Skip to main content

16.3 Phishing, Social Engineering und Identitätsangriffe

Viele Angriffe beginnen nicht mit einer technischen Schwachstelle, sondern mit Täuschung.

Angreifer versuchen, Menschen dazu zu bringen,

- Zugangsdaten einzugeben
- Links anzuklicken
- Anhänge zu öffnen
- MFA-Anfragen zu bestätigen
- Geld zu überweisen
- vertrauliche Informationen preiszugeben
- Schadsoftware auszuführen
- Sicherheitsregeln zu umgehen

Merksatz:

Social Engineering greift Menschen und Prozesse an,
nicht nur Technik.

Warum Phishing so gefährlich ist

Phishing ist gefährlich, weil es normale Arbeitsabläufe ausnutzt.

Beispiele:

Rechnung prüfen
Paketbenachrichtigung öffnen
Passwort zurücksetzen
Cloud-Datei ansehen
Bewerbung herunterladen
Supportanfrage beantworten
dringende Chef-Anweisung befolgen

Angreifer nutzen dabei:

Zeitdruck
Vertrauen
Neugier
Angst
Hilfsbereitschaft
Autorität
Gewohnheit

Merksatz:

Phishing wirkt,
weil es menschliches Verhalten ausnutzt.

Phishing

Phishing ist der Versuch, Benutzer durch Täuschung zur Preisgabe vertraulicher Informationen zu bringen.

Ziele:

Passwörter
MFA-Codes
Zugangstokens
Bankdaten
Kundendaten
interne Informationen
Cloud-Zugänge
VPN-Zugänge
E-Mail-Konten

Typische Mittel:

gefälschte E-Mail
gefälschte Webseite
gefälschtes Loginformular
gefälschte Rechnung
gefälschte Sicherheitswarnung
gefälschter Cloud-Link

Merksatz:

Phishing täuscht Benutzer,
damit sie selbst etwas Gefährliches tun.

Typischer Phishing-Ablauf

Ein typischer Ablauf:

1. Benutzer erhält eine täuschend echte Nachricht.
2. Nachricht erzeugt Druck oder Interesse.
3. Benutzer klickt Link oder öffnet Anhang.
4. Gefälschte Webseite fragt Zugangsdaten ab.
5. Benutzer gibt Daten ein.
6. Angreifer nutzt die Zugangsdaten.
7. Konto wird übernommen oder Malware wird ausgeführt.

Merksatz:

Phishing ist oft der Einstieg in größere Angriffe.

Phishing per E-Mail

E-Mail-Phishing ist besonders verbreitet.

Typische Merkmale:

angebliche Rechnung
angebliche Lieferung
angebliche Kontosperrung
angebliche Passwortwarnung
angebliche Cloud-Dateifreigabe
angebliche Bewerbung
angebliche Sicherheitsmeldung
angeblicher Chefauftrag

Merksatz:

E-Mail ist ein häufiger Einstiegspunkt für Angriffe.

Phishing per SMS

Phishing per SMS wird oft genannt:

Smishing

Typische Beispiele:

Paket konnte nicht zugestellt werden.
Konto wurde gesperrt.
Zahlung erforderlich.
Sicherheitsprüfung notwendig.
Link zur Sendungsverfolgung.

Risiko:

Benutzer klicken am Smartphone oft schneller auf Links.

Merksatz:

Smishing ist Phishing über SMS.

Phishing per Telefon

Phishing per Telefon wird oft genannt:

Vishing

Dabei ruft ein Angreifer an und gibt sich zum Beispiel aus als:

IT-Support
Bankmitarbeiter
Chef
Dienstleister
Behörde
Sicherheitsabteilung

Ziel:

Zugangsdaten erhalten
MFA-Code erhalten
Fernwartung starten
Überweisung auslösen
interne Informationen bekommen

Merksatz:

Vishing ist Phishing per Telefon.

Phishing über Messenger

Angriffe können auch über Messenger laufen.

Beispiele:

angebliche Nachricht von Kollegen
gefälschter Supportkontakt
Link zu Cloud-Datei
dringende Zahlungsanweisung
angebliches Problem mit Benutzerkonto
QR-Code zu Loginseite

Merksatz:

Phishing ist nicht auf E-Mail beschränkt.

QR-Phishing

QR-Phishing wird auch Quishing genannt.

Dabei führt ein QR-Code auf eine gefälschte Webseite.

Risiko:

Beispiele:

gefälschter Paketaufkleber
falsches WLAN-Portal
falsche Zahlungsseite
gefälschter Microsoft-Login
Plakat oder E-Mail mit QR-Code

Merksatz:

QR-Code nicht automatisch vertrauen.

Spear Phishing

Spear Phishing ist gezieltes Phishing gegen bestimmte Personen, Teams oder Organisationen.

Angreifer nutzen oft Informationen wie:

Name
Firma
Rolle
laufendes Projekt
bekannte Kollegen
verwendete Dienste
Signatur
Lieferanten
interne Begriffe

Dadurch wirkt die Nachricht glaubwürdiger.

Merksatz:

Spear Phishing ist gezielter und glaubwürdiger als Massenphishing.

Whaling

Whaling ist Phishing gegen besonders wichtige Personen.

Ziele:

Geschäftsführung
Finanzleitung
Personalabteilung
Administratoren
Projektleitung
Geschäftsbereichsleitung

Warum gefährlich?

Diese Personen haben oft besondere Rechte,
Informationen
oder Entscheidungsbefugnisse.

Merksatz:

Whaling richtet sich gegen besonders wertvolle Ziele.

CEO-Fraud

CEO-Fraud ist eine Betrugsform, bei der Angreifer sich als Geschäftsführung oder Vorgesetzte ausgeben.

Typisches Ziel:

schnelle Überweisung
Änderung von Bankdaten
Herausgabe vertraulicher Informationen
Einkauf von Gutscheinkarten
Umgehung normaler Freigabeprozesse

Typische Merkmale:

sehr dringend
vertraulich
keine Rückfrage erwünscht
ungewöhnliche Zahlungsdaten
außerhalb normaler Prozesse

Merksatz:

CEO-Fraud nutzt Autorität und Zeitdruck.

Business E-Mail Compromise

Business E-Mail Compromise wird oft abgekürzt:

BEC

Dabei wird ein geschäftliches E-Mail-Konto kompromittiert oder täuschend echt nachgeahmt.

Ziele:

Rechnungsbetrug
Änderung von Kontodaten
interne Täuschung
Phishing aus echtem Konto
Zugriff auf Geschäftskommunikation

Merksatz:

BEC nutzt geschäftliche E-Mail-Kommunikation für Betrug.

Fake Login

Ein Fake Login ist eine gefälschte Anmeldeseite.

Sie sieht oft aus wie:

Microsoft 365
Google
VPN-Portal
Cloud-Speicher
Bank
Paketdienst
Unternehmensportal

Ziel:

Zugangsdaten abgreifen

Merksatz:

Gefälschte Loginseiten sind ein Kernmittel von Phishing.

Credential Harvesting

Credential Harvesting bedeutet:

Zugangsdaten werden gesammelt.

Beispiele:

gefälschte Loginseite
Keylogger
Phishing-Mail
manipulierte Anwendung
Malware
unsichere Datenbank
abgegriffene Browserdaten

Merksatz:

Credential Harvesting sammelt Zugangsdaten für spätere Angriffe.

Session Hijacking

Session Hijacking bedeutet:

Ein Angreifer übernimmt eine bestehende Sitzung.

Ziel:

Zugriff erhalten,
ohne das Passwort erneut eingeben zu müssen.

Mögliche Mittel:

gestohlene Session-Cookies
gestohlene Tokens
Malware im Browser
unsichere Verbindung
XSS
kompromittiertes Endgerät

Merksatz:

Session Hijacking greift die laufende Anmeldung an.

MFA-Bypass

MFA macht Angriffe schwerer, aber nicht unmöglich.

Mögliche Angriffe:

MFA-Push-Fatigue
Phishing mit Echtzeit-Weiterleitung
gestohlene Session-Tokens
kompromittiertes Endgerät
Social Engineering beim Support
unsichere Ausnahmen
SIM-Swapping bei SMS-MFA

Merksatz:

MFA ist wichtig,
aber keine alleinige Schutzmaßnahme.

MFA-Push-Fatigue

MFA-Push-Fatigue bedeutet:

Angreifer lösen viele MFA-Push-Anfragen aus.

Ziel:

Benutzer bestätigt aus Versehen,
aus Gewohnheit
oder genervt.

Schutz:

Number Matching
klare Anzeige von Ort und Anwendung
Schulung
Meldeweg für unerwartete MFA-Anfragen
Rate Limiting
verdächtige Anfragen blockieren

Merksatz:

Unerwartete MFA-Anfragen niemals bestätigen.

SIM-Swapping

SIM-Swapping bedeutet:

Angreifer übernehmen die Mobilfunknummer eines Opfers.

Ziel:

SMS-Codes empfangen
Passwortzurücksetzung durchführen
Konten übernehmen

Schutz:

SMS-MFA möglichst vermeiden
App-basierte MFA oder Hardwaretoken nutzen
Mobilfunkkonto schützen
ungewöhnliche Netzverluste beachten

Merksatz:

SMS als MFA-Faktor ist schwächer als sichere Authenticator- oder Hardwarelösungen.

Social Engineering

Social Engineering ist die Manipulation von Menschen, um Sicherheitsmaßnahmen zu umgehen.

Angreifer nutzen zum Beispiel:

Autorität
Dringlichkeit
Angst
Hilfsbereitschaft
Sympathie
Neugier
Gewohnheit
Vertraulichkeit

Merksatz:

Social Engineering nutzt Psychologie als Angriffsmittel.

Pretexting

Pretexting bedeutet:

Angreifer erfinden eine glaubwürdige Geschichte oder Rolle.

Beispiele:

angeblicher IT-Support
angeblicher neuer Mitarbeiter
angeblicher Dienstleister
angebliche Bank
angebliche Behörde
angeblicher Kunde

Ziel:

Vertrauen erzeugen
Informationen erhalten
Aktionen auslösen

Merksatz:

Pretexting arbeitet mit erfundener glaubwürdiger Rolle.

Baiting

Baiting bedeutet:

Angreifer legen einen Köder aus.

Beispiele:

USB-Stick mit Aufschrift „Gehälter“
kostenloser Download
angebliches Tool
Gutschein
Gewinnspiel
kostenlose Software

Ziel:

Benutzer soll etwas öffnen,
installieren
anschließen
oder Daten eingeben.

Merksatz:

Baiting nutzt Neugier oder Vorteilserwartung.

Tailgating

Tailgating bedeutet:

Eine unberechtigte Person folgt einer berechtigten Person in einen geschützten Bereich.

Beispiele:

Person folgt durch Sicherheitstür.
Person trägt angeblich schwere Kisten.
Person bittet freundlich,
die Tür aufzuhalten.

Merksatz:

Tailgating umgeht physische Zutrittskontrolle.

Shoulder Surfing

Shoulder Surfing bedeutet:

Angreifer beobachten Eingaben oder Bildschirme.

Beispiele:

Passwort beim Tippen ansehen
PIN am Automaten beobachten
Bildschirm im Zug mitlesen
MFA-Code ablesen

Schutz:

Sichtschutzfolie
Bildschirm sperren
Umgebung beachten
keine sensiblen Eingaben in unsicheren Umgebungen

Merksatz:

Shoulder Surfing nutzt Beobachtung.

Dumpster Diving

Dumpster Diving bedeutet:

Angreifer durchsuchen Müll oder entsorgte Unterlagen.

Ziele:

Passwörter
interne Dokumente
Netzwerkpläne
Rechnungen
Kundendaten
alte Datenträger
Notizzettel
Organigramme

Schutz:

Aktenvernichtung
sichere Datenträgervernichtung
Clean-Desk-Regel
Entsorgungsprozesse

Merksatz:

Auch entsorgte Informationen können sicherheitskritisch sein.

Identitätsangriffe

Identitätsangriffe richten sich gegen Benutzerkonten, Rollen und Anmeldungen.

Typische Angriffe:

Phishing
Brute Force
Credential Stuffing
Password Spraying
Session Hijacking
MFA-Missbrauch
Kontoübernahme
Rechteausweitung

Merksatz:

Wer Identität kontrolliert,
kontrolliert oft den Zugriff.

Account Takeover

Account Takeover bedeutet:

Ein Angreifer übernimmt ein Benutzerkonto.

Mögliche Folgen:

E-Mails lesen
interne Daten abrufen
Phishing aus echtem Konto senden
Dateien löschen
Rechte ausnutzen
weitere Konten angreifen
Regeln oder Weiterleitungen einrichten

Merksatz:

Kontoübernahme ist oft der Startpunkt für weitere Angriffe.

Brute Force

Brute Force bedeutet:

viele Passwörter werden systematisch ausprobiert.

Schutz:

MFA
Rate Limiting
starke Passwörter
Sperrmechanismen
Monitoring
keine Standardkonten
Passwortmanager

Merksatz:

Brute Force wird durch Begrenzung und MFA erschwert.

Credential Stuffing

Credential Stuffing bedeutet:

Angreifer nutzen geleakte Zugangsdaten aus anderen Diensten.

Beispiel:

Passwort aus altem Webshop-Leak
wird am Firmenportal ausprobiert.

Schutz:

keine Passwortwiederverwendung
MFA
Passwortmanager
Leak-Erkennung
riskante Loginversuche erkennen

Merksatz:

Credential Stuffing nutzt wiederverwendete Passwörter.

Password Spraying

Password Spraying bedeutet:

wenige häufige Passwörter werden gegen viele Konten getestet.

Beispiele:

Willkommen2026!
Sommer2026!
Passwort123!

Ziel:

Kontosperren vermeiden,
weil pro Konto nur wenige Versuche auftreten.

Merksatz:

Password Spraying verteilt wenige Passwörter auf viele Benutzer.

Passwort-Wiederverwendung

Passwort-Wiederverwendung bedeutet:

dasselbe Passwort wird bei mehreren Diensten genutzt.

Problem:

Wird ein Dienst kompromittiert,
können Angreifer das Passwort bei anderen Diensten ausprobieren.

Schutz:

Passwortmanager
eindeutige Passwörter
MFA
Schulung
Passwort-Leak-Prüfung

Merksatz:

Ein Passwort darf nicht mehrfach genutzt werden.

Starke Passwörter

Starke Passwörter sollten:

lang sein
nicht leicht erratbar sein
nicht wiederverwendet werden
nicht aus persönlichen Daten bestehen
nicht in Listen bekannter Passwörter vorkommen

Für viele Konten ist ein Passwortmanager sinnvoll.

Merksatz:

Länge und Einzigartigkeit sind wichtiger als komplizierte Merkhilfen.

Passwortmanager

Ein Passwortmanager hilft, für jeden Dienst ein eigenes starkes Passwort zu verwenden.

Vorteile:

eindeutige Passwörter
lange Passwörter
weniger Wiederverwendung
Erkennung falscher Webseiten möglich
sicherere Speicherung als Notizzettel

Merksatz:

Passwortmanager unterstützt starke und eindeutige Passwörter.

Account Lockout

Account Lockout bedeutet:

Ein Konto wird nach mehreren fehlgeschlagenen Anmeldeversuchen gesperrt.

Vorteil:

Schutz vor Brute Force

Risiko:

Angreifer können viele Konten absichtlich sperren.

Deshalb sinnvoll kombinieren mit:

Rate Limiting
Risikoanalyse
MFA
Monitoring
differenzierten Sperrregeln

Merksatz:

Kontosperren helfen,
müssen aber sinnvoll eingestellt sein.

Rate Limiting

Rate Limiting begrenzt, wie viele Anfragen oder Loginversuche in einer Zeit erlaubt sind.

Beispiele:

maximal 5 Loginversuche pro Minute
begrenzte API-Anfragen
Verzögerung nach Fehlversuchen

Merksatz:

Rate Limiting bremst automatisierte Angriffe.

Captcha

Captcha soll prüfen, ob ein Mensch oder ein automatisiertes Programm handelt.

Einsatz:

Loginformulare
Registrierungen
Passwortzurücksetzung
öffentliche Formulare

Grenze:

Captchas sind keine vollständige Sicherheitsmaßnahme.

Merksatz:

Captcha erschwert Automatisierung,
ersetzt aber keine sichere Authentifizierung.

Phishing-Erkennungsmerkmale

Mögliche Warnzeichen:

ungewöhnlicher Absender
unerwarteter Anhang
dringende Aufforderung
Drohung mit Sperrung
ungewöhnliche Zahlungsaufforderung
Rechtschreib- oder Formatfehler
verkürzte Links
Domain passt nicht
Login wird über Link gefordert
vertrauliche Daten werden verlangt
Absenderadresse und Anzeigename passen nicht zusammen

Merksatz:

Bei Druck,
ungewöhnlichem Link
oder Datenabfrage vorsichtig sein.

passt die Domain?
ist die Verbindung HTTPS?
ist die Adresse ungewöhnlich lang?
gibt es Tippfehler in der Domain?
wird eine bekannte Marke nachgeahmt?
führt der Link über Weiterleitungen?
ist es ein verkürzter Link?
passt der Link zum erwarteten Dienst?

Merksatz:

Nicht der sichtbare Text zählt,
sondern das echte Ziel des Links.

Anhänge prüfen

Gefährliche Anhänge können sein:

ausführbare Dateien
Makro-Dokumente
Archive mit Passwort
angebliche Rechnungen
Skripte
ISO-Dateien
LNK-Dateien
HTML-Dateien
manipulierte PDFs

Merksatz:

Unerwartete Anhänge immer kritisch prüfen.

Absender prüfen

Bei E-Mails ist der Anzeigename leicht fälschbar.

Zu prüfen:

echte Absenderadresse
Domain
Antwortadresse
Signatur
Schreibstil
Kontext
ungewöhnliche Anfrage
SPF,
DKIM
DMARC-Ergebnis je nach System

Merksatz:

Anzeigename allein beweist nichts.

SPF

SPF steht für:

Sender Policy Framework

SPF legt fest, welche Mailserver für eine Domain E-Mails senden dürfen.

Merksatz:

SPF prüft,
ob ein sendender Mailserver zur Domain passt.

DKIM

DKIM steht für:

DomainKeys Identified Mail

DKIM nutzt digitale Signaturen, um zu prüfen, ob eine E-Mail unterwegs verändert wurde und ob sie zur sendenden Domain passt.

Merksatz:

DKIM signiert E-Mails kryptografisch.

DMARC

DMARC steht für:

Domain-based Message Authentication,
Reporting and Conformance

DMARC baut auf SPF und DKIM auf.

Es legt fest, wie Empfänger mit E-Mails umgehen sollen, die SPF oder DKIM nicht bestehen.

Merksatz:

DMARC gibt Richtlinien für den Umgang mit verdächtigen E-Mails.

SPF, DKIM und DMARC einordnen

Technik Zweck
SPF prüft erlaubte sendende Mailserver
DKIM prüft Signatur und Veränderung
DMARC legt Richtlinie und Berichte fest

Wichtig:

Diese Techniken helfen gegen E-Mail-Spoofing,
verhindern aber nicht jede Phishing-Mail.

Merksatz:

SPF,
DKIM
und DMARC verbessern E-Mail-Authentizität.

Technische Schutzmaßnahmen gegen Phishing

Maßnahmen:

Spamfilter
Malwarefilter
Linkprüfung
Anhangprüfung
Sandboxing
SPF
DKIM
DMARC
MFA
Conditional Access
Passwortmanager
Webfilter
EDR
DNS-Filter
sichere Browserkonfiguration

Merksatz:

Phishing-Schutz braucht mehrere technische Schichten.

Organisatorische Schutzmaßnahmen gegen Phishing

Maßnahmen:

Schulungen
klare Meldewege
Phishing-Simulationen
Vier-Augen-Prinzip
Zahlungsprozesse absichern
Rückruf über bekannte Telefonnummer
Sicherheitsrichtlinien
Freigabeprozesse
Notfallplan bei Kontoübernahme

Merksatz:

Prozesse schützen dort,
wo Technik allein nicht reicht.

Verhalten bei verdächtiger Nachricht

Sinnvolles Vorgehen:

Merksatz:

Bei Verdacht zuerst stoppen,
prüfen
und melden.

Wenn Zugangsdaten eingegeben wurden

Sofortmaßnahmen:

Passwort ändern
MFA-Sitzungen prüfen
aktive Sitzungen beenden
IT informieren
Konto-Logs prüfen
Weiterleitungsregeln prüfen
verdächtige Geräte prüfen
Tokens widerrufen
betroffene Dienste prüfen
weitere Benutzer warnen

Merksatz:

Nach Phishing zählt schnelle Reaktion.

Wenn ein Anhang geöffnet wurde

Sofortmaßnahmen:

Gerät vom Netzwerk trennen
IT informieren
Datei nicht weiter öffnen
Zeitpunkt dokumentieren
E-Mail sichern
EDR oder Antivirus prüfen
Logs sichern
betroffene Konten prüfen
keine weiteren Systeme nutzen,
bis Bewertung erfolgt

Merksatz:

Nach verdächtigem Anhang Gerät schnell isolieren.

Kontoübernahme erkennen

Anzeichen:

unbekannte Loginorte
neue Weiterleitungsregeln
gelesene E-Mails ohne Benutzeraktion
gesendete Phishing-Mails
Passwortänderung
MFA-Änderung
neue Geräte
ungewöhnliche Dateienzugriffe
Rollenänderungen
verdächtige API-Aktivität

Merksatz:

Kontoübernahme zeigt sich oft in Logs und ungewöhnlichen Kontoeinstellungen.

E-Mail-Weiterleitungsregel als Risiko

Nach Kontoübernahme legen Angreifer oft Weiterleitungsregeln an.

Zweck:

E-Mails mitlesen
Rechnungen abfangen
Antworten verstecken
weitere Angriffe vorbereiten

Prüfen:

unbekannte Weiterleitungen
versteckte Regeln
Regeln zum Löschen
Regeln zum Verschieben
externe Empfänger

Merksatz:

Nach Kontoübernahme immer Weiterleitungsregeln prüfen.

Schutz durch Conditional Access

Conditional Access kann Logins abhängig machen von:

Standort
Gerät
MFA
Risiko
Benutzergruppe
Anwendung
Netzwerk
Gerätezustand

Beispiele:

Adminzugriff nur mit MFA

Zugriff aus unbekanntem Land blockieren

Zugriff nur von verwalteten Geräten

Merksatz:

Conditional Access erschwert missbräuchliche Logins.

Schutz durch Schulung

Benutzer sollten wissen:

wie Phishing aussieht
wie man Links prüft
wie man Anhänge bewertet
wie man verdächtige Nachrichten meldet
warum MFA-Anfragen nicht blind bestätigt werden
warum Passwörter eindeutig sein müssen
warum Zahlungsprozesse eingehalten werden

Merksatz:

Schulung macht Benutzer zu aktiven Schutzfaktoren.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was ist Phishing?
- Was ist Spear Phishing?
- Was ist Whaling?
- Was ist Social Engineering?
- Was ist CEO-Fraud?
- Was ist Business E-Mail Compromise?
- Was ist Smishing?
- Was ist Vishing?
- Was ist Credential Harvesting?
- Was ist Session Hijacking?
- Was ist MFA-Push-Fatigue?
- Was ist SIM-Swapping?
- Was ist Pretexting?
- Was ist Tailgating?
- Was ist Shoulder Surfing?
- Was ist Credential Stuffing?
- Was ist Password Spraying?
- Welche Merkmale können auf Phishing hinweisen?
- Was machen SPF, DKIM und DMARC?
- Wie reagiert man auf eine verdächtige Phishing-Mail?
- Warum sind Passwortmanager sinnvoll?

Typische Prüfungsfallen

Phishing ist nicht nur E-Mail.

Social Engineering ist nicht rein technisch.

Spear Phishing ist gezielt.

Whaling betrifft besonders wichtige Personen.

Smishing läuft über SMS.

Vishing läuft über Telefon.

CEO-Fraud nutzt Autorität.

BEC nutzt geschäftliche E-Mail-Kommunikation.

Anzeigename einer E-Mail beweist nichts.

HTTPS allein beweist nicht,
dass die Seite echt ist.

MFA ist wichtig,
aber nicht unfehlbar.

Unerwartete MFA-Anfragen nicht bestätigen.

Credential Stuffing nutzt geleakte Passwörter.

Password Spraying probiert wenige Passwörter bei vielen Konten.

Passwort-Wiederverwendung ist gefährlich.

SPF,
DKIM
und DMARC helfen gegen Spoofing,
verhindern aber nicht jedes Phishing.

Verdächtige Nachrichten melden,
nicht ignorieren.

Nach Kontoübernahme Weiterleitungsregeln prüfen.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Phishing Täuschung zur Preisgabe vertraulicher Daten
Smishing Phishing per SMS
Vishing Phishing per Telefon
Quishing Phishing über QR-Code
Spear Phishing gezieltes Phishing
Whaling Phishing gegen wichtige Personen
CEO-Fraud Betrug durch angebliche Chef-Anweisung
BEC Business E-Mail Compromise
Fake Login gefälschte Anmeldeseite
Credential Harvesting Sammeln von Zugangsdaten
Session Hijacking Übernahme einer laufenden Sitzung
MFA-Bypass Umgehung oder Missbrauch von MFA
MFA-Push-Fatigue viele MFA-Anfragen zur Ermüdung
SIM-Swapping Übernahme einer Mobilfunknummer
Social Engineering Manipulation von Menschen
Pretexting erfundene glaubwürdige Geschichte
Baiting Köder zur Täuschung
Tailgating unberechtigtes Folgen durch Zutritt
Shoulder Surfing Beobachten von Eingaben
Dumpster Diving Informationssuche im Müll
Account Takeover Kontoübernahme
Brute Force systematisches Ausprobieren
Credential Stuffing Nutzung geleakter Zugangsdaten
Password Spraying wenige Passwörter gegen viele Konten
Passwortmanager Verwaltung starker eindeutiger Passwörter
Account Lockout Kontosperre nach Fehlversuchen
Rate Limiting Begrenzung von Anfragen
Captcha Mensch-Maschine-Prüfung
SPF Prüfung erlaubter Mailserver
DKIM kryptografische E-Mail-Signatur
DMARC Richtlinie für SPF/DKIM-Ergebnisse
Conditional Access Zugriff abhängig von Bedingungen

IHK-sichere Kurzformulierung

Phishing ist eine Form des Social Engineerings, bei der Angreifer Benutzer durch Täuschung dazu bringen, vertrauliche Informationen preiszugeben, Links anzuklicken, Anhänge zu öffnen oder gefährliche Aktionen auszuführen. Spear Phishing ist gezieltes Phishing, Whaling richtet sich gegen besonders wichtige Personen, Smishing erfolgt per SMS und Vishing per Telefon. Identitätsangriffe wie Credential Stuffing, Password Spraying, Brute Force, Session Hijacking und Kontoübernahmen zielen auf Benutzerkonten und Zugänge. Schutzmaßnahmen sind MFA, starke eindeutige Passwörter, Passwortmanager, Spam- und Malwarefilter, SPF, DKIM, DMARC, Conditional Access, Schulungen, klare Meldewege, Vier-Augen-Prinzip und schnelle Reaktion bei verdächtigen Vorfällen.

Merksätze

Phishing täuscht Benutzer.

Social Engineering manipuliert Menschen.

Phishing ist nicht nur E-Mail.

Smishing = SMS-Phishing.

Vishing = Telefon-Phishing.

Quishing = QR-Code-Phishing.

Spear Phishing ist gezielt.

Whaling trifft wichtige Personen.

CEO-Fraud nutzt Autorität.

BEC nutzt geschäftliche E-Mails.

Fake Login stiehlt Zugangsdaten.

Credential Harvesting sammelt Zugangsdaten.

Session Hijacking übernimmt Sitzungen.

MFA ist wichtig,
aber nicht unfehlbar.

Unerwartete MFA-Anfragen niemals bestätigen.

SIM-Swapping gefährdet SMS-MFA.

Pretexting nutzt erfundene Rollen.

Baiting nutzt Köder.

Tailgating umgeht Zutrittskontrolle.

Shoulder Surfing nutzt Beobachtung.

Dumpster Diving nutzt weggeworfene Informationen.

Identitätsangriffe zielen auf Konten.

Account Takeover ist Kontoübernahme.

Brute Force probiert systematisch.

Credential Stuffing nutzt geleakte Zugangsdaten.

Password Spraying verteilt wenige Passwörter auf viele Konten.

Passwörter nicht wiederverwenden.

Passwortmanager nutzen.

Rate Limiting bremst Angriffe.

Captcha ersetzt keine sichere Anmeldung.

Anzeigename beweist nichts.

Links immer auf echte Domain prüfen.

Anhänge kritisch prüfen.

SPF prüft erlaubte Mailserver.

DKIM signiert E-Mails.

DMARC legt Richtlinien fest.

Technik und Schulung gemeinsam schützen.

Verdächtige Nachrichten melden.

Nach Phishing schnell reagieren.

Nach Kontoübernahme Weiterleitungsregeln prüfen.
Back to top