Phishing im Unternehmensalltag: Mitarbeiter als menschliche Firewall

Spamfilter, Firewall und Virenschutz fangen den größten Teil der Angriffe ab – aber nicht alle. Irgendwann landet eine gut gemachte Phishing-Mail im Postfach: eine Rechnung vom bekannten Lieferanten, eine Freigabe-Anfrage aus Microsoft 365, eine dringende Bitte der Geschäftsführung. Ob daraus ein Vorfall wird, entscheidet dann der Mensch vor dem Bildschirm.

Die gute Nachricht: Dieses Verhalten lässt sich trainieren. Eine „menschliche Firewall“ entsteht nicht durch eine Pflichtschulung im Jahr, sondern durch drei Bausteine, die zusammenspielen: regelmäßige Awareness-Schulungen, realistische Phishing-Simulationen und klare Regeln für den Ernstfall. Dieser Ratgeber zeigt, wie Du alle drei in Deinem Unternehmen aufsetzt.

Warum Technik allein nicht reicht

Angreifer optimieren ihre Mails gezielt darauf, Filter zu umgehen: neue Absenderdomains, Links auf legitime Cloud-Dienste, QR-Codes statt Links, Texte ohne Rechtschreibfehler. Ein guter Anti-Spam-Schutz senkt die Menge drastisch, aber eine Restmenge kommt durch – das ist keine Schwäche eines bestimmten Produkts, sondern die Natur des Problems.

Hinzu kommt: Viele Angriffe brauchen gar keine Schadsoftware. Eine gefälschte Login-Seite, auf der ein Mitarbeiter sein Microsoft-365-Passwort eingibt, oder eine geänderte Bankverbindung auf einer echt wirkenden Rechnung reichen aus. Hier hilft nur, dass jemand stutzt, nachfragt und meldet.

Woran man Phishing-Mails konkret erkennt, haben wir in unserer Checkliste für Mitarbeiter zusammengefasst. In diesem Artikel geht es um die Frage dahinter: Wie bringst Du Dein Team dazu, diese Warnsignale im hektischen Alltag tatsächlich zu beachten?

Baustein 1: Awareness-Schulungen, die im Alltag ankommen

Kurz und regelmäßig statt lang und selten

Ein zweistündiger Vortrag einmal im Jahr ist nach wenigen Wochen vergessen. Wirksamer sind kurze Einheiten von 15 bis 30 Minuten, verteilt über das Jahr. Ein sinnvoller Rhythmus für KMU:

• Onboarding: Jeder neue Mitarbeiter bekommt in der ersten Woche eine kurze Einführung in Meldewege, Passwortregeln und typische Maschen.
• Quartalsweise Kurzschulung: ein aktuelles Thema pro Termin, zum Beispiel gefälschte Rechnungen, MFA-Push-Bombing oder QR-Code-Phishing.
• Anlassbezogene Hinweise: Kursiert gerade eine Betrugswelle, reicht eine kurze Rundmail mit Screenshot – das wirkt oft stärker als jede Schulungsfolie.

Echte Beispiele aus dem eigenen Postfach

Nichts überzeugt mehr als eine Phishing-Mail, die tatsächlich bei Euch angekommen ist. Sammle abgefangene oder gemeldete Mails (ohne personenbezogene Details) und nutze sie in der nächsten Schulung. So sehen Mitarbeiter, dass die Bedrohung real ist und nicht aus einem Lehrbuch stammt.

Inhalte nach Rolle unterscheiden

Die Buchhaltung ist das bevorzugte Ziel für Rechnungsbetrug und CEO-Fraud, die Personalabteilung für präparierte Bewerbungen, die Geschäftsführung für gezielte Täuschung. Eine gemeinsame Basisschulung für alle, ergänzt um kurze Vertiefungen für besonders exponierte Rollen, trifft die tatsächlichen Risiken besser als ein Einheitsprogramm. Mehr zur Planung von Formaten und Inhalten liest Du in unserem Ratgeber IT-Sicherheit-Schulung für Mitarbeiter.

Regeln, die Schulungen erst wirksam machen

Schulung allein schützt nicht, wenn Prozesse Lücken lassen. Drei organisatorische Regeln gehören deshalb dazu:

• Vier-Augen-Prinzip bei Zahlungen: Änderungen von Bankverbindungen werden immer telefonisch über eine bekannte Nummer bestätigt – nie über die Kontaktdaten aus der Mail.
• Mehr-Faktor-Authentifizierung für E-Mail, Cloud-Dienste und Fernzugänge. Ein Passwort-Manager verhindert zusätzlich, dass dasselbe Passwort für mehrere Dienste genutzt wird.
• Ein einfacher Meldeweg: ein Melde-Button im Mailprogramm oder eine feste Adresse, an die verdächtige Mails weitergeleitet werden. Je weniger Aufwand das Melden macht, desto häufiger passiert es.

Baustein 2: Simulierte Phishing-Angriffe – fair und mit Lerneffekt

Schulungen vermitteln Wissen, Simulationen zeigen, ob es im Alltag ankommt. Bei einer Phishing-Simulation erhalten Mitarbeiter realistische, aber harmlose Test-Mails. Wer klickt, landet nicht auf einer Schadseite, sondern bei einer kurzen Erklärung, woran die Mail zu erkennen gewesen wäre.

So setzt Du Simulationen richtig auf

• Vorher informieren: Kündige das Programm im Unternehmen an – nicht den Zeitpunkt der einzelnen Mails, aber die Tatsache, dass Simulationen stattfinden und wozu sie dienen.
• Datenschutz und Betriebsrat einbinden: Bevor die erste Test-Mail verschickt wird, sollten Datenschutzbeauftragter und – falls vorhanden – Betriebsrat das Konzept kennen. Ziel ist eine Auswertung auf Team-Ebene, keine Leistungsbewertung einzelner Personen.
• Schwierigkeit steigern: Mit leicht erkennbaren Mails beginnen und den Schwierigkeitsgrad langsam erhöhen. Wer gleich mit perfekt gefälschten Mails startet, frustriert das Team.
• Realistische Szenarien wählen: Paketbenachrichtigungen, Microsoft-365-Anmeldungen, geteilte Dokumente, interne Rundschreiben – also das, was im Alltag tatsächlich vorkommt.

Die richtige Kennzahl: Meldequote statt Klickrate

Viele Unternehmen schauen nur darauf, wie viele Mitarbeiter geklickt haben. Aussagekräftiger ist, wie viele die Test-Mail gemeldet haben – und wie schnell. Eine sinkende Klickrate ist gut, eine steigende Meldequote ist besser: Sie zeigt, dass Dein Team nicht nur selbst vorsichtig ist, sondern aktiv warnt. Im Ernstfall verschafft genau diese frühe Meldung der IT die Zeit, eine echte Kampagne zu stoppen, bevor weitere Kollegen darauf hereinfallen.

Kein Pranger

Wer bei einer Simulation klickt, darf dafür nicht bloßgestellt werden. Sonst lernt das Team vor allem eines: Fehler lieber zu verschweigen. Und genau das ist im Ernstfall das größte Risiko. Mit unserem Angebot Security Awareness & Phishing-Simulation übernehmen wir Schulungen, Simulationen und Auswertung als wiederkehrenden Service – ohne Einzelbewertung und abgestimmt mit Datenschutz und Betriebsrat.

Baustein 3: Verhaltensregeln für den Ernstfall

Trotz Schulung wird irgendwann jemand klicken. Entscheidend ist, was in den nächsten Minuten passiert. Dafür braucht jeder Mitarbeiter eine kurze, eindeutige Anleitung – am besten ausgedruckt am Arbeitsplatz, denn bei einem Angriff sind Intranet und Mail womöglich nicht mehr erreichbar.

Sofortmaßnahmen bei Verdacht auf Ransomware

Anzeichen für Ransomware sind zum Beispiel Dateien, die sich nicht mehr öffnen lassen oder plötzlich ungewöhnliche Endungen tragen, eine Erpressernachricht auf dem Bildschirm oder ein Rechner, der auffällig langsam wird und stark auf Laufwerke zugreift. Dann gilt:

1. Ruhe bewahren und nicht weiterarbeiten. Keine weiteren Dateien öffnen, nichts löschen.
2. Gerät vom Netzwerk trennen: Netzwerkkabel ziehen und WLAN deaktivieren. Das bremst die Ausbreitung auf Server und andere Rechner.
3. Gerät nicht ausschalten, solange die IT nichts anderes sagt. Im laufenden System stecken oft Spuren, die für die Analyse wichtig sind.
4. Sofort telefonisch melden – nicht per E-Mail. Das Mailsystem kann bereits kompromittiert sein, und eine Mail wird womöglich erst Stunden später gelesen.
5. Notieren, was passiert ist: Uhrzeit, geöffnete Mail oder Datei, angezeigte Meldungen. Ein Handyfoto vom Bildschirm genügt.
6. Nicht auf die Erpresser reagieren, keinen Kontakt aufnehmen und nichts zahlen. Diese Entscheidung trifft ausschließlich die Geschäftsführung mit Fachleuten.

Wer muss informiert werden?

Bei einem Ransomware-Verdacht ist schnelle, geordnete Kommunikation genauso wichtig wie die technische Reaktion. Lege die Meldekette vorher fest und hinterlege für jede Station Name, Vertretung und Telefonnummer:

1. IT-Ansprechpartner bzw. IT-Dienstleister – sofort, durch den betroffenen Mitarbeiter. Die IT dämmt den Angriff ein: weitere Systeme isolieren, Zugänge sperren, Ausmaß prüfen.
2. Vorgesetzte und Geschäftsführung – sofort, parallel zur IT. Entscheidungen über Betriebsunterbrechung, Kommunikation und externe Hilfe liegen bei der Leitung.
3. Datenschutzbeauftragter – so früh wie möglich. Sind personenbezogene Daten betroffen, muss die Datenschutzverletzung in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO), unter Umständen auch den Betroffenen (Art. 34 DSGVO).
4. Cyberversicherung (falls vorhanden) – früh, nach den Vorgaben des Vertrags. Viele Policen verlangen eine sofortige Meldung und stellen eigene Notfall-Dienstleister. Wer eigenmächtig handelt, riskiert den Versicherungsschutz.
5. Polizei – nach der Erstversorgung. Jedes Bundesland hat eine Zentrale Ansprechstelle Cybercrime (ZAC) für Unternehmen. Sie nimmt die Strafanzeige auf und unterstützt bei der Beweissicherung.
6. BSI bzw. zuständige Meldestelle – wenn eine gesetzliche Meldepflicht besteht. Fällt Dein Unternehmen zum Beispiel unter NIS2, gelten eigene, kurze Meldefristen.

Wichtig: Der Mitarbeiter am betroffenen Rechner muss nur die ersten beiden Stationen kennen. Alles Weitere steuern IT und Geschäftsführung. Ob Dein Unternehmen unter NIS2 fällt, kannst Du mit unserem NIS2-Check schnell einschätzen.

Meldekette und Notfallplan zusammendenken

Die Meldekette ist nur der Anfang. Danach stellen sich Fragen, die man nicht im Ernstfall klären möchte: Welche Systeme fahren wir zuerst wieder hoch? Wer kommuniziert mit Kunden und Lieferanten? Wo liegen saubere Backups? Diese Antworten gehören in einen IT-Notfallplan, der vorher erstellt und regelmäßig geprüft wird. Wie Du ihn aufbaust, erklären wir im Ratgeber Notfallplan IT im Unternehmen.

Ob die Abläufe wirklich funktionieren, zeigt sich erst im Test. Eine Notfallübung mit Wiederanlaufprüfung spielt genau dieses Szenario kontrolliert durch – inklusive der Frage, ob die Telefonliste noch stimmt.

Die technische Rückendeckung

Die menschliche Firewall ist die letzte Verteidigungslinie, nicht die einzige. Damit ein einzelner Fehlklick nicht zur Katastrophe wird, braucht es technische Netze darunter:

• Managed EDR/XDR erkennt verdächtiges Verhalten auf Rechnern und Servern, etwa massenhaftes Verschlüsseln von Dateien, und kann betroffene Geräte automatisch isolieren.
• Online-Backup außerhalb des eigenen Netzwerks sorgt dafür, dass Daten auch dann wiederherstellbar sind, wenn lokale Sicherungen mitverschlüsselt wurden. Ob die Wiederherstellung tatsächlich klappt, prüft ein Backup-Check mit Restore-Test.
• Eine Managed Firewall begrenzt, was ein kompromittierter Rechner im Netzwerk und nach außen erreichen kann.

Wo Dein Unternehmen insgesamt steht, zeigt ein IT-Sicherheitscheck – technisch wie organisatorisch.

Fazit: Sicherheit ist Teamarbeit

Eine menschliche Firewall entsteht nicht durch Angst vor Fehlern, sondern durch Routine: regelmäßige kurze Schulungen, faire Simulationen, die zum Melden ermutigen, und eine Meldekette, die jeder kennt. Kombiniert mit solider Technik wird aus dem vermeintlich schwächsten Glied Deine aufmerksamste Verteidigungslinie.

Du möchtest Awareness-Schulungen und Phishing-Simulationen in Deinem Unternehmen einführen oder Deine Notfallabläufe auf den Prüfstand stellen? Mehr zu unserem Ansatz findest Du im Bereich IT-Sicherheit – oder Du sprichst uns direkt über unsere Kontaktseite an.