Phishing setzt auf die Nachahmung eines bekannten Absenders oder Dienstes und nutzt aus, dass Empf\u00e4nger E-Mails, Webseiten und Kurznachrichten in vertrauten Layouts selten im Detail pr\u00fcfen. Der Erfolg h\u00e4ngt ma\u00dfgeblich von der Dringlichkeit der Nachricht ab<\/strong>: Eine angebliche Kontosperrung, eine ausstehende Zahlung oder ein knappes Zeitfenster sollen Empf\u00e4nger zu einer schnellen, un\u00fcberlegten Reaktion bewegen, bevor Unstimmigkeiten in Absenderadresse oder Linkziel auffallen. Bekannte Varianten sind Spear-Phishing (gezielte Auswahl einzelner Opfer statt eines breiten Empf\u00e4ngerkreises), Whaling (Fokus auf F\u00fchrungskr\u00e4fte), Smishing (Zustellung per SMS) und Quishing (K\u00f6der \u00fcber einen QR-Code anstelle eines Links).<\/p>\n
Mitarbeiter von Versicherungen und Finanzdienstleistern haben durch ihre Arbeit unmittelbaren Zugang zu Kundendaten, Policen und Auszahlungsprozessen<\/strong>, was sie zu einem lohnenden Ziel macht. Bei Versicherern kann eine nachgebaute Login-Seite f\u00fcr das Vertriebsportal oder eine gef\u00e4lschte Aufforderung zur Best\u00e4tigung von Bankdaten in der Bestandsf\u00fchrung oder Schadenregulierung dieselbe Wirkung entfalten wie ein technischer Systemausfall, bleibt dabei aber l\u00e4nger unbemerkt. Auch externe Vertriebspartner und Makler sind \u00fcber ihre Zug\u00e4nge zum Bestandssystem ein m\u00f6gliches Einfallstor, wodurch der Kreis der relevanten Empf\u00e4nger \u00fcber die eigene Belegschaft hinausreicht.<\/p>\n
Wie funktioniert Phishing?<\/h2>\n
Ein Phishing-Angriff l\u00e4uft in vier Schritten ab<\/strong>: Adressbeschaffung, K\u00f6der, Zustellung und Verwertung der erbeuteten Daten. Die Adressen stammen aus ver\u00f6ffentlichten Kontaktseiten, aus Datenlecks oder aus einem bereits \u00fcbernommenen Postfach. Der K\u00f6der ist eine Nachricht mit einem Anlass, der eine Reaktion erzwingt, und einem Ziel, das die Eingabe von Zugangsdaten verlangt.<\/p>\n
Bei der Zustellung entscheidet sich, ob die Nachricht \u00fcberhaupt ankommt: Absenderpr\u00fcfungen wie SPF, DKIM und DMARC greifen nur, sofern der empfangende Server sie auswertet und die Domain eine Richtlinie hinterlegt hat. Nach der Eingabe folgt die Verwertung, und hier liegt der eigentliche Schaden \u2013 nicht auf dem Endger\u00e4t, sondern in den Systemen, in denen die Zugangsdaten gelten. Bei Adversary-in-the-Middle-Kampagnen schaltet sich der Angreifer zwischen Nutzer und echten Dienst und greift dabei das Sitzungs-Cookie ab<\/strong>, sodass die Anmeldung ohne erneute Best\u00e4tigung \u00fcbernommen werden kann. F\u00fcr Versicherer verschiebt sich der Aufwand damit vom Erkennen der Nachricht zum Absichern der Anmeldung: Wo eine zweite Best\u00e4tigungsstufe greift, bleibt ein erbeutetes Passwort ohne Wirkung, solange der Angreifer die laufende Sitzung nicht ebenfalls \u00fcbernimmt.<\/p>\n
Phishing vs. Spear-Phishing<\/h2>\n
\n\n
\n
Merkmal<\/th>\n
Phishing<\/th>\n
Spear-Phishing<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Empf\u00e4ngerkreis<\/td>\n
breit gestreut, ohne Vorauswahl<\/td>\n
eine vorab ausgew\u00e4hlte Person oder Abteilung<\/td>\n<\/tr>\n
\n
Vorbereitung<\/td>\n
dieselbe Vorlage f\u00fcr den gesamten Verteiler<\/td>\n
Recherche zu Rolle, Vorg\u00e4ngen und Ansprechpartnern<\/td>\n<\/tr>\n
\n
Erkennbarkeit<\/td>\n
unpers\u00f6nliche Anrede und allgemeiner Anlass<\/td>\n
Die vollst\u00e4ndige Adresse im Nachrichtenkopf ansehen, nicht nur den angezeigten Namen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Betriebssystem, Programme und Antivirus-Software aktuell halten sowie die Firewall aktiviert lassen<\/li>\n
Bei einer Anfrage nach vertraulichen Daten beim Anbieter \u00fcber eine selbst recherchierte Telefonnummer nachfragen<\/li>\n
Bei Unsicherheit die im E-Mail-Text genannte Seite \u00fcber die Startseite der Organisation aufrufen statt \u00fcber den angegebenen Link<\/li>\n<\/ul>\n
Was tun im Ernstfall<\/h3>\n
\n
Passwort \u00fcber den bekannten Weg \u00e4ndern und alle aktiven Sitzungen beenden, da ein Passwortwechsel allein laufende Sitzungen nicht immer beendet<\/li>\n
Vorfall \u00fcber den internen Meldeweg melden, auch wenn die Eingabe abgebrochen wurde<\/li>\n
Nachricht als Beleg aufbewahren und nicht l\u00f6schen<\/li>\n<\/ul>\n