11.08.2025
Phishing im Posteingang: Wie KMU sich mit einfachen Mitteln schützen können
Ob gefälschte Paketbenachrichtigungen, fingierte Zahlungsaufforderungen oder angebliche IT-Warnungen: Phishing-E-Mails gehören nach wie vor zu den häufigsten Cyberbedrohungen. Oft treffen sie kleine und mittlere Unternehmen (KMU), denn während große Unternehmen über eigene IT-Abteilungen und spezialisierte IT-Sicherheitsteams verfügen, müssen viele KMU ohne diese Ressourcen auskommen. Ihnen fehlt es nicht nur an technischer Infrastruktur, sondern auch an Zeit und Fachwissen, um auf die wachsende Bedrohungslage adäquat zu reagieren. Dabei lässt sich das Risiko bereits mit einfachen, gut umsetzbaren Maßnahmen deutlich reduzieren, ganz ohne große Investitionen.
Phishing: Täuschend echt, professionell und brandgefährlich
Phishing-E-Mails wirken heute professioneller denn je: Firmenlogos, echte Signaturen, perfekte Sprache – all das erschwert die Erkennung. Ziel ist es, Empfänger:innen zur Preisgabe sensibler Informationen oder zum Klick auf einen schadhaften Link zu bewegen. Und das gelingt leider allzu oft.
„Gerade im Mittelstand beobachten wir, dass Angreifer gezielt Vertrauen ausnutzen – etwa mit E-Mails, die aussehen, als kämen sie vom Chef, einem Kunden oder Dienstleister“, sagt Prof. Norbert Pohlmann, Vorstand IT-Sicherheit im eco – Verband der Internetwirtschaft. „Doch mit mehr Aufmerksamkeit, einfacher Technik und praxisnaher Schulung lässt sich das Risiko deutlich senken.“
Wie können sich KMU besser schützen?
Auch ohne große IT-Budgets können KMU ihr Schutzniveau erheblich verbessern. Ein entscheidender Hebel ist die Sensibilisierung der Mitarbeitenden: Schon eine einstündige Schulung pro Quartal kann ausreichen, um das Bewusstsein für typische Phishing-Maschen zu schärfen. Dabei geht es weniger um technische Details als vielmehr um das Erkennen klarer Warnzeichen zu Beispiel verdächtige Absender, ungewöhnliche Formulierungen oder manipulierte Links.
Darüber hinaus sollten KMU sicherstellen, dass die integrierten Spam- und Phishing-Filter ihres E-Mail-Systems aktiviert und regelmäßig aktualisiert werden. Diese bieten bereits einen wichtigen Basisschutz, der viele Angriffe im Vorfeld abfangen kann.
Ein weiterer einfacher, aber wirkungsvoller Schutzmechanismus ist die Zwei-Faktor Authentifizierung (2FA). Wo immer möglich, sollten sensible Zugänge nur mit einem zusätzlichen Bestätigungscode, etwa per App oder SMS, freigegeben werden.
Die häufigsten Maschen – und worauf zu achten ist:
- Die „Rechnungsmasche“: Eine angebliche Rechnung oder Zahlungserinnerung mit schädlichem Anhang oder Link
- Die „Chefmasche“: E-Mails im Namen von Vorgesetzten, die zur dringenden Überweisung oder Herausgabe von Zugangsdaten auffordern
- Die „IT-Warnung“: Falsche Sicherheitshinweise, die zur Passwortänderung oder Anmeldung auf einer gefälschten Website verleiten
Typische Erkennungsmerkmale: Der Absender wirkt verdächtig, die Sprache leicht holprig oder ungewöhnlich dringend. Auch Domains, die echten Namen ähneln, aber leicht abweichen (z. B. „example.de“ statt „example.com“), sollten misstrauisch machen.
Nicht zuletzt sollten klare Notfallpläne definiert sein: Wer wird informiert, wenn ein Mitarbeitender versehentlich auf eine Phishing-Mail hereingefallen ist? Wer sperrt betroffene Zugänge, kontaktiert Kunden oder – falls nötig – die zuständigen Behörden? Ein strukturierter Ablauf spart im Ernstfall wertvolle Zeit und kann den Schaden erheblich begrenzen.
Unterstützung durch den eco Verband
Der eco Verband unterstützt KMU seit Jahren bei der Stärkung ihrer IT-Sicherheit. Nicht nur mit eigenen Angeboten, sondern auch in Zusammenarbeit mit Partnern wie zum Beispiel dem Bundesamt für Sicherheit in der Informationstechnik (BSI). Das Projekt „Sichere E-Mail“ ist eine gemeinsame Initiative des eco – Verband der Internetwirtschaft e. V. – und des BSI im Rahmen der Cybernation Deutschland. Mitglieder von eco profitieren von praxisnahen Leitfäden, Awareness-Kampagnen und dem Austausch mit Expert:innen und Anbietern.
Sichern Sie sich als DMB-Mitglied Freitickets und Rabattcodes für die „Internet Security Days“
Ein besonderes Highlight für Entscheider:innen ist die Fachkonferenz Internet Security Days (ISD), die im Herbst wieder stattfindet. Dort treffen sich IT-Verantwortliche, IT-Sicherheitsanbieter und Fachpublikum, um über aktuelle Bedrohungen und Lösungen zu diskutieren – praxisnah, branchenübergreifend und mit starkem Mittelstandsfokus.
Weitere Informationen und Anmeldung: eco Internet Security Days 2025.
Kommentar abgeben