Phishing vom echten Absender: Lehren aus Heilbronn

Mitte Oktober 2026 erhielten rund 6.500 Kontakte einer Partei-Geschäftsstelle eine E-Mail mit einer Veranstaltungseinladung — darunter Ministerien, Sicherheitsbehörden und der Bundeskanzler persönlich. Die Mail kam vom echten, langjährig bekannten Absenderkonto der CDU Heilbronn. Nur: Hinter dem Konto steckten Angreifer, der Einladungslink führte auf eine Phishing-Seite zum Abgreifen von Zugangsdaten. BSI und Verfassungsschutz wurden eingeschaltet, das BfV warnte die Bundestagsparteien.

Der Fall ist aus zwei Gründen lehrreich für jedes Unternehmen: Erstens zeigt er die wirksamste Form des Phishings — die Nachricht vom echten, vertrauten Absender, gegen die kein Spamfilter und kein „Prüfen Sie die Absenderadresse"-Ratschlag hilft. Zweitens zeigt er, wie aus einem einzigen übernommenen Postfach binnen Stunden ein Reputations- und Sicherheitsproblem für tausende Kontakte wird. Was für eine Partei-Geschäftsstelle gilt, gilt genauso für die Kanzlei mit 2.000 Mandanten-Kontakten, die Praxis mit Patientenverteiler und den Mittelständler mit seinem Kundenstamm.

Anatomie einer Konto-Übernahme

So laufen Angriffe wie in Heilbronn ab

Am Anfang steht fast immer ein gestohlenes Passwort — aus einer früheren Phishing-Mail, einem Infostealer auf einem privaten Rechner oder einem Datenleck, in dem das dienstliche Passwort wiederverwendet wurde. Fehlt die Multi-Faktor-Authentifizierung, ist die Übernahme trivial. Danach agieren Angreifer oft wochenlang unauffällig: Sie lesen mit, legen Weiterleitungsregeln an, studieren Kommunikationsstile — und schlagen dann mit einer Nachricht zu, die perfekt in den Kontext passt. In Heilbronn war es eine Veranstaltungseinladung mit prominenten Gästen; im Mittelstand ist es typischerweise die „geänderte Bankverbindung" an die Buchhaltung eines Kunden.

Diese Spielart — Business Email Compromise (BEC) — gehört zu den teuersten Angriffsformen überhaupt: Das FBI bezifferte die gemeldeten BEC-Schäden zuletzt auf über 3 Milliarden US-Dollar jährlich, und laut Verizon Data Breach Investigations Report spielt der Faktor Mensch bei gut 60 % aller Sicherheitsvorfälle eine Rolle.

Warum der „echte Absender" alle Regeln bricht

Klassische Awareness-Regeln („Achten Sie auf Tippfehler, prüfen Sie die Domain") versagen, wenn die Mail tatsächlich vom legitimen Konto kommt. Die Vertrauenswürdigkeit des Absenders ist hier selbst die Waffe. Deshalb braucht wirksamer Phishing-Schutz im Unternehmen drei Ebenen: Konten härten, Inhalte und Prozesse absichern, Übernahmen schnell erkennen.

Phishing-Schutz im Unternehmen: die drei Ebenen

Ebene 1: Konten härten — MFA ist nicht verhandelbar

Multi-Faktor-Authentifizierung auf allen E-Mail- und Cloud-Konten ist die einzelne wirksamste Maßnahme gegen Konto-Übernahmen — idealerweise phishing-resistent per FIDO2-Sicherheitsschlüssel oder Passkeys statt SMS-Codes. Ergänzend gehören dazu: keine Passwort-Wiederverwendung (Passwort-Manager), Deaktivierung veralteter Anmeldeverfahren (Legacy Authentication) und ein regelmäßiger Blick auf Weiterleitungsregeln und App-Freigaben in Microsoft 365 oder Google Workspace.

Ebene 2: Prozesse absichern — Technik schlägt Appell

Richten Sie SPF, DKIM und DMARC korrekt ein, damit Ihre Domain nicht zusätzlich für Spoofing missbraucht werden kann. Verankern Sie für Zahlungsänderungen und sensible Freigaben ein Vier-Augen-Prinzip mit Rückruf über einen bekannten Kanal — eine Regel, die BEC-Schäden zuverlässiger verhindert als jede Filtertechnik. Und schulen Sie realistisch: Gutes Security Awareness Training arbeitet mit simulierten Phishing-Kampagnen und kurzen, wiederkehrenden Lerneinheiten statt einer Jahresschulung, deren Inhalt nach 30 Tagen vergessen ist.

Ebene 3: Übernahmen erkennen — bevor 6.500 Mails rausgehen

In Heilbronn fiel die Übernahme erst auf, als die Phishing-Welle bereits lief. Erkennbar gewesen wäre sie früher: ungewöhnliche Anmeldeorte und -zeiten, neue Postfachregeln, untypische Massenversände — all das sind Signale, die ein 24/7-Monitoring (Managed Detection & Response) automatisch erkennt und eskaliert. Für KMU ohne eigenes Security-Team ist das der realistische Weg, die Zeit zwischen Kompromittierung und Reaktion von Wochen auf Minuten zu verkürzen.

Warum Kanzleien, Praxen und Mittelständler besonders exponiert sind

Die Heilbronner Geschäftsstelle war attraktiv wegen ihres Adressbuchs — und genau darin gleichen ihr viele KMU. Eine Kanzlei kommuniziert mit Mandanten über fristgebundene, geldwerte Vorgänge: Eine gefälschte Mail „Ihrer" Kanzlei mit geänderter Bankverbindung für den Kaufpreis wird selten hinterfragt. Eine Arztpraxis erreicht Patienten mit höchstem Vertrauensvorschuss — und verarbeitet Daten, deren Abfluss nach Art. 33 DSGVO melde- und nach § 203 StGB strafbewehrt ist. Und im Mittelstand ist das Postfach der Buchhaltung oder der Geschäftsführung der direkte Weg zu Zahlungsfreigaben. Hinzu kommt: Kleine Organisationen bemerken Übernahmen im Schnitt deutlich später, weil niemand Anmeldeprotokolle liest. Die Konsequenz ist nicht mehr Technik um jeden Preis, sondern die richtige Reihenfolge — erst MFA und Prozessregeln, dann Erkennung, dann regelmäßiges Training.

Wenn es passiert ist: die ersten 24 Stunden

Stellen Sie das betroffene Konto sofort kalt: Passwort zurücksetzen, alle Sitzungen beenden, MFA erzwingen, Weiterleitungsregeln und App-Zugriffe entfernen. Prüfen Sie, worauf das Konto Zugriff hatte, und sichern Sie die Protokolle für die forensische Aufarbeitung. Informieren Sie betroffene Kontakte transparent und schnell — wie in Heilbronn geschehen —, damit niemand auf die bereits versendeten Mails hereinfällt. Und klären Sie die Meldepflichten: Bei abgeflossenen personenbezogenen Daten greift die 72-Stunden-Frist nach Art. 33 DSGVO, bei NIS2-regulierten Unternehmen zusätzlich die 24-Stunden-Erstmeldung ans BSI. Ein vorbereiteter Incident-Response-Partner nimmt Ihnen in dieser Lage die kritischsten Entscheidungen ab.

Fazit

Der Fall CDU Heilbronn zeigt die Phishing-Realität 2026: Die gefährlichste Mail kommt nicht vom gefälschten, sondern vom gekaperten echten Absender — und jedes Unternehmen mit einem gut gefüllten Adressbuch ist ein lohnendes Ziel. Wirksamer Schutz entsteht aus der Kombination von gehärteten Konten (MFA), abgesicherten Prozessen, realistischem Awareness Training und einer Erkennung, die Kontoübernahmen in Minuten statt Wochen bemerkt.

Wenn Sie prüfen möchten, wie widerstandsfähig Ihre Organisation gegen Phishing und Kontoübernahmen ist — von der simulierten Phishing-Kampagne bis zum 24/7-Monitoring Ihrer E-Mail-Umgebung —, sprechen Sie gern unverbindlich mit dem Team von Valyros.

Häufige Fragen

Was tun, wenn ein E-Mail-Konto im Unternehmen gehackt wurde?

Sofort: Passwort zurücksetzen, alle aktiven Sitzungen beenden, MFA aktivieren, Weiterleitungsregeln und App-Zugriffe prüfen und entfernen, Protokolle sichern. Danach: betroffene Kontakte warnen, Umfang des Zugriffs klären und Meldepflichten prüfen (72 Stunden nach Art. 33 DSGVO, bei NIS2-Einrichtungen 24-Stunden-Erstmeldung ans BSI).

Schützt MFA zuverlässig vor Phishing?

MFA verhindert die große Mehrheit der Kontoübernahmen, ist aber nicht unüberwindbar: Moderne Phishing-Kits fangen auch Sitzungs-Cookies ab (Adversary-in-the-Middle). Den besten Schutz bieten phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys — kombiniert mit Monitoring, das verdächtige Anmeldungen erkennt.

Wie oft sollten Mitarbeitende ein Security Awareness Training erhalten?

Kurz und regelmäßig schlägt lang und selten: Studien zeigen, dass Schulungsinhalte nach rund 30 Tagen weitgehend vergessen sind. Bewährt haben sich monatliche Mikro-Lerneinheiten plus quartalsweise simulierte Phishing-Kampagnen, deren Ergebnisse anonymisiert ins Training zurückfließen.

Woran erkenne ich eine Phishing-Mail, die vom echten Konto eines Geschäftspartners kommt?

Am Inhalt, nicht am Absender: ungewöhnliche Bitten (Zahlungsdaten ändern, Zugangsdaten „bestätigen", dringende Links), abweichender Ton, untypischer Zeitpunkt. Im Zweifel beim Absender über einen bekannten Kanal (Telefon) rückfragen — niemals über die Kontaktdaten aus der verdächtigen Mail selbst. ---

Quellen

• Rescana: CDU Heilbronn Email Account Compromised — Phishing Attack Targets German Government and Security Officials (18.10.2026): https://www.rescana.com/post/cdu-heilbronn-email-account-compromised-phishing-attack-targets-german-government-and-security-officials
• TECHBOOK: Phishing-Mails im Namen der CDU — auch Kanzler Merz unter den Empfängern (19.10.2026): https://www.techbook.de/mobile-lifestyle/smartphone/phishing-friedrich-merz
• ad-hoc-news/Behördenwarnung: KI-Phishing-Welle — Behörden warnen vor täuschend echten Mails (FBI-/Verizon-/CISA-Zahlen): https://www.ad-hoc-news.de/wirtschaft/ki-phishing-welle-behoerden-warnen-vor-taeuschend-echten-mails/69929664
• Bundesbank: Kampagne gegen Betrug im Zahlungsverkehr (Oktober 2026): https://www.bundesbank.de/de/presse/pressemitteilungen/kampagne-gegen-betrug-im-zahlungsverkehr--1011144