Die Moral von der Geschicht: Klick niemals nie auf den Käse-Link nicht.

Montagmorgen, 8:43 Uhr:

Phishing erkennen und vermeiden – das ist heute wichtiger denn je. Thomas, ein passionierter Gouda-Fan, öffnet seinen Laptop. Die Inbox ist wie immer überfüllt, doch eine E-Mail sticht heraus: „Exklusive Käse-Gutscheine nur heute!“. Die Betreffzeile spricht ihn an, der Absender wirkt seriös. Neugierig klickt Thomas auf den Link.

Der Download startet – und mit ihm beginnt ein Albtraum: Unbemerkt installiert sich Schadsoftware auf seinem Gerät. Webcam, Passwörter, E-Mails – alles wird kompromittiert. Der sogenannte „Cyber-Affe“, Sinnbild für den digitalen Eindringling, hat sich erfolgreich Zugang verschafft.

Was wie eine humorvolle Geschichte anmutet, ist Alltag. Laut dem aktuellen Verizon Data Breach Investigations Report 2024 lassen sich rund 74 % aller erfolgreichen Sicherheitsvorfälle auf den Faktor Mensch zurückführen – insbesondere durch Phishing und Social Engineering. (Quelle: Verizon DBIR 2024)

Ein altbekannter Trick, neu verpackt

Phishing – das Vortäuschen legitimer Kommunikation zum Zweck des Betrugs – zählt seit Jahren zu den häufigsten Einfallstoren für Angreifer. Während die Angriffe früher oft plump und sprachlich fehlerhaft waren, sind sie heute gezielt, überzeugend und technisch professionell umgesetzt.

Die Mechanismen dahinter sind immer ähnlich: E-Mails imitieren interne Kommunikation, bekannte Marken oder vermeintliche Geschäftspartner. Die Nachrichten erzeugen emotionalen Druck („Nur heute“, „letzte Warnung“) oder spielen mit Neugier und Hilfsbereitschaft. Der Erfolg ist erschreckend hoch – und betrifft nicht nur Privatpersonen, sondern auch globale Konzerne.

Drei reale Fälle, die aufrütteln

Der Twitter-Hack 2020

Im Juli 2020 kaperten Angreifer 130 verifizierte Twitter-Konten, darunter die von Barack Obama, Elon Musk und Bill Gates. Über diese Konten verbreiteten sie eine Bitcoin-Betrugsmasche und forderten Nutzer auf, Kryptowährungen zu überweisen – mit dem Versprechen, sie zu verdoppeln.

Der Angriff war möglich, weil sich die Täter über Social Engineering Zugang zu internen Tools verschafft hatten. Ein Twitter-Mitarbeiter war auf eine Phishing-Mail hereingefallen. (Quelle: The Verge)

100 Millionen Dollar für einen Betrüger

Zwischen 2013 und 2015 überwies Facebook und Google insgesamt mehr als 100 Millionen US-Dollar an ein Konto eines litauischen Betrügers, Evaldas Rimasauskas. Der Trick: Er gab sich als Zulieferer aus, verschickte täuschend echte Rechnungen und nutzte reale Firmennamen.

Die betroffenen Firmen zahlten – in gutem Glauben. Die Beträge flossen auf Konten in Lettland und Zypern, bevor der Betrüger schliesslich festgenommen wurde. (Quelle: Independent)

Die Carbanak-Kampagne – der digitale Bankraub

In einem der grössten Cyberbankraube aller Zeiten stahlen Hacker zwischen 2013 und 2018 über 900 Millionen US-Dollar von mehr als 100 Finanzinstituten. Die Gruppe, bekannt unter dem Namen „Carbanak“, verschickte Phishing-Mails mit manipulierten Anhängen an Bankangestellte.

Nach der Infektion übernahmen sie schrittweise Kontrolle über interne Systeme und veranlassten fingierte Überweisungen. Die Kampagne wurde erst spät erkannt – und zeigte, wie anfällig selbst Banken gegenüber gezielten E-Mail-Angriffen sind. (Quelle: Europol)

Warum der Mensch das schwächste Glied bleibt

Ob IT-Security-Beauftragter, Assistenzkraft oder CEO – alle sind potenzielle Ziele. Besonders in hektischen Momenten oder bei hohem Arbeitsaufkommen sinkt die Aufmerksamkeit. Das macht Phishing so effektiv: Die E-Mails erreichen uns in ungeschützten Situationen.

Sogenanntes „Spear Phishing“, bei dem E-Mails individuell auf eine bestimmte Person zugeschnitten sind, hat die Gefährlichkeit zusätzlich erhöht. Die Angreifer nutzen öffentliche Quellen wie LinkedIn, Firmenwebsites oder frühere Datenlecks, um möglichst vertrauenswürdig zu wirken.

Technische Schutzsysteme wie Firewalls, Spamfilter und EDR sind wichtig – aber sie greifen zu spät, wenn menschliche Wachsamkeit fehlt.

Was Unternehmen tun können, um Phishing zu erkennen und zu vermeiden

Mitarbeiterschulung & Awareness
Regelmässige Trainings und simulierte Phishing-Kampagnen helfen, typische Muster zu erkennen. Studien zeigen, dass geschulte Mitarbeitende deutlich seltener auf betrügerische Links klicken.

MFA
Selbst wenn Zugangsdaten kompromittiert werden, können Angreifer ohne zweiten Faktor nicht weitermachen. Das ist Pflicht, nicht Kür.

Klare Prozesse für Freigaben und Zahlungen
Besonders in der Buchhaltung und im Einkauf sollten Regeln wie das Vier-Augen-Prinzip konsequent umgesetzt werden – gerade bei hohen Summen oder Auslandsüberweisungen.

Fehlerkultur statt Schuldzuweisung
Wer klickt, darf nicht stigmatisiert werden. Stattdessen braucht es transparente Meldewege und schnelle Reaktionsmechanismen, um Vorfälle früh zu erkennen.

Fazit

Cyberkriminalität ist kein abstraktes Risiko, sondern Realität – quer durch alle Branchen und Unternehmensgrössen. Die grössten Erfolge verzeichnen Angreifer nicht mit technischer Raffinesse, sondern durch das gezielte Ausnutzen menschlicher Schwächen.

Wer Sicherheit ernst nimmt, beginnt nicht bei der Firewall, sondern beim Faktor Mensch.

TECHWAY unterstützt Unternehmen dabei, Sicherheitskultur aufzubauen: mit Sensibilisierung, Beratung und Lösungen, die nachhaltig schützen – nicht nur gegen Cyber-Affen, sondern gegen eine ganze Branche hochprofessioneller Angreifer.