Sechs Phishing-Fälle in drei Wochen: Was uns gerade in der Praxis begegnet – und wie Sie sich schützen

Über Phishing schreiben wir in diesem Blog regelmäßig – zuletzt ausführlich über die neue KI-Phishing-Welle. Doch nichts macht ein Risiko so greifbar wie echte Fälle. Und davon hatten wir in den vergangenen drei Wochen gleich sechs auf dem Tisch – allesamt Phishing, allesamt hier in unserem Umfeld in Oberfranken und Thüringen.

Manche der Betroffenen betreuen wir seit Jahren, andere kamen erst durch den Vorfall zu uns. Was sie eint: In keinem einzigen Fall war „die Technik" das eigentliche Einfallstor. Es war immer der Mensch – geschickt getäuscht, unter Druck gesetzt oder schlicht im falschen Moment unaufmerksam. Genau deshalb erzählen wir diese sechs Fälle hier. Nicht, um jemanden vorzuführen, sondern weil man aus echten Geschichten mehr lernt als aus jeder Statistik.

Alle Fälle sind anonymisiert. Details, die Rückschlüsse auf die Betroffenen zulassen würden, haben wir bewusst verändert oder weggelassen.

Fall 1: Der Anruf vom „Bankmitarbeiter"

Eine Praxis erhält eine E-Mail, die täuschend echt aussieht – Absender und Link führen auf eine Domain, die dem Namen der Hausbank zum Verwechseln ähnlich ist. Der Mitarbeiter bemerkt den feinen Unterschied nicht, klickt und meldet sich wie gewohnt „bei seiner Bank" an. In diesem Moment liegen den Angreifern zwei Dinge vor: die Online-Banking-Zugangsdaten – und die Information, wem dieses Konto gehört.

Was dann folgt, ist das eigentlich Perfide. Am Nachmittag klingelt das Telefon. Im Display: die echte Rufnummer der Bank (Angreifer können Rufnummern fälschen). Am Apparat ein angeblicher Bankmitarbeiter, der genau auf jene Phishing-Mail hinweist, die tatsächlich im Postfach liegt – der perfekte Vertrauensbeweis. Es seien bereits verdächtige Überweisungen aufgefallen, man habe diese aber gestoppt und vorsorglich Anzeige bei der Staatsanwaltschaft erstattet. Alles klinge bedrohlich, sei aber „unter Kontrolle".

Diese vorgespielte Fürsorge ist die Falle. Um die Stornierung „aus rechtlichen Gründen" abzuschließen, brauche man nur noch die Zustimmung des Kunden. Der Kunde bestätigt – und löst damit ahnungslos die Freigabe des zweiten Faktors für eine echte Überweisung aus. Der Schaden entspricht dem Tageslimit des Kontos.

Die Lehre: Hier war eine Zwei-Faktor-Authentifizierung aktiv – und half trotzdem nicht, weil das Opfer die Freigabe selbst erteilte. Keine Bank ruft an, um mit Ihrer Zustimmung eine Überweisung zu „stornieren". Solche Freigaben stornieren nie etwas – sie lösen aus. Wer angerufen wird, legt auf und ruft über die offizielle, selbst herausgesuchte Nummer zurück.

Fall 2: Die Schock-Warnung im Browser

Ein Mitarbeiter recherchiert bei Google zu einem ganz alltäglichen Thema – und landet plötzlich auf einer bildschirmfüllenden Warnung: angeblich ein Trojaner-Befall, dazu die Logos von Windows und Windows Defender, ein akustischer Alarm und die dringende Aufforderung, sofort die angezeigte „Support-Nummer" anzurufen. In der Panik, den Rechner verseucht zu haben, ruft er genau diese Nummer an.

Am Telefon wird er freundlich durch die „Fehlerbehebung" geführt – und installiert dabei ein Fernwartungstool, das den Angreifern vollen Zugriff auf seinen Rechner gibt. Ab diesem Moment sitzt ein Fremder mitten im System. Das Bittere daran: Der Betrieb hat einen festen externen IT-Dienstleister – ein kurzer Anruf dort hätte die Lage in Sekunden geklärt. Die angezeigte Nummer war nämlich nicht der Support, sondern der Angreifer selbst.

Der gute Teil zuerst: Nach aktuellem Stand ist kein Geld direkt abgeflossen. Der Schaden ist trotzdem real – nur weniger sichtbar. Fällig wurden die Kosten für IT-Forensik, für die saubere Wiederherstellung des Rechners aus dem Backup und für den erheblichen Aufwand, sämtliche Zugangsdaten zu ändern. Denn was der Angreifer in der Zeit alles gesehen oder abgegriffen hat, lässt sich nie mit Sicherheit sagen. Als direkte Konsequenz führt der Betrieb jetzt einen Passwort-Manager ein – überfällig, aber ein echter Fortschritt.

Die Lehre: Eine bildschirmfüllende Warnung mit einer Telefonnummer ist immer Betrug. Weder Windows noch Windows Defender oder Microsoft zeigen je eine Nummer an, die man anrufen soll – diese „Scareware" setzt gezielt auf den Schreckmoment und die Panik. Richtig ist: nicht anrufen, das Browserfenster schließen (notfalls über den Task-Manager) und im Zweifel den eigenen, bekannten IT-Dienstleister anrufen. Und niemals einen Fremden per Fernwartung auf den Rechner lassen, den man nicht selbst aktiv beauftragt hat.

Fall 3: Die Mail kam wirklich vom Lieferanten – und war trotzdem Phishing

Ein Mitarbeiter bekommt eine Mail von einem bekannten Lieferanten. Und anders als sonst ist der Absender diesmal keine Fälschung: Die Nachricht kam tatsächlich aus dem Postfach des Lieferanten – der kurz zuvor selbst Opfer eines Phishing-Angriffs geworden war. Sein Konto war übernommen, und die Angreifer schrieben von dort aus in seinem Namen seine Geschäftskontakte an.

Damit fällt praktisch jedes technische Warnsignal weg, auf das man sonst achtet: Absenderadresse und Domain stimmen, die Prüfmechanismen für E-Mail-Absender (SPF, DKIM, DMARC) sind sauber, der Mailverlauf ist echt, der Ton vertraut. Kein Spamfilter schlägt hier zuverlässig an – aus Sicht der Technik ist diese Mail einwandfrei. Es bleibt nur eine Prüfung übrig, und die kann keine Software übernehmen: Passt der Inhalt zu dem, was ich mit diesem Absender gerade tatsächlich zu tun habe?

Diese Frage stellte sich im Moment des Lesens niemand. Ein Klick führt auf eine gefälschte Anmeldeseite, die dem Microsoft-365-Login nachempfunden ist. Der Mitarbeiter gibt seine Zugangsdaten ein – und, was den Fall besonders lehrreich macht, auf Nachfrage der Seite auch noch seinen zweiten Faktor.

Damit ist die Multi-Faktor-Authentifizierung ausgehebelt. Bei dieser Art Angriff schaltet sich die gefälschte Seite in Echtzeit zwischen Opfer und echten Login (Fachleute sprechen von einem „Adversary-in-the-Middle"-Angriff) und reicht den zweiten Faktor sofort weiter. Die Angreifer übernehmen das Postfach und tun exakt das, was sie beim Lieferanten schon getan hatten: Sie schreiben alle Kontakte aus dem Adressbuch an – im Namen des Mitarbeiters, von einer echten Adresse, um die nächste Runde Opfer zu finden. Aus einem Opfer werden auf diese Weise die nächsten.

Die Lehre: Dass MFA aktiv war und trotzdem umgangen wurde, ist kein Widerspruch – wir haben genau dieses Muster erst kürzlich im Beitrag Massenangriff auf Microsoft-365-Konten beschrieben. Warum MFA trotzdem unverzichtbar bleibt, lesen Sie unter Warum Multi-Faktor-Authentifizierung heute Pflicht ist. Der entscheidende nächste Schritt ist jedoch eine phishing-resistente Anmeldung: Mit modernem Single Sign-On und passwortlosen Verfahren (Passkeys, FIDO2) ist die Anmeldung fest an die echte Domain gebunden – auf einer gefälschten Seite funktioniert sie schlicht nicht. Der beste Schutz ist, wenn der Mitarbeiter sein Passwort im Idealfall gar nicht kennt: Was man nicht kennt, kann man auch nicht auf einer Betrugsseite eingeben. Und die zweite Lehre dieses Falls: Ein vertrauter Absender ist kein Sicherheitsmerkmal. Auch der seriöseste Geschäftspartner kann eine Stunde zuvor gekapert worden sein – dann ist seine Mail technisch echt und inhaltlich trotzdem ein Angriff.

Fall 4: Wenn die KI die Buchhaltung durchleuchtet

Der vierte Fall zeigt, wohin die Reise geht. Wieder wurde ein Microsoft-365-Postfach übernommen – diesmal ausgerechnet das der Buchhaltung. Und die Angreifer begnügten sich nicht damit, wahllos Mails zu verschicken. Sie durchsuchten das Postfach gezielt mit KI nach Rechnungen, Zahlungsläufen und laufenden Vorgängen.

Das Ziel: An genau den richtigen Stellen bei Kunden und Lieferanten mit einer angeblich geänderten Bankverbindung anzuschreiben – im richtigen Ton, mit Bezug auf reale Vorgänge, damit die nächste fällige Zahlung unbemerkt auf ein fremdes Konto läuft. Ob am Ende jemand tatsächlich auf die falsche Bankverbindung überwiesen hat, wissen wir zum jetzigen Zeitpunkt noch nicht. Klar ist schon jetzt: Es mussten eine DSGVO-Meldung erfolgen und eine gründliche Analyse durchgeführt werden – rund zwei Tage Aufwand, bevor überhaupt an den Normalbetrieb zu denken war.

Die Lehre: Dieser sogenannte Rechnungs- oder Chef-Betrug (Fachbegriff: „Business E-Mail Compromise") ist besonders teuer, weil er direkt auf den Zahlungsverkehr zielt. Und KI macht ihn gefährlicher: Was früher stundenlanges Wühlen in fremden Mails war, erledigt eine KI in Minuten – sauber sortiert nach den lohnendsten Zielen. Jede Änderung einer Bankverbindung gehört deshalb zwingend über einen zweiten Kanal geprüft – ein kurzer Rückruf unter der bekannten Nummer verhindert den Schaden.

Fall 5: Derselbe Angriff – diesmal beim Handwerker

Damit niemand denkt, so etwas treffe nur größere Firmen mit eigener Buchhaltung: Nur wenige Tage später sahen wir fast denselben Fall bei einem Handwerksbetrieb. Wieder ein übernommenes Postfach, wieder die automatisierte Suche nach Rechnungen und Zahlungsvorgängen, wieder der Versuch, Kunden und Lieferanten mit einer angeblich geänderten Bankverbindung in die Irre zu führen.

Der einzige nennenswerte Unterschied war die Größe des Betriebs – die Masche war praktisch identisch. Und genau darin liegt die eigentliche Botschaft: Für automatisierte Angriffe gibt es keine „zu kleinen" Ziele. Ein Postfach ist ein Postfach, eine Rechnung ist eine Rechnung – ob im Konzern oder im Zwei-Personen-Betrieb. Die Angreifer suchen nicht nach großen Namen, sondern nach offenen Türen.

Fall 6: Der Betrug, der am wachsamen Mitarbeiter scheiterte

Der sechste Fall ging – zum Glück – anders aus. In einem größeren Unternehmen erhielt die Lohnbuchhaltung eine E-Mail, die vorgab, von einem eigenen Mitarbeiter zu stammen, mit der Bitte, für die nächste Gehaltszahlung eine geänderte Bankverbindung zu hinterlegen. Inhalt, Namen und Tonfall passten – auf den ersten Blick völlig unverdächtig.

Was den Schaden verhinderte, war eine Kleinigkeit mit großer Wirkung: Die Buchhaltung kannte die Absenderadresse nicht, wurde stutzig und fragte auf einem zweiten Weg nach. Der echte Kollege wusste von nichts – der Betrug flog auf, bevor auch nur ein Cent floss.

Beunruhigend war trotzdem, wie gut die Angreifer vorbereitet waren: Die verwendeten Namen und Details stimmten. Woher die Daten stammten, ist noch offen – denkbar sind aus früheren Datenlecks abgegriffene Mitarbeiterinformationen, öffentlich zugängliche Angaben von der Firmenwebsite oder der Zugriff auf ein privates Postfach des Mitarbeiters. Dieser Fall zeigt die Kehrseite aller anderen: Die stärkste Verteidigung war ein aufmerksamer Mensch mit einem gesunden Misstrauen – genau das, worauf es am Ende ankommt.

Sechs Fälle, ein Muster

So unterschiedlich diese sechs Geschichten wirken – sie folgen demselben Drehbuch:

• Das Ziel ist immer der Mensch, nicht die Maschine. Keine der Attacken nutzte eine exotische Sicherheitslücke. Sie nutzten Vertrauen, Hilfsbereitschaft, Zeitdruck und Routine.
• MFA hilft – ist aber kein Allheilmittel. In Fall 1 und 3 war ein zweiter Faktor im Spiel und wurde trotzdem überwunden, weil der Mensch ihn freigab. Aktiviert reicht nicht; es kommt auf die phishing-resistente Umsetzung an.
• Die Angreifer sind professionell und geduldig. Gefälschte Rufnummern, echte Vorgänge als Köder, perfekt nachgebaute Login-Seiten – der Dilettantismus früherer Betrugsmails ist Geschichte.
• Phishing pflanzt sich fort. In Fall 3 kam die Mail aus dem echten Postfach eines Lieferanten, der selbst gerade Opfer geworden war – und aus dem neu gekaperten Postfach gingen sofort die nächsten Mails an alle Kontakte. Jeder Vorfall bei einem Geschäftspartner ist damit auch Ihr Risiko.
• KI verschärft die Lage. Die Fälle 4 und 5 zeigen, dass Angreifer gekaperte Postfächer heute automatisiert auswerten – schneller und treffsicherer als je zuvor. Und dass es dabei völlig gleichgültig ist, wie groß das Ziel ist.
• Der zweite Kanal ist die stärkste Einzelmaßnahme. Ob angeblicher Bankanruf oder geänderte Bankverbindung: Ein kurzer Rückruf über eine bekannte, selbst herausgesuchte Nummer hätte fast jeden dieser Fälle gestoppt – in Fall 6 hat genau diese Nachfrage den Schaden verhindert.

Was Sie aus diesen Fällen mitnehmen sollten

• Im Zweifel: auflegen und zurückrufen. Bei jedem unerwarteten Anruf von Bank, Support oder Behörde – und bei jeder Änderung von Bankdaten – über die offizielle, selbst herausgesuchte Nummer rückversichern. Nie über die Kontaktdaten aus der verdächtigen Nachricht.
• Phishing-resistente Anmeldung einführen. Single Sign-On und passwortlose Verfahren (Passkeys, FIDO2) nehmen dem Phishing die Grundlage – die Anmeldung funktioniert nur auf der echten Seite.
• Passwort-Manager statt Merkzettel. Er erzeugt für jeden Dienst ein eigenes, starkes Passwort – und füllt es nur auf der echten Domain aus. Auf einer gefälschten Seite bleibt das Feld leer: ein stilles, aber deutliches Warnsignal.
• Niemanden per Fernwartung auf Ihr System lassen, den Sie nicht selbst aktiv beauftragt haben. Bildschirmfüllende Viren-Warnungen mit Telefonnummer sind immer Betrug – nicht anrufen, sondern im Zweifel den eigenen IT-Dienstleister kontaktieren, dessen Nummer Sie kennen.
• Zahlungsprozesse absichern. Bankverbindungsänderungen und ungewöhnliche Zahlungsaufforderungen immer nach dem Vier-Augen-Prinzip und über einen zweiten Kanal prüfen.
• Mitarbeiter regelmäßig sensibilisieren. Awareness-Schulungen sind die wirksamste einzelne Maßnahme – denn die Angriffe zielen genau auf den Menschen.
• Postfächer überwachen und Regeln prüfen. Auffällige Anmeldungen, unbekannte Weiterleitungs- oder Postfachregeln und Massenversand an Kontakte müssen früh auffallen. Die häufigsten Lücken zeigen wir in Microsoft 365 richtig absichern.
• Einen Meldeweg etablieren. Jeder im Team muss wissen, wem er einen Verdacht sofort meldet – schnelles Melden begrenzt den Schaden erheblich.
• Nach einem Vorfall ist vor dem nächsten. Wer einmal ein Postfach verloren hat, muss damit rechnen, dass die erbeuteten Informationen für gezielte Folgeangriffe genutzt werden. Zur Aufarbeitung gehören deshalb nicht nur neue Passwörter und geprüfte Postfachregeln, sondern auch die Meldepflichten – und eine kurze Schulung im Team, solange der Fall noch präsent ist.

Unser Fazit

Sechs Fälle in drei Wochen – das ist keine Pechsträhne, sondern der neue Normalzustand. Phishing ist längst kein fernes Internet-Phänomen mehr, sondern Alltag, auch für Praxen, Handwerksbetriebe und Mittelständler in der Region. Und die entscheidende Erkenntnis aus allen sechs Fällen ist dieselbe: Technik allein schützt nicht, wenn der Mensch geschickt getäuscht wird – und der Mensch schützt sich nur, wenn Technik, Prozesse und Wissen zusammenspielen.

Die gute Nachricht: Jeder dieser Fälle wäre vermeidbar oder zumindest begrenzbar gewesen – mit phishing-resistenter Anmeldung, klaren Abläufen und Mitarbeitern, die die Maschen kennen. Genau daran arbeiten wir mit unseren Kunden. Und wenn doch einmal etwas passiert, zählt vor allem eines: schnell die richtigen Schritte einleiten. Auch dabei sind wir an Ihrer Seite.

Was diese Fälle außerdem deutlich machen: Der Unterschied zwischen einem abgewehrten und einem teuren Vorfall ist fast immer Vorbereitung. Wer erst reagiert, wenn der Schaden bereits entstanden ist, zahlt doppelt – für die Behebung und für den Ausfall. Vorausschauende, kontinuierliche Betreuung fängt einen Großteil solcher Angriffe ab, bevor sie überhaupt Wirkung entfalten. Warum sich der Wechsel vom reaktiven Reparieren hin zu planbarer Betreuung gerade bei diesen Bedrohungen auszahlt, lesen Sie in unserem Beitrag Managed Services vs. Break-Fix.

Die geschilderten Fälle stammen aus unserer eigenen Beratungs- und Betreuungspraxis der vergangenen Wochen. Sie wurden anonymisiert und in Details verfremdet wiedergegeben, um keine Rückschlüsse auf die Betroffenen zuzulassen.