Phishing ist längst mehr als nur ein Risiko für private E-Mail-Postfächer. Unternehmen jeder Grösse stehen im Fadenkreuz von Cyberkriminellen – insbesondere dort, wo digital gearbeitet wird, viele Mitarbeitende auf E-Mails reagieren müssen und Systeme nicht ausreichend abgesichert sind. Doch mit klaren Sicherheitsstrategien und den richtigen Tools lässt sich die Bedrohung wirksam reduzieren.

Schritt eins: Sensibilisieren statt verunsichern

Der erste und zugleich wichtigste Schutzschild gegen Phishing-Angriffe ist der Mensch. Schulungen zur IT-Sicherheit gehören mittlerweile zur Pflicht jedes Unternehmens, das seine digitalen Assets ernst nimmt. Doch nicht jede Awareness-Kampagne erzielt den gewünschten Effekt. Entscheidend ist:

• Regelmässigkeit statt Einmal-Schulungen: Sicherheitstrainings sollten alle 3–6 Monate erfolgen – nicht nur einmal jährlich.
• Praxisbezug statt trockener Theorie: Mitarbeitende lernen mehr aus simulierten Angriffen als aus PDFs.
• Rollenspezifische Inhalte: Wer im Einkauf tätig ist, braucht andere Szenarien als jemand aus dem Marketing.

Verschiedene Tools bieten interaktive, adaptive Trainings, die sich individuell an Lernfortschritte anpassen lassen – inklusive realistischer Phishing-Simulationen.

Zero Trust als Sicherheitsstrategie

Ein wirksamer Schutz vor Phishing endet nicht bei der E-Mail – besonders dann nicht, wenn Angreifer es schaffen, Zugangsdaten zu stehlen oder sich in interne Systeme einzuschleusen. Hier setzt das Zero-Trust-Prinzip an, das in der IT-Sicherheit zunehmend als Standard gilt. Der zentrale Gedanke dahinter: Kein Zugriff wird automatisch als vertrauenswürdig eingestuft – unabhängig davon, ob er von innerhalb oder ausserhalb des Netzwerks erfolgt. Stattdessen müssen alle Zugriffe kontinuierlich überprüft und verifiziert werden.

Ein zentraler Baustein dieser Strategie ist die Einführung einer Multi-Faktor-Authentifizierung (MFA) für alle sicherheitskritischen Dienste, insbesondere für E-Mail-Konten, VPN-Zugänge, Cloud-Anwendungen und interne Plattformen. Durch den zusätzlichen Verifizierungsschritt – etwa per App, Token oder SMS – wird es für Angreifer deutlich schwieriger, sich mit gestohlenen Zugangsdaten einzuloggen.

Darüber hinaus empfiehlt es sich, Berechtigungen nach dem Prinzip der minimalen Rechtevergabe zu strukturieren. Mitarbeitende sollten stets nur auf die Systeme und Daten Zugriff haben, die sie für ihre Arbeit tatsächlich benötigen. Dadurch lässt sich im Fall eines erfolgreichen Angriffs der Schaden begrenzen.

Zero Trust ist damit keine einzelne Massnahme, sondern ein durchdachtes Sicherheitskonzept, das technische Absicherung mit organisatorischen Regeln verbindet – und gerade in Zeiten zunehmender Phishing-Bedrohungen eine zentrale Rolle im Schutzkonzept moderner Unternehmen spielt.

E-Mail-Sicherheit technisch absichern

Phishing läuft meist über E-Mails. Daher ist es essenziell, den E-Mail-Kanal technisch bestmöglich abzusichern:

• SPF, DKIM und DMARC korrekt konfigurieren: Diese drei Standards erschweren es Angreifern, sich als vertrauenswürdiger Absender auszugeben.
• E-Mail-Gateways und Filter einsetzen, die auf aktuelle Bedrohungsmuster reagieren – idealerweise mit KI-Unterstützung.
• Links und Anhänge scannen lassen, bevor sie beim Empfänger ankommen.
• Verdächtige Mails melden lassen: Mit einem „Phishing-Report“-Button im Outlook- oder Gmail-Client können Mitarbeitende potenziell gefährliche Mails unkompliziert weiterleiten – direkt an die IT oder an ein Security Operations Center.

Incident Response vorbereiten

Trotz aller technischen Schutzmassnahmen und Awareness-Initiativen kann es passieren, dass ein Phishing-Angriff erfolgreich ist. In solchen Fällen zählt jede Minute – und Unternehmen, die auf diesen Ernstfall vorbereitet sind, haben einen entscheidenden Vorteil. Ein klar definierter Incident-Response-Plan bildet dafür die Grundlage. Er legt fest, wer im Unternehmen welche Schritte einleitet, wenn ein Sicherheitsvorfall entdeckt wird. Dazu gehören klare Eskalationsstufen, Ansprechpartner und Handlungsanweisungen, die im besten Fall bereits im Vorfeld geübt wurden.

Ebenso wichtig ist es, funktionierende Kommunikationswege zu definieren – sowohl intern zwischen den betroffenen Teams als auch extern, etwa zur Meldung an Datenschutzbehörden oder zur Information von Kunden und Partnern. Auch die IT-Infrastruktur sollte im Rahmen des Plans berücksichtigt werden. Ein sicheres und regelmässig getestetes Backup-Konzept ist essenziell, um verlorene oder verschlüsselte Daten im Ernstfall schnell wiederherstellen zu können.

Wer keinen internen IT-Security-Experten zur Verfügung hat, sollte über die Zusammenarbeit mit einem spezialisierten Dienstleister oder einem externen Security Operations Center (SOC) nachdenken. Diese Partner können nicht nur bei der Reaktion im Ernstfall helfen, sondern auch präventiv unterstützen – etwa bei der Risikoanalyse und bei der Simulation möglicher Angriffsszenarien. So wird die Incident Response zu einem aktiven Bestandteil der Sicherheitsstrategie und nicht nur zu einer Reaktion auf bereits eingetretene Schäden.

Tools, die unterstützen

Es gibt viele Tools, die Unternehmen gegen Phishing unterstützen können – aber keine Software ersetzt eine klare Sicherheitskultur. Empfehlenswerte Lösungen sind:

• Microsoft Defender for Office 365: Starke Integration, gute Erkennungsraten bei Phishing.
• Mimecast oder Proofpoint: Für Unternehmen mit höherem Schutzbedarf und individuellen Policies.

Ein Tool allein ist selten die Lösung – entscheidend ist die Kombination aus Technik, Prozessen und menschlicher Aufmerksamkeit.

Dieser Beitrag basiert auf von IT-Experten geprüften Fakten. Für die kreative Ausgestaltung wurde ein KI-Tool herangezogen.