Wie kann man sich vor Phishing schützen? 10 gute Anti-Phishing-Praktiken

Wie kann man sich wirksam vor Phishing oder Phishing schützen?

Da diese Art von Cyberangriff schwerwiegende Folgen für Unternehmen haben kann, wie z. B. den Verlust sensibler Daten, sollte sich jede Organisation so gut wie möglich dagegen schützen.

Zwar wurde zu diesem Zweck spezielle Software entwickelt, wir werden jedoch sehen, dass der menschliche Faktor und damit die Sensibilisierung die besten Waffen bleiben, um sich vor dieser Bösartigkeit zu schützen.

Deshalb müssen Sie doppelt so wachsam sein, sich beim Empfang einer E-Mail die richtigen Fragen stellen und gute Praktiken anwenden.

Lassen Sie uns das im Einzelnen erläutern.

Alle Antivirus Software ansehen

Definition von Phishing

Phishing wird als einer der häufigsten Computerangriffe definiert. Man trifft auch auf die französischen Begriffe " Phishing " oder " filoutage ", um diese Technik zu bezeichnen.

Worum geht es bei Phishing?

Der Hacker täuscht eine Identität vor, z. B. die einer Behörde oder eines großen Unternehmens, um in seinem Namen eine E-Mail zu versenden und den Empfänger zu bestimmten Handlungen zu veranlassen.

Um besser täuschen zu können, versucht der Betrüger, sich so gut wie möglich als vertrauenswürdiger Absender auszugeben (z. B. indem er dessen Logos und Corporate Design übernimmt). Auf diese Weise bringt er sein Opfer dazu, :

• auf einen Link zu klicken, der auf eine gefälschte offizielle Website, eine Spiegelseite, verweist;
• einen Anhang herunterzuladen;
• direkt auf die E-Mail antworten usw.

Mit diesen Aktionen verfolgen die Hacker mehrere Ziele:

• An persönliche Daten wie Bankdaten oder Passwörter gelangen ;
• Geld erpressen;
• Einschleusen von Schadsoftware in das System des E-Mail-Empfängers.

☝️ Diese Betrugsmethode ist wahrscheinlich eine der am weitesten verbreiteten im Webspace, da sie nur wenige Fähigkeiten des Cyberkriminellen erfordert. Er muss lediglich Daten über seine zukünftigen Opfer sammeln (ein Vorgang, der dank der wachsenden Anzahl an persönlichen Informationen, die im Internet, in sozialen Netzwerken usw. verfügbar sind, erleichtert wird) und ihnen dann eine einfache E-Mail schicken.

Die Folgen eines Phishing-Angriffs für Unternehmen

66% der Organisationen in Frankreich erlitten 2023 einen erfolgreichen Phishing-Angriff, und 62% waren Ziel von BEC-Angriffen (Business Email Compromise).

Rapport 2024 State of the Phish de Proofpoint

Wie alle Cyberangriffe nimmt auch Phishing immer mehr zu. Es kann alle Arten von Unternehmen betreffen, unabhängig von ihrer Größe oder Branche.

Darüber hinaus werden Phishing-Versuche immer gezielter. Manche Hacker nehmen sich nun die Zeit, sich über ihre zukünftigen Opfer zu informieren, um eine möglichst glaubwürdige Nachricht zu versenden.

Die wichtigsten Konsequenzen für Organisationen sind folgende:

• Infiltration des Computernetzwerks;
• Verlust sensibler Daten wie Kundendateien, Patente, Bankinformationen ;
• Identitätsdiebstahl usw.

Die Auswirkungen von Phishing können also verheerend sein, sowohl finanziell als auch für das Image des Unternehmens, das dadurch stark beschädigt wird.

Was sind die 10 besten Praktiken, um Phishing-Angriffe zu vermeiden?

#1 Stellen Sie sich beim Empfang einer E-Mail die richtigen Fragen.

Zuallererst sollten Sie sich beim Empfang einer E-Mail die richtigen Fragen stellen und aufmerksam bleiben. Auf diese Weise erhöhen Sie Ihre Chancen, sich vor Phishing-Versuchen zu schützen.

🕵️ Hier sind die wichtigsten Punkte, auf die Sie achten sollten:

• Der Absender: Kenne ich diesen Absender? Wurde ich schon einmal von ihm kontaktiert?
  
  
• Seine E-Mail-Adresse: Eine verdächtige oder unseriös wirkende E-Mail-Adresse ist verräterisch. Im Zweifelsfall geben Sie sie bei Google ein. Bei Betrug ist es möglich, dass sie bereits gemeldet wurde.
  
  
• Die Art der E-Mail:
• Spricht mich das in der E-Mail angesprochene Thema oder Dossier an?
• Ist der Tonfall des Textes angemessen? Generell sollten Sie sich vor E-Mails hüten, die versuchen, Sie zu beunruhigen, zu drängen oder in eine Notsituation zu bringen.
• Werde ich um persönliche Daten gebeten? Sie sollten wissen, dass z. B. eine Bank niemals die Angabe sensibler Informationen über das Internet verlangt.
  
  
• Die Qualität des Inhalts: Sieht der Inhalt so aus, als würde er dem entsprechen, was ein Absender dieser Art versenden kann? Mit anderen Worten: Achten Sie auf Rechtschreibfehler, Tippfehler oder andere unangemessene Formulierungen, die in dieser Art von E-Mails häufig vorkommen.
  
  
• Links und Anhänge:
• Achten Sie darauf, ob die URLs der Links korrekt aussehen und keine Rechtschreibfehler enthalten. Sie können z. B. das Ziel in die Adresszeile Ihres Browsers eingeben, um die Vertrauenswürdigkeit zu überprüfen.
• Hüten Sie sich auch vor kurzen Links, denn sie lassen nicht vorhersehen, wo Sie landen werden. 💡 Tipp: Um zu überprüfen, auf welche Seite ein Kurzlink verweisen wird, verwenden Sie Online-Tools wie Unshorten.It!
• Fragen Sie sich, ob ein Anhang verdächtig ist. Unterscheidet er sich zum Beispiel von dem, der im Klartext angezeigt wird? Kurz gesagt: Überlegen Sie es sich immer zweimal, bevor Sie auf etwas in einer E-Mail klicken.

#2 Sensibilisieren und schulen Sie Ihre Mitarbeiter

In 80% der Fälle ist die Handlung eines Benutzers an seinem Computer, die oft unbeabsichtigt ausgeführt wird, die Ursache für Cyberangriffe.

AvantdeCliquer.com

Vorbeugung ist immer noch der beste Weg, um sich wirksam vor einem Phishing-Angriff zu schützen, denn ein Phishing-Versuch erweist sich oft als erkennbar. Doch in einer Zeit, in der wir immer mehr mit Informationen überflutet werden, achten wir manchmal nicht mehr auf bestimmte Details.

Deshalb müssen sich Unternehmen dieser Problematik annehmen und aktiv mit den Mitarbeitern kommunizieren. Wie wäre es zum Beispiel mit der Organisation von Schulungssitzungen?

#3 Angriffe simulieren, um besser darauf reagieren zu können.

Um das Bewusstsein zu schärfen, haben einige Organisationen ihre Mitarbeiter getestet.

Mithilfe von gefälschten Phishing-Kampagnen können sie herausfinden, wer "anbeißt", und erhalten so ein genaues Bild der menschlichen Schwachstellen.

Diese Methode ermöglicht es, gezielter vorzugehen und Schulungen für die am stärksten gefährdeten Profile anzubieten.

#4 Bewährte Methoden der Cybersicherheit anwenden.

Hier sind einige Tipps, wie Sie Cybersicherheit und den Umgang mit Ihren geschäftlichen E-Mails miteinander verbinden können:

• Geben Sie niemals sensible Daten per E-Mail weiter, denn keine Organisation oder Firma, die diesen Namen verdient, wird Sie darum bitten. Dasselbe gilt für Aufforderungen, Geld zu senden (z. B. gefälschte Versandkostenabrechnungen).
  
  
• Im Zweifelsfall sollten Sie die Informationen überprüfen, indem Sie direkt auf die sichere Website des Absenders oder einen anderen offiziellen Kanal gehen.
  
  
• Seien Sie misstrauisch bei allzu verlockenden Angeboten (Lotteriegewinn, Versand von Geschenken usw.).
  
  
• Vergewissern Sie sich immer, dass die Websites, auf denen Sie surfen, sicher sind. Wenn sie vertrauenswürdig sind, befinden sich folgende Hinweise in der Adressleiste der Website: "https://" sowie ein Schlosssymbol.
  
  
• Falls Sie es noch nicht getan haben, aktivieren Sie den Phishing-Schutz, der in den verschiedenen Browsern verfügbar ist.
  
  
• Verwenden Sie Ihre dienstlichen E-Mails nur für diesen Zweck und dasselbe gilt für Ihre privaten E-Mails.
  
  
• Vermeiden Sie die Nutzung eines öffentlichen Wi-Fi-Netzwerks für Ihre geschäftlichen Vorgänge.
  
  
• Löschen Sie schließlich alle Phishing-E-Mails, die in Ihrem Posteingang landen, und leiten Sie sie nicht an Ihre Mitarbeiter weiter (außer an die zuständige IT-Abteilung, die Maßnahmen einleiten kann).

#5 Setzen Sie eine solide Passwortpolitik um.

Wie bereits erwähnt, zielt Phishing häufig darauf ab, an Ihre Anmeldedaten zu gelangen, um dann auf Ihre sensiblen Daten zuzugreifen, manchmal sogar, ohne dass Sie es merken.

Ist das Passwort erst einmal kompromittiert, ist das Spiel (fast) verloren.

Deshalb ist es so wichtig, eine strenge Passwortpolitik zu verfolgen.

Ein gutes Passwort sollte :

• komplex (mindestens 8 Zeichen, Sonderzeichen, Zahlen, Groß- und Kleinbuchstaben) ;
• einzigartig für jede Abteilung ;
• regelmäßig aktualisiert werden.

Verstärken Sie parallel dazu Ihre sensiblen Zugänge mit der Zwei-Faktor-Authentifizierung.

#6 Schränken Sie die Nutzung von persönlichen Geräten ein.

Phishing zielt nicht nur auf Firmencomputer ab: Es schlägt auch über persönliche Geräte zu, die bei der Arbeit verwendet werden, seien es Telefone, Tablets oder Laptops. Diese als Bring Your Own Device ( BYOD ) bekannte Vorgehensweise vergrößert die Angriffsfläche, wenn keine strengen Rahmenbedingungen geschaffen werden.

Um das Risiko zu begrenzen, setzen Sie klare Regeln durch:

• Aktuelles Antivirusprogramm ;
• sichere Passwörter ;
• Verschlüsselung sensibler Daten ;
• und, wenn möglich, die Fähigkeit, Daten aus der Ferne zu löschen.

#7 Überwachen Sie weniger traditionelle Kommunikationskanäle.

Phishing findet nicht mehr nur über E-Mails statt. Auch SMS, soziale Netzwerke oder Tools für die Zusammenarbeit (Teams, Slack usw.) sind attraktive Ziele für Kriminelle.

Bringen Sie Ihren Teams also bei, auf allen in Ihrem Unternehmen genutzten Kanälen wachsam zu bleiben.

Eine LinkedIn-Nachricht, die zu dringenden Maßnahmen auffordert? Eine dubiose URL, die Sie über WhatsApp erhalten haben? Gleicher Reflex: Vorsicht, Überprüfung und ggf. Alarmierung der IT-Abteilung.

#8 Begrenzen Sie die Veröffentlichung sensibler Informationen online.

Die externe Kommunikation ist nach wie vor von entscheidender Bedeutung, um Ihr Unternehmen zum Strahlen zu bringen. Aber achten Sie darauf, nicht zu viel zu verraten!

Je mehr Informationen ein Angreifer über Ihre Organisation erhält, desto glaubwürdiger werden seine gezielten Phishing-Versuche (oder Spear Phishing).

Es gilt, die richtige Balance zu finden, d. h. Ihre Teams und Ihr Fachwissen aufzuwerten, ohne unnötig sensible Daten preiszugeben. Vermeiden Sie es beispielsweise, namentliche E-Mail-Adressen oder zu detaillierte interne Organigramme zu veröffentlichen oder online auf die technischen Hilfsmittel hinzuweisen, die Sie verwenden. Halten Sie Ihre Mitarbeiter auch dazu an, auf LinkedIn, in ihren E-Mail-Signaturen oder in beruflichen Foren Vorsicht walten zu lassen.

#9 Setzen Sie Tools zum Schutz vor Phishing ein.

Auch wenn angemessene menschliche Verhaltensweisen nach wie vor einen besseren Schutz vor Phishing gewährleisten, erweist sich die Verwendung bestimmter Software und Tools als vorteilhaft.

• 🛠️ Anti-Phishing-Software. Ein Beispiel ist Mailinblack mit seiner Lösung Mailinblack Protect, die betrügerische E-Mails identifiziert und Sie so vor ihnen bewahrt. Der Herausgeber bietet auch das Modul Phishing Coach an, um Unternehmen bei der Identifizierung von Risikoverhalten der Mitarbeiter und der Durchführung von Sensibilisierungsmaßnahmen für die Teams zu unterstützen.
  
  
• 🛠️ Antivirenprogramme. Die Verwendung eines zuverlässigen und aktuellen Antivirenprogramms bietet einen besseren Schutz vor bösartigen Aktionen nach einem erfolgreichen Phishing-Versuch (z. B. wenn Sie versehentlich einen betrügerischen Anhang heruntergeladen haben).
  
  
• 🛠️ Passwort-Manager. Wir möchten daran erinnern, dass es empfehlenswert ist, eindeutige Passwörter zu verwenden, um sich bei Ihren verschiedenen Konten anzumelden. Da sich das menschliche Gehirn aber nicht alle merken kann, empfehlen wir Ihnen, sich für einen sicheren Passwortmanager zu entscheiden.

#10 Melden Sie Phishing-Versuche.

Schließlich empfehlen wir Ihnen, jeden Phishing-Versuch zu melden:

• In Ihrer E-Mail über die berühmten Reiter "Spam" und "Phishing-Versuch". So schützen Sie sich vor zukünftigen Angriffen;
• auf Signal Spam und/oder internet-signalement.gouv.fr. Auf diese Weise helfen Sie den Behörden zu handeln und tragen dazu bei, das Internet sicherer zu machen.

☝️ Im beruflichen Umfeld sollten Sie sich an die IT-Abteilung wenden, damit diese schnell reagieren kann, um insbesondere zu verhindern, dass andere Mitarbeiter, die weniger versiert sind als Sie, auf den Köder hereinfallen.

Alle Antivirus Software ansehen

Was tun, wenn der Phishing-Angriff stattgefunden hat?

Haben Sie zu spät bemerkt, dass Sie Opfer eines Phishing-Angriffs geworden sind? Hier sind einige Maßnahmen, die Sie schnell umsetzen können:

1. Einmal ist keinmal: Melden Sie den Betrug schnell der IT-Abteilung Ihres Unternehmens ;
2. Ändern Sie alle Ihre Passwörter, um zu verhindern, dass der Angreifer über die erhaltenen Zugangsdaten auf Ihre Daten zugreift;
3. Gehen Sie auf die betroffenen Organisationen zu. Wenn Sie z. B. Ihre Bankdaten preisgegeben haben, lassen Sie sofort bei Ihrer Bank Widerspruch einlegen ;
4. Erstatten Sie eine Anzeige bei der Polizei oder der Gendarmerie.