Die meisten „Cyberangriffe", die wir in polnischen KMU entwirren, beginnen gleich: eine Person hat am Freitagnachmittag auf eine E-Mail geklickt. Sie war nicht dumm und nicht unaufmerksam — sie war müde und hatte zehn Tabs offen. Die Mail sah aus wie eine Rechnung des Stammlieferanten, wie eine Bankbenachrichtigung oder wie eine eilige Bitte des Geschäftsführers. Das hat gereicht.
Phishing sind heute keine russischen Teenager mit gebrochenem Polnisch mehr. Es ist eine koordinierte Branche, die mit KMU mehr verdient als mit Konzernen — denn im KMU gibt es keine Sicherheitsabteilung, kein SOC, kein zweites Augenpaar auf jeder Überweisung. Es gibt eine Buchhalterin mit sechzig Rechnungen am Tag, die darauf vertraut, dass „der Spamfilter schon was abfängt".
Dieser Text geht darum, was wirklich funktioniert — und was nur auf einer Audit-Checkliste gut aussieht — bei der Abwehr von Phishing und seiner teuersten Variante: BEC (Business Email Compromise).
Phishing sieht nicht mehr nach nigerianischem Prinzen aus
Im letzten Jahr sehen wir in polnischen KMU vor allem vier Szenarien. Jedes davon ist banal, und jedes funktioniert, weil es zum Arbeitsrhythmus passt.
- Gefälschte Rechnung vom „Stammlieferanten". Die E-Mail sieht aus wie jede andere. Firmenname stimmt, USt-ID stimmt, der Betrag ist plausibel. Geändert ist nur die Kontonummer im PDF. Der Angreifer rät nichts — er hat zuerst das Postfach beim Lieferanten übernommen, wochenlang die Korrespondenz mitgelesen und die Mail dann im perfekten Moment plaziert.
- „Geschäftsführer" bittet um eine eilige Überweisung. Die Mail kommt von einer Adresse, die wie der Geschäftsführer aussieht (
gf@firmaABC.destattgf@firma-abc.de— das menschliche Auge sieht das nicht). Inhalt: „Bin im Termin, kann nicht reden, mach bitte dringend eine Überweisung auf Konto X, ich bestätige später." Funktioniert, weil es auf Hierarchie und Eile setzt. - „Microsoft 365: Ihr Passwort läuft in 24 Stunden ab". Klassiker. Die Mitarbeiterin klickt, landet auf einer täuschend echten Login-Seite, gibt Login und Passwort ein. Der Angreifer hat jetzt Zugriff auf Postfach, Kalender, Kontakte und — schlimmer noch — auf historische Korrespondenz, mit der er den nächsten Angriff baut.
- Anhang „Dokumente zur Ansicht". ZIP oder eine Datei mit Makro. Geöffnet auf einem Rechner mit Zugriff auf die Netzfreigabe — und sechs Stunden später ist die halbe Firma per Ransomware verschlüsselt.
Allen vier Szenarien ist eines gemeinsam: Sie versuchen nicht, technische Schutzmechanismen zu durchbrechen. Sie versuchen, durch einen Mitarbeiter zu kommen, der viel zu tun hat und wenig Anlass, eine Sekunde innezuhalten und nachzudenken.
89 000 Złoty, eine E-Mail und drei Wochen Stille
Bei einem unserer Kunden — einem 28-köpfigen Hersteller, der Stahlteile bearbeitet — hat die Buchhalterin 89 000 PLN auf ein Konto überwiesen, das in einer Mail vom Stammlieferanten „aufgetaucht" war. Die Mail sah aus wie immer: gleiche Signatur, gleiche Fußzeile, plausible Rechnungsnummer, plausibler Betrag. Nur die letzten vier Stellen der Kontonummer waren anders. Der Angreifer hatte zuvor das Postfach beim Lieferanten übernommen (klassisches Phishing, ohne MFA), saß drei Wochen darin und las die Korrespondenz mit, und plazierte die Mail dann genau an dem Tag, an dem die Rechnung erwartet wurde.
Das Geld kam nicht zurück. Die Empfängerbank in Tschechien hat die Mittel innerhalb von vier Stunden weitertransferiert. Die Firma hat 89 Tausend Złoty verloren plus eine Woche Geschäftsführungszeit für Gespräche mit Polizei, Anwalt und Versicherung. Auch der Lieferant hatte unangenehme Fragen.
Nach dem Vorfall haben wir mit ihnen einige einfache Dinge eingeführt: MFA auf allen Postfächern, eine schriftliche Regel „jede Änderung einer Bankverbindung wird telefonisch bestätigt — mit der Nummer aus unserem CRM, nie mit der Nummer aus der Mail", externe Mails werden im Header gekennzeichnet, plus einmal monatlich eine kurze Phishing-Simulation mit 5-minütiger lockerer Nachbesprechung. In den folgenden zwei Jahren hat die Firma drei weitere BEC-Versuche abgefangen — zwei durch einen Anruf beim Lieferanten gestoppt, einen durch eine Mitarbeiterin, der die Mail „komisch" vorkam. Ohne Verluste.
Das ist keine Geschichte über Technologie. Es ist eine Geschichte über Gewohnheiten. Der Lieferant hatte in beiden Fällen einen Spamfilter, und die Mail kam trotzdem durch — denn sie kam aus einem echten, gekaperten Postfach.
Was nicht funktioniert — auch wenn es gut aussieht
Die Cyber-Branche verkauft KMU viele Dinge, die im Angebot gut aussehen und in der Praxis schlecht wirken. Die häufigsten Fehler, die wir sehen:
- Pflicht-E-Learning einmal im Jahr. Der Mitarbeiter klickt „weiter, weiter, weiter, Test" und vergisst alles in zwei Tagen. Das ist kein Training — das ist ein Häkchen für das DSGVO-Audit.
- Plakate und Angstkampagnen. „Vorsicht, Betrüger!" im Flur lehrt niemanden etwas. Angst erzeugt Lähmung, nicht Wachsamkeit.
- Regel „Im Zweifel die IT fragen". Klingt vernünftig, nur ist „die IT" im KMU eine Person mit halber Stelle, die nicht abnimmt, weil sie gerade den Drucker repariert. Der Mitarbeiter klickt selbst, weil er weiterarbeiten muss.
- „Unser Virenschutz fängt das schon ab." Virenschutz fängt Anhänge mit bekannten Signaturen. BEC ist reiner Text und eine ausgetauschte Kontonummer — das sieht kein Virenschutz.
- „Wir haben SPF/DKIM, also kann uns niemand spoofen." SPF/DKIM/DMARC schützen davor, dass jemand Ihre Domain spooft. Sie schützen nicht vor einer Mail aus einem echten, aber gekaperten Lieferanten-Postfach. Genau so funktioniert BEC.
Jede dieser Maßnahmen hat ihren Platz — aber keine ersetzt die Gewohnheit, die der Buchhalterin eine Sekunde vor dem „Senden" die Hand anhält.
Was wirklich funktioniert — in 4 Stunden Arbeit
Die meisten KMU können einen Basisschutz gegen Phishing und BEC an einem Arbeitstag aufbauen. Es braucht kein Quartalsprojekt und kein 50-Tausend-Euro-SOC. Es braucht fünf Dinge:
- MFA auf jedem Postfach. Ohne Ausnahmen, einschließlich Geschäftsleitung. Diese eine Änderung eliminiert 90% aller Kontoübernahmen. In Microsoft 365 und Google Workspace ist das in einer Stunde aktiviert. Wenn jemand „MFA nicht bedienen kann", heißt das: die Person wurde nicht geschult — nicht, dass MFA schlecht wäre.
- Kennzeichnung externer E-Mails. Jede Mail, die von außerhalb der Organisation kommt, bekommt im Header einen gelben Hinweis: „Achtung: Diese E-Mail kommt von außerhalb Ihrer Organisation." Eine winzige Änderung, die die Erfolgsrate von Angriffen, die sich als Geschäftsführer oder IT ausgeben, deutlich senkt. In M365 ist das eine einzelne Transportregel.
- Schriftliche Regel zur Änderung von Bankverbindungen. Ein DIN-A4-Blatt an der Wand in der Buchhaltung: „Jede Änderung einer Bankverbindung wird telefonisch unter der Nummer aus unserem CRM/ERP bestätigt, nie unter der Nummer aus der Mail oder der Rechnung. Kein Anruf = keine Überweisung. Ohne Ausnahmen, einschließlich Geschäftsführung." Ein Blatt Papier, das in einem typischen KMU 20–50 Tausend Euro im Jahr rettet.
- Ein kurzer monatlicher Test. Einmal im Monat schicken wir dem Team eine simulierte Phishing-Mail — eine Rechnung, eine Bitte des „Geschäftsführers", eine Bankbenachrichtigung. Wir messen, wer geklickt hat. Nicht um zu bestrafen, sondern um in fünf Minuten gemeinsam durchzugehen, woran man hätte erkennen können, dass die Mail gefälscht war. Nach sechs Monaten solcher „Live-Übungen" sehen wir typischerweise einen Rückgang der Klickrate von 20–25% auf 3–5%.
- Ein Kanal für „komische Mails". Ein gemeinsamer Ort (Teams, Slack, Gruppenpostfach), wohin jede:r eine Mail mit der Frage „ist das echt?" werfen kann. Jemand aus der IT oder der Geschäftsleitung antwortet in 30 Minuten. Filter und Lehrmaterial in einem.
Diese fünf Dinge zusammen kosten die Firma außer Zeit nichts. Sie kosten einen Arbeitstag und danach 30 Minuten im Monat.
Kleine Gewohnheiten, die viel Geld retten
Neben Technik gibt es drei Gewohnheiten, die Firmen häufiger retten als jedes System:
- Bei jeder Überweisung über einer festgelegten Summe — Telefon. Die Schwelle legen Sie selbst fest (1.000, 5.000, 20.000 Euro). Anruf bei der Person, die die Überweisung angeordnet hat, unter der Nummer aus Ihren Stammdaten — nie unter der Nummer aus der Mail. 30 Sekunden Gespräch stoppen 100% der klassischen BEC-Fälle.
- Hover vor dem Klick. Maus über den Link halten, bevor man klickt. Prüfen, ob die Domain die ist, die man erwartet. Eine Bewegung, dem Team in zehn Minuten beizubringen.
- „Komisches Gefühl" ist ein Grund zum Innehalten. Wenn eine Mail Eile, Druck, Angst oder Unbehagen erzeugt, spielt der Angreifer genau auf diesen Emotionen. Gewohnheit: anhalten, anrufen, prüfen. Eine Minute Pause werden Sie nie bereuen.
Alles Banalitäten — aber sie wirken nur, wenn das Team sie monatlich hört, nicht einmal im Jahr in einer DSGVO-Schulung.
Wo anfangen
Wenn Sie ein 10–50-köpfiges KMU führen und das hier mit dem Gedanken lesen „wir haben eigentlich nichts davon", keine Panik. Gehen Sie in dieser Reihenfolge vor:
- Prüfen Sie, ob MFA auf allen dienstlichen Postfächern aktiv ist, einschließlich Geschäftsführung und Sammelpostfächer (
buero@,buchhaltung@). Wenn nicht — das ist die dringendste Sache dieser Woche. - Schreiben Sie die Regel zur Änderung von Bankverbindungen auf ein Blatt und hängen Sie es in der Buchhaltung auf. Morgen.
- Starten Sie innerhalb eines Monats eine einfache Phishing-Simulation — es gibt kostenlose Werkzeuge (Microsoft Attack Simulator in M365 Business Premium) und günstige Dienste für 5–20 Euro pro Person und Monat.
- Nach der ersten Simulation: 5 Minuten lockeres Teamgespräch — „ich zeige euch, woran ihr das hättet erkennen können." Keine Namen, kein Bloßstellen. Übung, nicht Hinrichtung.
- Nach drei Monaten messen, ob die Klickrate sinkt. Wenn nicht, stimmt etwas mit der Umsetzung nicht — nicht mit dem Konzept.
Phishing geht nicht weg. Aber eine Firma, in der das Team weiß, was zu erwarten ist, und klare Verfahren für Zweifelsmomente hat, verliert deutlich weniger daran als eine, die hofft, „der Filter wird's schon abfangen". Der erste, zweite und dritte gestoppte Betrugsversuch zahlen die Investition leise zurück — Geld, das Sie nicht verloren haben, taucht auf keiner Rechnung auf.
Wenn Sie das in Ihrer Firma aufsetzen wollen, aber nicht wissen, wo anfangen — wir helfen KMU regelmäßig dabei, das in Einzelteile zu zerlegen. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
Das schwächste Glied ist nicht die Firewall. Es ist eine müde Buchhalterin am Freitagnachmittag — und nur eine Gewohnheit schützt sie.