Phishing: Wie die Masche funktioniert und warum sie noch so viele Opfer fordert

Schon einmal eine E-Mail bekommen, die genau wie die Ihrer Bank oder eines Dienstes wie Google aussieht und Sie drängt, „Ihr Konto zu sichern“? Es besteht eine gute Chance, dass es ein Phishing-Versuch ist.

Phishing ist heute eine der am weitesten verbreiteten Cyberangriffstechniken — und auch eine der wirksamsten. Warum? Weil es nicht auf einen technischen Fehler zielt, sondern auf einen menschlichen: Vertrauen.

In diesem Artikel erklären wir konkret, wie diese Angriffe funktionieren, welche Methoden Cyberkriminelle nutzen und wie Sie sich wirksam schützen. Und als Zugabe erklären wir, wie GottaPhish dieses Problem frontal angeht.

Was genau ist Phishing?

Phishing ist eine Form des Online-Betrugs, bei der man sich als vertrauenswürdiger Dritter ausgibt (eine Bank, eine Behörde, ein Unternehmen, eine Web-Plattform usw.), um sensible persönliche oder berufliche Informationen zu erlangen.

Diese Daten können dann genutzt werden, um:

• Ihre Konten zu hacken,

• Geld zu stehlen,

• auf vertrauliche Informationen zuzugreifen,

• oder weitere Angriffe in Ihrer Organisation zu verbreiten.

Die von Cyberkriminellen am häufigsten genutzten Methoden

1. Die gefälschte Login-Seite

Die klassischste Methode: Ein Link führt Sie zu einer Kopie einer offiziellen Seite (etwa Dropbox, Google oder Outlook). Sie geben Ihre Zugangsdaten ein, ohne etwas zu ahnen … doch sie gehen direkt an den Angreifer.

Diese Methode funktioniert noch besser, wenn sie personalisiert oder gezielt ist: Das nennt man gezieltes Phishing oder Spear-Phishing.

2. Echtzeit-Abfangen (Man-in-the-Middle-Angriff)

Dies ist eine weit fortgeschrittenere Variante. Hier setzt der Angreifer einen bösartigen Proxy zwischen Sie und die legitime Seite und kann so alles abfangen, was Sie eingeben — einschließlich der temporären Codes für die Zwei-Faktor-Authentifizierung (2FA).

Das verschafft Zugriff auf Ihre Konten, selbst wenn sie gut geschützt sind.

3. SMS-Phishing (Smishing)

Dasselbe Prinzip wie eine präparierte E-Mail … nur per SMS. Die Nachricht ahmt oft eine Zustellbenachrichtigung, eine Bankwarnung oder eine Kundenservicemeldung nach. Menschen vertrauen ihrem Telefon eher, was diese Methode hochwirksam macht.

Die Werkzeuge, mit denen diese Angriffe durchgeführt werden

Es gibt inzwischen Open-Source-Werkzeuge (und damit für jeden zugänglich), die diese Angriffe automatisieren und überzeugender denn je machen.

Zu den bekanntesten:

• Gophish: zum Erstellen und Verwalten von Test-Phishing-Kampagnen.

• Evilginx: zum Abfangen von Sitzungen und Umgehen der 2FA.

• EvilGophish: eine Kombination, die realistische Angriffe mit eingebauter Statistik ermöglicht.

Ein konkretes Beispiel: Kompromittierung eines Dropbox-Kontos

In einer technischen Demonstration zeigte das Unternehmen Vaadata, wie ein Dropbox-Konto auf drei verschiedene Arten kompromittiert werden kann:

1. Mit einer gefälschten Login-Seite, erstellt mit Gophish

2. Mit einem MitM-Abfangen über Evilginx, das sogar den 2FA-Code erfasst

3. Mit einer präparierten SMS, kombiniert mit einer geklonten Seite und einem MitM-Angriff

Jedes Mal war der Kontozugriff vollständig … ohne dass das Opfer je etwas bemerkte.

Wie können Sie sich schützen?

Zum Glück gibt es mehrere Wege, sich zu wehren:

Für Privatpersonen:

• Prüfen Sie stets die Webadresse, bevor Sie Ihre Zugangsdaten eingeben

• Klicken Sie nie auf einen verdächtigen Link aus E-Mail oder SMS

• Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA), auch wenn sie nicht unfehlbar ist

• Seien Sie misstrauisch bei übermäßig dringenden oder alarmierenden Nachrichten

Für Unternehmen:

• Schulen Sie Ihre Teams regelmäßig

• Führen Sie interne Phishing-Simulationskampagnen durch

• Richten Sie technische Schutzmaßnahmen ein (SPF, DKIM, DMARC)

• Überwachen Sie ungewöhnliches Verhalten

Wo kommt GottaPhish also ins Spiel?

Bei GottaPhish gehen wir das Problem an der Quelle an: Awareness.

Wir entwickeln pädagogische, interaktive Werkzeuge, damit Unternehmen die Warnzeichen eines Phishing-Versuchs erkennen, die Wachsamkeit ihrer Mitarbeitenden testen und ihre Cyber-Reflexe gegen diese immer überzeugenderen Angriffe schärfen.

Unser Ansatz ist einfach: Der Mensch ist die erste Verteidigungslinie. Und je mehr er übt, desto unwahrscheinlicher ist es, dass er hereinfällt.

Ob es darum geht, die eigene Sicherheit zu testen oder Ihre Teams auf realistische Angriffe vorzubereiten — GottaPhish begleitet Sie mit maßgeschneiderten Lösungen für Ihre spezifischen Herausforderungen.

Fazit

Phishing ist keine ferne Bedrohung: Es ist ein tägliches Risiko, für Privatpersonen wie für Unternehmen. Zu verstehen, wie es funktioniert, ist bereits ein erster Schritt zum Schutz.

Und wenn Sie weitergehen, Ihre Teams schulen und Ihre Haltung gegen diese Angriffe testen wollen, ist GottaPhish da, um Ihnen ins Handeln zu helfen.