Phishing-Arten

Phishing-Arten gibt es längst nicht nur per E-Mail. Angreifer nutzen auch SMS, Anrufe, Messenger, QR-Codes und gefälschte Login-Seiten, um sensible Daten zu stehlen.

Wir erklären, welche Phishing-Varianten besonders verbreitet sind und mit welchen Maßnahmen Unternehmen ihre Beschäftigten und IT-Systeme schützen können.

Was bedeutet Phishing genau?

Phishing bezeichnet den Versuch, Menschen mithilfe gefälschter Nachrichten oder Webseiten zu bestimmten Handlungen zu bewegen. Die Angreifer wollen beispielsweise Passwörter, Zahlungsinformationen oder vertrauliche Unternehmensdaten erbeuten. Häufig geben sie sich als Bank, Behörde, Softwareanbieter, Paketdienst oder Geschäftspartner aus.

Dabei setzen sie auf Zeitdruck, Neugier, Angst oder Hilfsbereitschaft. Das Opfer soll einen Link öffnen, einen Anhang herunterladen, eine Zahlung freigeben oder Zugangsdaten auf einer gefälschten Seite eingeben. Moderne Phishing-Angriffe sind oft professionell gestaltet und lassen sich nicht mehr zuverlässig an Rechtschreibfehlern erkennen.

Hinzu kommt, dass Cyberkriminelle unterschiedliche Kommunikationswege miteinander kombinieren. Eine E-Mail kann beispielsweise zu einem Telefonanruf führen oder einen QR-Code enthalten, der eine gefälschte Anmeldeseite öffnet.

E-Mail-Phishing, Spear-Phishing und Whaling

Beim klassischen E-Mail-Phishing versenden Angreifer große Mengen gefälschter Nachrichten. Diese enthalten häufig angebliche Rechnungen, Sicherheitswarnungen oder Aufforderungen zur Kontobestätigung. Spear-Phishing richtet sich dagegen gezielt gegen bestimmte Personen oder Abteilungen.

Die Täter sammeln vorab Informationen über Aufgaben, Kunden, Kollegen oder aktuelle Projekte und erstellen daraus glaubwürdige Nachrichten. Eine besondere Form ist Whaling. Hier stehen Führungskräfte oder Personen mit weitreichenden Zugriffsrechten im Mittelpunkt. Eng damit verbunden ist der sogenannte CEO-Fraud.

Dabei geben sich Kriminelle als Geschäftsführer oder Vorgesetzte aus und verlangen beispielsweise eine dringende Überweisung. Schutz bietet ein verbindlicher Kontrollprozess. Ungewöhnliche Zahlungsanweisungen, geänderte Bankverbindungen und Anfragen nach vertraulichen Daten sollten immer über einen zweiten, bereits bekannten Kommunikationsweg überprüft werden.

Smishing, Vishing und Messenger-Phishing

Smishing bezeichnet Phishing über SMS oder vergleichbare Textnachrichten. Typische Vorwände sind nicht zustellbare Pakete, offene Gebühren, gesperrte Konten oder angebliche Sicherheitsprobleme. Die enthaltenen Links führen meist zu gefälschten Webseiten. Beim Vishing erfolgt der Angriff über Telefonanrufe oder Sprachnachrichten.

Die Täter geben sich beispielsweise als Bankmitarbeiter, IT-Support oder Vorgesetzte aus und versuchen, Zugangsdaten oder Freigabecodes zu erhalten. Auch Messenger wie WhatsApp, Signal oder Microsoft Teams werden für Phishing missbraucht. Besonders gefährlich sind kompromittierte Konten, da Nachrichten dann scheinbar von bekannten Personen stammen.

Unternehmen sollten ihre Beschäftigten deshalb darauf hinweisen, dass auch interne Kommunikationskanäle manipuliert werden können. Rückfragen sollten über gespeicherte Telefonnummern oder persönlich bekannte Kontakte erfolgen und nicht über die Kontaktdaten aus der verdächtigen Nachricht.

Pishing-Arten: Quishing und Clone-Phishing

Beim Quishing verstecken Angreifer einen schädlichen Link in einem QR-Code. Dieser kann sich in einer E-Mail, einer PDF-Datei, einem Brief oder auf einem Aufkleber befinden. Nutzer erkennen die eigentliche Zieladresse vor dem Scannen häufig nicht.

Zudem wird der Link meist auf einem Smartphone geöffnet, das möglicherweise nicht durch die Sicherheitssysteme des Unternehmens kontrolliert wird. Beim Clone-Phishing kopieren Täter dagegen eine echte oder realistisch wirkende Nachricht. Sie ersetzen lediglich den ursprünglichen Link oder Anhang durch eine manipulierte Version.

Da Gestaltung, Absendername und Formulierungen vertraut wirken, ist diese Methode besonders schwer zu erkennen. Unternehmen sollten QR-Codes grundsätzlich wie unbekannte Links behandeln. Unerwartete Login-Aufforderungen, Rechnungen oder Freigabedokumente müssen sorgfältig geprüft werden, auch wenn sie äußerlich bekannten Nachrichten entsprechen.

MFA-Phishing und KI-gestützte Angriffe

Eine Mehrfaktor-Authentifizierung erhöht die Sicherheit, kann aber ebenfalls Ziel eines Angriffs werden. Beim sogenannten MFA-Fatigue-Angriff lösen Kriminelle wiederholt Bestätigungsanfragen aus. Das Opfer soll eine Anfrage schließlich aus Versehen oder aus Überforderung akzeptieren.

Andere Phishing-Seiten leiten Anmeldedaten in Echtzeit an den echten Dienst weiter und versuchen anschließend, Sitzungscookies zu stehlen. Dadurch können Angreifer möglicherweise auf ein Konto zugreifen, obwohl ein zusätzlicher Sicherheitsfaktor verwendet wurde. Generative KI erleichtert außerdem die Erstellung professioneller und personalisierter Phishing-Nachrichten.

Texte können schnell an verschiedene Sprachen, Personen und Unternehmensrollen angepasst werden. Auch künstlich erzeugte Stimmen oder Videos können Vishing und CEO-Betrug glaubwürdiger machen. Unternehmen sollten daher phishingresistente Anmeldeverfahren prüfen und sensible Entscheidungen nicht allein über digitale Nachrichten bestätigen.

IT-Dienstleister unterstützen beim Schutz vor Phishing

Wirksamer Phishing-Schutz kombiniert technische Maßnahmen, klare Prozesse und regelmäßige Schulungen. E-Mail-Systeme sollten verdächtige Links und Anhänge erkennen und mit korrekt eingerichteten SPF-, DKIM- und DMARC-Verfahren arbeiten.

Beschäftigte müssen wissen, wie sie verdächtige Nachrichten melden und was nach einem möglicherweise gefährlichen Klick zu tun ist. Schulungen sollten nicht nur klassische E-Mails behandeln, sondern auch SMS, Telefonanrufe, Messenger-Nachrichten und QR-Codes berücksichtigen. Für Überweisungen, Änderungen von Bankverbindungen und die Weitergabe vertraulicher Informationen sind verbindliche Freigaberegeln notwendig.

Die Experten aus dem IT-SERVICE.NETWORK unterstützen Unternehmen dabei, ihre E-Mail-Systeme abzusichern, Mehrfaktor-Authentifizierung einzurichten und klare Freigabeprozesse für Zahlungen oder sensible Daten zu entwickeln. Sie helfen außerdem bei der Durchführung von Phishing-Simulationen, der Sensibilisierung von Beschäftigten und der Erstellung von Notfallabläufen für kompromittierte Konten.

---

Weiterführende Informationen:
t3n, BSI, BSI, microsoft, microsoft, trendmicro
Zur besseren Lesbarkeit verwenden wir im Text die männliche Form. Gemeint sind jedoch immer alle Geschlechter und Geschlechtsidentitäten.