Was tun, wenn ein Mitarbeiter bereits auf einen Phishing-Link geklickt hat?

Das hängt davon ab, ob Daten eingegeben wurden. Nur geklickt, ohne Eingabe: Gerät mit EDR scannen, beobachten, dokumentieren. Zugangsdaten eingegeben: sofort Passwort zurücksetzen, alle Sitzungen beenden, MFA und Postfachregeln prüfen. Das Konto gilt als kompromittiert, bis das Gegenteil belegt ist. Je schneller der Helpdesk handelt, desto kleiner der Schaden.

Schützt MFA vollständig vor Phishing?

Nein, aber weitgehend. MFA verhindert die Übernahme bei gestohlenem Passwort. Echtzeit-Phishing (Adversary-in-the-Middle) kann es aushebeln. Phishing-resistente Methoden wie FIDO2-Token erhöhen den Schutz weiter. MFA bleibt die wichtigste Einzelmaßnahme, Awareness braucht es trotzdem.

Lohnt sich Security Awareness Training für ein kleines Unternehmen?

Ja. Ein einziger verhinderter Vorfall spart ein Vielfaches der Trainingskosten. Wirksam sind kurze, regelmäßige Einheiten mit echten, anonymisierten Beispielen. Eine einmalige Pflichtschulung bleibt kaum hängen. Das Training wirkt zusammen mit technischen Schutzmaßnahmen und einer Meldekultur ohne Angst.

Wissen

Phishing erkennen: das Helpdesk-Playbook für den Mittelstand

Phishing ist das häufigste Einfallstor für Angriffe auf KMU. Das Playbook enthält Erkennungsmerkmale für die Belegschaft und einen Entscheidungs-Flow für den Helpdesk im Verdachtsfall.

Bünyamin Pollin

Geschäftsführung & Technische Leitung

23.04.2026Aktualisiert 17.05.20262 Min Lesezeit

Inhalt

Die meisten erfolgreichen Angriffe auf KMU beginnen mit einer E-Mail. SPF, DKIM, DMARC und MFA fangen viel ab. Was durchkommt, landet bei einem Menschen, der entscheidet, ob er klickt. Teil 1 dieses Playbooks richtet sich an die Belegschaft, Teil 2 an den Helpdesk, der gemeldete Verdachtsfälle bearbeitet.

Technik und Mensch gehören zusammen

Wirksamer Phishing-Schutz braucht SPF, DKIM, DMARC und MFA und dazu eine Belegschaft, die verdächtige Mails meldet. Fehlt eines von beiden, bleibt eine Lücke.

Teil 1: Sieben Erkennungsmerkmale für die Belegschaft

Diese Merkmale gehören in jede Awareness-Schulung. Keines ist für sich beweisend, aber je mehr zutreffen, desto höher der Verdacht.

Dringlichkeit und Druck: sofort handeln, sonst Konsequenzen. Das ist der häufigste psychologische Hebel.
Abweichende Absenderadresse: Anzeigename stimmt, die echte Adresse dahinter nicht. Adresse immer prüfen, nicht nur den Namen.
Links, die woanders hinführen: Mauszeiger über den Link halten (nicht klicken), die echte Ziel-URL prüfen.
Unerwartete Anhänge: Rechnungen, Bewerbungen, Lieferscheine, die niemand erwartet hat.
Ungewöhnliche Bitte: Überweisung, Gutscheinkauf, Passwort-Eingabe oder Datenfreigabe per Mail.
Sprachliche Auffälligkeiten: seltsame Anrede, Brüche im Stil, generische Formulierungen.
Bekannter Absender, ungewöhnlicher Inhalt: gehackte Konten verschicken echte Mails mit bösartigem Inhalt.

Die gefährlichste Variante: CEO-Fraud

Eine Mail, die scheinbar von der Geschäftsführung kommt und die Buchhaltung zu einer dringenden, vertraulichen Überweisung auffordert. Sie nutzt Autorität und Zeitdruck. Gegenmittel ist ein fester Rückkanal: Zahlungsaufforderungen per Mail immer telefonisch über eine bekannte Nummer rückbestätigen, nie über Kontaktdaten aus der Mail selbst.

Beispiel einer typischen Phishing-Mail (anonymisiert)

Verdaechtige Mail, Merkmale markiert

Von:    Microsoft 365 <[email protected]>   <- Tippfehler in Domain
Betreff: Ihr Konto wird in 24 Stunden gesperrt           <- Dringlichkeit
An:     [email protected]

Sehr geehrter Nutzer,                                    <- generische Anrede
wir haben ungewoehnliche Aktivitaeten festgestellt.
Bestaetigen Sie Ihr Passwort innerhalb von 24 Stunden,
sonst wird Ihr Zugang dauerhaft deaktiviert.

[ Jetzt verifizieren ]   ->  http://m365-verify.example-phish.ru  <- fremde Domain

Vier Warnzeichen in einer Mail: gefälschte Absenderdomain mit Tippfehler, künstlicher Zeitdruck, generische Anrede und ein Link, der auf eine fremde Domain führt. Microsoft sperrt keine Konten per solcher Mail und fragt nie Passwörter per Link ab.

Teil 2: Der Helpdesk-Entscheidungs-Flow

Wie der Helpdesk auf eine gemeldete Mail reagiert, hängt davon ab, ob sie nur empfangen oder schon angeklickt wurde. Je früher ein kompromittiertes Konto gesperrt wird, desto kleiner der Schaden.

Fall A: gemeldet, nichts geklickt
Bedanken Sie sich für die Meldung, sie ist das gewünschte Verhalten. Mail als Phishing markieren, ähnliche Mails im Tenant suchen und entfernen, ggf. Absender/Domain blockieren.
Fall B: Link geklickt, keine Daten eingegeben
Gerät auf Schadsoftware prüfen (EDR-Scan). Wenn der Link nur geöffnet, aber nichts eingegeben wurde, ist das Risiko meist gering. Trotzdem dokumentieren und beobachten.
Fall C: Zugangsdaten eingegeben
Sofort handeln: Passwort des Kontos zurücksetzen, alle aktiven Sitzungen beenden, MFA-Methoden prüfen, Postfachregeln auf heimliche Weiterleitungen kontrollieren. Das Konto gilt als kompromittiert, bis das Gegenteil bewiesen ist.
Fall D: Überweisung ausgelöst oder Daten abgeflossen
Eskalation zum Notfall: Geschäftsführung informieren, bei Überweisung sofort die Bank kontaktieren (Rückholung), bei personenbezogenen Daten die 72-Stunden-DSGVO-Frist prüfen, Vorfall dokumentieren.

Bei Zugangsdaten-Eingabe zählt jede Minute

Angreifer automatisieren die Übernahme von Konten, deren Zugangsdaten auf einer Phishing-Seite gelandet sind. Deshalb zuerst alle Sitzungen beenden und das Passwort zurücksetzen. Die Ursachenanalyse kommt danach.

Meldekultur schlägt Schuldkultur

Mitarbeitende müssen Verdachtsfälle melden können, ohne Tadel zu fürchten. Wer für einen versehentlichen Klick bestraft wird, meldet beim nächsten Mal nicht, und aus einem kleinen Vorfall wird ein großer. Was hilft: ein einfacher Meldeweg (ein Knopf im Mail-Programm oder eine bekannte Adresse) und ein Dank für jede Meldung. Drohungen bewirken das Gegenteil.

Aus jedem Vorfall lernen

Jede gemeldete Phishing-Mail ist Trainingsmaterial. Anonymisiert in der nächsten Awareness-Runde gezeigt, lernt die ganze Belegschaft daraus.

Quellen

Häufige Fragen

Was tun, wenn ein Mitarbeiter bereits auf einen Phishing-Link geklickt hat?
Das hängt davon ab, ob Daten eingegeben wurden. Nur geklickt, ohne Eingabe: Gerät mit EDR scannen, beobachten, dokumentieren. Zugangsdaten eingegeben: sofort Passwort zurücksetzen, alle Sitzungen beenden, MFA und Postfachregeln prüfen. Das Konto gilt als kompromittiert, bis das Gegenteil belegt ist. Je schneller der Helpdesk handelt, desto kleiner der Schaden.
Schützt MFA vollständig vor Phishing?
Nein, aber weitgehend. MFA verhindert die Übernahme bei gestohlenem Passwort. Echtzeit-Phishing (Adversary-in-the-Middle) kann es aushebeln. Phishing-resistente Methoden wie FIDO2-Token erhöhen den Schutz weiter. MFA bleibt die wichtigste Einzelmaßnahme, Awareness braucht es trotzdem.
Lohnt sich Security Awareness Training für ein kleines Unternehmen?
Ja. Ein einziger verhinderter Vorfall spart ein Vielfaches der Trainingskosten. Wirksam sind kurze, regelmäßige Einheiten mit echten, anonymisierten Beispielen. Eine einmalige Pflichtschulung bleibt kaum hängen. Das Training wirkt zusammen mit technischen Schutzmaßnahmen und einer Meldekultur ohne Angst.

Umsetzung durch Visgenix

Phishing-Schutz auf allen Ebenen

Im Modell 365° für Microsoft 365 verwalten wir MFA, Conditional Access, den Microsoft Defender sowie DKIM, DMARC und SPF. Endpoint Security ist ein Baustein der IT-Betreuung. Reaktionszeiten richten sich nach der SLA-Stufe.

IT-Betreuung

← Zurück zur Wissensdatenbank