Phishing abwehren im Unternehmen

Warum Phishing für KMU so gefährlich ist

Angreifer imitieren Banken, Versicherer, Geschäftsführung oder IT-Support. Maklerbüros und Kanzleien sind besonders attraktiv, weil hohe Beträge und vertrauliche Daten im Spiel sind. Technische Filter reduzieren Volumen — Restrisiko bleibt bei überzeugend gefälschten Mails und Voice-Phishing.

Schaden entsteht oft erst nach dem Login: Weiterleitungsregeln, zusätzliche Postfach-Regeln oder OAuth-Apps, die heimlich Daten lesen. Deshalb zählt Reaktion nach dem Klick genauso wie Prävention davor. Viele Büros merken Kompromittierung erst, wenn Kunden sich wundern.

CEO-Fraud und Lieferantenbetrug nutzen Vertrauen und Eile — „dringende Überweisung“, „neue IBAN“, „vertrauliche Anlage“. Organisatorische Kontrollen fangen, was Technik übersieht. Versicherungsmakler sollten Policen- und Schadenprozesse explizit gegen Mail-Manipulation absichern.

Der Phishing-Risiko-Check priorisiert Maßnahmen für Büros ohne dediziertes Security-Team. Kombinieren Sie technische Härtung mit klaren Freigaberegeln — beides zusammen senkt Schaden messbar.

Voice-Phishing und SMS-Betrug ergänzen E-Mail: Anrufer geben sich als IT oder Bank aus und fragen nach MFA-Codes. Schulen Sie: Niemand seriöser fragt am Telefon nach Passwort oder Authenticator-Code. IT-Support hat eigene Admin-Werkzeuge — kein Anruf an die Assistenz der GF.

Lieferantenkompromittierung: echte Threads mit plötzlich falschen Anhängen oder IBAN. Prozesse für Zahlungsänderungen schützen auch vor gehackten Partner-Postfächern — nicht nur vor gefälschten Absendern.

DMARC-Reports lesen ist Pflegearbeit: wöchentlich Ausreißer prüfen, neue Mail-Dienste eintragen, dann Stufe erhöhen. p=reject ohne Vorbereitung blockiert legitime Newsletter — Schrittweise vorgehen.

E-Mail-Authentifizierung: SPF, DKIM, DMARC

Glossar SPF, DKIM, DMARC und Artikel E-Mail-Sicherheit liefern Detail. Eigene Domain schützen stärkt Vertrauen bei Kunden und senkt Missbrauch Ihres Namens.

Anti-Phishing-Policies für CEO-Fraud: Display-Name-Abweichungen, Domains mit Leetspeak. Safe Links sandboxen Klicks — wo lizenziert. Legacy-Auth aus — sonst reicht gestohlenes Passwort.

Quartalsweise: Transport Rules, Mailbox-Regeln, OAuth-Apps auditieren. Angreifer bleiben oft unsichtbar durch Weiterleitungen — PowerShell-Export als Routine.

Authenticator statt SMS für Admins — SIM-Swap-Risiko. Passwort-Manager: fehlendes Autofill warnt vor Fake-Domain. Nach Verdacht: Sessions killen, Regeln prüfen, Mail-Trace.

FIDO2 für Global Admin — Phishing-resistent. Rollout-Wellen mit Helpdesk am ersten Tag — Frust vermeidet Umgehung.

Melde-Button in Outlook oder klare Weiterleitung an support@ — Antwortzeit definieren. Kein Shaming im Team-Meeting — sonst wird nicht gemeldet.

Monatlich fünf Minuten echte Beispiele — anonymisiert. Fokus Muster: Dringlichkeit, Domain, Anhang. Nach Meldung Rückmeldung — auch wenn harmlos.

Transport Rules und externe Absender-Warnungen quartalsweise prüfen — neue Marketing-Tools und Buchhaltungs-SaaS ändern Absenderprofile und können legitime Mail blockieren, wenn SPF/DKIM nicht mitgezogen werden.

Schutzrichtlinien in Microsoft 365

Bankverbindungsänderung nur nach Rückruf auf bekannter Nummer — schriftlich im Handbuch. Vier-Augen bei hohen Beträgen. Makler: Policen- und Schadenprozesse explizit absichern.

GF unterschreibt Zahlungsregeln — neue Mitarbeitende in Onboarding. Betrüger nutzen Eile — Pause ist erlaubt und erwünscht.

Simulationen transparent — aggregierte Auswertung, kein Name-and-Shame. Live-Analyse echter Mails oft lehrreicher als Fake-Klicks.

Phishing-Risiko-Check vor Simulation — Prioritäten kennen. Voice- und SMS-Betrug einbeziehen — nicht nur E-Mail.

Incident-Dokumentation: Timeline, Konten, Regeln, Kundeninfo, Gegenmaßnahmen. DSGVO-Meldepflicht prüfen. Keine Beweise löschen aus Panik.

Externe Betreuung: Mail-Trace, Härtung — GF entscheidet Kundenkommunikation. Lessons learned in Policy und Schulung.

Externe Absender-Warnbanner in Outlook senken Klickrate — aktivieren und nicht ausnahmsweise abschalten.

MFA als zweite Hürde nach dem Klick

Mail-Trace nach Vorfall: wer hat was weitergeleitet — Beweise für Versicherung und DSGVO.

CEO-Fraud: Assistenz und Buchhaltung separat schulen — häufigstes Ziel.

OAuth-Apps mit Mail-Zugriff quartalsweise prüfen — stille Hintertür nach Phishing.

Meldepflicht auch bei Klick ohne Schaden dokumentieren — Lernen für Team.

Makler: Schadenmeldung nie allein per Mail ohne zweite Quelle.

Phishing-Risiko-Check Ergebnis in Roadmap — Technik plus Prozess.

Nach Vorfall: Passwörter rotieren, Regeln löschen, Kunden informieren wenn nötig.

Meldeprozess ohne Schuldzuweisung

Wenn Sie Microsoft 365 nutzen, gehört die Phishing-Abwehr zur Baseline-Pflege wie Backup und Patch: Anti-Phishing-Richtlinien, externe Kennzeichnung, deaktivierte Legacy-Authentifizierung und ein dokumentierter Meldeprozess kosten wenig im Vergleich zu einem Account-Takeover mit Zahlungsbetrug. Versicherungsmakler sollten diese Maßnahmen explizit mit Qualitätshandbuch und Schadenprozessen verknüpfen — Technik ohne Prozess lässt Lücken, die Betrüger gezielt ausnutzen, sobald sie interne Abläufe aus E-Mail-Verkehr gelernt haben.

SPF allein schützt nicht: Er muss zu allen legitimen Absenderdiensten passen, sonst landen Newsletter und Tickets im Spam — oder Sie bleiben bei p=none stehen und lernen nichts aus DMARC-Reports. Planen Sie zwei Wochen Monitoring ein, bevor Sie verschärfen. IT Security Expert richtet DMARC in KMU-Mandaten schrittweise ein, damit der Betrieb nicht plötzlich ohne E-Mail steht, während Sie gleichzeitig Missbrauch Ihrer Domain unterbinden.

Defender for Office 365 ist kein Set-and-Forget: Policies brauchen Review, wenn neue Lizenzstufen dazukommen oder Mitarbeitende externe Signaturen und Marketing-Tools anbinden. Quartalsweise Export der Transport Rules und Mailbox-Regeln verhindert, dass ein alter Forward nach Kompromittierung unbemerkt bleibt — ein Muster, das bei KMU häufiger vorkommt als jeder Zero-Day.

Multi-Faktor-Authentifizierung stoppt viele Angriffe nach dem Klick, aber nur wenn Nutzer sie nicht umgehen und Admins phishing-resistente Faktoren nutzen. Kombinieren Sie MFA mit Passwort-Manager — fehlendes Autofill auf Fake-Domains ist ein praktisches Warnsignal im Alltag, das Schulungen verstärken, ohne Angstkultur aufzubauen.

Ein Meldeprozess lebt von Geschwindigkeit und Respekt: IT antwortet innerhalb von vier Stunden mit Einschätzung, auch wenn die Mail harmlos war. Wer das erlebt, meldet beim nächsten Mal wieder — wer bloßgestellt wird, schweigt und klickt heimlich weiter. Dokumentieren Sie jeden Vorfall kurz für DSGVO und Versicherung.

Organisatorische Kontrollen sind für Makler oft wirkungsvoller als zusätzliche Filter: Schadenmeldungen, Policenänderungen und Provisionsabrechnungen brauchen feste Kanäle und Rückrufregeln. Schriftlich im Handbuch, im Onboarding wiederholt, von der GF mitgetragen — sonst scheitert selbst die beste Technik an einer „dringenden“ Mail am Freitagnachmittag.

Phishing-Simulationen können sinnvoll sein, wenn sie Lernziel haben und nicht als Überwachung missverstanden werden. Besser: gemeinsam eine eingehende Mail analysieren. Der Phishing-Risiko-Check liefert vorher Prioritäten — Simulation ohne Baseline-Härtung ist Theater.

Makler und Kanzleien sollten interne Qualitätszirkel einbeziehen: Buchhaltung, Assistenz und Fachabteilungen kennen Betrugsmuster aus dem Alltag — ihre Beispiele machen Schulungen glaubwürdiger als generische Folien von externen Anbietern.

Zahlungs- und Freigabeprozesse härten

Nach einem Vorfall: Timeline, betroffene Konten, geänderte Regeln, Kundenkommunikation und technische Gegenmaßnahmen festhalten. Externe Betreuung unterstützt Mail-Trace und Härtung — GF entscheidet über Meldungen nach außen. Lessons learned in Policy und Schulung einarbeiten, damit derselbe Fehler nicht dreimal passiert.

SPF listet autorisierte Absender-Server, DKIM signiert Nachrichten kryptografisch, DMARC definiert, was Empfänger bei Fehlern tun sollen. Starten Sie DMARC mit Monitoring (p=none), werten Sie Reports aus, steigern Sie dann auf Quarantäne oder Reject. Newsletter- und Ticket-Systeme müssen in SPF berücksichtigt sein.

Falsch konfigurierte DMARC kann legitime Mail blockieren — deshalb Reports lesen, bevor Sie hart schalten. Externe Marketing-Tools und Buchhaltungssoftware oft vergessen; jede neue SaaS-Absenderquelle in SPF/DKIM einplanen.

Vertiefung zu SPF, DKIM und DMARC im Glossar und im Artikel E-Mail-Sicherheit im Microsoft-365-Cluster. Eigene Domain schützen hilft auch Ihrem Ruf — Empfänger vertrauen weniger, wenn Ihr Name für Spam missbraucht wird.

Quartalsweise Review: Neue Dienste, geänderte IP-Ranges, abgelaufene DKIM-Keys. Authentifizierung ist kein Einmalprojekt.

Aktivieren Sie Warnhinweise für externe Absender in Outlook. Safe Links und Safe Attachments — wo lizenziert — sandboxen verdächtige Inhalte. Anti-Phishing-Richtlinien schützen vor CEO-Fraud durch Abweichungen bei Display-Namen und Domains. Legacy-Authentifizierung deaktivieren, damit gestohlene Passwörter allein nicht reichen.

Ausnahmen in Whitelists sparsam setzen — jede Ausnahme ist ein Loch. Quartalsweise Review der Transport Rules und Mailbox-Regeln auf unbemerkte Weiterleitungen. Angreifer legen oft Regeln an, die Sie nie in Outlook sehen.

Simulationen sinnvoll einsetzen

Lizenzvergleich im Microsoft-365-Cluster zeigt, welche Schutzstufen Business Basic, Standard und Premium bieten. Unterlizenzierung ist häufige Ursache für Lücken — GF sollte wissen, was fehlt.

Microsoft schützt die Plattform, nicht Ihre Konfiguration. Policies pflegen wie Backups testen — regelmäßig und dokumentiert.

Microsoft Authenticator oder FIDO2-Sicherheitsschlüssel für Admins bevorzugen. SMS nur als Fallback. Passwort-Manager erschweren, dass dieselben Zugangsdaten auf Phishing-Seiten landen — Nutzer erkennen oft fehlende Autofill-Einträge.

Bei Verdacht auf Kompromittierung: Passwort zurücksetzen, alle Sessions beenden, Postfach-Regeln und App-Berechtigungen prüfen, Mail-Trace starten. OAuth-Apps mit breiten Rechten entfernen — häufiger Hintertür nach Phishing.

Rollout in Wellen mit Helpdesk am ersten Tag. Backup-Codes sicher ablegen — nicht im gleichen Tresor wie das Passwort. GF ohne MFA-Bypass — Vorbildwirkung schlägt Policy.

Glossar-Einträge MFA und 2FA für Schulungen. Phishing-resistente Faktoren für Admins sind Pflicht, nicht Luxus.

Einfacher Weg: Button in Outlook, Weiterleitung an Support oder Ticket-System. IT antwortet binnen definierter Zeit mit Einschätzung. Kein öffentliches Bloßstellen — das untergräbt Meldebereitschaft.

Nach einem Vorfall dokumentieren

Kurze monatliche Beispiele im Team-Meeting: anonymisierte echte Mails aus dem Posteingang. Fokus auf Muster — Dringlichkeit, falsche Domain, ungewöhnliche Anhänge. Fünf Minuten reichen oft.

Nach Meldung: Mail analysieren, ggf. blockieren, betroffene Nutzer informieren, Muster an Team kommunizieren. Schnelle Rückmeldung belohnt Meldung — Schweigen bestraft sie.

Incident-Dokumentation für DSGVO und Versicherung — auch bei „nur“ Klick ohne Schaden. Timeline und Gegenmaßnahmen festhalten.

Festlegen: Bankverbindungsänderungen nur nach Rückruf auf bekannter Nummer. Keine alleinige Freigabe hoher Beträge per Mail. Vier-Augen-Prinzip bei neuen Lieferanten. Maklerbüros verankern diese Regeln im Qualitätshandbuch und wiederholen sie im Onboarding — nicht nur in der IT-Richtlinie.

Diese Regeln schriftlich im Qualitätshandbuch oder Kurz-Policy — GF unterschreibt mit. Neue Mitarbeitende in Onboarding einweisen — nicht nur IT, sondern Buchhaltung und GF.

Anomalien erkennen: ungewöhnliche Beträge, neue Empfänger, Druck auf Geschwindigkeit. Pause einlegen ist erlaubt — Betrüger nutzen Eile.

Kombination mit Zugriffsrechten: Wer darf Zahlungen auslösen, wer nur vorbereiten? Least Privilege gilt auch für Finanzprozesse.

Phishing-Abwehr ist Daueraufgabe: neue Absenderdomains, geänderte Betrugsmuster und kompromittierte Partner-Postfächer erfordern quartalsweise Review von Policies und Schulungsbeispielen — nicht nur einmalige DMARC-Einrichtung.

Safe Attachments und Safe Links ersetzen keine Meldekultur — aber sie geben dem Team Sekunden mehr zum Nachdenken, bevor ein Anhang lokal ausgeführt wird. Lizenzierung prüfen und Policies an reale Arbeitsabläufe anpassen, statt Standardvorlagen unverändert zu übernehmen.

Externe Signatur-Dienste und Newsletter-Tools in SPF und DKIM einplanen — sonst blockiert strenge DMARC legitime Kommunikation und Teams umgehen Filter mit privaten Konten.

Phishing-Meldungen intern kurz auswerten — welches Muster, welche Domain, welcher Anhang — und als Lernbeispiel im nächsten Team-Meeting nutzen.