Was ist Phishing?
Phishing ist die häufigste Einstiegstür für Cyberangriffe. Hier erfahren Sie, was Phishing bedeutet, welche Arten es gibt und wie sich Ihr Unternehmen wirksam schützt.
- Kategorie
- Cyberangriff / Social Engineering
- Angriffsziel
- Zugangsdaten, Geld, Schadsoftware-Verbreitung
- Typische Kanäle
- E-Mail, SMS, Telefon, QR-Code, Messenger
- Bester Schutz
- Awareness-Training, MFA & gesunde Skepsis
Definition und Wortherkunft
Der Begriff Phishing ist ein Kunstwort aus den englischen Wörtern „password“ und „fishing“ – also das „Angeln“ nach Passwörtern und Daten. Die ungewöhnliche Schreibweise mit „ph“ stammt aus der frühen Hacker-Szene und spielt auf das sogenannte Phreaking an, die Manipulation von Telefonnetzen in den 1980er- und 1990er-Jahren. Das Bild ist treffend: Angreifer werfen massenhaft Köder in Form täuschend echt wirkender Nachrichten aus und warten darauf, dass ein Teil der Empfänger „anbeißt“ und seine Daten preisgibt.
Dokumentiert ist der Begriff seit etwa 1996. Die ersten groß angelegten Kampagnen zielten auf Nutzerkonten früher Online-Dienste, bei denen sich Täter als Mitarbeitende des Anbieters ausgaben, um Passwörter und Kreditkartendaten zu erbeuten. Von dort wanderte Phishing Anfang der 2000er-Jahre ins Online-Banking und schließlich in die Arbeitswelt. Heute ist es die am weitesten verbreitete Angriffsmethode überhaupt – und das Einfallstor für einen Großteil schwerwiegender Vorfälle, von Kontoübernahmen bis hin zu Ransomware.
Phishing gehört zur Oberkategorie des Social Engineering – der gezielten psychologischen Manipulation von Menschen. Statt eine Firewall zu überwinden, missbrauchen die Täter Vertrauen, Hilfsbereitschaft, Respekt vor Autorität und Zeitdruck. Genau deshalb ist Phishing so erfolgreich: Keine rein technische Maßnahme schützt zuverlässig vor einer überzeugend formulierten Bitte. Eine Übersicht weiterer Begriffe finden Sie in unserem Cyber-Lexikon.
Phishing in Zahlen: die aktuelle Bedrohungslage
Phishing ist kein Randphänomen, sondern ein Massenproblem mit erheblichen Folgen. Angreifer setzen auf Masse und Geschwindigkeit: Schon eine einzige unachtsame Sekunde kann ausreichen. Die folgenden Zahlen aus anerkannten Berichten machen die Dimension deutlich.
aller Sicherheitsverletzungen gehen auf einen menschlichen Faktor zurück – Phishing ist dabei der häufigste Hebel.
Quelle: Verizon DBIR 2024
dauert es im Median, bis Empfänger auf eine Phishing-Mail klicken und ihre Daten eingeben.
Quelle: Verizon DBIR 2024
Schaden entstehen der deutschen Wirtschaft jährlich durch Datendiebstahl, Spionage und Sabotage.
Quelle: Bitkom 2024
Hinzu kommen die direkten Kosten: Laut dem Cost of a Data Breach Report 2024 von IBM liegt der durchschnittliche Schaden einer Datenpanne weltweit bei 4,88 Millionen US-Dollar – kompromittierte Zugangsdaten und Phishing zählen dabei zu den häufigsten und teuersten Einfallstoren. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt Phishing in seinem Lagebericht Jahr für Jahr unter den zentralen Bedrohungen für Wirtschaft und Verwaltung. Die Botschaft ist eindeutig: Wer Phishing nicht aktiv begegnet, überlässt die Sicherheit dem Zufall.
Die Psychologie hinter Phishing
Phishing funktioniert, weil es menschliche Reflexe ausnutzt, nicht technische Schwächen. Die Täter bedienen sich bewährter Prinzipien der Beeinflussung, die auch im seriösen Marketing bekannt sind – nur eben in betrügerischer Absicht. Wer diese Hebel kennt, erkennt Manipulation schneller:
Autorität. Angebliche Vorgesetzte, Behörden oder Banken lösen Gehorsam aus. Beim CEO-Fraud wird genau dieser Respekt vor der Führungsebene gezielt missbraucht.
Dringlichkeit und Knappheit. „Nur noch heute“ oder „Ihr Konto wird in 24 Stunden gesperrt“ sollen das kritische Nachdenken ausschalten und ein reflexartiges Handeln erzwingen.
Soziale Bewährtheit und Sympathie. Nachrichten, die scheinbar von Kollegen oder bekannten Marken stammen, wirken vertraut und werden seltener hinterfragt.
Emotionen. Angst, Neugier, Gier oder Hilfsbereitschaft sind starke Auslöser – vom angeblichen Gewinn bis zur vermeintlichen Mahnung.
Diese Mechanismen sind der Kern jedes Social-Engineering-Angriffs. Sie lassen sich nicht abschalten, aber trainieren: Wer die Muster kennt, gewinnt im entscheidenden Moment die Sekunde zurück, die über Klick oder Skepsis entscheidet.
Wie funktioniert ein Phishing-Angriff? Schritt für Schritt
Ein Phishing-Angriff folgt meist einem wiederkehrenden Muster. Das Verständnis dieser Schritte hilft dabei, Angriffe frühzeitig zu erkennen und die eigene Abwehr an den richtigen Stellen zu stärken:
- 1
Aufklärung und Zielauswahl. Die Täter sammeln Informationen über ihr Ziel – häufig aus öffentlich zugänglichen Quellen wie der Unternehmenswebsite, Pressemitteilungen oder sozialen Netzwerken – und wählen einen glaubwürdigen Absender aus.
- 2
Köder erstellen. Es wird eine Nachricht gestaltet, die scheinbar von einer bekannten Stelle stammt – etwa von einer Bank, einem Paketdienst oder einem internen Fachbereich. Logos, Tonfall und Layout werden nachgeahmt.
- 3
Auslieferung. Der Köder wird ausgespielt: breit gestreut an viele Empfänger oder, beim Spear-Phishing, gezielt an einzelne Personen. Der Kanal reicht von E-Mail über SMS bis zum QR-Code.
- 4
Druck erzeugen. Dringlichkeit, Autorität oder Neugier sollen dazu führen, dass Empfänger reflexartig handeln, statt die Nachricht in Ruhe zu prüfen.
- 5
Datenabgriff. Über einen gefälschten Link, eine nachgebaute Login-Seite oder einen Anhang gelangen die eingegebenen Daten zu den Angreifern – oder es wird im Hintergrund Schadsoftware installiert.
- 6
Missbrauch und Ausbreitung. Mit den erbeuteten Zugängen folgen Kontoübernahmen, betrügerische Überweisungen, Datendiebstahl oder weitere Angriffe im Namen des Opfers – bis hin zur Verschlüsselung ganzer Netzwerke.
Phishing-Arten im Überblick
Phishing ist der Oberbegriff für eine ganze Familie von Angriffsformen. Sie unterscheiden sich vor allem im Kanal und darin, wie gezielt sie vorgehen. Die folgende Tabelle gibt einen schnellen Überblick:
| Art | Kanal | Typisches Vorgehen |
|---|---|---|
| Massen-Phishing | Breit gestreute, unpersönliche Köder an sehr viele Empfänger gleichzeitig. | |
| Spear-Phishing | Gezielt auf eine Person oder Abteilung zugeschnitten und vorab recherchiert. | |
| Whaling | Spear-Phishing gegen Führungskräfte und Entscheider mit weitreichenden Rechten. | |
| CEO-Fraud | Täter geben sich als Geschäftsführung aus und ordnen eilige, vertrauliche Zahlungen an. | |
| Business E-Mail Compromise | Angriff über gekaperte oder täuschend echt wirkende Geschäfts-Postfächer. | |
| Smishing | SMS | Kurznachrichten rund um angebliche Pakete, Konten oder Zustellgebühren. |
| Vishing | Telefon | Betrug per Anruf, oft getarnt als IT-Support, Bank oder Behörde. |
| Quishing | QR-Code | Manipulierter QR-Code führt auf eine gefälschte Login- oder Bezahlseite. |
Jede dieser Formen erklären wir ausführlich in einem eigenen Beitrag:
Spear-Phishing – gezielte Angriffe auf einzelne Personen oder Abteilungen. Die Nachrichten sind persönlich zugeschnitten und dadurch deutlich glaubwürdiger als Massen-Mails.
Whaling – eine Sonderform des Spear-Phishings gegen „die großen Fische“, also gegen Führungskräfte und Entscheider mit weitreichenden Rechten.
CEO-Fraud – hier geben sich Täter als Geschäftsführung aus und weisen Mitarbeitende scheinbar zu dringenden, vertraulichen Überweisungen an.
Business E-Mail Compromise (BEC) – Angriffe über kompromittierte oder täuschend echt wirkende Geschäfts-Postfächer, etwa um Rechnungen oder Zahlungsdaten zu manipulieren.
Smishing – Phishing per SMS, oft mit kurzen Nachrichten rund um angebliche Paketsendungen oder Konto-Warnungen.
Vishing – Voice-Phishing, also Betrug am Telefon, bei dem sich Anrufer etwa als IT-Support oder Bankmitarbeiter ausgeben.
Quishing – QR-Code-Phishing, bei dem ein manipulierter QR-Code auf eine gefälschte Seite führt und so klassische Spam-Filter umgeht.
Woran erkennt man Phishing?
Trotz immer professionellerer Fälschungen gibt es verlässliche Warnsignale. Je mehr davon zutreffen, desto höher ist der Verdacht:
- Unerwartete Dringlichkeit oder Drohungen („Ihr Konto wird gesperrt“).
- Unpersönliche oder unpassende Anrede trotz angeblich bekanntem Absender.
- Abweichende Absenderadressen und Links, deren Ziel nicht zum angezeigten Text passt.
- Aufforderung, Zugangsdaten, TANs oder Zahlungen über einen Link preiszugeben.
- Ungewöhnliche Anhänge, etwa vermeintliche Rechnungen in unerwarteten Dateiformaten.
- Sprachliche Auffälligkeiten, Layout-Fehler oder ein Kontext, der nicht zur Beziehung passt.
Faustregel
Eine ausführliche Anleitung mit allen Merkmalen finden Sie in unserem Ratgeber Phishing-Mails erkennen. Weitere praxisnahe Beiträge bündeln wir im Ratgeber-Bereich.
Was tun bei einer Phishing-Mail?
Der wichtigste Grundsatz lautet: nicht klicken, nicht antworten, keine Daten eingeben. Melden Sie verdächtige Nachrichten Ihrer IT oder dem Sicherheitsverantwortlichen und löschen Sie sie anschließend. Haben Sie bereits auf einen Link geklickt oder Daten eingegeben, zählt jede Minute.
Sofortmaßnahmen nach einem Klick
Eine vollständige Schritt-für-Schritt-Anleitung für den Ernstfall finden Sie im Ratgeber Phishing-Mail – was tun?
Phishing-Schutz für Unternehmen
Für Unternehmen ist Phishing kein Einzelrisiko, sondern das häufigste Einfallstor für Datendiebstahl, Betrug und Ransomware. Ein wirksames Schutzkonzept setzt deshalb auf mehreren Ebenen an und verbindet technische, organisatorische und menschliche Maßnahmen – denn jede einzelne Ebene lässt sich umgehen, das Zusammenspiel aber macht Angriffe teuer und selten erfolgreich:
- Regelmäßige Phishing-Simulationen und Awareness-Trainings für alle Mitarbeitenden.
- Mehr-Faktor-Authentifizierung (MFA) für E-Mail, VPN und zentrale Systeme.
- Klare Freigabeprozesse für Zahlungen und Datenauskünfte nach dem Vier-Augen-Prinzip.
- Technische Filter: Spam- und Malware-Schutz sowie die E-Mail-Standards SPF, DKIM und DMARC.
- Eine niederschwellige Meldekette für verdächtige Nachrichten – ohne Schuldzuweisung.
- Aktuelle Software, konsequentes Patchen und minimale Rechtevergabe (Least Privilege).
Technik allein genügt nicht: Filter fangen viele, aber nie alle Nachrichten ab, und besonders Spear-Phishing ist darauf ausgelegt, sie zu umgehen. Die letzte und entscheidende Verteidigungslinie ist deshalb der Mensch. Darum ist die Sensibilisierung der Mitarbeitenden keine Kür, sondern Kernbestandteil jedes Sicherheitskonzepts.
Für viele Organisationen ist Security Awareness zudem eine regulatorische Pflicht. Die NIS2-Richtlinie verpflichtet betroffene Unternehmen ausdrücklich zu Schulungen und zur Förderung der Cyberhygiene – und nimmt dabei explizit die Leitungsebene in die Verantwortung.
So hilft SECMIND gegen Phishing
SECMIND trainiert genau die Reflexe, die vor Phishing schützen. Mit realistischen Phishing-Simulationen erleben Ihre Mitarbeitenden Angriffe in sicherer Umgebung, lernen im Moment des Fehlers und werden über mehrere Kampagnen hinweg messbar sicherer – anonymisiert und DSGVO-konform. Ergänzend vermittelt das Security Awareness Training die passenden Inhalte und baut nachhaltiges Sicherheitsbewusstsein auf.
Wie gut Ihr Team vorbereitet ist, prüfen Sie unkompliziert mit einem kostenlosen Phishing-Test. Alle Leistungen und Pakete finden Sie transparent auf unserer Preisseite.
Häufige Fragen zu Phishing
Was ist Phishing?
Phishing ist ein Cyberangriff, bei dem Täter sich als vertrauenswürdiger Absender ausgeben, um an vertrauliche Daten wie Passwörter, Zugangsdaten oder Zahlungsinformationen zu gelangen. Die Angriffe erfolgen meist per E-Mail, aber auch über SMS, Telefon oder QR-Codes. Phishing zielt nicht auf technische Lücken, sondern auf menschliches Verhalten.
Woher kommt der Begriff Phishing?
Phishing ist ein Kunstwort aus den englischen Wörtern „password“ und „fishing“ – sinngemäß das „Angeln“ nach Passwörtern und Daten. Die Schreibweise mit „ph“ geht auf die frühe Hacker-Szene zurück, insbesondere auf das sogenannte Phreaking, die Manipulation von Telefonnetzen. Dokumentiert ist der Begriff seit etwa 1996 im Zusammenhang mit Angriffen auf Online-Dienste.
Welche Arten von Phishing gibt es?
Zu den wichtigsten Formen zählen klassisches Massen-Phishing per E-Mail, gezieltes Spear-Phishing, Whaling (Angriffe auf Führungskräfte), CEO-Fraud, Smishing (per SMS), Vishing (per Telefon), Quishing (per QR-Code) sowie Business E-Mail Compromise (BEC). Sie unterscheiden sich vor allem im Kanal und darin, wie gezielt und individuell sie vorgehen.
Woran erkenne ich eine Phishing-Mail?
Typische Warnsignale sind unerwarteter Zeitdruck, Drohungen, eine unpassende Anrede, abweichende Absenderadressen sowie Links, deren tatsächliches Ziel nicht zum angezeigten Text passt. Verdächtig ist jede Aufforderung, Zugangsdaten oder Zahlungen über einen Link preiszugeben. Je mehr dieser Merkmale zusammenkommen, desto höher der Verdacht.
Wie schützt man sich vor Phishing?
Der wirksamste Schutz kombiniert Technik und Mensch: Mehr-Faktor-Authentifizierung, Spam- und Malware-Filter, die E-Mail-Standards SPF, DKIM und DMARC sowie klare Freigabeprozesse auf der einen – und ein geschultes, aufmerksames Team auf der anderen Seite. Regelmäßige Phishing-Simulationen trainieren die nötigen Reflexe nachhaltig.
Was tun bei einer Phishing-Mail?
Klicken Sie keine Links an und öffnen Sie keine Anhänge. Antworten Sie nicht und geben Sie keine Daten ein. Melden Sie die Nachricht an Ihre IT oder den Sicherheitsverantwortlichen und löschen Sie sie anschließend. Haben Sie bereits Daten eingegeben, ändern Sie betroffene Passwörter sofort und informieren Sie unverzüglich die IT.
Was ist der Unterschied zwischen Phishing und Spear-Phishing?
Klassisches Phishing ist Massenware: Dieselbe Nachricht geht an sehr viele Empfänger, in der Hoffnung, dass ein kleiner Teil anbeißt. Spear-Phishing ist gezielt und individuell. Die Täter recherchieren eine bestimmte Person oder Abteilung vorab und schneiden die Nachricht persönlich zu. Dadurch wirkt sie glaubwürdiger und ist schwerer zu erkennen.
Ist Phishing strafbar?
Ja. Phishing erfüllt in Deutschland je nach Tathergang mehrere Straftatbestände, darunter Computerbetrug, das Ausspähen und Abfangen von Daten sowie Urkunden- und Markenrechtsverletzungen. Für Betroffene ist zudem wichtig: Vorfälle sollten dokumentiert, der IT gemeldet und bei finanziellem Schaden auch zur Anzeige gebracht werden.
Machen Sie Phishing zum beherrschbaren Risiko
Starten Sie Ihre kostenlose 7-Tage-Demo – ohne Kreditkarte, in wenigen Minuten eingerichtet.
Jetzt kostenlos testen