Phishing & Social Engineering · PHI-01
Verdächtige Nachricht erhalten
Eine Mail oder Chat-Nachricht wirkt nicht echt. Sie drängt zur Eile, kommt von einem unerwarteten Absender oder verlangt eine Anmeldung, eine Zahlung oder die Weitergabe von Daten. Du hast noch nichts angeklickt und nichts eingegeben.
Erste 15 Minuten
Sofortmaßnahmen.
- Angebliche Sperrung eines Kontos mit Frist von 24 Stunden
- Rechnung von einem Absender, der nie Rechnungen schickt
- Bitte um Freigabe eines geteilten Dokuments
- Nachricht der Geschäftsführung über einen fremden Kanal
- 01
Nichts anklicken, nichts herunterladen, nicht antworten. Solange die Nachricht nur im Postfach liegt, ist nichts passiert.
- 02
Absenderadresse vollständig anzeigen lassen und mit der echten Adresse vergleichen. Der angezeigte Name sagt nichts aus.
- 03
Bei angeblich internen Absendern über einen bekannten Weg rückfragen, nie über die Kontaktdaten aus der Nachricht.
- 04
Melden, auch wenn du sicher bist, dass es Phishing ist. Die IT braucht die Info, um andere Empfänger zu schützen.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister. Bei Nachrichten mit Zahlungsbezug zusätzlich die Buchhaltung.
Wie
Über den internen Meldeweg aus dem Kontaktblatt. Falls vorhanden, den Melde-Button im Mail-Programm nutzen.
Was bereithalten
- Vollständige Absenderadresse, nicht nur der angezeigte Name
- Betreff und Eingangszeitpunkt der Nachricht
- Worum die Nachricht bittet
- Ob du etwas angeklickt oder geantwortet hast
- Ob Kolleginnen und Kollegen dieselbe Nachricht bekommen haben
Häufige Fehler
Nicht tun.
-
Die Nachricht an Kolleginnen und Kollegen weiterleiten, um zu warnen. Wer den Link dort öffnet, ist im selben Fall.
-
Auf Abmelden oder Kein Interesse klicken. Auch diese Links bestätigen, dass die Adresse aktiv gelesen wird.
-
Die Nachricht einfach löschen. Ohne Meldung erfährt die IT nichts von der laufenden Welle.
-
Den Absender anrufen, um nachzufragen, wenn die Nummer aus der Nachricht selbst stammt.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT prüft, wie viele Postfächer die Nachricht erreicht hat, und entfernt sie zentral aus allen betroffenen Konten.
-
Absender und Zieladresse werden gesperrt, damit Folgewellen aus derselben Quelle nicht mehr durchkommen.
-
Häufen sich gleichartige Nachrichten, folgt eine kurze Information ans Team mit den konkreten Erkennungsmerkmalen.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Der wertvollste Moment ist der vor dem Klick
Dieses Playbook beschreibt den einzigen Fall der Serie, in dem noch nichts passiert ist. Genau deshalb steht es an erster Stelle: Eine gemeldete Nachricht, die niemand geöffnet hat, kostet die IT zehn Minuten. Dieselbe Nachricht, zwei Stunden später von drei Personen geöffnet, kostet Tage.
Deshalb gehört auch die Nachricht gemeldet, bei der du dir völlig sicher bist. Für dich ist der Fall abgeschlossen, sobald du sie erkannt hast. Für die IT beginnt er dort: Sie kann sehen, wer sie sonst noch bekommen hat, und sie aus allen Postfächern entfernen, bevor jemand mit weniger Aufmerksamkeit sie öffnet.
Der angezeigte Name ist keine Absenderprüfung
In fast jedem Mail-Programm steht oben nur der Anzeigename, und der ist frei wählbar. Eine Nachricht kann Geschäftsführung anzeigen und von einer beliebigen Adresse kommen. Die Prüfung beginnt deshalb erst, wenn die vollständige Adresse sichtbar ist.
Achte dort auf zwei Muster: fremde Domains, die der echten ähneln, und echte Domains mit einem zusätzlichen Wort davor. Beides ist mit einem Blick zu erkennen, sobald die Adresse ausgeschrieben dasteht. Bei Chat-Nachrichten gilt dasselbe für das Profil dahinter.
Rückfragen nur über einen Weg, den die Nachricht nicht kennt
Wenn eine Nachricht angeblich von einer Person aus dem Haus stammt, ist die Rückfrage richtig. Entscheidend ist der Kanal. Eine Telefonnummer, eine Antwortadresse oder ein Link aus der verdächtigen Nachricht führen im Betrugsfall zur Gegenseite, die genau auf diese Rückfrage vorbereitet ist.
Nimm deshalb die Nummer aus dem internen Verzeichnis, ruf im Nachbarbüro an oder frag persönlich. Der Umweg dauert eine Minute und ist die einzige Prüfung, die im Zweifel wirklich trägt.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.