- § 202a StGB
- § 202c StGB
- § 263a StGB
- § 269 StGB
Was Phishing ist
Phishing ist die häufigste Einstiegstechnik für Cyberangriffe. Über präparierte E-Mails, gefälschte Webseiten, SMS oder Anrufe werden Empfänger dazu gebracht, Zugangsdaten preiszugeben, infizierte Anhänge zu öffnen oder Geld zu überweisen. Der Begriff leitet sich vom englischen fishing ab, weil die Angreifer Köder auslegen und auf einen Klick warten.
Phishing ist die Eintrittstür für rund die Hälfte aller erfolgreichen Ransomware-Angriffe. Auch Business Email Compromise, also der gezielte Betrug per gefälschter Geschäftsmail, beginnt regelmäßig mit Phishing.
Varianten
Klassisches Massen-Phishing imitiert bekannte Marken und versendet identische Nachrichten an viele Empfänger. Spear Phishing ist auf eine konkrete Person zugeschnitten und nutzt öffentlich verfügbare Informationen, etwa aus LinkedIn oder dem Impressum. Whaling zielt auf Führungskräfte. Smishing nutzt SMS, Vishing den Telefonanruf. Quishing arbeitet mit QR-Codes auf gedruckten Aushängen.
Eine neuere Variante ist das Adversary-in-the-Middle-Phishing, bei dem die Angreifer eine echte Anmeldeseite in Echtzeit nachstellen und so auch Sitzungs-Tokens trotz Multi-Faktor-Authentifizierung abgreifen.
Rechtliche Einordnung
Phishing-Täter erfüllen je nach Sachverhalt § 202a StGB Ausspähen von Daten, § 202c StGB Vorbereiten des Ausspähens, § 263a StGB Computerbetrug und § 269 StGB Fälschung beweiserheblicher Daten. Für das angegriffene Unternehmen ist der erfolgreiche Phishing-Angriff regelmäßig der Auslöser einer Datenpanne nach Art. 33 DSGVO, sobald personenbezogene Daten betroffen sind.
Mitarbeiter, die auf eine Phishing-Mail hereinfallen, machen sich in aller Regel nicht strafbar. Arbeitsrechtliche Konsequenzen sind möglich, wenn ausdrückliche Anweisungen oder Schulungen vorsätzlich missachtet wurden. In der Praxis sind sie selten und sollten zugunsten einer offenen Fehlerkultur und besserer Schulung zurückgestellt werden.
Schutzmaßnahmen
Technisch helfen E-Mail-Authentifizierung über SPF, DKIM und DMARC, gute Spam- und Anhangfilter, Web-Filter, Multi-Faktor-Authentifizierung mit phishing-resistenten Verfahren wie FIDO2 sowie EDR-Lösungen auf den Endgeräten.
Organisatorisch sind regelmäßige Awareness-Schulungen und realistische Phishing-Simulationen wirksam. Wichtig ist eine niedrige Meldeschwelle. Mitarbeiter sollten ohne Angst vor Sanktionen verdächtige Mails melden können, idealerweise mit einem Melde-Knopf im Mailclient.
Häufige Fragen
Häufige Fragen
- Helfen Multi-Faktor-Codes per SMS
- Etwas. Sie sind besser als nur Passwort, können aber durch Phishing-Seiten in Echtzeit umgangen werden. Phishing-resistente Verfahren wie FIDO2-Schlüssel sind deutlich sicherer.
- Sind realistische Phishing-Tests datenschutzkonform
- Ja, wenn sie nicht zur Leistungs- und Verhaltenskontrolle einzelner Mitarbeiter genutzt werden. Auswertung erfolgt anonym oder pseudonym, Betriebsrat ist zu beteiligen, Schulungszweck ist zu dokumentieren.
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
