Was ist der Unterschied zwischen Phishing und Social Engineering?
Social Engineering bezeichnet jeden Versuch, Menschen so zu manipulieren, dass sie Informationen, Geld oder Zugriffsrechte herausgeben. Phishing ist die häufigste Form und erfolgt per E-Mail oder über eine gefälschte Website. CISA nennt außerdem die telefonische Variante Vishing und die SMS-Variante Smishing.
Stellen Sie sich ein fiktives Architekturbüro mit 30 Beschäftigten vor: Calloway Partners. An einem Dienstag erhält Leah, die Assistenz in der Finanzabteilung, drei Nachrichten. Eine E-Mail von ‚der Geschäftsführung‘, gesendet um 7.58am: ‚Leah, bin den ganzen Tag in Besprechungen. Bitte bezahlen Sie den Lieferanten im Anhang noch heute, neue Bankverbindung. Das bleibt unter uns‘. Eine SMS: ‚Ihr Paket wird zurückgehalten. Zahlen Sie hier £1.45 für die erneute Zustellung‘. Und einen Anruf von jemandem, der behauptet, vom IT-Dienstleister des Büros zu sein. Sie solle ihm einen sechsstelligen Code vorlesen, den er ihr gerade geschickt habe, ‚um Ihr Postfach zu reparieren‘. Alle drei wirken unterschiedlich. Es ist derselbe Trick.
Mit welchen Druckmitteln arbeiten Phishing-Nachrichten?
Phishing-Nachrichten nutzen fünf gängige Druckmittel, die das NCSC als Autorität, Dringlichkeit, Emotionen, Knappheit und aktuelle Ereignisse aufführt. Die Taktik zu erkennen ist verlässlicher, als nach Tippfehlern zu suchen.
Autorität
Die Nachricht gibt vor, von einer Führungskraft, einer Bank, einer Behörde oder einem Lieferanten zu stammen, damit Sie sich verpflichtet fühlen, der Aufforderung nachzukommen.
Dringlichkeit
Eine knappe Frist oder eine angedrohte Strafe, damit Sie handeln, bevor Sie prüfen.
Emotion
Angst, Panik, Neugier oder Hoffnung, damit Sie reagieren, statt nachzudenken.
Knappheit
Etwas, das nur begrenzt verfügbar ist, etwa eine Erstattungsfrist oder eine begrenzte Anzahl an Eintrittskarten.
Aktuelles Geschehen
Ein Bezug zu aktuellen Nachrichten, Steuerfristen oder einer weithin bekannten Störung, damit die Nachricht erwartbar wirkt.
Wie hat KI Phishing verändert?
KI hat Phishing-Nachrichten sprachlich verbessert. Korrekte Rechtschreibung und Grammatik sind deshalb kein Beleg mehr dafür, dass eine Nachricht echt ist. Die Hinweise der CISA sagen das inzwischen ausdrücklich. Angreifer können auch den Schreibstil eines Kollegen nachahmen, eine Nachricht auf Ihre Tätigkeit zuschneiden oder bei einem Anruf eine vertraute Stimme imitieren. Damit ist die bisherige Prüfliste mit Rechtschreibfehlern und ungewöhnlichen Anreden weniger hilfreich, und die Überprüfung der eigentlichen Aufforderung wird wichtiger. Eine Aufforderung, Geld zu überweisen, Bankdaten zu ändern, einen Code weiterzugeben oder einen üblichen Ablauf zu umgehen, sollte überprüft werden – ganz gleich, wie überzeugend sie klingt.
Wie überprüfen Sie Schritt für Schritt eine verdächtige Nachricht?
Sie überprüfen eine verdächtige Nachricht, indem Sie einen anderen Kontaktweg wählen: Nutzen Sie niemals die darin angegebenen Links, Telefonnummern oder Antwortadressen. Kontaktieren Sie die Person oder Organisation stattdessen über Kontaktdaten, denen Sie bereits vertrauen.
1. Halten Sie inne und benennen Sie die Taktik
Fragen Sie sich, welcher Druck ausgeübt wird. Geheimhaltung plus Dringlichkeit plus Geld ist das klassische Muster für Zahlungsbetrug.
2. Prüfen Sie die Anfrage, nicht nur den Absender
Anzeigenamen und angezeigte Rufnummern lassen sich fälschen. Eine geänderte Bankverbindung oder die Aufforderung, einen Code mitzuteilen, ist ein Warnsignal – unabhängig davon, von wem die Nachricht scheinbar stammt.
3. Überprüfen Sie dies über einen separaten Kanal
Rufen Sie die Person unter einer Nummer aus Ihren eigenen Unterlagen an oder geben Sie die Webadresse der Organisation selbst ein. Sowohl CISA als auch NCSC empfehlen dieses Vorgehen.
4. Geben Sie niemals Codes oder Passwörter weiter
Seriöse IT-Teams und Banken fordern Sie nicht auf, einen Einmalcode oder ein Passwort vorzulesen.
5. Melden Sie es
Nutzen Sie die Schaltfläche zum Melden in Ihrem E-Mail-Programm und informieren Sie Ihre IT-Ansprechperson. Im Vereinigten Königreich können Sie verdächtige E-Mails an [email protected] weiterleiten; in den USA nimmt CISA Meldungen über den Dienst Report a Cyber Issue entgegen.
Wie sieht eine schwache und eine starke Reaktion aus?
Eine schlechte Reaktion vertraut dem äußeren Anschein. Leah sieht den Namen des Geschäftsführers, fragt per Antwort, ob die Zahlung wirklich dringend sei, erhält von derselben gefälschten Adresse umgehend ein 'Ja, bitte sofort erledigen' und bezahlt. Die SMS ignoriert sie, aber weil sie helfen möchte, liest sie dem Anrufer den Code vor. Er nutzt ihn, um sich bei ihrem Postfach anzumelden.
Eine gute Reaktion prüft die Aufforderung. Leah bemerkt, dass Autorität, Dringlichkeit und Geheimhaltung zusammenkommen, und ruft den Geschäftsführer unter der Mobilnummer aus dem Mitarbeiterverzeichnis an; er hat nichts geschickt. Sie löscht die Paket-SMS, ohne den Link anzutippen. Dem Anrufer sagt sie, dass sie den IT-Dienstleister zurückrufen wird, legt auf und ruft den Dienstleister unter der Nummer im Vertrag des Unternehmens an; von dort hat niemand angerufen. Sie meldet alle drei Vorfälle der IT und leitet die E-Mail an die Meldeadresse weiter. Es wurde nichts bezahlt und kein Code weitergegeben.
Was sollten Sie tun, wenn Sie bereits geklickt oder geantwortet haben?
Wenn Sie bereits geklickt, geantwortet oder etwas weitergegeben haben, informieren Sie sofort Ihre IT-Ansprechperson. Schnelles Handeln begrenzt den Schaden, und niemandem sollte ein Vorwurf gemacht werden, weil er einen Vorfall meldet. Ändern Sie von einem anderen Gerät aus das Passwort jedes Kontos, dessen Zugangsdaten Sie eingegeben haben, und aktivieren Sie die Mehrfaktorauthentifizierung. Wenn Geld oder Bankdaten betroffen waren, rufen Sie sofort Ihre Bank an. Verwenden Sie dafür die Telefonnummer auf deren Website oder auf Ihrer Bankkarte.
Was sind häufige Fehler im Umgang mit Phishing?
Der häufigste Fehler ist, zur Überprüfung auf die verdächtige Nachricht zu antworten. Damit bitten Sie lediglich den Angreifer um Bestätigung. Weitere Fehler: einem Anzeigenamen oder einer angezeigten Rufnummer vertrauen, sich auf Rechtschreibfehler als Erkennungsmerkmal verlassen, auf Abmeldelinks klicken, Einmalcodes vorlesen und nach einem Fehler aus Scham schweigen.
Wo ist diese Lektion bei Tosheo.ai eingeordnet?
Diese Lektion gehört zur Kategorie Cybersicherheit und zum Cybersicherheitskurs. In der Praxisaufgabe bei Tosheo.ai erhalten Sie eine Reihe fiktiver Nachrichten. Sie benennen die jeweilige Taktik, beschreiben den Überprüfungsschritt und entwerfen eine Meldung. Das Kriterienraster zeigt, welches Warnsignal Sie übersehen haben. Dies ist eine Sensibilisierungsschulung für Beschäftigte und Führungskräfte, kein technischer Kurs zur E-Mail-Sicherheit.
Quellen und Geltungsbereich
NCSC: Eine betrügerische E-Mail melden (geprüft am 19 October 2026) ↗
CISA, Phishing erkennen und melden (geprüft am 19 October 2026) ↗
CISA, Social Engineering und Phishing-Angriffe vermeiden (geprüft am 19 October 2026) ↗