Die wachsende Bedrohung durch Phishing und Betrug

1. Einleitung

Phishing und Online-Betrug zählen zu den häufigsten und teuersten Cyberbedrohungen für Unternehmen. Technische Sicherheitsmaßnahmen werden zwar besser, doch Angreifer halten Schritt – und setzen zunehmend KI ein, um überzeugendere Angriffe in größerem Maßstab zu lancieren.

Die Kosten sind erheblich: Laut aktuellen Studien verursachen Phishing-Angriffe allein in Deutschland jährlich Schäden in Milliardenhöhe. Der Schaden beschränkt sich dabei nicht auf unmittelbare finanzielle Verluste – Reputationsschäden, Vertrauensverlust bei Kunden und regulatorische Konsequenzen wirken oft noch Jahre nach einem erfolgreichen Angriff nach.

2. Was sind Phishing und Online-Betrug?

Phishing bezeichnet Versuche, durch gefälschte Kommunikation sensible Informationen wie Passwörter, Zahlungsdaten oder Zugangsdaten zu stehlen oder Nutzer zu schädlichen Handlungen zu verleiten. Der Begriff leitet sich von „fishing" (Angeln) ab – Angreifer werfen einen Köder aus und warten, bis jemand „anbeißt".

Online-Betrug ist der Oberbegriff für alle Formen digitalen Betrugs, der über das Internet abgewickelt wird. Dazu gehören neben Phishing auch E-Mail-Spoofing, Business Email Compromise, Fake-Shops, Investmentbetrug und Identitätsdiebstahl.

Für Unternehmen besonders relevant: Phishing-Angriffe richten sich häufig nicht nur gegen die Organisation selbst, sondern nutzen den Markennamen des Unternehmens, um dessen Kunden zu täuschen. Das Unternehmen wird zum unfreiwilligen Aushängeschild eines Betrugs, den es nicht zu verantworten hat.

3. Risiken für Unternehmen

Die Risiken für Unternehmen sind vielfältig – und betreffen weit mehr als nur die IT:

Direkte finanzielle Verluste entstehen, wenn Mitarbeiter auf Phishing-Angriffe hereinfallen und Überweisungen ausführen, Zugangsdaten weitergeben oder Malware installieren. Im Fall von Business Email Compromise können Einzelvorfälle sechs- bis siebenstellige Beträge verursachen.

Reputationsschäden sind oft schwerer zu beziffern, aber langfristig gravierender. Wenn Kunden im Namen Ihres Unternehmens betrogen werden, verlieren sie das Vertrauen in Ihre Marke – unabhängig davon, wer technisch die Schuld trägt. In Branchen wie Finanzdienstleistungen und E-Commerce kann dieser Vertrauensverlust existenzbedrohend sein.

Regulatorische Konsequenzen drohen, wenn durch Phishing-Angriffe personenbezogene Daten kompromittiert werden. Die DSGVO verpflichtet Unternehmen zur Meldung innerhalb von 72 Stunden und sieht empfindliche Bußgelder bei Verstößen vor.

4. Präventionsstrategien

Wirksamer Schutz vor Phishing und Online-Betrug setzt auf mehreren Ebenen an:

Technische Maßnahmen umfassen die korrekte Konfiguration von SPF, DKIM und DMARC, E-Mail-Filtering-Lösungen, Multi-Faktor-Authentifizierung für alle Konten und regelmäßige Sicherheitsbewertungen der eigenen IT-Infrastruktur.

Organisatorische Maßnahmen sind mindestens ebenso wichtig: Klare Prozesse für verdächtige E-Mails, Eskalationswege bei Sicherheitsvorfällen, Vier-Augen-Prinzip bei kritischen Transaktionen und regelmäßige Security-Awareness-Trainings.

Proaktives Domain Monitoring ist die unterschätzte dritte Säule: Wer kontinuierlich überwacht, welche Lookalike-Domains auf seine Marke registriert werden, kann Phishing-Infrastruktur erkennen und eliminieren, bevor Angriffe stattfinden. Der nebty Domain Report liefert genau diese Informationen – kostenlos und ohne Aufwand.

5. Reaktionsstrategien

Trotz aller Prävention kann es zu Vorfällen kommen. Eine schnelle, koordinierte Reaktion minimiert den Schaden:

Sofortmaßnahmen bei Verdacht auf Phishing: Betroffene Konten sofort sperren oder Passwörter zurücksetzen, die IT-Sicherheitsabteilung informieren und keine weiteren Informationen über den Vorfall verbreiten, bis er eingedämmt ist.

Schadensminimierung: Bei Verdacht auf finanzielle Transaktionen sofort die Bank kontaktieren und ggf. eine Rückbuchung veranlassen. Banken können in vielen Fällen noch eingreifen, wenn sie früh genug informiert werden.

Behördliche Meldung: Phishing-Vorfälle sollten dem BSI und ggf. der Strafverfolgung gemeldet werden. Bei Datenpannen gilt die 72-Stunden-Meldepflicht nach DSGVO gegenüber der zuständigen Datenschutzbehörde.

Kommunikation nach innen und außen: Betroffene Kunden sollten proaktiv und transparent informiert werden. Eine klare, ehrliche Kommunikation minimiert Reputationsschäden deutlich effektiver als Versuche, Vorfälle zu verbergen.

6. Fazit

Phishing und Online-Betrug sind keine abstrakten Risiken, sondern konkrete, alltägliche Bedrohungen. Die gute Nachricht: Unternehmen, die proaktiv handeln, können das Risiko erheblich reduzieren. Der Schlüssel liegt in der Kombination aus technischen Schutzmaßnahmen, organisatorischer Resilienz und kontinuierlichem Monitoring.

Gerade das Domain Monitoring wird oft unterschätzt: Es bietet ein einzigartiges Frühwarnsystem, da Angreifer Infrastruktur aufbauen müssen, bevor sie angreifen. Wer dieses Handlungsfenster nutzt, hat einen entscheidenden Vorteil.