Phishing erkennen: Aktuelle Maschen im Oktober 2026

Der Oktober ist European Cyber Security Month – der europäische Aktionsmonat, in dem ENISA und nationale Behörden wie das BSI für Cybersicherheit sensibilisieren (ECSM). Die Angreifer liefern das Anschauungsmaterial pünktlich mit: Das Phishing-Radar der Verbraucherzentralen listet aktuell gleich mehrere Wellen, die mit künstlichem Zeitdruck, gefälschten Behörden- und Bankenabsendern und erstaunlich sauberem Deutsch arbeiten (Verbraucherzentrale).

Was auf den ersten Blick nach einem Verbraucherthema aussieht, ist für Unternehmen hochrelevant: Dieselbe Psychologie, dieselben Werkzeuge und oft dieselben Täter zielen auf Geschäftspostfächer – vom Mittelständler über die Kanzlei bis zur Arztpraxis. Dieser Beitrag zeigt die aktuellen Maschen, die Erkennungsmerkmale und die Bausteine eines wirksamen Phishing-Schutzes im Unternehmen.

Die aktuellen Wellen: Fristdruck als gemeinsamer Nenner

Das Phishing-Radar der Verbraucherzentralen dokumentiert derzeit unter anderem diese Kampagnen:

• Comdirect: Die photoTAN-App „läuft heute ab" und müsse sofort erneuert werden.
• PayPal: Drohung mit Kontolöschung binnen 24 Stunden, Warntext in Rot.
• Volksbank: Verweis auf eine angeblich frühere Verifizierungsaufforderung, Frist 7. Oktober, sonst „vorübergehende Sperrung".
• easybank: Datenabgleich „aufgrund regulatorischer Anforderungen" bis zum 4. Oktober.
• AOK: Angebliche Beitragsrückerstattung von 478,90 Euro, Autorisierung über einen Link bis zum 7. Oktober.
• Disney+: Fehlgeschlagene Zahlung, neue Zahlungsmethode über eingebetteten Link hinterlegen.

Das Muster ist immer gleich: eine plausible Autorität (Bank, Kasse, Plattform), ein konkreter Geldbetrag oder Verlust, eine knappe Frist – und ein Link, der die Prüfung durch den Verstand abkürzen soll. Genau dieses Muster funktioniert auch im Büro, nur mit anderen Kulissen: als angebliche Mail vom Geschäftsführer („Überweisung heute noch raus"), als gefälschte Bewerbung mit verseuchtem Anhang, als vermeintliche Microsoft-365-Anmeldewarnung oder als Zahlungsaufforderung eines echten Lieferanten mit „neuer Bankverbindung".

Warum Phishing das Unternehmensrisiko Nummer eins bleibt

Phishing ist der häufigste Erstzugang für Ransomware und Business E-Mail Compromise – nicht, weil Mitarbeitende „dumm" wären, sondern weil die Angriffe professionell auf menschliche Routinen zielen: Zeitdruck am Montagmorgen, Autoritätsrespekt gegenüber der Chef-Mail, Hilfsbereitschaft am Empfang. KI-gestützte Texterstellung hat die alten Erkennungszeichen – Rechtschreibfehler, krudes Deutsch – weitgehend beseitigt.

Für zwei Branchen ist das Risiko besonders akut:

Kanzleien verwalten Mandantengelder und hochvertrauliche Unterlagen; gefälschte Mandanten- oder Gerichtspost ist ein etablierter Angriffsweg. Der EuGH hat zudem klargestellt, dass Verantwortliche im Streitfall die Angemessenheit ihrer Schutzmaßnahmen nachweisen müssen und schon die Angst Betroffener vor Datenmissbrauch ersatzfähig sein kann – das Haftungsrisiko nach einem erfolgreichen Angriff ist damit erheblich gestiegen (Anwaltsblatt).

Arztpraxen und MVZ sind über Krankenkassen-Maschen wie die aktuelle AOK-Welle gleich doppelt betroffen: Patienten fragen nach, und die gleichen Täuschungstechniken erreichen Praxispostfächer als gefälschte Labor- oder KV-Nachrichten. Cyberangriffe im Gesundheitswesen: Lehren für Praxen

Phishing erkennen: Die sechs verlässlichsten Prüffragen

Da Sprachqualität als Indikator ausfällt, verlagern sich die verlässlichen Merkmale auf Kontext und Technik:

1. Erzeugt die Nachricht Zeitdruck oder Angst? Fristen von 24–48 Stunden, Sperr- und Löschdrohungen sind das stärkste Warnsignal überhaupt.
2. Stimmt die Absenderdomain exakt? Nicht der Anzeigename zählt, sondern die Domain hinter dem @ – inklusive Buchstabendrehern und Zusätzen.
3. Wohin führt der Link wirklich? Vor dem Klick den Link prüfen (Maus darüber halten, auf dem Handy gedrückt halten) – oder besser: die Website grundsätzlich selbst im Browser aufrufen.
4. Würde dieser Absender so kommunizieren? Banken, Kassen und Behörden fordern keine Zugangsdaten per Mail-Link an.
5. Kommt die Zahlungsänderung über einen zweiten Kanal bestätigt? Neue Bankverbindungen von Lieferanten immer telefonisch über die bekannte Nummer verifizieren.
6. Ist der Anhang erwartet? Unerwartete Rechnungen, Bewerbungen und „Dokumente zur Prüfung" gehören vor dem Öffnen verifiziert.

Vom Einzelfall zum System: Phishing-Schutz im Unternehmen

Einzelne wachsame Mitarbeitende sind wertvoll – aber kein Konzept. Wirksamer Phishing-Schutz für Unternehmen ruht auf vier Säulen:

1. Technische Basis

E-Mail-Authentifizierung (SPF, DKIM, DMARC), moderne Mail-Filter, Multi-Faktor-Authentifizierung auf allen Konten und das Prinzip minimaler Rechte. MFA ist dabei der wichtigste einzelne Hebel: Selbst ein erbeutetes Passwort führt dann nicht automatisch zur Kontoübernahme. Wichtig zu wissen: Auch die Sicherheitsinfrastruktur selbst braucht Pflege – aktuell wird etwa eine kritische Lücke im E-Mail-Gateway FortiMail aktiv ausgenutzt. Aktiv ausgenutzte Schwachstellen bei NetScaler und FortiMail

2. Kontinuierliche Awareness statt Jahresschulung

Kurze, regelmäßige Trainingsimpulse und realistische Phishing-Simulationen senken die Klickraten nachweislich – und der Oktober als Aktionsmonat ist ein idealer Startpunkt, um das Thema positiv statt mit erhobenem Zeigefinger zu verankern. Entscheidend ist eine Meldekultur ohne Schuldzuweisung: Wer einen Klick sofort meldet, ist Teil der Verteidigung, nicht das Problem.

3. Klare Prozesse für Geld und Daten

Vier-Augen-Prinzip bei Überweisungen ab definierter Höhe, Rückruf-Pflicht bei Bankverbindungsänderungen, definierte Meldewege für verdächtige Mails. CEO Fraud scheitert fast immer an einem simplen, konsequent gelebten Prozess.

4. Erkennung und Reaktion für den Fall des Klicks

Irgendwann klickt jemand – das ist keine Frage der Disziplin, sondern der Statistik. Dann entscheidet die Reaktionszeit: Ein 24/7-Monitoring erkennt kompromittierte Konten, ungewöhnliche Anmeldungen und Folgeaktivitäten, bevor aus einem Klick ein Vorfall wird. 24/7-Monitoring mit Managed Detection & Response Und wenn Zugangsdaten bereits abgeflossen sind, begrenzt strukturierte Incident Response den Schaden. Incident Response bei Valyros

Fazit: Der Aktionsmonat ist der richtige Moment

Die aktuellen Wellen zeigen: Phishing ist 2026 professionell, aktuell und psychologisch präzise – und bleibt zugleich das am besten beherrschbare Großrisiko, wenn Technik, Training und Prozesse zusammenspielen. Der European Cyber Security Month liefert den idealen Anlass, das eigene Team diesen Monat gezielt zu stärken.

Wenn Sie wissen möchten, wie anfällig Ihre Organisation heute wäre – etwa durch eine realistische Phishing-Simulation oder einen Blick auf Ihre E-Mail-Sicherheit –, sprechen Sie uns gern unverbindlich an. Kontakt aufnehmen

Häufige Fragen

Woran erkenne ich eine Phishing-Mail, wenn Sprache und Design perfekt sind?

An Kontext und Technik statt an der Oberfläche: unerwarteter Anlass, Zeitdruck, abweichende Absenderdomain, Link-Ziele, ungewöhnliche Bitten (Zugangsdaten, Gutscheinkäufe, Eile). Im Zweifel gilt: nicht über den Link gehen, sondern den Absender über den bekannten, offiziellen Weg kontaktieren.

Wie oft sollten wir Security Awareness Trainings durchführen?

Kurz und regelmäßig schlägt lang und selten: etablierte Praxis sind monatliche oder quartalsweise Mikro-Trainings plus wiederkehrende Phishing-Simulationen. Einmal jährlich reicht nachweislich nicht, weil der Effekt nach wenigen Monaten verpufft.

Ein Mitarbeiter hat auf einen Phishing-Link geklickt – was jetzt?

Sofort melden lassen (ohne Vorwürfe), betroffenes Passwort ändern, aktive Sitzungen beenden, MFA prüfen, das Konto und die Umgebung auf verdächtige Aktivitäten wie Weiterleitungsregeln kontrollieren. Bei Verdacht auf Datenabfluss oder weitergehende Kompromittierung professionelle Hilfe einbinden und Meldepflichten (DSGVO, ggf. NIS2) prüfen.

Was ist der Unterschied zwischen Phishing und CEO Fraud?

Phishing zielt breit auf Zugangsdaten oder Malware-Installation. CEO Fraud (Business E-Mail Compromise) ist die gezielte Variante: Täter geben sich als Geschäftsleitung oder Lieferant aus, um Überweisungen auszulösen – oft nach wochenlanger Vorbereitung und ganz ohne Schadsoftware. Dagegen helfen vor allem Prozesse wie Vier-Augen-Prinzip und Rückruf-Verifikation.

Quellen

• [Verbraucherzentrale: Phishing-Radar – aktuelle Warnungen](: https://www.verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingradar-aktuelle-warnungen-6059)
• [Europäische Kommission / ENISA: European Cybersecurity Month (ECSM) 2026](: https://digital-skills-jobs.europa.eu/en/latest/events/european-cybersecurity-month-ecsm-2026)
• [Anwaltsblatt: EuGH erhöht Haftungsrisiko für Kanzleien bei Cyberangriffen (zu EuGH, Urt. v. 14.12.2023, C-340/21)](: https://anwaltsblatt.anwaltverein.de/de/themen/kanzlei-praxis/eugh-erhoeht-haftungsrisiko-kanzleien-cyber-angriffe)
• [The Hacker News: Critical FortiMail Zero-Day Flaw Exploited in Attacks](: https://thehackernews.com/2026/10/critical-fortimail-zero-day-flaw.html)