Das Problem ist nicht die Technologie, sondern die E-Mail, auf die jemand klickt

Viele KMU investieren in Firewalls und Antivirensoftware – und dann klickt ein Mitarbeiter auf einen Link, und alles bricht zusammen. Das ist keine Kritik: Es ist die Realität, die jeder Branchenbericht belegt. Phishing funktioniert, weil es Ablenkung, Zeitdruck und Vertrauen ausnutzt – keine Softwarelücken.

Zu verstehen, wie es funktioniert, und die Mitarbeitenden entsprechend zu schulen, ist die Sicherheitsmaßnahme mit dem besten Kosten-Nutzen-Verhältnis, die es heute gibt. Sie braucht kein großes Budget, sondern eine klare Methode.

Was die Zahlen für Italien 2025–2026 sagen

Italien gehört zu den am stärksten von Cyberangriffen betroffenen Ländern in Europa. Die Daten des CERT-AGID verzeichnen jährlich tausende Schadsoftware-Kampagnen, wobei Phishing konstant an der Spitze steht – noch vor Malware und SMS-Smishing.

Laut den von Fibermap erhobenen Daten zu Cyberangriffen auf italienische KMU im Jahr 2026 ist Phishing die am weitesten verbreitete Angriffstechnik und wächst gegenüber dem Vorjahr stark. Dieselbe Quelle bestätigt, dass E-Mail der bevorzugte Kanal der Angreifer bleibt – mit einem besorgniserregenden Anstieg auch über die PEC (zertifizierte elektronische Post), die viele Unternehmen fälschlicherweise für „per Definition sicher" halten.

Italienische KMU sind das Hauptziel: Sie machen den größten Anteil der betroffenen Organisationen aus. Oft fehlt eine eigene IT-Abteilung, interne Prozesse sind informell, und Zahlungsfreigaben laufen noch immer per E-Mail – ohne einen zweiten Bestätigungskanal.

Phishing sucht keine Lücke im System. Es sucht die richtige Person im falschen Moment.

Wie Phishing-E-Mails heute aussehen – und warum sie schwerer zu erkennen sind

Vor einigen Jahren war eine Phishing-E-Mail leicht erkennbar: schlechtes Italienisch, verpixelte Logos, seltsame Domains. Das ist heute nicht mehr so.

Nachrichten, die mit KI-Tools erstellt wurden, sind grammatikalisch einwandfrei, treffen den richtigen Ton für die jeweilige Branche und können spezifische Unternehmensreferenzen enthalten, die aus öffentlichen Quellen stammen (Website, LinkedIn, Pressemitteilungen). Laut SecurityOpenLab im Kaspersky-Bericht 2026 wurden zwischen Januar und April 2026 zehntausende Angriffe auf KMU-Nutzer registriert, die den Namen bekannter KI-Tools wie ChatGPT oder Gemini als Köder nutzten – fast fünfmal so viele wie im gleichen Zeitraum 2025.

Es gibt drei Varianten, die KMU am häufigsten treffen:

  • BEC (Business Email Compromise): Eine E-Mail, die scheinbar vom Inhaber oder Geschäftsführer stammt, fordert eine dringende Überweisung. Ton und interne Bezüge stimmen – nur hat diese E-Mail niemand im Unternehmen geschrieben.
  • Lieferanten-Spoofing: Eine E-Mail kommt scheinbar vom gewohnten Lieferanten – gleiche Signatur, gleiches Layout – aber mit einer anderen IBAN für die Zahlung. Wer die Nachricht erhält, hat keinen Grund zu zweifeln.
  • Phishing über PEC: Die PEC wird als zertifizierter und damit vertrauenswürdiger Kanal wahrgenommen. Angreifer wissen das und nutzen es gezielt, um die Wachsamkeit zu senken.

Es kann zum Beispiel passieren, dass eine Mitarbeiterin in der Buchhaltung eine E-Mail erhält, die scheinbar von ihrer Vorgesetzten kommt und darum bittet, eine Zahlung „noch vor Quartalsende" vorzuziehen. Die E-Mail ist gut geschrieben, kommt in einem arbeitsreichen Moment an, und es gibt nichts optisch Verdächtiges. Ohne eine interne Verfahrensregel, die eine telefonische Bestätigung bei außerordentlichen Zahlungen vorschreibt, wird die Überweisung ausgeführt.

Phishing-Versuche erkennen: konkrete Warnsignale

Mitarbeitende schulen bedeutet, ihnen beizubringen, kurz innezuhalten und mindestens eines dieser Signale zu suchen:

  • Künstlicher Zeitdruck: „Sofort", „Noch heute", „Nicht aufschieben". Dringlichkeit ist der wichtigste Manipulationsmechanismus beim Phishing.
  • Nicht überprüfbarer Absender: Der angezeigte Name kann „Maria Muster – Geschäftsleitung" sein, aber die echte Adresse lautet maria.muster@komische-domain.com. Ein Mouseover auf den Namen genügt, um das zu sehen.
  • Links, die nicht übereinstimmen: Der Linktext sagt „Zum Unternehmensportal", aber die echte URL ist eine andere. Vor dem Klicken: Cursor darüberhalten, ohne zu drücken.
  • Anfragen außerhalb des regulären Verfahrens: Ein Lieferant, der per E-Mail ohne vorherigen Telefonanruf seine IBAN ändert, ist ein Signal, das sofort gestoppt werden muss.
  • Unverlangte Anhänge: Eine Rechnung oder ein Dokument, das niemand angefordert hat – auch von einem bekannten Absender – sollte vor dem Öffnen überprüft werden.

Keines dieser Signale ist für sich allein unfehlbar. Es geht darum, die Gewohnheit zu entwickeln, danach zu suchen – nicht die Gewissheit, sie immer zu finden.

Mitarbeitende schulen: ein Plan in vier Schritten

Sicherheitsschulungen funktionieren nur, wenn sie kontinuierlich und konkret sind. Ein zweistündiger Kurs einmal im Jahr reicht nicht: Die Techniken ändern sich jeden Monat, und Menschen vergessen.

1. Mit echten Beispielen beginnen, nicht mit abstrakten Folien

Screenshots echter Phishing-E-Mails zu zeigen – einschließlich der schwer erkennbaren – ist mehr wert als jede theoretische Folie. Die Mitarbeitenden müssen mit eigenen Augen sehen, wie überzeugend diese E-Mails sein können.

2. Regelmäßige interne Phishing-Simulationen

Es gibt Tools (teils kostenlos, teils günstig), mit denen simulierte Phishing-E-Mails an Mitarbeitende verschickt werden können. Wer klickt, wird nicht bestraft: Er oder sie wird sofort darüber informiert, was hätte auffallen sollen. Die empfohlene Häufigkeit liegt bei mindestens einer Simulation alle drei Monate.

3. Schriftliche Verfahren für Zahlungen und IBAN-Änderungen

Die Regel ist einfach: Keine außerordentliche Zahlung und keine Änderung von Bankdaten wird ohne telefonische Bestätigung an der bereits bekannten Nummer durchgeführt – nicht an der in der E-Mail angegebenen. Allein dieses Verfahren blockiert den Großteil aller BEC-Angriffe.

4. Ein interner Kanal zur Meldung von Verdachtsfällen

Mitarbeitende müssen wissen, wo sie eine verdächtige E-Mail melden können – ohne Angst, sich zu blamieren. Wenn die interne Kultur denjenigen bestraft, der „Zeit verschwendet", werden verdächtige E-Mails ignoriert statt gemeldet. Eine dedizierte Adresse (z. B. sicherheit@firmenname.it) oder eine interne Messaging-Gruppe reichen als Anfang.

Was zu tun ist, wenn jemand bereits geklickt hat

Die falsche Reaktion ist Schweigen aus Scham. Die richtige Reaktion ist schnelles Handeln:

  1. Sofort den IT-Verantwortlichen oder externen Berater informieren.
  2. Das Gerät vom Firmennetzwerk trennen (nicht ausschalten, um eventuelle Logs zu erhalten).
  3. Passwörter aller Konten ändern, auf die vom betroffenen Gerät aus zugegriffen wurde.
  4. Prüfen, ob in den Folgestunden ungewöhnliche Zugriffe oder unautorisierte Zahlungen stattgefunden haben.
  5. Prüfen, ob der Vorfall unter die Meldepflicht beim Datenschutzbeauftragten fällt (die Frist beträgt 72 Stunden ab Entdeckung bei einer Verletzung personenbezogener Daten).

Zeit ist der entscheidende Faktor: Jede weitere Stunde nach einem erfolgreichen Angriff verringert die Möglichkeit, den Schaden zu begrenzen.

Der Ausgangspunkt für ein KMU ohne eigene IT-Abteilung

Es braucht kein Cybersecurity-Team, um anzufangen. Es braucht die Entscheidung, anzufangen. Drei konkrete Maßnahmen, die diese Woche umgesetzt werden können:

  • Zwei-Faktor-Authentifizierung (2FA) auf allen geschäftlichen E-Mail-Konten aktivieren.
  • Ein einseitiges Verfahren für die Überprüfung außerordentlicher Zahlungen schriftlich festhalten.
  • Ein 30-minütiges Meeting mit dem Verwaltungsteam abhalten und echte Phishing-Beispiele zeigen.

Diese drei Maßnahmen kosten nichts und reduzieren die Angriffsfläche deutlich. Der Rest – strukturierte Simulationen, regelmäßige Schulungen, Monitoring – kommt danach. Aber der Ausgangspunkt ist dieser.