Phishing erkennen: So schützt du dein Team vor gefälschten E-Mails
Eine E-Mail von der Post: Ihr Paket konnte nicht zugestellt werden, bitte bestätigen Sie Ihre Adresse. Eine Nachricht von der Kantonalbank: Ihr Konto wurde vorübergehend gesperrt, bitte melden Sie sich sofort an. Eine Anfrage vom Chef: Er sei gerade in einem Meeting und brauche dringend eine Überweisung — diskret, bitte.
Alle drei E-Mails sind gefälscht. Alle drei haben bereits in Schweizer Betrieben zu echtem Schaden geführt.
Phishing — also das gezielte Täuschen von Personen über gefälschte E-Mails — ist heute der häufigste Einstiegspunkt für Cyberangriffe auf Unternehmen. Und anders als viele denken, trifft es nicht nur Grosskonzerne. Kleine Betriebe sind besonders gefährdet, weil sie selten geschultes IT-Personal haben und Angreifer genau das wissen.
Dieser Artikel zeigt, wie Phishing heute aussieht, woran man es erkennt — und was jedes Team sofort umsetzen kann.
Warum Phishing so gefährlich ist
Der Grund ist simpel: Phishing zielt nicht auf Technik, sondern auf Menschen. Kein Virenschutz der Welt kann eine Mitarbeiterin schützen, die glaubt, einem echten Lieferanten ihre Bankdaten zu bestätigen.
Die Angriffe sind heute erschreckend professionell. Früher erkannte man Phishing-Mails an schlechtem Deutsch und seltsamen Schriftarten. Das ist vorbei. Moderne Angriffe sind:
- Sprachlich einwandfrei — oft besser formuliert als echte Firmen-E-Mails
- Optisch täuschend echt — mit korrekten Logos, Farben und Absendeadressen, die auf den ersten Blick stimmen
- Personalisiert — der Angreifer kennt Ihren Namen, Ihre Rolle, manchmal sogar den Namen Ihres Chefs
Letzteres nennt sich Spear-Phishing: gezielte Angriffe auf einzelne Personen oder Unternehmen, oft mit Informationen aus LinkedIn, der Firmenwebsite oder Social Media. Ein Angreifer, der weiss, dass Ihre Buchhalterin heisst und welche Bank Sie nutzen, kann eine sehr überzeugende E-Mail schreiben.
Die häufigsten Phishing-Maschen 2025
1. Der falsche Chef (CEO-Fraud)
Eine E-Mail kommt angeblich vom Geschäftsführer, der gerade in einem Meeting oder auf Reisen ist. Er bittet dringend um eine Überweisung, die Weitergabe von Zugangsdaten oder die Bestätigung einer Information — und betont ausdrücklich, dass die Sache vertraulich sei.
Das Ziel: Zeitdruck und Autorität kombinieren, damit niemand nachfragt.
Warnsignal: Der Chef schreibt nie per E-Mail, wenn es um Überweisungen geht. Bei solchen Anfragen immer telefonisch rückfragen — über eine bekannte Nummer, nicht über eine in der E-Mail genannte.
2. Gefälschte Rechnungen von bekannten Lieferanten
Eine Rechnung kommt von einem Lieferanten, mit dem Sie regelmässig arbeiten. Alles stimmt — Name, Logo, Absenderadresse sieht korrekt aus. Nur die Bankverbindung hat sich „geändert». Wer zahlt, überweist direkt ans Konto des Angreifers.
Diese Masche funktioniert besonders gut bei Betrieben, die viele Lieferantenrechnungen verarbeiten.
Warnsignal: Geänderte Bankverbindungen immer telefonisch beim Lieferanten bestätigen — nie auf Basis der E-Mail allein.
3. Gefälschte Paket- oder Behörden-Mails
Klassiker, aber immer noch wirksam: E-Mails von Post, DHL, MWST-Behörde oder sogar von der SUVA. Oft mit einem Link auf eine täuschend echte Website, wo man seine Daten eingeben soll.
Warnsignal: Offizielle Stellen fordern niemals per E-Mail zur Eingabe von Passwörtern oder Zahlungsdaten auf.
4. Gefälschte Microsoft- oder Google-Anmeldungen
Eine E-Mail informiert, dass das Microsoft-Konto oder Google-Konto gesperrt wurde. Der Link führt auf eine Anmeldeseite, die identisch mit dem Original aussieht. Wer seine Zugangsdaten eingibt, übergibt sie direkt an die Angreifer.
Besonders gefährlich, weil damit oft Zugang zu E-Mails, Dokumenten und weiteren Systemen erlangt wird.
Warnsignal: Niemals über E-Mail-Links in Microsoft oder Google einloggen. Immer manuell im Browser öffnen.
Woran man Phishing erkennt: Die Checkliste
Drucken Sie diese Liste aus und hängen Sie sie in der Nähe des Arbeitsplatzes auf — oder leiten Sie sie an Ihr Team weiter.
Absenderadresse genau prüfen Der Name kann beliebig gewählt sein. Entscheidend ist die tatsächliche E-Mail-Adresse. support@post.ch ist echt — support@post-ch.support-center.com nicht. Oft reicht ein Klick auf den Absendernamen, um die echte Adresse zu sehen.
Auf Links hovern, bevor man klickt Mit der Maus über einen Link fahren (ohne zu klicken) zeigt unten im Browser die echte Zieladresse. Stimmt sie nicht mit dem angezeigten Text überein, ist das ein deutliches Warnsignal.
Dringlichkeit und Druck als Warnsignal verstehen „Ihr Konto wird in 24 Stunden gesperrt.» „Sofortiger Handlungsbedarf.» „Vertraulich und dringend.» Phishing lebt von Zeitdruck. Wer Druck spürt, denkt weniger kritisch — das ist Absicht.
Unerwartete Anhänge nie öffnen Eine ZIP-Datei, ein Word-Dokument mit Makros oder eine PDF von einem unbekannten Absender können Schadsoftware enthalten. Im Zweifel: nicht öffnen, beim Absender telefonisch nachfragen.
Persönliche Daten werden legitim nie per E-Mail abgefragt Kein seriöses Unternehmen, keine Behörde, keine Bank fragt per E-Mail nach Passwörtern, Kreditkartendaten oder TANs. Punkt.
Rechtschreibung und Sprache prüfen Zwar werden Phishing-Mails besser — aber ungewöhnliche Formulierungen, Stilbrüche oder eine Mischung aus Deutsch und Englisch sind immer noch häufig. Echte Firmen-E-Mails sind konsistent.
Bei Unsicherheit: Nachfragen Die grösste Schwäche vieler Teams ist die Scheu, eine E-Mail zu hinterfragen. Niemand soll sich schämen, kurz beim Absender anzurufen. Eine Minute Nachfragen ist besser als ein stundenlanger Schaden.
Was Sie als Betrieb konkret tun können
Ihr Team schulen — einmal reicht nicht
Eine einmalige Erklärung im Teammeeting ist besser als nichts — aber nicht genug. Phishing-Methoden ändern sich laufend. Was heute gilt, kann in sechs Monaten schon anders aussehen.
Etablieren Sie eine einfache Regel: „Im Zweifel fragen, nicht klicken.» Und stellen Sie sicher, dass Mitarbeitende wissen, an wen sie sich wenden können, wenn sie eine verdächtige E-Mail erhalten.
Zwei-Faktor-Authentifizierung (2FA) aktivieren
Selbst wenn ein Angreifer durch Phishing ein Passwort erbeutet: Mit 2FA kommt er damit nicht weit. Bei Microsoft 365, Google Workspace und den meisten anderen Systemen lässt sich 2FA in wenigen Minuten aktivieren. Das ist eine der wirkungsvollsten Schutzmassnahmen überhaupt — und kostet nichts.
Interne Regeln für Überweisungen und Datenweitergabe
Legen Sie fest: Überweisungen über einem bestimmten Betrag werden immer telefonisch bestätigt — unabhängig davon, wer die Anfrage stellt. Diese eine Regel verhindert CEO-Fraud zuverlässig.
Verdächtige E-Mails melden, nicht löschen
Wenn jemand eine Phishing-Mail erkennt, sollte sie gemeldet werden — nicht nur stumm gelöscht. So weiss das Team Bescheid, und bei einem gezielten Angriff auf den Betrieb kann reagiert werden.
Technische Massnahmen
Als Grundlage empfehlen wir: einen aktuellen Spam-Filter, regelmässige Updates aller Systeme und — bei Microsoft 365 — die aktivierten Sicherheitsfunktionen wie „Safe Links» und „Safe Attachments». Viele dieser Funktionen sind im Standard-Abo bereits enthalten, aber oft nicht aktiviert.
Ein kurzes Fazit
Phishing ist keine technische Bedrohung — es ist eine menschliche. Die beste Firewall hilft nichts, wenn ein Mitarbeiter auf einen Link klickt. Deshalb ist Bewusstsein der stärkste Schutz.
Die gute Nachricht: Man muss kein IT-Experte sein, um Phishing zu erkennen. Es braucht ein paar einfache Gewohnheiten, klare Regeln im Betrieb — und die Bereitschaft, im Zweifel einmal kurz nachzufragen.
Sie möchten wissen, wie gut Ihr Betrieb gegen Phishing und andere Cyberrisiken geschützt ist? Unser IT-Check für CHF 390 gibt Ihnen ein klares Bild — mit konkreten Massnahmen, die Sie sofort umsetzen können.