Phishing bleibt die grösste Cyber-Bedrohung: Warum KMUs handeln müssen

Die Bedrohung durch Phishing-Angriffe nimmt weiterhin zu und stellt die grösste Gefahr für Unternehmen dar. Ein aktueller Bericht von Hornetsecurity zeigt, dass 427,8 Millionen geschäftliche E-Mails im Jahr 2024 schädliche Inhalte enthielten und Phishing für ein Drittel aller Cyberangriffe verantwortlich ist.

Die detailliertere Analyse von 55,6 Milliarden E-Mails verdeutlicht, dass Angreifer ihre Taktiken stetig weiterentwickeln: Während bösartige Anhänge von Jahr zu Jahr seltener werden, setzen Cyberkriminelle verstärkt auf gefälschte Login-Seiten und Social-Engineering-Methoden, um Zugangsdaten zu stehlen. Besonders gefährlich: Solche Angriffe umgehen oft sogar Zwei-Faktor-Authentifizierungen. Bösartige URLs, die in Phishing-Mails eingebettet sind, machen inzwischen 22,7 % aller Angriffe aus. Zudem werden Versandunternehmen wie DHL oder FedEx häufig als Marken missbraucht, da ihre vermeintlichen Nachrichten täuschend echt wirken.

Social Engineering ist entscheidend für die Effektivität eines Phishing-Angriffs. Es bezeichnet eine Reihe von Techniken, die darauf abzielen, Menschen dazu zu bringen, vertrauliche Informationen preiszugeben oder Handlungen vorzunehmen, die sie normalerweise nicht tun würden. Diese Methoden nutzen menschliche Schwächen, wie Vertrauen, Angst oder Gier, um das Ziel zu manipulieren. 

Zu den häufigsten Social-Engineering-Methoden im Phishing-Bereich gehören:

• Gefälschte Login-Seiten: Angreifer erstellen Webseiten, die fast identisch mit denen legitimer Unternehmen aussehen, um Benutzer dazu zu bringen, ihre Zugangsdaten einzugeben.
• E-Mail-Spoofing: Das Fälschen der Absenderadresse, um die Nachricht authentisch erscheinen zu lassen und den Empfänger zu täuschen.
• Dringlichkeitsmeldungen: Nachrichten, die so gestaltet sind, dass sie eine sofortige Reaktion erfordern, z.B. eine angebliche Sicherheitswarnung oder ein dringendes Geschäftsproblem.
• Vortäuschung von Vertrauen: Nutzung von Informationen aus sozialen Netzwerken oder anderen Quellen, um eine Nachricht persönlicher und vertrauenswürdiger erscheinen zu lassen.
• Impersonation (Vortäuschung von Identität): Sich als vertrauenswürdige Person oder Organisation ausgeben, um das Opfer zur Preisgabe von Informationen zu bewegen.

Social-Engineering-Methoden sind deshalb so effektiv, weil sie auf die menschliche Natur abzielen und technologische Schutzmassnahmen oft umgehen können. Das Bewusstsein und die Schulung der Mitarbeitenden sind daher entscheidend, um diese Attacken zu erkennen und abzuwehren.

Neben Datendiebstahl ist Phishing auch der häufigste Einstiegspunkt für Ransomware-Angriffe. Laut einer Umfrage zu Ransomware-Attacken im dritten Quartal 2024 begann mehr als die Hälfte (52,3 %) dieser Angriffe mit einer Phishing-Mail. Die Studie zeigt zudem, dass beinahe ein Viertel der Unternehmen Opfer eines Ransomware-Angriffs wurden, wobei 16,3 % der Betroffenen Lösegeld zahlten, um ihre Daten zurückzubekommen.

Trotzdem bleibt ein Problem bestehen: Zwar bieten 81 % der Unternehmen Schulungen an, doch viele von ihnen sind nicht ausreichend effizient oder benutzerfreundlich. Häufig mangelt es an personalisierten und anpassungsfähigen Programmen, die auf die Bedürfnisse der Mitarbeitenden eingehen.

Gerade kleine und mittelständische Unternehmen (KMU) sind beliebte Ziele für Phishing- und Ransomware-Angriffe, da ihre Sicherheitsmassnahmen oft weniger umfangreich sind. Ein gezieltes Phishing-Awareness-Training kann Mitarbeitende dazu befähigen, Angriffe frühzeitig zu erkennen und sich zu einer Art „menschlicher Firewall“ zu entwickeln, wodurch Risiken effektiv minimiert werden.

Um den grösstmöglichen Nutzen für Unternehmen zu erzielen, haben wir daher netgroupPREVENTION ins Leben gerufen. Dieses User-Awareness-Programm basiert auf vier sorgfältig entwickelten Schritten, die Ihre Mitarbeitenden – und damit auch Ihr KMU – dabei unterstützen, eine starke Verteidigungslinie aufzubauen.

Solche Schulungen sind nicht nur eine Schutzmassnahme gegen finanzielle und reputationsbezogene Schäden, sondern auch ein entscheidender Faktor, um das Vertrauen von Kunden und Partnern zu sichern. Um wirksam zu sein, müssen Awareness-Programme zeitfreundlich, relevant und anpassungsfähig gestaltet sein. Der Erfolg liegt darin, eine Sicherheitskultur aufzubauen, die Mitarbeitende motiviert, kontinuierlich auf dem neuesten Stand zu bleiben. 

Phishing bleibt eine der grössten Herausforderungen in der Cybersicherheit, insbesondere für kleine und mittelständische Unternehmen. Die zunehmende Komplexität der Angriffe, kombiniert mit ihrer Rolle als Einstiegspunkt für Ransomware, verdeutlicht die Notwendigkeit, nicht nur auf technische Schutzmassnahmen zu setzen, sondern auch die Mitarbeitenden als zentrale Verteidigungslinie zu stärken.

Programme wie netgroupPREVENTION zeigen, wie gezielte Schulungen und automatisierte Tests Unternehmen dabei helfen können, die Anfälligkeit für Phishing-Angriffe zu reduzieren und eine starke Sicherheitskultur zu etablieren. Gerade in einer sich ständig wandelnden Bedrohungslandschaft ist ein ganzheitlicher Ansatz entscheidend: Technologie, Mitarbeitende und Bewusstsein müssen Hand in Hand gehen, um KMUs nachhaltig vor Cyberangriffen zu schützen.

Indem Unternehmen proaktiv handeln und in moderne Awareness-Programme investieren, schützen sie nicht nur ihre eigenen Daten und Ressourcen, sondern sichern auch langfristig das Vertrauen ihrer Kunden und Partner.