Phishing-Prävention im Unternehmen: Praxis-Check für wirksame Prozesse

Ausgangspunkt: Welche Phishing-Risiken bestehen tatsächlich?

Ein allgemeiner Verweis auf die zunehmende Zahl von Phishing-Angriffen reicht für ein belastbares Schutzkonzept nicht aus. Unternehmen müssen nachvollziehen, welche konkreten Konten, Daten und Abläufe angegriffen werden können und welche Folgen eine erfolgreiche Manipulation hätte.

Ausgangspunkt sollte eine strukturierte Risikoaufnahme sein. Dabei sind insbesondere folgende Fragen relevant:

• Welche Konten ermöglichen den Zugriff auf besonders sensible oder umfangreiche Daten?
• Welche Personen können Zahlungen veranlassen oder Bankverbindungen ändern?
• Welche Funktionen besitzen administrative oder andere weitreichende Berechtigungen?
• Welche Cloud-Dienste sind über ein zentrales Benutzerkonto erreichbar?
• Welche Geschäftsprozesse können durch gefälschte E-Mails oder Nachrichten beeinflusst werden?
• Welche externen Dienstleister und Geschäftspartner sind in diese Prozesse eingebunden?
• Welche Phishing- oder Social-Engineering-Vorfälle gab es bereits?

Das Ergebnis sollte keine abstrakte Risikobeschreibung sein, sondern eine priorisierte Übersicht konkreter Angriffsszenarien:

Für jedes wesentliche Szenario sollte festgehalten werden, welche bestehenden Kontrollen greifen, wo Schutzlücken bestehen und welche Maßnahmen vorrangig umgesetzt werden müssen.

Verantwortlichkeiten eindeutig festlegen

Phishing-Prävention betrifft mehrere Unternehmensbereiche. Unklare Zuständigkeiten führen häufig dazu, dass einzelne Maßnahmen zwar vorhanden sind, an den Schnittstellen aber nicht funktionieren. Ein Schulungskonzept hilft beispielsweise wenig, wenn ein gemeldeter Verdachtsfall keinen definierten Empfänger erreicht oder eine technische Sperrung zu spät ausgelöst wird.

Die genaue Zuordnung hängt von Größe und Aufbau des Unternehmens ab. Entscheidend ist weniger die Bezeichnung der Funktion als die belastbare Schnittstelle: Wer informiert wen, innerhalb welcher Zeit und über welchen Meldeweg?

Für besonders kritische Szenarien sollte die Zuständigkeit nicht nur in einer Richtlinie stehen, sondern in einem Ablauf mit Vertretungsregelungen, Kontaktdaten und konkreten Eskalationskriterien abgebildet sein.

Sechs Bausteine wirksamer Phishing-Prävention

Ein belastbares Schutzsystem kombiniert technische und organisatorische Kontrollen. Welche Ausgestaltung angemessen ist, hängt von den identifizierten Risiken ab. Die folgenden sechs Bausteine bilden dafür einen praxistauglichen Rahmen.

1. Risikobasierte Awareness

Schulungen sollten nicht nur allgemeine Erkennungsmerkmale verdächtiger E-Mails vermitteln. Sie müssen die tatsächlichen Aufgaben und Angriffsszenarien der jeweiligen Zielgruppe aufgreifen.

Zur Umsetzung gehören insbesondere:

• regelmäßige statt ausschließlich einmalige Schulungen,
• unterschiedliche Inhalte für Finance, HR, IT und Management,
• die Einbeziehung aktueller Angriffsmethoden,
• ein einfacher und bekannter interner Meldeweg,
• eine angemessene Auswertung von Phishing-Simulationen sowie
• gezielte Nachschulungen ohne pauschale Schuldzuweisung.

Ein wichtiger Wirksamkeitsindikator ist nicht nur, wie viele Personen mit einer simulierten Nachricht interagieren. Ebenso relevant ist, wie schnell und wie häufig verdächtige Nachrichten gemeldet werden.

2. Angemessene Authentifizierung

Multi-Faktor-Authentifizierung ist nur dann wirksam, wenn sie die tatsächlich kritischen Zugänge abdeckt und das eingesetzte Verfahren dem jeweiligen Risiko entspricht. Eine hohe allgemeine MFA-Quote kann täuschen, wenn ausgerechnet Administratoren, technische Konten oder Altanwendungen ausgenommen sind.

Unternehmen sollten deshalb prüfen:

• ob alle kritischen Konten und externen Zugänge erfasst sind,
• welche MFA-Verfahren eingesetzt werden,
• ob für privilegierte Konten phishing-resistente Verfahren genutzt werden können,
• wie Wiederherstellung und Zurücksetzung abgesichert sind und
• welche Ausnahmen und Altanwendungen weiterhin bestehen.

Auch Recovery-Prozesse gehören zur Kontrolle. Lässt sich eine starke Authentifizierung über einen unzureichend abgesicherten Helpdesk-Prozess umgehen, bleibt eine wesentliche Schutzlücke bestehen.

3. Sichere E-Mail-Infrastruktur

Spam- und Malwarefilter bilden eine wichtige Schutzebene, reichen allein aber nicht aus. Technische Kontrollen sollten sowohl eingehende Nachrichten als auch den Missbrauch der eigenen Absenderdomains berücksichtigen.

Relevante Prüffelder sind insbesondere:

• Spam- und Malwarefilter,
• SPF, DKIM und DMARC,
• die Überwachung der eigenen Domains,
• die Kennzeichnung externer Nachrichten,
• der Schutz vor schädlichen Anhängen und Links sowie
• die regelmäßige Kontrolle der Konfiguration.

Die Einführung einer Kontrolle ist dabei nur der erste Schritt. Fehlkonfigurationen, neue Domains, geänderte Cloud-Dienste oder nicht erfasste Versanddienstleister können die Schutzwirkung später wieder reduzieren.

4. Manipulationssichere Geschäftsprozesse

Phishing und Social Engineering zielen nicht nur auf Zugangsdaten. Bei CEO-Fraud oder manipulierten Lieferantenrechnungen versuchen Angreifer, etablierte Zahlungs- und Freigabeprozesse zu umgehen.

Besonders wirksam sind Kontrollen, die nicht von der Echtheit einer einzelnen E-Mail abhängen:

• Vier-Augen-Freigaben für kritische Vorgänge,
• unabhängige Rückbestätigung geänderter Bankdaten,
• keine Abweichung von Freigaberegeln aufgrund angeblicher Dringlichkeit,
• definierte Kontrollschritte bei ungewöhnlichen Anweisungen und
• ein klarer Eskalationsweg für CEO-Fraud und Lieferantenbetrug.

Diese Vorgaben müssen in den tatsächlichen Arbeitsablauf integriert sein. Rein schriftliche Regeln helfen wenig, wenn Systeme Ausnahmen ohne zusätzliche Prüfung zulassen oder Beschäftigte bei einer vermeintlichen Weisung der Geschäftsleitung keinen geschützten Rückfrageweg haben.

5. Begrenzte Berechtigungen

Ein kompromittiertes Konto sollte nicht automatisch den Zugriff auf sämtliche Unternehmensdaten und Systeme ermöglichen. Berechtigungskonzepte begrenzen deshalb nicht unbedingt den Angriff selbst, aber dessen mögliche Auswirkungen.

Dazu gehören insbesondere:

• das Prinzip der geringstmöglichen Rechte,
• getrennte administrative und gewöhnliche Benutzerkonten,
• regelmäßige Berechtigungsreviews,
• ein unverzügliches und vollständiges Offboarding sowie
• die Begrenzung von Zugriffswegen zwischen kritischen Systemen.

Für den Audit ist entscheidend, ob Berechtigungsreviews tatsächlich durchgeführt, Auffälligkeiten nachverfolgt und nicht mehr benötigte Rechte entfernt werden.

6. Vorbereitete Incident Response

Nach einem erfolgreichen Phishing-Angriff zählt Geschwindigkeit. Unternehmen sollten deshalb nicht erst im Vorfall klären, wer ein Konto sperren darf, wo Protokolldaten liegen oder welche internen Stellen eingebunden werden müssen.

Ein vorbereiteter Reaktionsprozess sollte mindestens folgende Schritte abdecken:

• Sperrung kompromittierter Konten und aktiver Sitzungen,
• Zurücksetzen betroffener Zugangsdaten,
• Sicherung von Logs und anderen Beweisdaten,
• Ermittlung betroffener Systeme und Daten,
• Information von IT, Informationssicherheit, Datenschutz und Legal/Compliance,
• Entscheidung über weitere interne und externe Schritte sowie
• Nachbereitung und Anpassung der Schutzmaßnahmen.

Der Prozess sollte konkrete Auslöser, Verantwortliche, Vertretungen und erreichbare Kontaktwege enthalten. Ein Ablaufplan ist erst dann belastbar, wenn er unter realistischen Bedingungen getestet wurde.

Nicht nur einführen, sondern Wirksamkeit nachweisen

Ein Phishing-Schutzsystem ist nicht bereits deshalb wirksam, weil Richtlinien, Schulungen und technische Lösungen vorhanden sind. Unternehmen sollten nachvollziehbar prüfen, ob die vorgesehenen Kontrollen tatsächlich greifen, bekannte Lücken geschlossen werden und die Beteiligten im Ernstfall handlungsfähig sind.

Einzelne Kennzahlen dürfen nicht isoliert bewertet werden. Eine Klickrate aus einer Phishing-Simulation beweist beispielsweise noch nicht, dass das Schutzsystem insgesamt wirksam oder unwirksam ist. Sie muss zusammen mit Meldeverhalten, technischer Abdeckung, Prozesskontrollen und der Entwicklung über mehrere Prüfungen betrachtet werden.

Ebenso wichtig ist der Umgang mit Feststellungen. Ein Audit schafft nur dann einen Mehrwert, wenn Abweichungen priorisiert, Verantwortlichen zugeordnet, mit Fristen versehen und bis zur wirksamen Behebung nachverfolgt werden.

Reifegrad-Check: Wo steht das Unternehmen?

Ein Reifegradmodell hilft, den aktuellen Stand verständlich einzuordnen und den nächsten Entwicklungsschritt festzulegen. Dabei geht es nicht darum, in jedem Bereich sofort die höchste Stufe zu erreichen. Entscheidend ist, kritische Risiken zuerst zu beherrschen und die Kontrollen schrittweise zu stabilisieren.

Für eine belastbare Bewertung sollte der Reifegrad nicht nur pauschal für das gesamte Unternehmen vergeben werden. Sinnvoller ist eine getrennte Betrachtung etwa von Awareness, Authentifizierung, E-Mail-Sicherheit, Berechtigungen, Geschäftsprozessen und Incident Response.

90-Tage-Maßnahmenplan für die Phishing-Prävention

Der folgende Plan eignet sich als Ausgangspunkt, wenn bestehende Einzelmaßnahmen zu einem abgestimmten Schutzsystem weiterentwickelt werden sollen.

Tage 1–30: Transparenz schaffen

• kritische Konten, Daten und Geschäftsprozesse identifizieren,
• bestehende technische und organisatorische Maßnahmen erfassen,
• Zuständigkeiten, Vertretungen und Meldewege dokumentieren,
• frühere Vorfälle und bekannte Schwachstellen auswerten und
• erkennbare Schutzlücken nach Risiko priorisieren.

Ergebnis: Eine priorisierte Risiko- und Maßnahmenübersicht mit klaren Verantwortlichkeiten.

Tage 31–60: Kritische Lücken schließen

• MFA-Abdeckung für kritische Konten verbessern,
• E-Mail-Authentifizierung und Filterkonfiguration prüfen,
• Zahlungs- und Änderungsprozesse gegen Manipulation absichern,
• kritische Berechtigungen und Ausnahmen bereinigen und
• Incident-Response-Verfahren aktualisieren.

Ergebnis: Die wesentlichen technischen und prozessualen Risiken sind reduziert; verbleibende Ausnahmen sind dokumentiert.

Tage 61–90: Wirksamkeit überprüfen

• zielgruppengerechte Schulung oder Phishing-Simulation durchführen,
• Berechtigungen und MFA-Abdeckung kontrollieren,
• den Reaktions- und Eskalationsprozess testen,
• Nachweise, Feststellungen und offene Maßnahmen dokumentieren und
• eine regelmäßige Überprüfung mit Verantwortlichen und Terminen festlegen.

Ergebnis: Das Unternehmen verfügt über erste Wirksamkeitsnachweise und einen nachvollziehbaren Verbesserungsprozess.

Rechtlicher Rahmen: Risikoadäquate Maßnahmen bleiben erforderlich

Phishing-Prävention ist nicht nur eine technische Vorsorgemaßnahme. Art. 32 DSGVO verlangt ein dem jeweiligen Risiko angemessenes Schutzniveau. Für besonders wichtige und wichtige Einrichtungen konkretisiert das BSIG die Anforderungen an das Informationssicherheits-Risikomanagement.

Die rechtlichen Vorgaben unterstützen damit denselben Grundgedanken wie der operative Praxis-Check: Maßnahmen müssen zum konkreten Risiko passen, tatsächlich umgesetzt, dokumentiert und auf ihre Wirksamkeit überprüft werden.

Welche Phishing-Schutzmaßnahmen für Unternehmen rechtlich erforderlich sind und welche Nachweis-, Melde- und Haftungsrisiken bestehen, erläutert die ausführliche rechtliche Analyse von Vadim Friedinger bei gunnercooke.

FAQ zur Phishing-Prävention im Unternehmen

Wie häufig sollten Beschäftigte geschult werden?

Es gibt keinen für jedes Unternehmen passenden Einheitsrhythmus. Schulungen sollten beim Eintritt, anschließend regelmäßig und zusätzlich bei neuen Angriffsmethoden, wesentlichen Prozessänderungen oder konkreten Vorfällen stattfinden. Besonders gefährdete Funktionen können kürzere oder zusätzliche Schulungsintervalle benötigen.

Welche Funktionen benötigen besondere Schulungen?

Besonders relevant sind Geschäftsleitung, Finance, HR, IT-Administration, Einkauf und Beschäftigte mit Zugriff auf umfangreiche oder sensible Daten. Die Inhalte sollten an die jeweiligen Angriffsszenarien angepasst werden – beispielsweise CEO-Fraud im Finanzbereich oder gefälschte Bewerbungen in der Personalabteilung.

Wie lässt sich die MFA-Abdeckung kontrollieren?

Ausgangspunkt ist ein vollständiges Inventar kritischer Konten und Anwendungen. Dieses wird mit den technischen Berichten des Identitäts- oder Zugangsmanagements abgeglichen. Ausnahmen, Altanwendungen, technische Konten und Wiederherstellungswege sollten gesondert geprüft und dokumentiert werden.

Sind Phishing-Simulationen datenschutzrechtlich problematisch?

Phishing-Simulationen können datenschutzrechtliche und gegebenenfalls arbeitsrechtliche Fragen auslösen. Vor der Durchführung sollten Zweck, Umfang, Auswertung, Speicherdauer, Zugriffsberechtigungen und der Umgang mit individuellen Ergebnissen festgelegt werden. Datenschutzbeauftragter und – soweit erforderlich – Arbeitnehmervertretung sollten frühzeitig eingebunden werden. Pauschale Schuldzuweisungen oder öffentliche Ranglisten sind regelmäßig kein geeigneter Ansatz.

Welche Stellen müssen in den Incident-Response-Prozess eingebunden werden?

Typischerweise sind IT beziehungsweise Informationssicherheit, Datenschutz, Legal/Compliance und bei wesentlichen Vorfällen die Geschäftsleitung einzubeziehen. Je nach Szenario können außerdem Finance, HR, Kommunikation, Versicherer und externe Forensik- oder Rechtsberatung relevant sein.

Welche Nachweise sollte ein Unternehmen für ein Audit vorhalten?

Geeignete Nachweise sind insbesondere die Risikoanalyse, Rollen- und Prozessbeschreibungen, Schulungs- und Testpläne, Teilnahmeübersichten, technische Konfigurations- und Abdeckungsberichte, Berechtigungsreviews, Übungsprotokolle sowie ein Maßnahmenregister mit Verantwortlichen, Fristen und Umsetzungsstatus.

Wie häufig sollte der Phishing-Reaktionsprozess getestet werden?

Der Rhythmus sollte sich nach Risiko, Veränderungsgeschwindigkeit und bisherigen Feststellungen richten. Wichtig ist eine feste, dokumentierte Wiederholung sowie ein zusätzlicher Test nach wesentlichen Änderungen oder Vorfällen. Kritische Organisationen und Prozesse benötigen regelmäßig häufigere Übungen als Bereiche mit geringem Risiko.

Fazit: Aus Einzelmaßnahmen ein Schutzsystem machen

Wirksame Phishing-Prävention im Unternehmen folgt einem durchgängigen Kreislauf: Risiken erfassen, Verantwortung zuordnen, Maßnahmen implementieren, Wirksamkeit prüfen und Verbesserungen steuern.

Entscheidend ist nicht, ob irgendwo eine Schulung, ein Spamfilter oder MFA vorhanden ist. Entscheidend ist, ob die Maßnahmen die tatsächlich kritischen Konten und Prozesse abdecken, an den Schnittstellen funktionieren und im Audit nachvollziehbar belegt werden können.

Weiterführende Quellen

• Datenschutz-Grundverordnung, insbesondere Art. 32 DSGVO
• BSI-Gesetz, insbesondere §§ 30 und 38 BSIG
• BSI TR-03182 E-Mail-Authentifizierung
• BSI: Informationen für NIS-2-regulierte Unternehmen

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche oder technische Beratung im konkreten Einzelfall.