Phishing in Slowenien: So schützen Sie Mitarbeiter vor Betrug

Phishing ist eine Form des Social Engineering, bei der ein Angreifer das Opfer durch eine gefälschte E-Mail, SMS oder einen Anruf davon überzeugt, Anmeldedaten preiszugeben, eine Transaktion zu bestätigen oder einen Anhang mit Schadcode zu öffnen. Laut SI-CERT-Daten ist Phishing in Slowenien der häufigste erfolgreiche Angriff auf Unternehmen. Daher ist ein umfassender Schutz zwingend erforderlich und nicht optional.

TL;DR — Die wichtigsten Punkte

• Konfigurieren Sie SPF, DKIM und DMARC (zuerst `p=none`, später `p=quarantine`/`p=reject`)
• Aktivieren Sie für alle Benutzer zwingend die Mehrfaktor-Authentifizierung (MFA) — vorzugsweise Passkeys
• Führen Sie mindestens vierteljährlich Phishing-Simulationen und Mikroschulungen durch
• Richten Sie eine einfache Meldestelle ein (Schaltfläche "Phishing melden" in Outlook)

Wie ein typischer Angriff auf ein slowenisches Unternehmen aussieht

Der Angreifer sendet eine E-Mail im Namen einer Bank, der Post, eines Lieferanten oder des Geschäftsführers selbst (sog. CEO-Fraud). Die Nachricht erzeugt ein Gefühl der Dringlichkeit ("bitte heute noch überweisen", "Ihr Konto wird gesperrt") und leitet das Opfer auf eine gefälschte Anmeldeseite weiter. Sobald der Benutzer seine Microsoft 365-Zugangsdaten eingibt, erhält der Angreifer Zugriff auf E-Mails, Dokumente in OneDrive und häufig auch auf alle verknüpften Dienste.

In den letzten zwei Jahren haben wir beobachtet, dass Angreifer häufig Buchhaltungsabteilungen mit gefälschten Rechnungen und Benachrichtigungen über IBAN-Änderungen ins Visier nehmen. Der Schaden bei einem einzigen erfolgreichen Angriff liegt bei slowenischen KMU zwischen 5.000 und 80.000 EUR.

Technischer Schutz: SPF, DKIM und DMARC

Drei DNS-Einträge sind heute das Minimum, ohne das Sie riskieren, dass Ihre Domain für Spoofing missbraucht wird:

Wir empfehlen eine schrittweise Einführung: Beginnen Sie mit `p=none` und empfangen Sie Berichte. Nachdem Sie False Positives beseitigt haben, wechseln Sie zu `p=quarantine` und schließlich zu `p=reject`. Zur Analyse der Berichte gibt es kostenlose Dienste, oder wir verarbeiten diese im Rahmen unserer Cybersicherheits-Services.

MFA und Passkeys

Wenn ein Angreifer ein Passwort erlangt, ist MFA die einzige Mauer vor einer Kontoübernahme. Aktivieren Sie in Microsoft 365 Security Defaults oder (besser) Conditional Access-Richtlinien, die MFA für alle Benutzer und zusätzliche Bedingungen je nach Standort und Gerät erfordern. Für den besten Schutz gehen wir zu Passkeys (FIDO2) über, die das Risiko von Anmeldedaten-Phishing vollständig eliminieren.

Filterung von Anhängen und Links

Microsoft Defender for Office 365 (Plan 1 oder 2) ergänzt Safe Attachments (Sandbox für Anhänge) und Safe Links (Echtzeit-Prüfung von URLs beim Anklicken). Für Unternehmen ohne Defender-Lizenz empfehlen wir die Installation eines erweiterten Gateways oder einer Drittanbieterlösung. Anhänge der Typen `.iso`, `.js`, `.hta`, `.lnk` und makrofähige Office-Dokumente sollten standardmäßig blockiert werden.

Schulungen und Simulationen

Technik ohne sensibilisierte Benutzer reicht nicht aus. Wir empfehlen:

1. Kurze (15-minütige) Basisschulung bei Einstellung und einmal jährlich.
2. Quartalsweise Phishing-Simulationen — wer klickt, erhält einen 5-minütigen Mikrokurs statt einer Strafe.
3. Interne Kommunikation über reale Angriffsversuche (ohne Einzelpersonen bloßzustellen).
4. Eine einfache "Phishing melden"-Schaltfläche in Outlook, die die Nachricht an die IT sendet und aus dem Posteingang entfernt.

Was im Falle eines Vorfalls zu tun ist

Wenn ein Benutzer Zugangsdaten auf einer Phishing-Seite eingegeben hat:

1. Ändern Sie sofort das Passwort und widerrufen Sie alle aktiven Sitzungen (`Revoke Sessions` in Entra ID).
2. Überprüfen Sie die Posteingangsregeln (Angreifer erstellen oft Regeln zur automatischen Weiterleitung).
3. Überprüfen Sie die Sign-in logs auf unbekannte Standorte und Geräte.
4. Wenn der Kontomissbrauch für Betrug genutzt wurde, melden Sie den Vorfall an SI-CERT und gegebenenfalls der Polizei.

Kurzübersicht zusätzlicher Maßnahmen

• Getrennte Administratorkonten ohne E-Mail-Funktion
• Begrenzen Sie das Passwortalter (60–90 Tage) nur, wenn Sie kein MFA verwenden — ansonsten ist eine erzwungene Rotation kontraproduktiv
• Aktivieren Sie den Impersonation Protection für die Geschäftsführung und die Buchhaltung
• Prüfen Sie regelmäßig auf Domain Lookalike-Registrierungen (z. B. `vitalitsi.com`, `vita1it.si`)

Ist Google Workspace sicherer als Microsoft 365?

Beide Plattformen bieten vergleichbaren Schutz, wenn SPF/DKIM/DMARC, MFA und entsprechende Richtlinien korrekt konfiguriert sind. Der Unterschied liegt in den Details (Regelsatz, Windows-Integration), nicht im allgemeinen Sicherheitsniveau.

Wie effektiv sind Phishing-Simulationen?

In Unternehmen, die wir bei VitalIT betreuen, sinkt der Anteil erfolgreicher Klicks innerhalb eines Jahres typischerweise von 25–35 % auf unter 5 %, vorausgesetzt, die Simulationen werden von Mikroschulungen begleitet.

Stellt DMARC ein Risiko für die E-Mail-Zustellbarkeit dar?

Bei einem zu schnellen Wechsel auf `p=reject` besteht das Risiko, dass legitime Nachrichten im Spam landen oder abgelehnt werden. Beginnen Sie daher immer mit `p=none` und analysieren Sie die Berichte.

Was sind Passkeys und sind sie bereits nutzbar?

Passkeys sind kryptografische Schlüssel, die an ein Gerät gebunden sind und per Fingerabdruck oder PIN entsperrt werden. Microsoft 365, Google und alle großen Plattformen unterstützen sie bereits — wir empfehlen sie als nächsten Schritt nach der klassischen MFA.