PHISHING-SCHULUNG FÜR MITARBEITENDE
Phishing & Social Engineering erkennen und richtig reagieren
Die Phishing-Schulung zeigt Mitarbeitenden, wie Phishing-Angriffe aufgebaut sind, welche psychologischen Mechanismen Angreifer nutzen und wie verdächtige Nachrichten mit einfachen Prüf-Routinen erkannt werden können.
Die Teilnehmenden lernen verschiedene Phishing-Arten kennen, prüfen Absender, Links und Domains und entwickeln einen klaren Entscheidungsweg für verdächtige Nachrichten. Außerdem vermittelt der Kurs ein strukturiertes Vorgehen für den Fall, dass bereits auf einen Link geklickt oder Daten eingegeben wurden.
Was sind Phishing und Social Engineering?
Phishing zielt darauf ab, Menschen zu bestimmten Handlungen zu bewegen – etwa auf einen Link zu klicken, Zugangsdaten einzugeben oder eine Freigabe zu erteilen. Der technische Angriff wird dabei häufig durch psychologische Manipulation vorbereitet.
Phishing ist damit eine Form von Social Engineering: Angreifer manipulieren nicht nur Systeme, sondern nutzen menschliche Verhaltensmuster wie Vertrauen, Zeitdruck, Autorität, Neugier oder Hilfsbereitschaft.
Die Nachricht soll eine Handlung auslösen
Angreifer versuchen beispielsweise, Klicks, Eingaben, Zahlungen oder Freigaben zu erreichen.
Die Nachricht wirkt häufig vertraut oder dringend.
Psychologie statt ausschließlich Technik
Social Engineering nutzt menschliche Denk- und Verhaltensmuster gezielt aus, um Entscheidungen zu beeinflussen.
Deshalb trainiert der Kurs Routine statt Perfektion.
Diese Phishing-Arten lernen Mitarbeitende kennen
Phishing beschränkt sich längst nicht auf klassische E-Mails. Der Kurs zeigt verschiedene Kommunikationswege und Angriffsmethoden, über die Social Engineering stattfinden kann.
E-Mail-Phishing
Nachrichten mit vertraut wirkenden Themen wie Rechnungen, Paketinformationen oder Passwort-Resets.
Spear-Phishing
Gezielt auf Personen oder Abteilungen zugeschnittene Nachrichten mit bekannten Namen, Projekten oder Rollen.
Smishing
Phishing über SMS oder Messenger mit knappen und häufig dringenden Aufforderungen.
Vishing
Telefonische Täuschung, bei der sich Angreifer etwa als Bank, Support oder andere vertrauenswürdige Stelle ausgeben.
Quishing
Phishing über QR-Codes, die auf vorbereitete Webseiten oder Login-Seiten führen können.
CEO-Fraud / BEC
Nachgeahmte Geschäftsführung oder Geschäftspartner, häufig verbunden mit dringenden Zahlungs- oder Änderungsaufforderungen.
Das lernen Mitarbeitende in der Phishing-Schulung
Der Kurs vermittelt konkrete Prüf-Routinen statt abstrakter Warnungen. Teilnehmende lernen, verdächtige Situationen selbstständig einzuordnen und angemessen zu reagieren.
typische Phishing-Arten und Social-Engineering-Methoden erkennen
psychologische Hebel wie Zeitdruck, Autorität und Neugier einordnen
Absender und vollständige E-Mail-Adressen prüfen
Links, Domains und Zieladressen vor dem Öffnen kontrollieren
verdächtige Aufforderungen über einen zweiten Kanal verifizieren
nach einem versehentlichen Klick schnell und strukturiert reagieren
Psychologische Tricks hinter Phishing-Angriffen
Angreifer versuchen gezielt, normale menschliche Reaktionen auszulösen. Wer diese Mechanismen kennt, kann im entscheidenden Moment bewusster reagieren.
Zeitdruck
Dringliche Fristen sollen dazu führen, dass gehandelt wird, bevor die Nachricht geprüft wurde.
Autorität
Scheinbare Anweisungen von Führungskräften oder offiziellen Stellen nutzen vertraute Hierarchien aus.
Knappheit & Belohnung
Begrenzte Angebote oder vermeintliche Vorteile erzeugen den Impuls, sofort zu reagieren.
Angst & Neugier
Sicherheitswarnungen oder ungewöhnliche Ereignisse können Sorge und den Wunsch nach schneller Klärung auslösen.
Hilfsbereitschaft
Plausible Bitten nutzen Verantwortungsgefühl und den Wunsch aus, Kolleginnen, Kollegen oder Kunden zu helfen.
Aufmerksamkeit entsteht deshalb nicht durch Misstrauen gegenüber jeder Nachricht, sondern durch bewusste Prüf-Routinen.
Der 10-Sekunden-Check für verdächtige Nachrichten
Der Kurs vermittelt fünf kurze Prüfschritte, mit denen Beschäftigte eine Nachricht systematisch einordnen können, bevor sie klicken, einen Anhang öffnen oder Daten eingeben.
-
1
Kontext prüfen
Habe ich diese Nachricht oder Aufforderung überhaupt erwartet?
-
2
Absender prüfen
Vollständige E-Mail-Adresse und Domain kontrollieren.
-
3
Linkziel prüfen
Zieladresse anzeigen lassen und den Domainkern betrachten.
-
4
Ton & Druck prüfen
Auf ungewöhnliche Dringlichkeit und vertrauliche Aufforderungen achten.
-
5
Anhänge & Aufforderungen prüfen
Unerwartete Dateien oder Login-Aufforderungen zuerst verifizieren.
Nicht öffnen – erst verifizieren.
Im Zweifel über einen offiziellen zweiten Kommunikationsweg nachfragen.Wie Mitarbeitende verdächtige Domains erkennen
Ein Schwerpunkt der Phishing-Schulung ist die Frage, wie Internetadressen und Absender-Domains gelesen werden. Der Kurs erklärt die Bestandteile einer URL und zeigt, welcher Bereich bei der Echtheitsprüfung entscheidend ist.
https://
HTTPS bedeutet, dass die Verbindung verschlüsselt ist. Daraus folgt jedoch nicht automatisch, dass die Webseite selbst vertrauenswürdig ist.
login.
Subdomains können vor dem eigentlichen Domainkern stehen und frei gewählt werden.
unternehmen.de
Domainkern und Top-Level-Domain bilden den Bereich, auf den bei der Echtheitsprüfung besonders geachtet wird.
/login
Alles nach dem ersten Slash bezeichnet eine Unterseite und sagt nicht aus, wem die Hauptdomain gehört.
Bekannte Namen können in einer falschen Domain auftauchen
Ein vertrauter Marken- oder Firmenname innerhalb einer Internetadresse bedeutet nicht automatisch, dass die Seite tatsächlich von dieser Organisation betrieben wird.
Der bekannte Name steht an der falschen Stelle
Angreifer können bekannte Bezeichnungen als Subdomain verwenden. Entscheidend ist jedoch der eigentliche Domainkern direkt vor der Endung.
Nicht auf den bekanntesten Textteil verlassen.
Kleine Abweichung, große Wirkung
Bereits ein ausgetauschter Buchstabe kann eine gefälschte Adresse einer echten Domain sehr ähnlich erscheinen lassen.
Vor einer Anmeldung oder Dateneingabe besonders genau prüfen.
Eine professionell wirkende Spear-Phishing-Mail
Im Kurs wird eine Nachricht gezeigt, die auf den ersten Blick professionell wirkt: Logo, persönliche Anrede, Vorteilsaufzählung und ein auffälliger Button.
Entscheidend ist nicht allein die Gestaltung der Nachricht, sondern das tatsächliche Ziel hinter dem Link.
- Link nicht sofort anklicken
- Zieladresse mit Mauszeiger oder langem Druck anzeigen
- Domain mit dem erwarteten Absender vergleichen
- bei Abweichungen nicht öffnen
- verdächtige Nachricht an die zuständige Stelle melden
Was tun, wenn bereits auf einen Phishing-Link geklickt wurde?
Auch bei guter Vorbereitung können Fehler passieren. Entscheidend ist, einen möglichen Vorfall schnell zu melden und anschließend nach dem vorgesehenen Ablauf der eigenen Organisation zu handeln.
-
1
Vorfall sofort melden
Informationssicherheitsbeauftragten, IT-Helpdesk oder die zuständige Stelle informieren und Zeit, Gerät sowie betroffene URL nennen.
-
2
Gerät nicht weiter nutzen
Das Gerät vom Netzwerk und gegebenenfalls vom WLAN trennen und keine eigenen weiteren Maßnahmen durchführen.
-
3
Anweisungen der zuständigen Stelle befolgen
Die zuständige Stelle prüft den Vorfall und legt die weiteren Schritte fest.
Eine schnelle Meldung hilft dabei, einen möglichen Schaden frühzeitig zu begrenzen.
Wissen mit Zwischenfragen und Abschlusstest festigen
Die Bearbeitungszeit berücksichtigt neben den Lernvideos auch die vorgesehenen Zwischenfragen und den abschließenden Wissenstest. So können Teilnehmende zentrale Erkennungsmerkmale und Handlungsschritte direkt überprüfen.
Fragen zur Phishing-Schulung für Mitarbeitende
Die wichtigsten Inhalte und Handlungsempfehlungen des Kurses kompakt zusammengefasst.
Was lernen Mitarbeitende in der Phishing-Schulung?
Mitarbeitende lernen unterschiedliche Phishing-Arten, typische Social-Engineering-Mechanismen und konkrete Prüfroutinen kennen. Außerdem üben sie, Absender, Links und Domains zu kontrollieren und bei einem möglichen Vorfall richtig zu reagieren.
Welche Arten von Phishing behandelt der Kurs?
Der Kurs behandelt unter anderem E-Mail-Phishing, Spear-Phishing, Smishing, Vishing, Quishing und CEO-Fraud beziehungsweise Business Email Compromise.
Was ist Social Engineering?
Social Engineering bezeichnet die gezielte Beeinflussung von Menschen. Angreifer nutzen dabei beispielsweise Zeitdruck, Autorität, Neugier, Angst oder Hilfsbereitschaft, um eine gewünschte Handlung auszulösen.
Wie können Mitarbeitende einen verdächtigen Link prüfen?
Vor dem Anklicken kann am Computer der Mauszeiger über den Link bewegt oder auf einem Smartphone der Link länger gedrückt werden. Dadurch lässt sich die tatsächliche Zieladresse anzeigen und die Domain prüfen.
Woran lässt sich eine verdächtige Domain erkennen?
Wichtig ist vor allem der eigentliche Domainkern zusammen mit der Endung. Bekannte Namen können lediglich als Subdomain vorkommen oder durch kleine Schreibfehler nachgeahmt werden.
Was sollen Beschäftigte nach einem versehentlichen Phishing-Klick tun?
Der Vorfall sollte sofort an die zuständige Stelle gemeldet werden. Das betroffene Gerät soll anschließend nicht weiter genutzt und gegebenenfalls vom Netzwerk getrennt werden. Die weiteren Schritte erfolgen nach den Anweisungen der zuständigen IT- oder Sicherheitsstelle.
Phishing erkennen, bevor aus einer Nachricht ein Vorfall wird
Der Kurs „Phishing & Social Engineering“ ist Bestandteil der hookfree Academy. Lernen Sie die Academy kennen oder informieren Sie sich über die verfügbaren Preismodelle.