Sie erhalten eine Nachricht von „Ihrer Bank“, die Sie dringend auffordert, Ihre Daten zu bestätigen. Oder eine Rechnung eines Lieferanten mit einer neuen IBAN. Oder den Hinweis, dass Ihr Postfach voll ist und noch heute gesperrt wird. Es wirkt echt, kann aber Phishing sein: eine gefälschte E-Mail, die Passwörter, Bankdaten oder Geld stehlen soll.
In kleinen Unternehmen genügt ein unachtsamer Klick, um ernsthaften Schaden anzurichten. Die gute Nachricht: Die meisten dieser E-Mails haben Merkmale, die man in wenigen Sekunden erkennt, wenn man weiß, wo man hinschauen muss.
1. Absender und Empfänger passen nicht zusammen
Achten Sie nicht nur auf den angezeigten Namen, sondern auf die vollständige Adresse. Eine E-Mail der „Sparkasse“, die von sparkase-hilfe@gmail.com kommt, oder von „DHL“, gesendet von dhl-zustellung.info, ist gefälscht. Misstrauen Sie auch Domains, die der echten fast gleichen, mit einem vertauschten oder zusätzlichen Buchstaben, etwa aiod0.pt statt aiodo.pt. Und denken Sie daran, dass viele Stellen solche Nachrichten gar nicht per E-Mail verschicken: Prüfen Sie im Zweifel auf der offiziellen Website, welche Adressen sie verwenden.
Schauen Sie auch, wohin die Antwort geht. Wenn Sie auf „Antworten“ klicken, sollte im Feld „An“ dieselbe Adresse wie beim Absender stehen. Gibt die E-Mail vor, von Ihrem Lieferanten zu stammen, die Antwort geht aber an eine andere Adresse (das sogenannte Reply-To), ist das ein klassisches Betrugsmerkmal, vor allem bei Zahlungsaufforderungen.
Achten Sie schließlich darauf, an wen die Nachricht ging. Ein Hinweis zu „Ihrem Konto“ oder „Ihrer Rechnung“ sollte nur an Sie gehen. Steht im Feld „An“ eine lange Liste sichtbarer Empfänger oder „Undisclosed recipients“ (nicht offengelegte Empfänger), wurde die Nachricht massenhaft verschickt und ist keine persönliche Nachricht.
Tipp: Tippen Sie auf dem Smartphone auf den Namen des Absenders, um die echte Adresse zu sehen.
Tipp für Fortgeschrittene: Manche E-Mail-Programme zeigen in den Details der Nachricht ein Feld „List-ID“. Es bedeutet, dass die E-Mail an einen Verteiler ging, etwa einen Newsletter. Bei einem Newsletter ist das normal, wirkt die Nachricht aber persönlich, etwa eine Rechnung oder ein Hinweis zu Ihrem Konto, sollten Sie misstrauisch werden.
2. Sie macht Druck oder droht
„Ihr Konto wird in 24 Stunden gesperrt.“ „Letzte Mahnung.“ „Zahlung überfällig – vermeiden Sie ein Bußgeld.“ Zeitdruck ist die Lieblingswaffe von Betrügern, denn wer in Eile ist, prüft nicht nach. Eine Bank, das Finanzamt oder ein seriöser Lieferant verlangt nicht, dass Sie alles in den nächsten Minuten über einen Link erledigen.
3. Die Links führen woandershin
Fahren Sie vor dem Klicken mit der Maus über den Link (am Computer) oder halten Sie den Finger darauf gedrückt (am Smartphone), um die echte Adresse zu sehen. Steht im Text elster.de, der Link führt aber zu einer seltsamen Adresse, klicken Sie nicht. Tippen Sie im Zweifel die Adresse der Website selbst in den Browser ein oder nutzen Sie die offizielle App.
4. Sie verlangt Daten, Codes oder Zahlungen
Keine seriöse Stelle fragt per E-Mail nach Ihrem Passwort, dem Code, den Sie per SMS erhalten haben, oder den vollständigen Kartendaten.
Besondere Vorsicht ist bei einem in Unternehmen sehr häufigen Fall geboten: der E-Mail eines „Lieferanten“ oder „Kunden“, der angeblich seine IBAN geändert hat. Bestätigen Sie das vor der Zahlung immer telefonisch, unter einer Nummer, die Sie bereits hatten, und niemals unter der Nummer aus der E-Mail selbst.
5. Sie enthält einen Anhang, den Sie nicht erwartet haben
Rechnungen, Bestellungen, „gescannte Dokumente“ oder komprimierte Dateien (.zip), die Sie nicht angefordert haben, sind ein klassischer Weg, Schadsoftware zu installieren. Wenn Sie den Anhang nicht erwartet haben, öffnen Sie ihn nicht: Fragen Sie zuerst beim angeblichen Absender nach.
Und die Rechtschreibfehler?
Jahrelang waren sie das einfachste Erkennungsmerkmal. Heute sind viele gefälschte E-Mails dank maschineller Übersetzung und künstlicher Intelligenz gut geschrieben. Fehler sind weiterhin ein Warnsignal, aber ein fehlerfreier Text ist keine Garantie mehr.
Ich habe geklickt. Was nun?
Das passiert den Besten. Wichtig ist, schnell zu handeln:
- Ändern Sie das Passwort des betroffenen Kontos und aller anderen Konten, in denen Sie dasselbe verwenden.
- Wenn Sie Bankdaten angegeben haben, rufen Sie sofort Ihre Bank an und lassen Sie die Karte oder den Vorgang sperren.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung für E-Mail und die wichtigsten Konten.
- Informieren Sie Ihr Team und Ihre Kontakte, vor allem wenn die E-Mail von Ihrem Konto aus verschickt wurde.
- Melden Sie den Vorfall der Polizei (über die Onlinewache Ihres Bundeslandes) und nutzen Sie die Hinweise des Bundesamts für Sicherheit in der Informationstechnik (BSI).
So schützen Sie die E-Mail Ihres Unternehmens
- Verwenden Sie für jeden Dienst ein anderes Passwort und einen Passwort-Manager. Starke Passwörter erstellen Sie mit unserem Passwort-Generator.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo immer es möglich ist.
- Verwenden Sie eine E-Mail-Adresse mit der Domain Ihres Unternehmens (name@ihrefirma.de) statt kostenloser Konten: Das schafft Vertrauen und lässt sich besser schützen.
- Sorgen Sie dafür, dass für Ihre Domain SPF-, DKIM- und DMARC-Einträge eingerichtet sind: Sie helfen zu verhindern, dass jemand gefälschte E-Mails im Namen Ihres Unternehmens verschickt. Mit unserer Prüfung der Domain-E-Mail sehen Sie das in Sekunden.
- Halten Sie Computer und Smartphone auf dem neuesten Stand.
- Sprechen Sie mit Ihrem Team darüber. Fünf Minuten Gespräch ersparen viel Ärger.
Brauchen Sie Hilfe?
Bei aiodo helfen wir kleinen Unternehmen zu einer Website und einer geschäftlichen E-Mail-Adresse mit eigener Domain und der richtigen Konfiguration. Wenn Sie Fragen zur Sicherheit der E-Mail Ihres Unternehmens haben oder eine verdächtige Nachricht erhalten haben und nicht wissen, was zu tun ist, sprechen Sie uns an.
