Phishing-Link angeklickt: die ersten 30 Minuten entscheiden
Dieser Beitrag wurde KI-gestützt erstellt.
Die kurze Antwort: Was jetzt zu tun ist, hängt davon ab, was genau passiert ist. Wer eine Phishing-Mail nur geöffnet hat, hat in aller Regel noch keinen Schaden angerichtet. Wer den Link angeklickt, aber nichts eingegeben hat, lässt das Gerät auf Schadsoftware prüfen und informiert die IT. Wer Zugangsdaten eingegeben hat, ändert sofort das Passwort, beendet alle aktiven Sitzungen und prüft die hinterlegten MFA-Methoden, in genau dieser Reihenfolge. In allen drei Fällen gilt: sofort melden statt schweigen. Die ersten 30 Minuten entscheiden darüber, ob ein Klick eine Randnotiz bleibt oder ein Sicherheitsvorfall wird.
Lage 1: E-Mail nur geöffnet
Das bloße Öffnen einer E-Mail ist in einem aktuellen Mailprogramm in der Regel unkritisch, solange Sie nichts anklicken und nichts herunterladen. Ein Restrisiko steckt laut BSI in der HTML-Darstellung: Im Quellcode einer HTML-Mail kann schädlicher Code lauern, der mitunter schon beim Öffnen ausgeführt wird, und unsichtbare Tracking-Pixel melden dem Absender, dass die Mail geöffnet wurde. Das BSI empfiehlt deshalb, die HTML-Anzeige zu deaktivieren oder zumindest das automatische Nachladen externer Inhalte zu unterbinden. Praktisch heißt das: keine Panik, aber melden Sie die Mail Ihrer IT, damit sie blockiert wird und Kollegen gewarnt sind.
Lage 2: Link geklickt, keine Daten eingegeben
Hier gilt die Linie des BSI: nicht in Panik verfallen, sondern den Rechner umgehend auf Schadsoftware prüfen. Schließen Sie die geöffnete Seite, geben Sie nichts ein und laden Sie nichts herunter. Wird der Virenscanner fündig, ändern Sie sofort alle wichtigen Passwörter, allen voran das des E-Mail-Kontos sowie Zugänge zu Banken und Zahlungsdiensten. Informieren Sie parallel Ihre IT, damit das Gerät geprüft und die Mail für alle Postfächer gesperrt wird. Gute E-Mail-Sicherheit fängt viele solcher Nachrichten vorher ab, aber kein Filter erkennt alle.
Lage 3: Daten eingegeben, jetzt zählt die Reihenfolge
Wer auf der gefälschten Seite Benutzername und Passwort eingetippt hat, muss davon ausgehen, dass die Zugangsdaten beim Angreifer sind. Jetzt zählt jede Minute:
1. Passwort sofort ändern, möglichst von einem sauberen Gerät aus. Microsoft weist darauf hin, das neue Passwort nie per E-Mail zu verschicken, denn das Postfach liest womöglich schon der Angreifer mit. 2. Aktive Sitzungen beenden. Ein neues Passwort allein wirft einen bereits angemeldeten Angreifer nicht hinaus. Microsoft empfiehlt für Microsoft 365 deshalb, alle Anmeldesitzungen zu widerrufen, damit gestohlene Token sofort ungültig werden. App-Passwörter werden beim Zurücksetzen nicht automatisch ungültig, sie müssen separat gelöscht und neu erstellt werden. 3. MFA prüfen. Kontrollieren Sie, ob fremde Geräte oder unbekannte Authentifizierungsmethoden am Konto registriert wurden, und entfernen Sie diese. Spätestens jetzt gehört MFA und Identitätsschutz sauber eingerichtet. 4. Regeln und Weiterleitungen kontrollieren. Angreifer legen gern versteckte Posteingangsregeln oder Weiterleitungen an, um nach der Aussperrung weiter mitzulesen. 5. Folgekonten sichern. Wurde dasselbe Passwort anderswo verwendet, ändern Sie es auch dort. Die Checkliste von BSI und Polizeilicher Kriminalprävention warnt, dass über ein gekapertes E-Mail-Postfach weitere Konten übernommen werden können. Bei Zahlungsdaten: Bank kontaktieren, Umsätze kontrollieren, Konto oder Karte sperren lassen. Bei Verdacht auf Datenabfluss rät die Checkliste zur Anzeige, auch bei einem vagen Verdacht.
Melden ohne Scham
Der teuerste Fehler nach einem Klick ist Schweigen aus Verlegenheit. Phishing-Mails sind heute so gut gemacht, dass sie auch erfahrene Nutzer täuschen; ein Klick ist kein Beweis für Nachlässigkeit, sondern der Normalfall eines Angriffs. Wer sich sofort meldet, gibt der IT die Chance, Sitzungen zu beenden und andere Empfänger zu warnen, bevor Schaden entsteht. Legen Sie intern fest, an wen solche Meldungen gehen, und behandeln Sie sie konsequent vorwurfsfrei. Wie Sie sich auf den größeren Ernstfall vorbereiten, beschreibt unsere Seite zum IT-Notfall.
Häufige Fragen
Ich habe die E-Mail nur geöffnet, aber nichts angeklickt. Muss ich etwas tun?
In der Regel ist kein Schaden entstanden, insbesondere bei Text-Darstellung oder blockierten externen Inhalten. Melden Sie die Mail trotzdem Ihrer IT, damit Absender und Link gesperrt werden. Antworten Sie nicht und klicken Sie auch nachträglich nichts an.
Reicht es, nach der Dateneingabe das Passwort zu ändern?
Nein. Solange aktive Sitzungen bestehen, bleibt der Angreifer trotz neuem Passwort angemeldet. Microsoft empfiehlt daher zusätzlich, alle Sitzungen zu widerrufen, MFA-Methoden und registrierte Geräte zu prüfen sowie Posteingangsregeln und Weiterleitungen zu kontrollieren. Erst dieses Paket sperrt den Angreifer wirklich aus.
Der Klick ist schon Stunden her. Lohnen sich die Maßnahmen noch?
Ja. Angreifer richten sich oft unauffällig ein, etwa über versteckte Weiterleitungsregeln, und nutzen Zugänge erst später. Alle genannten Schritte sind auch nachträglich sinnvoll, ergänzt um einen Blick in die Anmeldeprotokolle: Dort sieht Ihre IT, ob und von wo auf das Konto zugegriffen wurde.
So unterstützt Sie die High5Manufaktur GmbH
Die High5Manufaktur GmbH betreut kleine und mittlere Unternehmen im Raum Karlsruhe und bundesweit. Wir härten Ihre Microsoft-365-Umgebung gegen Phishing, richten E-Mail-Sicherheit und Mehrfaktor-Authentifizierung sauber ein und übernehmen im Ernstfall die Sofortmaßnahmen: Sitzungen beenden, Regeln prüfen, Protokolle auswerten. Dazu definieren wir mit Ihnen einen klaren Meldeweg, damit aus einem Klick kein Betriebsstillstand wird. Kurze Wege, direkter Ansprechpartner statt anonymer Hotline.
Quellen
Alexander Häffner
Geschäftsführer der High5Manufaktur GmbH. Betreut seit 2021 kleine und mittlere Unternehmen bei Microsoft 365, IT-Sicherheit und Digitalisierung.
Das könnte Sie auch interessieren
Fehler entdeckt oder eine Anmerkung zum Thema? Schreiben Sie uns an info@h5m.de. Wir freuen uns über Ihren Hinweis.