Phishing bezeichnet den betrügerischen Versuch, mithilfe von Social Engineering Informationen zu stehlen. Heute sind solche Angriffe alltäglich, doch ihre Anfänge reichen mehr als 20 Jahre zurück. Die Anfänge des Phishings In den 1990er-Jahren gehörten Nutzer des Onlinedienstes AOL zu den ersten häufigen Zielen. Frühe gefälschte E-Mails waren meist relativ leicht zu erkennen. Mit der zunehmenden Nutzung von Internet und E-Mail stieg jedoch auch die Anzahl der Betrugsversuche. Angreifer begannen, automatisierte Kampagnen zu versenden, um Zugangsdaten zu erbeuten. Im Laufe der Zeit wurden die Betreffzeilen überzeugender und die Nachrichten schienen häufiger von bekannten Personen oder vertrauenswürdigen Unternehmen zu stammen. Massen-Phishing und Spear-Phishing Bei klassischen Phishing-Kampagnen werden Tausende gefälschte Nachrichten versendet. Die Täter hoffen, dass zumindest ein kleiner Teil der Empfänger einen schädlichen Link anklickt oder einen infizierten Anhang öffnet. Spear-Phishing verfolgt einen gezielteren Ansatz. Die Angreifer recherchieren eine kleine Zahl ausgewählter Personen und passen ihre Nachrichten an diese Empfänger an. Besonders interessant sind Personen mit besonderen Berechtigungen oder Führungsverantwortung, da deren Konten Zugang zu wertvollen Daten ermöglichen können. Das grundlegende Prinzip Obwohl sich Gestaltung und Inhalt der Nachrichten unterscheiden, bleibt das Prinzip gleich: Eine Nachricht soll legitim erscheinen und den Empfänger zu einer bestimmten Handlung bewegen – etwa zum Anklicken eines Links oder Öffnen eines Anhangs. Moderne Phishing-Nachrichten können persönliche Informationen enthalten und dadurch äußerst glaubwürdig wirken. Häufig erzeugen sie außerdem künstlichen Zeitdruck und verlangen eine sofortige Reaktion. Andere lassen sich weiterhin an Rechtschreibfehlern, falschen Logos oder ungewöhnlichen Formulierungen erkennen. Empfehlungen zum Schutz Nicht jeden per E-Mail erhaltenen Link anklicken Keine Anhänge unbekannter Absender öffnen Unerwartete Anhänge bekannter Personen zunächst über einen anderen Kommunikationsweg bestätigen lassen Links unbekannter Absender nicht öffnen Mit dem Mauszeiger über Links fahren und die tatsächliche Zieladresse überprüfen Beschäftigte regelmäßig für Phishing-Risiken sensibilisieren Simulierte Phishing-Angriffe für praxisnahe Schulungen einsetzen Verdächtige Nachrichten konsequent melden Fazit Phishing hat sich von leicht erkennbaren Massenmails zu professionellen, personalisierten und technisch ausgefeilten Angriffen entwickelt. Ältere Schutzmaßnahmen allein reichen daher nicht mehr aus. Unternehmen benötigen eine Kombination aus technischen Sicherheitsmaßnahmen, kontinuierlichen Schulungen, Phishing-Simulationen und funktionierenden Meldeprozessen.