Wie kann ich mich, mein Unternehmen und meine Websites vor Phishing schützen?

Beim Phishing geht es darum, nach Informationen zu fischen. Angreifer versuchen häufig über gefälschte Websites und E-Mails Zugriff auf persönliche Logins der Kund*innen zu erhalten. Weil die nachgebauten Internetseiten und E-Mails dabei den Originalen verblüffend ähnlich sehen, ist Phishing auch heutzutage immer noch äußerst erfolgreich.

Das Problem dabei ist, dass gewöhnliche Kund*innen eines Unternehmens nicht unbedingt darauf achten, ob die Absender*innen einer E-Mail oder die URL einer Website wirklich korrekt sind. Das hat zum einen damit zu tun, dass viele Mail-Programme und Browser derartige Informationen ausblenden. Zum anderen ist es jedoch auch die Faulheit. Oder prüft ihr bei jeder einzelnen E-Mail, ob die Absender*innen korrekt sind? Vermutlich nicht.

Weil es mit etwas Raffinesse im Großen und Ganzen somit recht einfach sein kann, Daten von Kund*innen via Phishing zu ergaunern, gibt es auch heute immer noch viele Versuche diesbezüglich. Das sind dann meist simple E-Mails zum Zurücksetzen des Passworts oder Hinweise auf AGB-Änderungen, weshalb ein Login über eine bestimmte URL notwendig ist, damit alles wie gewohnt funktioniert. Angreifer*innen sind da kreativ, zum Glück oft aber auch sehr plump und dumm.

Vor allem, weil es die eigenen Kund*innen betrifft und somit direkten Einfluss auf das Verhältnis zwischen Unternehmen und Kund*innen nimmt. Außerdem beschädigt es das Vertrauen in das jeweilige Unternehmen, selbst wenn selbiges rein gar nichts damit zu tun hatte. Weil Kund*innen am Ende immer erbost sein werden, fällt das Problem somit stets auch auf das Unternehmen zurück.

Natürlich nimmt es ebenso ganz direkten Einfluss. Wenn Daten von Kund*innen durch eine Phishing-Attacke ergaunert werden, ist das auch für die Unternehmen ein großer Ärger, die sich nun um die geschädigten Personen kümmern müssen. Wenn eine Phishing-Attacke bei einer Bank dafür sorgt, dass das Konto leer geräumt wird, so wird sich die betroffene Person zunächst an die Bank wenden. Die muss ihm dann mit Supportaufwand zur Seite stehen, um beispielsweise Konten zu sperren, Überweisungen zu stoppen oder andere Maßnahmen einzuleiten, um die Sache schnellstmöglich zu lösen.

Unternehmen erleiden durch Phishing-Versuche also vor allem den Nachteil, dass das Vertrauensverhältnis mit den eigenen Kund*innen geschädigt wird. Auf der anderen Seite haben sie anschließend den Aufwand im Support, Sperrungen oder Kontrollen durchzuführen und eventuell auch rechtliche Probleme, weil Kund*innen oft gar nicht klar ist, dass es kein Hack bei dem jeweiligen Unternehmen war, sondern sie selbst die Daten via Phishing preisgegeben haben.

Es gibt einige wichtige Schritte, die jedes Unternehmen vollziehen sollte, um seine eigene Kundschaft vor Phishing-Attacken zu schützen. Der erste und grundlegendste Schritt ist immer, auf akute Phishing-Versuche hinzuweisen. Ist bekannt, dass es derzeit zu vielen Phishing-Attacken kommt und Kund*innen betroffen sind, sollten diese sofort per E-Mail darüber in Kenntnis gesetzt werden. Nur so können sie eventuell eintreffende Mails mit gegebener Vorsicht betrachten und werden sie nicht einfach hinnehmen und blind auf Links klicken.

Dann gibt es noch den sogenannten DMARC-Eintrag. DMARC steht für Domain-based Message Authentication Reporting and Conformance und ist ein Protokoll zur E-Mail-Authentifizierung. Ohne jetzt zu technisch zu werden, erlaubt DMARC eine Prüfung, Protokollierung und einen sicheren Versand, indem E-Mails verifiziert werden müssen oder nur von bestimmten IP-Adressen des jeweiligen Unternehmens versendet werden können.

Das Wichtigste bei all dem ist jedoch, die eigenen Mitarbeiter*innen im Unternehmen entsprechend auszubilden, damit auch diese keinem Phishing-Angriff zum Opfer fallen. Es gibt Studien, die zeigen, dass Angestellte durchaus effektiv erkennen können, ob es sich um Phishing handelt, sie oft aber einfach nicht darauf achten. Im eigenen Unternehmen müssen daher alle entsprechend geschult werden. Außerdem sollte immer wieder klar sein, dass jede Anfrage potenziell auch Phishing sein könnte und dementsprechend betrachtet werden muss. Es soll ein Gespür dafür entstehen, Mails nicht blind hinzunehmen, wenn diese komisch wirken.

Oft sind es kleine Aufmerksamkeiten, die eine Phishing-Attacke entlarven. Die meisten Angriffe sind zudem schlecht gemacht. Rechtschreibfehler und merkwürdige vielleicht sogar veraltete Logos sind da an der Tagesordnung. Dementsprechend offensichtlich ist der Phishing-Versuch häufig und somit sollte er schnell erkannt werden.

Natürlich muss im eigenen Unternehmen ebenfalls für entsprechende Sicherheit gesorgt werden, indem E-Mail-Postfächer geschützt, Mitarbeiter*innen geschult und Arbeitsrechner nicht mit Privatrechnern kombiniert werden. Auch firmeninterne VPNs spielen hier eine wichtige Rolle. Die Sicherheit in Unternehmen ist jedoch ein anderes Thema und ein ebenso komplexes.

Weil Phishing-Attacken tagtäglich sein können, müssen Kund*innen immer entsprechend darauf hingewiesen oder informiert werden. Genau wie Mitarbeiter*innen geschult werden können, um Phishing-Mails direkt zu erkennen, sind Unternehmen ebenso gefragt, ihre Kund*innen dafür zu sensibilisieren. Kleine Hinweise reichen, um den Personen immer wieder ins Gedächtnis zu rufen, dass es eine Phishing-Attacke sein könnte und eine Kontrolle für sich genommen schnell erledigt ist. Genau darum geht es am Ende. Sensibilität für die Details aufbauen, die Phishing für gewöhnlich schnell als solches entlarven.