Phishing-Übung für Ihr Team — ohne Schock, mit klarem Nutzen

Phishing ist für Betriebe in der Region längst Alltag: eine Mail mit dem Logo Ihrer Bank, einer bekannten Baustoffhandlung oder eines Lieferanten, ein dringlicher Betreff — und schon klickt jemand. Ziel dieses Artikels ist kein „Fang“ im Stil großer Konzerne, sondern ein einmaliger, respektvoller Workshop von etwa 30 bis 45 Minuten, den Sie im Büro oder in der Frühstückspause durchführen können.

1. Warum überhaupt eine Übung?

Studien und Praxisberichte (u. a. im Umfeld von BSI und Heise Security) zeigen: Menschen erkennen gefährliche Mails deutlich besser, wenn sie konkrete Merkmale kennen — nicht nur „Vorsicht Phishing“. Eine kurze Übung senkt Fehlklicks spürbar, ohne Mitarbeitende zu demütigen.

2. Vorbereitung (10 Minuten für Sie)

• Wählen Sie einen ruhigen Termin; informieren Sie alle vorher, dass es um „sichere E-Mail“ geht — keine versteckten Tests.
• Drucken Sie die „Drei-Fragen-Karte“ (siehe unten) aus oder schreiben Sie sie ans Whiteboard.
• Legen Sie fest: Wer ist Ansprechpartner, wenn jemand eine merkwürdige Mail hat? (z. B. Büroleitung + externe IT)

3. Ablauf im Team (30–40 Minuten)

Teil A — Erzählen (10 Min.): Erklären Sie in eigenen Worten: Phishing will meist Zugangsdaten, Geldüberweisung oder Schadsoftware. Aktuelle Wellen nutzen oft gedrängte Sprache („Rechnung sofort begleichen“) oder gefälschte Absender, die dem echten sehr ähnlich sehen.

Teil B — Gemeinsam eine Beispiel-Mail ansehen (15 Min.): Nutzen Sie eine anonymisierte echte Spam-Mail oder das offizielle Übungsmaterial des BSI. Gehen Sie die Drei Fragen laut durch:

1. Erwartung: Hätte diese Person/Firma mir genau jetzt diese Mail schicken müssen?
2. Absender: Passt die Adresse zum üblichen Muster (nicht nur der Anzeigename)?
3. Druck: Fordert die Mail zu sofortigem Handeln ohne Alternative auf (Anruf, zweiter Kanal)?

Teil C — Regeln festhalten (10 Min.): Schreiben Sie gemeinsam drei Regeln auf, z. B.: „Keine Überweisung aus der Mail heraus ohne Rückruf“, „Kein Passwort per Mail“, „Verdacht = Foto an Büro schicken, nicht weiterleiten“.

4. Sofort-Maßnahmen, wenn es „knallt“

• Passwort geklickt? Passwort ändern, Session beenden, IT informieren.
• Anhang geöffnet? PC vom Netz trennen (WLAN/LAN), IT oder Dienstleister anrufen — nicht herumexperimentieren.
• Überweisung ausgelöst? Bank sofort anrufen; in vielen Fällen lässt sich ein SEPA noch anhalten.

5. Was Handwerksbetriebe besonders oft sieht

Gefälschte Rechnungen mit geänderten IBANs, angebliche Lieferverzögerungen mit ZIP-Anhang und Mails, die so tun, als kämen sie von Google, Microsoft oder dem Steuerberater. Regional wirkt oft der persönliche Ton — „Wir liefern morgen zu Ihrer Baustelle in Amorbach“ — deshalb ist die Rückfrage beim echten Absender immer noch das stärkste Werkzeug.

Quellen & Vertiefung

• BSI — Warnungen und Aufklärungsmaterial
• Heise Security — aktuelle Angriffsmethoden