Phishing und Social Engineering: So schützen Sie Ihr Unternehmen (2FA, Passkeys & Co.)

Die meisten erfolgreichen Cyberangriffe beginnen nicht mit einem technischen Hack, sondern mit einem Menschen, der getäuscht wird — per Phishing-Mail, gefälschtem Anruf oder manipulativem Chat. Diese Angriffsform nennt man Social Engineering: Ausgenutzt wird nicht die Technik, sondern Vertrauen, Zeitdruck und Hilfsbereitschaft. Die gute Nachricht ist, dass sich das Risiko mit wenigen, konsequent umgesetzten Maßnahmen drastisch senken lässt. Am wirksamsten sind eine phishing-resistente Zwei-Faktor-Authentifizierung — idealerweise über Passkeys —, ein Passwort-Manager mit einzigartigen Passwörtern und Mitarbeitende, die regelmäßig geschult und dadurch aufmerksam sind. Dieser Beitrag erklärt die wichtigsten Maschen und zeigt, wie Sie sich davor schützen.

Phishing ist der Versuch, über gefälschte Nachrichten an vertrauliche Daten zu gelangen — an Zugangsdaten, Kreditkartennummern oder Firmengeheimnisse. Der Klassiker ist eine E-Mail, die aussieht wie von Microsoft, Ihrer Bank oder einem Kollegen und über einen Link auf eine täuschend echte, aber gefälschte Anmeldeseite führt. Social Engineering ist der Oberbegriff dafür: die gezielte psychologische Manipulation von Menschen, damit sie Sicherheitsregeln brechen, Daten preisgeben, Geld überweisen oder Schadsoftware ausführen. Phishing ist dabei die häufigste Spielart. Angreifer setzen auf bewährte Hebel — auf Autorität, wenn angeblich der Chef etwas sofort braucht, auf Dringlichkeit, wenn das Konto in 24 Stunden gesperrt werden soll, und ebenso auf Angst, Neugier und Hilfsbereitschaft. Wer diese Muster kennt, erkennt die Masche deutlich leichter.

Ein paar aktuelle Zahlen zeigen, wie ernst die Lage ist. Laut dem Verizon Data Breach Investigations Report 2025 haben rund 88 Prozent aller Sicherheitsvorfälle mit menschlichem Fehlverhalten zu tun, und dabei entscheidet das Tempo: Während der Median bis zum Klick auf eine Phishing-Mail bei etwa 21 Sekunden liegt, dauert es im Mittel rund 28 Minuten, bis ein solcher Angriff überhaupt gemeldet wird. Dass klassische Schutzmaßnahmen an ihre Grenzen kommen, macht der Microsoft Digital Defense Report 2025 deutlich: Rund 80 Prozent der erfolgreichen Umgehungen der Mehr-Faktor-Authentifizierung beruhen auf gestohlenen Sitzungs-Tokens, meist über sogenannte Adversary-in-the-Middle-Angriffe. Hinzu kommt, dass ein Großteil der Phishing-Mails inzwischen KI-generierte Inhalte enthält, weshalb Rechtschreibfehler nicht mehr als verlässliches Warnsignal taugen. Wirtschaftlich am schwersten wiegt der Business Email Compromise: Allein 2024 meldete das FBI über 21.000 Fälle mit Schäden im Milliardenbereich. Besonders alarmierend für Deutschland ist schließlich ein Befund des BSI-Lageberichts 2025 — Bekanntheit und Nutzung grundlegender Schutzmaßnahmen wie Zwei-Faktor-Authentifizierung und Passwort-Managern sind zuletzt sogar zurückgegangen, also genau das Gegenteil dessen, was nötig wäre.

Phishing hat viele Gesichter. Am bekanntesten sind die massenhaft versandten Phishing-Mails mit Links oder Anhängen, die heute oft in perfektem Deutsch verfasst sind, weil künstliche Intelligenz die früher verräterischen Rechtschreibfehler beseitigt. Gefährlicher, weil gezielter, ist das Spear-Phishing, das einzelne Personen ins Visier nimmt. Seine teuerste Ausprägung ist der Business Email Compromise, auch CEO-Fraud genannt: Der Angreifer gibt sich als Geschäftsführer oder Lieferant aus und drängt zu einer eiligen Überweisung auf ein neues Konto. Daneben verlagert sich Phishing zunehmend weg von der klassischen E-Mail. Beim Smishing kommt die Falle per SMS, beim Vishing per Telefon — etwa als angeblicher Microsoft-Support, der zur Fernwartung überreden will. Beim Quishing wiederum steckt der schädliche Link in einem QR-Code, der von Sicherheitsfiltern schwerer geprüft wird. Selbst eine aktivierte Zwei-Faktor-Authentifizierung ist kein Freibrief: Bei der MFA-Fatigue löst der Angreifer so lange Push-Bestätigungen aus, bis das Opfer genervt zustimmt, und beim besonders gefährlichen Adversary-in-the-Middle-Angriff wird die Anmeldung in Echtzeit abgefangen — dazu gleich mehr. Verstärkt wird all das durch künstliche Intelligenz, die überzeugende Texte, geklonte Stimmen und sogar gefälschte Videos liefert.

Kein einzelnes Merkmal ist ein sicherer Beweis, doch bestimmte Signale sollten Sie hellhörig machen. Typisch ist der Aufbau von Druck — eine Nachricht verlangt sofortiges Handeln und droht mit Sperrung oder anderen Konsequenzen. Verdächtig ist ebenso jede unerwartete Aufforderung, sich anzumelden, ein Passwort zu ändern, eine Zahlung anzuweisen oder Daten freizugeben. Ein Blick auf die tatsächliche Absenderadresse lohnt fast immer, denn der angezeigte Name stimmt oft, die dahinterliegende Adresse jedoch nicht. Links prüfen Sie am besten, indem Sie den Mauszeiger darüber halten, ohne zu klicken, und das echte Ziel kontrollieren; besondere Vorsicht gilt bei Anhängen wie Office-Dokumenten mit Makros sowie ZIP- oder HTML-Dateien. Stutzig machen sollte Sie außerdem jeder Bruch mit dem üblichen Ablauf — etwa wenn der vermeintliche Chef per Mail um eine Überweisung bittet, die sonst nie so läuft — und ebenso jedes Angebot, das zu gut klingt, um wahr zu sein. Die goldene Regel lautet: Im Zweifel nicht klicken, sondern über einen bekannten, unabhängigen Weg nachfragen, also den Absender direkt anrufen oder das Portal von Hand im Browser öffnen.

Die Zwei-Faktor-Authentifizierung, oft auch als MFA oder Mehr-Faktor-Authentifizierung bezeichnet, verlangt beim Login neben dem Passwort einen zweiten Nachweis — etwas, das Sie besitzen, etwa ein Smartphone oder einen Sicherheitsschlüssel, oder etwas, das Sie sind, etwa Ihren Fingerabdruck. Selbst wer Ihr Passwort kennt, kommt ohne diesen zweiten Faktor nicht hinein. Allerdings ist nicht jede Variante gleich stark. Ein per SMS versandter Code ist besser als nichts, aber anfällig für SIM-Swapping und Abfangen; deutlich robuster sind Einmalcodes aus einer Authenticator-App. Push-Bestätigungen sind bequem, aber anfällig für MFA-Fatigue, weshalb Sie hier unbedingt den Zahlen-Abgleich (Number Matching) aktivieren sollten. Den Goldstandard bilden Hardware-Sicherheitsschlüssel nach dem FIDO2-Standard sowie Passkeys, denn sie gelten als phishing-resistent: Ihre Schlüssel sind kryptografisch an die echte Website gebunden und funktionieren auf einer gefälschten Seite schlicht nicht — genau das stoppt auch die weiter unten beschriebenen AiTM-Angriffe. Wo immer möglich, sollten Sie deshalb auf Passkeys setzen. Auch das BSI empfiehlt phishing-resistente Verfahren wie FIDO2 und Passkeys als neuen Standard, vorrangig für privilegierte Konten wie Administration, Geschäftsführung, Buchhaltung und Personal.

Beim Adversary-in-the-Middle-Angriff, kurz AiTM, schaltet sich der Angreifer über eine gefälschte Seite unbemerkt zwischen Sie und den echten Dienst. Sie geben Passwort und 2FA-Code ein, beides wird in Echtzeit an den echten Dienst weitergereicht — und statt des Passworts stiehlt der Angreifer anschließend das gültige Sitzungs-Cookie und ist damit angemeldet, ganz ohne erneute 2FA. Das Tückische daran ist, dass SMS-Codes, TOTP-Apps und Push-Bestätigungen davor nicht zuverlässig schützen. Wie verbreitet die Masche ist, zeigt der Microsoft Digital Defense Report 2025, wonach rund 80 Prozent der erfolgreichen MFA-Umgehungen auf genau diesem Session-Token-Diebstahl beruhen. Wirksam dagegen sind vor allem phishing-resistente Passkeys und FIDO2-Sicherheitsschlüssel, die auf der gefälschten Seite gar nicht erst funktionieren. Ergänzen lässt sich das durch Conditional Access, das den Zugriff auf verwaltete Geräte oder bekannte Standorte beschränkt, sowie durch kurze Sitzungszeiten mit erneuter Anmeldung bei sensiblen Aktionen. Die Botschaft bleibt also: Zwei-Faktor ja — aber wo es geht, in der phishing-resistenten Variante.

Wirksame Sicherheit entsteht aus mehreren Schichten. Die Grundlage bildet ein Passwort-Manager, der für jeden Dienst ein langes, einzigartiges Passwort erzeugt und Zugangsdaten nur auf der echten Domain einträgt — womit er gefälschte Seiten nebenbei entlarvt. Wo verfügbar, ersetzen Passkeys das Passwort ganz und sind zugleich bequem und phishing-resistent. Auf der technischen Seite sollten Sie Ihre E-Mail-Domain mit SPF, DKIM und DMARC gegen Absenderfälschung absichern und einen guten Anti-Phishing-Filter einsetzen, in Microsoft 365 etwa Defender for Office 365. Betriebssysteme, Browser und Anwendungen gehören konsequent und möglichst automatisiert aktuell gehalten, und Mitarbeitende sollten nur die Rechte erhalten, die sie wirklich brauchen, während Administratorkonten getrennt und besonders geschützt werden. Für den Fall, dass ein Angriff doch durchkommt — etwa Ransomware nach einem Phishing-Klick — sind regelmäßige, geprüfte Backups die letzte Rettung. Der vielleicht wichtigste Baustein aber ist der Mensch: Kurze, regelmäßige Schulungen und Phishing-Simulationen machen aus dem beliebtesten Angriffsziel die stärkste Verteidigung. Mehr dazu finden Sie auf unserer Seite zur IT-Sicherheit.

Wenn Sie vermuten, auf Phishing hereingefallen zu sein, zählen vor allem Schnelligkeit und Ruhe — Vertuschen hilft niemandem, jede Minute dagegen schon. Trennen Sie das betroffene Gerät zunächst vom Netzwerk, indem Sie WLAN und LAN deaktivieren, lassen es aber eingeschaltet, weil das für eine spätere Analyse wichtig sein kann. Ändern Sie anschließend von einem anderen, sauberen Gerät aus die Passwörter, und zwar zuerst für das kompromittierte Konto und danach überall dort, wo dasselbe Passwort im Einsatz war; beenden Sie zugleich alle aktiven Sitzungen, in Microsoft 365 oder Google etwa über die Funktion „von allen Geräten abmelden“, und prüfen Sie die Zwei-Faktor-Einstellungen. Informieren Sie zügig Ihre IT-Verantwortlichen oder Ihren IT-Dienstleister, und wenn bereits Geld überwiesen wurde, umgehend die Bank, denn manchmal lässt sich eine Zahlung noch zurückholen. Dokumentieren Sie den Vorfall, und denken Sie bei Datenschutzverletzungen an mögliche Meldepflichten nach der DSGVO. Ein vorab definierter Notfallplan spart im Ernstfall wertvolle Zeit.

Als IT-Dienstleister in Berlin und Brandenburg helfen wir kleinen und mittleren Unternehmen, genau diese Schutzschichten pragmatisch umzusetzen. Wir härten Ihre Microsoft-365-Umgebung mit MFA und Passkeys, Conditional Access und Anti-Phishing-Funktionen ab, richten Ihren E-Mail-Schutz mit SPF, DKIM und DMARC ein und sorgen mit durchdachten Backup- und Notfallkonzepten dafür, dass ein Angriff nicht zum Totalschaden wird. Ergänzend schulen wir Ihre Mitarbeitenden, auf Wunsch inklusive Phishing-Simulationen. Wenn Sie wissen möchten, wie gut Ihr Unternehmen gegen Phishing aufgestellt ist, sprechen Sie uns an — wir prüfen Ihre aktuelle Lage und schlagen konkrete, bezahlbare Maßnahmen vor.

Phishing und Social Engineering zielen auf den Menschen und sind gerade deshalb so erfolgreich. Technik allein schützt nicht, doch die Kombination macht den Unterschied: eine phishing-resistente Zwei-Faktor-Authentifizierung, idealerweise über Passkeys, ein Passwort-Manager, sauber konfigurierte E-Mail-Sicherheit, aktuelle Systeme, geprüfte Backups und Mitarbeitende, die die Maschen kennen. Wer diese Bausteine konsequent umsetzt, macht sich für Angreifer unattraktiv — der Aufwand ist überschaubar, der Schaden eines erfolgreichen Angriffs dagegen selten.

• Verizon Data Breach Investigations Report (DBIR) • Microsoft Digital Defense Report • BSI – Die Lage der IT-Sicherheit in Deutschland • BSI – Bewertung von Zwei-Faktor-Verfahren • FBI Internet Crime Complaint Center (IC3)