwandfrei ist.

Merkmal	Worauf Sie konkret achten
1. Unerwarteter Anlass	Sie haben nichts bestellt, nichts angefragt, kein Dokument erwartet. Der häufigste und beste einzelne Indikator.
2. Künstlicher Zeitdruck	Fristen von wenigen Stunden, angedrohte Sperrung, Mahngebühren. Druck soll das Nachdenken abkürzen.
3. Aufforderung zur Anmeldung über den Link	Kein seriöser Anbieter verlangt, dass Sie sich ausgerechnet über den Link in dieser Nachricht anmelden.
4. Absenderadresse stimmt nicht ganz	Tippfehlervarianten bekannter Marken (Typo-Squatting) oder ein Markenname, der irgendwo in einer fremden Domain steckt (Brand-Jacking). Beide Techniken hebt das BSI ausdrücklich hervor.
5. Linkziel weicht vom Linktext ab	Fahren Sie mit der Maus über den Link, ohne zu klicken, und lesen Sie die tatsächliche Zieladresse in der Statuszeile.
6. Anhang, den Sie öffnen sollen, um weiterzukommen	Besonders PDF-Dateien: Im März 2026 steckten 70 Prozent aller QR-Code-Angriffe in einem PDF-Anhang.
7. QR-Code statt Link	Ein QR-Code verlagert den Klick auf das private Smartphone, wo weder Filter noch geschulter Blick greifen.
8. Ungewöhnliche Zahlungs- oder Datenanfrage	Geänderte Bankverbindung, eilige Überweisung, Gehaltsdaten, Kundenlisten. Typisch für Angriffe auf die Geschäftskommunikation.
9. MFA-Abfrage, die Sie nicht ausgelöst haben	Eine Push-Benachrichtigung ohne eigenen Anmeldeversuch bedeutet: Jemand hat Ihr Passwort bereits.

Merkmal neun verdient besondere Aufmerksamkeit, weil es das einzige ist, das erst nach dem eigentlichen Diebstahl auftaucht. Wer eine unerwartete Bestätigungsanfrage einfach wegdrückt, statt sie zu melden, verschenkt die letzte Warnung vor der Übernahme des Kontos.

Die wichtigsten Phishing-Arten im Überblick

Phishing hat den Posteingang längst verlassen. Verizon stellte 2026 fest, dass 41 Prozent der Angriffe über Social Engineering nicht per E-Mail liefen. Noch aufschlussreicher ist die Reaktion der Belegschaft: In Simulationen liegen die Klickraten bei Anrufen und SMS rund 40 Prozent höher als bei E-Mails. Jahrelange Schulung hat Misstrauen gegenüber dem Posteingang erzeugt, aber nicht gegenüber dem Telefon.

Art	Kanal	Typisches Vorgehen
Massen-Phishing	E-Mail	Millionenfach versandte Standardnachricht im Namen einer bekannten Marke, ohne Bezug zum Empfänger.
Spear-Phishing	E-Mail, Teams, LinkedIn	Auf eine Person zugeschnitten, mit echten Namen, Projekten und Terminen aus öffentlichen Quellen.
Whaling und CEO-Betrug	E-Mail, Telefon	Angriff auf oder im Namen der Geschäftsleitung, meist mit dem Ziel einer eiligen Überweisung.
Smishing	SMS, Messenger	Kurznachricht mit Paket-, Zoll- oder Bankbezug. Große Organisationen sehen im Median 48 SMS-Kampagnen pro Jahr.
Vishing	Telefon, Teams-Anruf	Angeblicher IT-Support bittet um Bestätigung einer Anmeldung. Teams-basierte Anrufe erreichten Mitte 2026 das Zehnfache des Vorjahresniveaus.
Quishing	QR-Code in PDF, Aushang, Aufkleber	Der Link steckt im Bild und ist für Textfilter unsichtbar. Das BSI dokumentiert überklebte QR-Codes an Parkautomaten deutscher Städte.
ClickFix	Webseite, gefälschte Fehlermeldung	Der Nutzer wird angeleitet, einen Befehl selbst zu kopieren und auszuführen, und umgeht damit die Schutzmechanismen eigenhändig.
Consent-Phishing	OAuth-Zustimmungsdialog	Statt eines Passworts wird die Berechtigung für eine App abgefragt. Der Zugriff überlebt jede Passwortänderung.

Zwei Zeilen dieser Tabelle folgen einer anderen Logik als der Rest. Spear-Phishing und Whaling zielen auf eine bestimmte Person und entfernen dabei genau die Merkmale, an denen sich Phishing sonst erkennen lässt. Wie solche Angriffe vorbereitet werden und welche Regel dagegen zuverlässig hilft, steht im Beitrag Spear Phishing: die gezielte Attacke auf Ihr Team.

Quishing zeigt besonders deutlich, warum reine E-Mail-Filter an Grenzen stoßen. Microsoft beobachtete zwischen Januar und März 2026 einen Anstieg der QR-Code-Angriffe von 7,6 Millionen auf 18,7 Millionen pro Monat, also um 146 Prozent. Der Grund ist einfach: Ein QR-Code ist ein Bild. Ein Filter, der Textlinks prüft, sieht dort nichts Verdächtiges, und der Beschäftigte scannt ihn mit dem privaten Telefon, das gar nicht in Ihrer Verwaltung ist.

Wie ein Phishing-Angriff wirklich abläuft

Der Klick ist nicht das Ende des Angriffs, sondern sein Anfang. Was danach passiert, entscheidet über den Schaden. Die folgende Kette ist das Muster, das in den meisten Untersuchungen auftaucht.

1. Vorbereitung. Die Angreifer sammeln Namen, Rollen und Zuständigkeiten aus öffentlichen Quellen und richten eine Domain ein, die der echten ähnelt.
2. Zustellung. Die Nachricht geht raus, per Mail, SMS, Teams oder Telefon, mit einem Anlass, der zum Arbeitsalltag des Empfängers passt.
3. Köderseite. Der Link führt auf eine Anmeldeseite, die dem Original gleicht. Moderne Baukästen schalten sich dabei als unsichtbarer Vermittler zwischen Opfer und echten Dienst.
4. Diebstahl. Erfasst werden nicht nur Benutzername und Passwort, sondern auch der Bestätigungscode und, entscheidend, das Sitzungstoken, das der echte Dienst nach erfolgreicher Anmeldung ausstellt.
5. Übernahme. Mit dem gestohlenen Token meldet sich der Angreifer an, ohne erneut einen zweiten Faktor zu benötigen. Für die Protokolle sieht das aus wie eine normale Anmeldung.
6. Ausweitung. Es folgen Postfachregeln, die Warnhinweise wegsortieren, das Mitlesen von Rechnungsverkehr, weitere Phishing-Mails von einem nun echten internen Absender und häufig genug am Ende die Verschlüsselung.

Schritt sechs ist der Punkt, an dem aus einem Klick ein Betriebsstillstand wird. Gestohlene Zugangsdaten sind die Ware, mit der sogenannte Zugangsvermittler handeln, und Ransomware-Gruppen kaufen sich damit den Einstieg. Wie diese zweite Hälfte abläuft und wie Sie sie stoppen, lesen Sie im Beitrag Was ist Ransomware, und wie stoppt man sie?

Warum Mehr-Faktor-Authentifizierung allein nicht mehr genügt

Mehr-Faktor-Authentifizierung bleibt eine der wirksamsten Einzelmaßnahmen, aber die verbreiteten Varianten mit Code oder Push lassen sich in Echtzeit umgehen. Der Angreifer schaltet seine Köderseite als Vermittler zwischen Sie und den echten Dienst. Sie geben Ihr Passwort ein, es wird durchgereicht, Sie bestätigen brav den zweiten Faktor, und der Angreifer fängt das ausgestellte Sitzungstoken ab. Ab diesem Moment ist er angemeldet, und Ihre Passwortänderung ändert daran nichts.

Wie industriell das betrieben wird, zeigt ein Fall aus dem laufenden Jahr. Eine einzelne Phishing-Plattform verschickte in der zweiten Jahreshälfte 2025 durchschnittlich 15,1 Millionen Nachrichten pro Monat. Nach einer Abschaltaktion im März 2026 brach das damit verbundene Volumen um 92 Prozent ein, auf rund 1,2 Millionen Nachrichten monatlich zum Ende des zweiten Quartals (Microsoft Threat Intelligence, Q2 2026). Zwei Lehren stecken darin: Der Markt ist hoch konzentriert, und koordiniertes Vorgehen wirkt tatsächlich.

Der Ausweg auf Ihrer Seite heißt phishing-resistente Anmeldung. Passkeys und FIDO2-Sicherheitsschlüssel binden die Anmeldung kryptografisch an die echte Adresse des Dienstes. Eine nachgebaute Seite bekommt schlicht keine gültige Antwort, unabhängig davon, wie überzeugend sie aussieht. Microsoft beziffert die Wirkung solcher Verfahren auf über 99 Prozent der identitätsbasierten Angriffe. Für Microsoft-365- und Entra-ID-Umgebungen erklären wir die Bausteine auf der Seite Microsoft-Sicherheit.

Der Prüfblick: eine verdächtige Nachricht in 60 Sekunden einordnen

Sie haben weniger Zeit, als Sie denken. Verizon maß für 2025 eine mittlere Zeitspanne von 21 Sekunden zwischen dem Öffnen einer Phishing-Mail und dem Klick, während die typische Meldung an die IT erst nach 28 Minuten eintraf. In diesem Fenster arbeitet der Angreifer ungestört. Die folgenden Schritte kosten weniger als eine Minute und lassen sich ohne technisches Vorwissen anwenden.

1. Fragen Sie sich zuerst: Habe ich das erwartet? Wenn nein, gilt alles Weitere als unbestätigt.
2. Lesen Sie die vollständige Absenderadresse, nicht den angezeigten Namen. Achten Sie auf die Zeichen unmittelbar vor dem letzten Punkt der Domain.
3. Fahren Sie über den Link, ohne zu klicken, und vergleichen Sie die Zieladresse mit dem, was der Text verspricht.
4. Prüfen Sie den Anlass über einen zweiten, selbst gewählten Kanal: die Telefonnummer aus Ihrem Adressbuch, nicht die aus der Nachricht, oder das Portal des Anbieters über Ihr eigenes Lesezeichen.
5. Scannen Sie keinen QR-Code aus einer Nachricht, deren Anlass Sie nicht bestätigt haben.
6. Melden Sie die Nachricht über den Meldeknopf, auch wenn Sie sich nicht sicher sind. Eine Fehlmeldung kostet zwei Minuten, ein ungemeldeter Treffer kostet Wochen.

Für die Geschäftsleitung folgt daraus eine unbequeme Kennzahl. Die Klickrate misst, wie oft es schiefgeht. Die Meldequote und die Zeit bis zur ersten Meldung messen, wie schnell Sie reagieren können. Nur die zweite Größe lässt sich im Ernstfall in Schadensbegrenzung umrechnen.

Was tun, wenn jemand geklickt hat?

Das größte Risiko nach einem Klick ist Scham. Wer aus Angst vor Vorwürfen schweigt, verschenkt genau die Minuten, die zählen. Machen Sie deshalb intern unmissverständlich klar, dass eine schnelle Meldung erwünscht ist und keine Konsequenzen hat. Die Reihenfolge danach:

1. Trennen Sie das betroffene Gerät vom Netz, ohne es auszuschalten, damit Spuren im Arbeitsspeicher erhalten bleiben.
2. Ändern Sie das Passwort von einem anderen, sauberen Gerät aus, niemals über den Link aus der Nachricht.
3. Ziehen Sie alle aktiven Sitzungen des Kontos zurück. Dieser Schritt wird am häufigsten vergessen und ist der wichtigste, denn ein gestohlenes Sitzungstoken überlebt die Passwortänderung.
4. Registrieren Sie die Anmeldeverfahren des Kontos neu und prüfen Sie, ob eine fremde Authentifizierungs-App hinterlegt wurde.
5. Kontrollieren Sie das Postfach auf neu angelegte Weiterleitungs- und Filterregeln. Angreifer richten sie ein, um Warnhinweise und Antworten unsichtbar abzufangen.
6. Sichern Sie Beweise: die Originalnachricht mit vollständigem Kopfbereich, Anmeldeprotokolle, Zeitstempel.
7. Erstatten Sie bei Schaden Anzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) des zuständigen Landeskriminalamts.

Dazu können Meldepflichten kommen, und die Fristen laufen kurz. Sind personenbezogene Daten betroffen, gilt nach Artikel 33 der Datenschutz-Grundverordnung eine Frist von 72 Stunden gegenüber der Aufsichtsbehörde. Fällt Ihr Unternehmen als wesentliche oder wichtige Einrichtung unter die NIS2-Richtlinie, verlangt Artikel 23 zusätzlich eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Ob Sie dazugehören, klärt der Beitrag Welche Unternehmen fallen unter NIS2?, und wie aus der Pflicht dauerhafter Schutz wird, zeigt NIS2 in der Praxis. Einen Überblick über die Anforderungen finden Sie außerdem auf unserer NIS2-Seite.

Wie Unternehmen Phishing wirksam verhindern

Gegen Phishing hilft keine einzelne Maßnahme, sondern eine Staffelung, die den Fehler eines Menschen verzeiht. Die Reihenfolge unten ist nach Wirkung pro Aufwand sortiert. Die ersten drei Punkte verhindern, dass ein Klick überhaupt zu einem Zugriff wird, und wiegen damit schwerer als jede Schulung.

1. Phishing-resistente Anmeldung einführen. Passkeys oder FIDO2-Schlüssel, beginnend bei administrativen Konten und der Geschäftsleitung. Das ist die einzige Maßnahme, die den Echtzeit-Vermittlungsangriff strukturell unmöglich macht.
2. Bedingten Zugriff erzwingen. Anmeldungen nur von verwalteten, richtlinienkonformen Geräten und mit an das Gerät gebundenen Sitzungen. Ein gestohlenes Token nützt dann auf fremder Hardware nichts.
3. Aktive Sitzungen und Berechtigungen kurz halten. Kürzere Gültigkeiten, ein eingeübter Weg zum sofortigen Sitzungsentzug und Rechte streng nach dem Prinzip der minimalen Berechtigung.
4. Zustimmung für Apps einschränken. Nur geprüfte Anwendungen dürfen Berechtigungen erhalten, damit Consent-Phishing ins Leere läuft.
5. E-Mail-Authentifizierung sauber aufsetzen. SPF, DKIM und DMARC bis zur Durchsetzung, damit niemand in Ihrem Namen schreibt, und externe Absender sichtbar kennzeichnen.
6. Links und Anhänge zur Klickzeit prüfen. Anhänge in einer isolierten Umgebung öffnen lassen und QR-Codes in Bildern und PDF-Dateien ausdrücklich mit einbeziehen.
7. Anmeldeanomalien und Postfachregeln überwachen. Unmögliche Ortswechsel, neue Weiterleitungen und ungewöhnliche Zustimmungen gehören in die Alarmierung. In Microsoft-Umgebungen liefern Defender, Entra ID und Sentinel die Signale dafür.
8. Schulen und den Meldeweg üben. Kurze, regelmäßige Übungen mit einem Meldeknopf, der in einem Klick funktioniert, und einer Kultur, in der Melden belohnt wird.

Für kleinere Organisationen ohne eigenes Sicherheitsteam ist der zweite Teil dieser Liste der schwierige. Genau dort setzt die UnifiedONE-Plattform an: Sie bündelt die Signale aus Microsoft Defender, Entra ID und Sentinel, sodass verdächtige Anmeldungen und Postfachregeln auffallen, ohne dass rund um die Uhr jemand auf ein Dashboard schaut. Was das für den Mittelstand bedeutet, steht auf der Seite für kleine und mittlere Unternehmen.

Gemeinsam gegen Phishing: warum geteilte Bedrohungsdaten wirken

Phishing skaliert, weil derselbe Baukasten nacheinander hunderte Organisationen anschreibt. Die Abwehr skaliert bisher schlechter, weil jedes Unternehmen dieselbe Nachricht für sich allein untersucht. Die APWG zählte im ersten Quartal 2026 allein 766 nachgeahmte Marken, und dieselben Köderseiten tauchen bei vielen Empfängern gleichzeitig auf.

Wird eine Kampagne in einer Umgebung erkannt und bestätigt, kann dieselbe Erkennung sofort alle anderen schützen, oft bevor die zweite Welle überhaupt zugestellt wird. Der Einbruch des Nachrichtenvolumens nach der Abschaltung einer einzigen großen Phishing-Plattform im März 2026 zeigt, wie stark dieser Hebel ist. Für Microsoft-Umgebungen bündelt UnifiedONE genau diese geteilten Bedrohungsdaten. Wie das im Alltag aussieht, zeigen die Seiten Security und für MSPs.

Häufige Fragen zu Phishing

Was ist Phishing einfach erklärt?

Phishing ist Betrug mit gefälschten Nachrichten. Jemand gibt sich als Bank, Lieferdienst, Kollege oder IT-Abteilung aus und bringt Sie dazu, Zugangsdaten einzugeben, eine Zahlung auszulösen oder eine Datei zu öffnen. Der Name kommt vom englischen Angeln: Es wird ein Köder ausgeworfen, und es genügt, wenn wenige anbeißen.

Wie erkenne ich eine Phishing-Mail?

Achten Sie zuerst auf den Anlass: Haben Sie das erwartet? Dazu kommen künstlicher Zeitdruck, die Aufforderung, sich über den mitgelieferten Link anzumelden, eine Absenderadresse mit kleinen Abweichungen und ein Linkziel, das nicht zum Linktext passt. Rechtschreibfehler sind kein verlässliches Merkmal mehr.

Was ist der Unterschied zwischen Phishing und Spear-Phishing?

Massen-Phishing geht ohne Personenbezug an sehr viele Empfänger gleichzeitig. Spear-Phishing zielt auf eine bestimmte Person und nutzt echte Details: Ihren Namen, Ihr laufendes Projekt, den Namen Ihrer Führungskraft. Es ist deutlich schwerer zu erkennen und wird meist gegen Schlüsselpersonen und Finanzabteilungen eingesetzt.

Was bedeuten Smishing, Vishing und Quishing?

Smishing ist Phishing per SMS oder Messenger, Vishing läuft über Telefon- oder Teams-Anrufe, und Quishing nutzt einen QR-Code statt eines Links. Alle drei umgehen klassische E-Mail-Filter. Bei Anrufen und SMS liegen die Klickraten in Simulationen rund 40 Prozent höher als bei E-Mails (Verizon DBIR 2026).

Ich habe auf einen Phishing-Link geklickt, was jetzt?

Melden Sie es sofort Ihrer IT, auch wenn Sie nichts eingegeben haben. Trennen Sie das Gerät vom Netz, ohne es auszuschalten, ändern Sie das Passwort von einem anderen Gerät aus und lassen Sie alle aktiven Sitzungen zurückziehen. Prüfen Sie anschließend das Postfach auf neue Weiterleitungsregeln.

Schützt Mehr-Faktor-Authentifizierung vor Phishing?

Teilweise. MFA mit Code oder Push blockiert einfache Angriffe, lässt sich aber in Echtzeit umgehen, weil der Angreifer das Sitzungstoken abfängt. Zuverlässig schützen nur phishing-resistente Verfahren wie Passkeys oder FIDO2-Schlüssel, weil sie kryptografisch an die echte Adresse des Dienstes gebunden sind.

Muss ein Phishing-Vorfall gemeldet werden?

Häufig ja. Sind personenbezogene Daten betroffen, greift die 72-Stunden-Frist nach Artikel 33 DSGVO gegenüber der Aufsichtsbehörde. Unternehmen im Anwendungsbereich von NIS2 müssen erhebliche Vorfälle zusätzlich binnen 24 Stunden vorwarnen und binnen 72 Stunden melden. Klären Sie beide Pflichten, bevor der Ernstfall eintritt.

In Kürze

Phishing ist der häufigste Angriffsversuch überhaupt und bleibt einer der häufigsten erfolgreichen Einstiege in Unternehmensnetzwerke. Erkennbar ist es weniger an der Sprache als am Anlass, am Zeitdruck und an der Aufforderung, sich über einen mitgelieferten Link anzumelden. Der Kanal hat sich verschoben, hin zu SMS, Anruf und QR-Code, wo Filter und Gewohnheit nicht greifen. Technisch entscheidet vor allem eines: Wer auf phishing-resistente Anmeldung umstellt, macht den entscheidenden Angriffsschritt strukturell unmöglich. Und wer eine Kultur schafft, in der ein Klick sofort gemeldet wird, verkürzt die 28 Minuten, in denen der Angreifer sonst ungestört arbeitet.

Quellen

• BSI, Die Lage der IT-Sicherheit in Deutschland 2025: bsi.bund.de
• BSI, Passwortdiebstahl durch Phishing: bsi.bund.de
• ENISA, Threat Landscape 2025: enisa.europa.eu
• Bitkom, Wirtschaftsschutz 2025: bitkom.org
• Verizon, 2026 Data Breach Investigations Report: verizon.com
• Microsoft, Email threat landscape Q1 2026: microsoft.com
• Microsoft, Email threat landscape Q2 2026: microsoft.com
• Microsoft, Digital Defense Report 2025: microsoft.com
• APWG, Phishing Activity Trends Report Q1 2026: apwg.org
• Verbraucherzentrale, Phishing-Radar: verbraucherzentrale.de