Phishing, Spam und Betrugsanrufe im Unternehmen

Der Grund, warum das ausgerechnet kleinere Betriebe trifft, ist unspektakulär: Angriffe laufen automatisiert und in großer Zahl. Wer dort landet, ist selten ein Ziel, sondern ein Treffer. Das BSI beziffert die Zahl kleiner und mittlerer Unternehmen in Deutschland auf 3,1 Millionen — 99,4 Prozent aller deutschen Wirtschaftsunternehmen. Genau diese Gruppe hat am seltensten eine eigene IT-Abteilung.

Dieser Beitrag beschreibt, wie die gängigen Maschen ablaufen, woran man sie erkennt, was in den ersten Stunden nach einem Klick zu tun ist und wo gemeldet wird. Er beschreibt ausdrücklich nur Erkennung, Schutz und Reaktion — keine Anleitung, wie Angriffe funktionieren. Und er ist keine Rechtsberatung: Im Ernstfall gehören eine Anzeige bei der Polizei und ein Anwalt dazu.

Die Lage in Zahlen — und was sie nicht sagt

Der BSI-Lagebericht 2025 deckt den Zeitraum vom 1. Juli 2024 bis zum 30. Juni 2025 ab. Drei Kennzahlen daraus:

Die Zahl der angezeigten Ransomware-Angriffe blieb nach Erkenntnissen des Bundeskriminalamts mit 950 weitgehend unverändert.
80 Prozent der angezeigten Angriffe betrafen kleine und mittlere Unternehmen.
Im Berichtszeitraum wurden durchschnittlich täglich 119 neue Schwachstellen bekannt — ein Wachstum von rund 24 Prozent gegenüber dem Vorjahreszeitraum.

Bemerkenswert ist eine weitere Beobachtung des BSI: Angriffe per E-Mail gingen demgegenüber spürbar zurück. Das heißt nicht, dass das Thema erledigt ist — es heißt, dass die Masse abnimmt, während die verbleibenden Nachrichten besser gemacht sind. Und alle genannten Zahlen sind Anzeigen, nicht Vorfälle. Was nicht angezeigt wird, taucht in keiner Statistik auf.

Phishing-Mails: die Merkmale

Das BSI nennt fünf Merkmale, bei denen Misstrauen angebracht ist:

Der Text gibt dringenden Handlungsbedarf vor — etwa, dass Daten unwiederbringlich verloren gehen, wenn sie nicht umgehend aktualisiert werden.
Es kommen Drohungen zum Einsatz, zum Beispiel eine angebliche Kontosperrung.
Sie werden aufgefordert, vertrauliche Daten einzugeben — PIN, Zugangsdaten, Kreditkartennummer.
Die E-Mail enthält Links oder Formulare.
Die Mail scheint von einer bekannten Person oder Organisation zu stammen, das Anliegen kommt Ihnen aber ungewöhnlich vor.

Dazu der wichtigste Satz aus derselben Quelle, den jeder im Betrieb kennen sollte: Unternehmen und Behörden fragen nie per E-Mail nach Passwörtern, Bankdaten oder anderen vertraulichen Informationen.

Gefälschte Absender

Auf die Absenderzeile ist kein Verlass. Das BSI behandelt gefälschte Absenderadressen und Telefonnummern als eigenes Thema — der angezeigte Name lässt sich frei setzen, und auch Rufnummern lassen sich manipulieren. Verlassen Sie sich deshalb nie auf den Anzeigenamen, sondern auf die vollständige Adresse dahinter. Und selbst die kann täuschen, wenn die Domain nur um einen Buchstaben abweicht.

Für den eigenen Absender gibt es die Gegenrichtung: Das BSI verweist auf technische Standards wie SPF, DANE und MTA-STS, die verhindern sollen, dass Kriminelle im Namen Ihres Unternehmens E-Mails verschicken. Das ist keine Kür, sondern Teil eines ordentlich eingerichteten Hostings — und schützt Ihren Ruf bei Kunden, die sonst Mails mit Ihrem Namen im Postfach haben, die Sie nie geschrieben haben. Wie sich SPF, DKIM und DMARC konkret einrichten lassen, steht im Beitrag SPF, DKIM und DMARC einrichten.

Links und Anhänge

Zwei Regeln, die den größten Teil der Fälle abdecken. Erstens: Anmeldeseiten nie über einen Link in einer Nachricht öffnen, sondern immer über ein eigenes Lesezeichen oder die manuell eingegebene Adresse. Zweitens: Anhänge, die niemand angekündigt hat, werden nicht geöffnet — besonders nicht, wenn eine angebliche Rechnung, Mahnung, Bewerbung oder Lieferbestätigung dabei ist. Im Zweifel den Absender über eine Nummer zurückrufen, die Sie selbst haben, nicht über die aus der Nachricht.

CEO-Fraud: die Chef-Masche

Diese Variante braucht keine Schadsoftware, nur Informationen. Die Polizeiliche Kriminalprävention beschreibt drei Phasen:

Informationsbeschaffung. Die Täter sammeln systematisch Daten über das Unternehmen — aus Wirtschaftsberichten, dem Handelsregister, Werbebroschüren und sozialen Netzwerken.

Kontaktaufnahme. Sie geben sich als leitende Angestellte, Geschäftsführer oder Handelspartner aus und wenden sich gezielt an Mitarbeitende in der Buchhaltung — per gefälschter E-Mail oder mit verschleierter Telefonnummer.

Forderung. Unter Vorwänden wie einer angeblichen Unternehmensübernahme oder geänderten Bankverbindungen sollen größere Summen ins Ausland transferiert werden, meist verbunden mit Eile und Verschwiegenheit.

Die Schutzempfehlungen der Polizei sind bewusst einfach: Absenderadresse prüfen, den angeblichen Auftraggeber per Rückruf bestätigen lassen, die Geschäftsleitung informieren und Mitarbeitende über die Masche schulen. Der Rückruf ist der Kern — und er funktioniert nur, wenn die Nummer aus Ihrem eigenen Verzeichnis stammt. Warum das umso wichtiger wird, wenn sich Stimme und Gesicht fälschen lassen, steht im Beitrag Deepfakes im Geschäftsalltag.

Gefälschte Rechnungen

Die häufigste Variante im Alltag ist unauffälliger als CEO-Fraud: Eine echte Rechnung eines echten Lieferanten wird abgefangen oder nachgebaut, und nur die Bankverbindung ist geändert. Der Betrag stimmt, die Positionen stimmen, das Layout stimmt. Was hilft, ist eine feste Regel statt Aufmerksamkeit: Eine geänderte Bankverbindung wird grundsätzlich telefonisch bestätigt — über die hinterlegte Nummer, nicht über die auf der Rechnung. Zusätzlich das Vier-Augen-Prinzip ab einer festgelegten Betragsgrenze.

Die zweite Variante sind Rechnungen für Leistungen, die es nie gab: Registereinträge, Domain-Verlängerungen, Branchenbuch-Aufnahmen, Markenüberwachung. Sie kommen oft in amtlich wirkender Aufmachung. Prüfkriterium: Gibt es einen Vertrag? Wenn niemand im Haus ihn benennen kann, gibt es ihn nicht.

Betrugsanrufe

Der angebliche Microsoft-Support. Die Verbraucherzentrale warnt seit Jahren vor dieser Masche: Angebliche Support-Mitarbeiter versuchen telefonisch oder über gefälschte Warnmeldungen auf dem Bildschirm, Zugriff auf den Rechner zu bekommen. Die klare Aussage: Microsoft ruft nicht unaufgefordert an, um defekte Geräte zu reparieren, und hilft selbst bei offiziellen Supportanfragen fast ausschließlich per E-Mail. Rufnummern und Anrufer wechseln laufend, teils wird versucht, Opfer zum Kauf von Prepaid-Guthaben zu bewegen. Empfehlung der Verbraucherzentrale: Gespräch sofort beenden.

Angebliche Behörden. Dieselbe Mechanik mit anderem Absender — angebliche Anrufe von Finanzamt, Polizei, Staatsanwaltschaft oder Zoll, oft mit gefälschter Rufnummernanzeige. Behörden fordern keine Zahlungen am Telefon und verlangen keine Zugangsdaten. Auflegen und, wenn Sie sichergehen wollen, über die offizielle Nummer der Behörde selbst zurückrufen.

Spam mit Schadsoftware und Erpressungstrojaner

Der klassische Weg von der Mail zum Verschlüsselungstrojaner führt über einen Anhang oder einen Download. Ist er einmal aktiv, verschlüsselt ein Erpressungstrojaner Dateien auf dem Gerät und häufig auch auf erreichbaren Netzlaufwerken; gefordert wird ein Lösegeld. Der BSI-Lagebericht ergänzt einen Punkt, den viele unterschätzen: In der Mehrzahl der Fälle kam es zusätzlich zu Datenabflüssen oder entsprechenden Drohungen. Es geht also nicht nur um den Zugriff auf die eigenen Daten, sondern auch um deren Veröffentlichung.

Was praktisch schützt, ist unspektakulär: aktuelle Systeme, Backups getrennt vom Netzwerk, die tatsächlich einmal zurückgespielt wurden, eingeschränkte Benutzerrechte und Zwei-Faktor-Anmeldung für alle Administrationszugänge. Für die Website-Seite davon sorgt die laufende Website-Pflege — warum das kein optionaler Posten ist, steht im Beitrag Warum regelmäßige Webseitenpflege.

Jemand hat geklickt — die ersten Schritte

Die Reihenfolge ist wichtiger als die Geschwindigkeit.

Gerät vom Netzwerk trennen, aber eingeschaltet lassen. Kabel ziehen, WLAN aus. Nicht sofort neu installieren — sonst sind die Spuren weg, die später gebraucht werden.
Passwörter ändern, von einem sauberen Gerät aus. Alles, was auf dem betroffenen Rechner gespeichert war oder auf der gefälschten Seite eingegeben wurde: E-Mail, CMS, Hosting, Banking, Cloud-Dienste. Keine Variationen des alten Passworts.
Zwei-Faktor-Anmeldung prüfen und aktive Sitzungen beenden. Bei kompromittierten Konten zusätzlich kontrollieren, ob Weiterleitungsregeln im Postfach eingerichtet wurden — das ist ein typischer Nachgang.
Bank und Buchhaltung informieren, wenn Zahlungsdaten betroffen sein könnten. Bei ausgelösten Überweisungen zählt jede Stunde.
Dokumentieren. Zeitpunkt, Mail mit vollständigem Header, Absender, angeklickte Adresse, Screenshots. Das brauchen Sie für Anzeige, Versicherung und gegebenenfalls die Datenschutzmeldung.
IT-Dienstleister und Hoster einbinden. Der Hoster kann Logdateien bereitstellen und prüfen, ob weitere Konten betroffen sind.

Wenn dabei auffällt, dass auch die Website betroffen ist — fremde Unterseiten, Weiterleitungen, eine Google-Warnung —, gehört das sofort dazu: Die Sofortmaßnahmen und das weitere Vorgehen stehen unter Website gehackt und im Beitrag Website gehackt: Erste Hilfe in 10 Schritten. Die Bereinigung läuft bei uns zum Festpreis nach einer kurzen Prüfung, bevor irgendetwas beauftragt wird.

Meldewege: BSI, Polizei, Datenschutzaufsicht

BSI. Unternehmen und Organisationen können einen Sicherheitsvorfall über das Melde- und Informationsportal des BSI melden. Die Meldungen fließen in das Lagebild ein; eine Meldung ist auf Wunsch auch anonym möglich.

Polizei. Für Wirtschaftsunternehmen gibt es in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime (ZAC) bei den Landeskriminalämtern. Zuständig ist die ZAC am Unternehmenssitz oder am Ort des Vorfalls. Für einfachere Fälle und für Privatpersonen führen die Onlinewachen der Länderpolizeien zur Anzeige.

Verbraucherzentrale. Verdächtige E-Mails lassen sich an das Phishing-Radar der Verbraucherzentrale NRW weiterleiten, an die Adresse phishing@verbraucherzentrale.nrw. Dort werden die Mails ausgewertet und aktuelle Maschen veröffentlicht.

Datenschutzaufsicht. Sind personenbezogene Daten betroffen und ist ein Risiko für die betroffenen Personen nicht auszuschließen, greift die Meldepflicht nach Artikel 33 DSGVO: Die zuständige Aufsichtsbehörde ist in der Regel binnen 72 Stunden zu informieren. Ob das in Ihrem Fall gilt, ist eine rechtliche Bewertung — dafür ist ein Anwalt oder Ihr Datenschutzbeauftragter zuständig, nicht Ihr Dienstleister. Was auf der Website selbst technisch und rechtlich sauber sein muss, steht in unserer DSGVO-Website-Checkliste und im Beitrag zu rechtssicheren Websites.

„Russische Hacker“? Was Zuordnung taugt

Nach jedem größeren Vorfall folgt die Frage nach der Herkunft. Sachlich gilt: Der BSI-Lagebericht behandelt staatliche und staatsnahe Akteure als eigenes Thema und weist zugleich darauf hin, dass politisch motivierte Akteure oft propagandistisch über ihre Angriffe berichten und deren Wirkung überzeichnen. Eine belastbare Zuordnung einzelner Angriffe ist Ermittlungsarbeit mit forensischen und nachrichtendienstlichen Mitteln — für ein betroffenes Unternehmen ist sie nicht leistbar, und pauschale Länderzuschreibungen helfen niemandem weiter.

Für den Schutz eines Betriebs ändert die Herkunft ohnehin nichts. Der überwiegende Teil dessen, was bei kleinen und mittleren Unternehmen ankommt, sucht Schwachstellen, nicht bestimmte Firmen. Ein veraltetes Plugin ist ein veraltetes Plugin, egal von wo es gefunden wird.

Vorbeugung im Team

Technik allein reicht nicht, weil alle beschriebenen Maschen beim Menschen ansetzen. Was in der Praxis funktioniert:

Feste Regeln statt Wachsamkeit. Rückruf bei geänderter Bankverbindung, Vier-Augen-Prinzip ab einer Betragsgrenze, Anmeldeseiten nur über Lesezeichen. Regeln halten auch an einem stressigen Freitagnachmittag.
Eine angstfreie Meldekultur. Wer einen Klick meldet, muss dafür Anerkennung bekommen, nicht Ärger. Verschwiegene Vorfälle kosten ein Vielfaches.
Kurze, wiederkehrende Schulungen. Zwanzig Minuten zweimal im Jahr mit echten Beispielen aus dem eigenen Postfach wirken mehr als eine Jahresschulung.
Passwort-Manager und Zwei-Faktor-Anmeldung für alle Zugänge, verbindlich für Administrationskonten. Was davon in einem kleinen Betrieb wirklich schützt, steht im Beitrag Virenschutz, Zwei-Faktor und Passwörter.
Rechte begrenzen. Nicht jeder braucht einen Administrationszugang zum CMS oder zum Hosting.
Updates und Backups automatisieren, statt sie von guten Vorsätzen abhängig zu machen. Welche Rolle das Hosting dabei spielt, erklärt der Beitrag Website-Hosting: Bedeutung, Typ, Sicherheit.

nova.02:media ist inhabergeführt, Inhaber ist Marek Stein, Sitz ist Strausberg. Wir arbeiten seit 2002 im Web, deutschlandweit remote, und haben über 1.600 Projekte umgesetzt. Wir sind keine IT-Security-Firma und geben das auch nicht vor: Was wir übernehmen, ist die Website-Seite — Updates, Zugangsschutz, funktionierende Backups, saubere E-Mail-Konfiguration und im Ernstfall die Bereinigung. Für alles, was Arbeitsplätze, Netzwerk und Firewall betrifft, gehört ein IT-Dienstleister mit an den Tisch.

Häufige Fragen

Woran erkenne ich eine Phishing-Mail? Das BSI nennt fünf Merkmale, bei denen Sie misstrauisch werden sollten: Die Mail gibt dringenden Handlungsbedarf vor, sie enthält Drohungen wie eine angebliche Kontosperrung, Sie werden zur Eingabe vertraulicher Daten aufgefordert, die Nachricht enthält Links oder Formulare, oder sie stammt scheinbar von einer bekannten Organisation, das Anliegen kommt Ihnen aber ungewöhnlich vor. Das BSI stellt außerdem klar: Unternehmen und Behörden fragen nie per E-Mail nach Passwörtern, Bankdaten oder anderen vertraulichen Informationen.

Was ist CEO-Fraud? Bei CEO-Fraud, auch Chef-Masche genannt, geben sich Täter als Geschäftsführung oder Handelspartner aus und bringen Mitarbeitende in der Buchhaltung dazu, größere Beträge zu überweisen. Die Polizeiliche Kriminalprävention beschreibt drei Phasen: Informationsbeschaffung über Handelsregister, Geschäftsberichte, Werbematerial und soziale Netzwerke, dann Kontaktaufnahme per gefälschter E-Mail oder verschleierter Telefonnummer, dann die Zahlungsaufforderung unter einem Vorwand wie einer angeblichen Unternehmensübernahme oder geänderten Bankverbindung.

Ein Mitarbeiter hat auf einen Link geklickt – was ist jetzt zu tun? Zuerst das betroffene Gerät vom Netzwerk trennen, aber eingeschaltet lassen, damit Spuren erhalten bleiben. Danach von einem anderen, sauberen Gerät aus alle Passwörter ändern, die auf dem Gerät oder auf der gefälschten Seite eingegeben wurden, und die Zwei-Faktor-Anmeldung prüfen. Parallel Buchhaltung und Bank informieren, falls Zahlungsdaten betroffen sein könnten, und den Vorfall dokumentieren: Zeitpunkt, Mail, Absender, Screenshots. Erst danach bereinigen — wer sofort löscht, vernichtet die Spuren.

Wo melde ich einen Angriff auf mein Unternehmen? Für Unternehmen gibt es zwei Wege parallel. Strafrechtlich: die Zentralen Ansprechstellen Cybercrime (ZAC) der Landeskriminalämter, die es in jedem Bundesland für Wirtschaftsunternehmen gibt; für einfache Fälle geht auch die Onlinewache der Länderpolizeien. Technisch: das Melde- und Informationsportal des BSI, wo sich Sicherheitsvorfälle melden lassen — auf Wunsch auch anonym. Sind personenbezogene Daten betroffen, kommt die Meldepflicht nach Artikel 33 DSGVO hinzu, in der Regel binnen 72 Stunden an die zuständige Aufsichtsbehörde.

Ruft Microsoft wirklich an, wenn mein Rechner infiziert ist? Nein. Die Verbraucherzentrale stellt klar, dass Microsoft keine unaufgeforderten Anrufe tätigt, um defekte Geräte zu reparieren, und selbst bei offiziellen Supportanfragen fast ausschließlich per E-Mail hilft. Wer einen solchen Anruf bekommt, soll das Gespräch sofort beenden. Wurde bereits etwas installiert, empfiehlt die Verbraucherzentrale, den Rechner vom Internet zu trennen, die installierten Programme zu entfernen und die Passwörter zu ändern.

Stecken hinter Angriffen auf deutsche Firmen russische Hacker? Der BSI-Lagebericht behandelt staatliche und staatsnahe Akteure als eigenes Thema, weist aber auch darauf hin, dass politisch motivierte Akteure oft propagandistisch über ihre Angriffe berichten und deren Wirkung überzeichnen. Eine belastbare Zuordnung einzelner Angriffe ist Ermittlungsarbeit mit forensischen und nachrichtendienstlichen Mitteln und für ein betroffenes Unternehmen praktisch nicht leistbar. Für den Schutz eines Betriebs spielt die Herkunft ohnehin keine Rolle: Der überwiegende Teil der Angriffe läuft automatisiert und sucht Schwachstellen, nicht bestimmte Firmen.

Fazit

Phishing, CEO-Fraud, gefälschte Rechnungen und Support-Anrufe sind Varianten derselben Idee: Sie ersetzen den technischen Einbruch durch eine glaubwürdige Nachricht. Deshalb hilft gegen alle vier dasselbe — feste Regeln statt Einzelfallentscheidungen, ein Rückruf über eine bekannte Nummer, und die Gewissheit, dass niemand im Betrieb Ärger bekommt, wenn er einen Fehler meldet.

Auf der technischen Seite bleibt es bei den unspektakulären Punkten: aktuelle Systeme, getrennte und geprüfte Backups, Zwei-Faktor-Anmeldung, saubere E-Mail-Konfiguration. Und wenn doch etwas passiert ist: erst trennen und dokumentieren, dann Passwörter, dann melden — in dieser Reihenfolge.

Sie wollen wissen, wie Ihre Website und Ihre E-Mail-Einrichtung aktuell dastehen? Wir sehen uns das an und sagen Ihnen, was wirklich zu tun ist — und was Sie sich sparen können. Mehr unter Beratung, Website-Pflege und Preise.