Montag, 8:17 Uhr: Eine Mitarbeiterin aus der Buchhaltung meldet sich beim IT-Ansprechpartner. Ihr Microsoft-365-Konto fordere plötzlich erneut eine Anmeldung. Kurz darauf gehen mehrere E-Mails mit ungewöhnlichen Zahlungsanweisungen an interne Kollegen. Was zunächst wie ein kleiner Anmeldefehler wirkt, ist ein Phishing-Angriff mit gestohlenen Zugangsdaten.

Diese Phishing-Vorfall-Fallstudie zeigt anhand eines anonymisierten, praxisnahen Falls, wie ein mittelständisches Unternehmen den Schaden begrenzen konnte. Entscheidend war nicht ein einzelnes Sicherheitstool. Entscheidend war, dass Zuständigkeiten, Reaktionswege und technische Grundlagen bereits vorhanden waren.

Der Ausgangspunkt: eine glaubwürdige E-Mail

Das betroffene Unternehmen beschäftigt rund 45 Personen, arbeitet mit Microsoft 365 und verarbeitet regelmäßig Rechnungen, Angebote und personenbezogene Kundendaten. Eine eigene IT-Abteilung gibt es nicht. Die tägliche Betreuung liegt bei einem externen Partner, während intern eine Office-Managerin als feste Ansprechpartnerin fungiert.

Die Phishing-Mail kam vermeintlich von Microsoft. Sie kündigte an, das Kennwort laufe ab und müsse innerhalb von 24 Stunden bestätigt werden. Absendername, Sprache und Gestaltung wirkten überzeugend. Auch der Zeitpunkt war ungünstig: Die Mitarbeiterin war mitten in der Monatsabrechnung und erwartete tatsächlich mehrere Systembenachrichtigungen.

Nach einem Klick öffnete sich eine täuschend echte Anmeldeseite. Benutzername und Passwort wurden eingegeben. Wenige Minuten später meldete sich ein Angreifer aus einer fremden Region im Postfach an. Dort richtete er eine Regel ein, die Nachrichten mit Begriffen wie „Rechnung“, „Bankverbindung“ und „Überweisung“ unauffällig weiterleitete.

Das ist ein typisches Muster. Phishing zielt nicht nur auf den ersten Klick. Angreifer wollen Zugang, Zeit und möglichst unbemerkte Möglichkeiten, geschäftliche Kommunikation zu lesen oder zu manipulieren.

Was den Vorfall früh erkennbar machte

Der Angriff blieb nicht deshalb klein, weil die E-Mail sofort erkannt wurde. Sie wurde zunächst nicht erkannt. Begrenzen ließ er sich, weil zwei Warnzeichen zusammenkamen: eine ungewöhnliche Anmeldung und auffällige versendete Nachrichten aus dem Konto.

Die Mitarbeiterin reagierte richtig, als sie die erneute Kennwortabfrage nicht selbst „wegklickte“, sondern kurz nachfragte. Gleichzeitig meldete ein Kollege eine Nachricht, deren Ton nicht zur üblichen Kommunikation passte. Dieser kurze Anruf war wertvoller als jede Vermutung. Er brachte den Vorfall früh auf den Tisch.

Für Unternehmen folgt daraus eine wichtige Erkenntnis: Mitarbeitende müssen keine IT-Spezialisten sein. Sie müssen wissen, dass Unsicherheit ein Grund zum Melden ist. Ein fester Ansprechpartner und eine klare, unkomplizierte Meldemöglichkeit senken die Hemmschwelle erheblich.

Phishing-Vorfall-Fallstudie: Die ersten 60 Minuten

Nach Eingang der Meldung ging es nicht darum, den Schuldigen zu suchen. Es ging darum, den Zugriff zu stoppen und den Umfang zu prüfen. Im konkreten Fall wurden innerhalb kurzer Zeit mehrere Maßnahmen umgesetzt:

• Das betroffene Konto wurde gesperrt und das Kennwort zurückgesetzt.
• Bestehende Anmeldesitzungen wurden abgemeldet, damit ein bereits eingeloggter Angreifer nicht weiterarbeiten konnte.
• Postfachregeln, Weiterleitungen und gesendete Nachrichten wurden kontrolliert.
• Die Anmeldungshistorie wurde geprüft und auffällige Zugriffe dokumentiert.
• Empfänger verdächtiger E-Mails wurden intern gewarnt, bevor sie auf weitere Nachrichten reagierten.

Diese Reihenfolge hat einen praktischen Grund. Erst wird der Zugang geschlossen, dann werden Spuren gesichert und Auswirkungen bewertet. Wer zunächst lange analysiert, während das Konto weiter offen ist, verschenkt wertvolle Zeit.

Im vorliegenden Fall fanden sich keine Hinweise auf einen erfolgreichen Zahlungsabfluss. Allerdings hatte der Angreifer Zugriff auf Teile der Mailkommunikation. Daher wurden besonders betroffene Geschäftspartner gezielt informiert. Das war unangenehm, aber richtig. Eine sachliche, frühe Information schützt Beziehungen besser als ein später Überraschungsmoment.

Warum ein neues Passwort allein nicht genügt

Viele Unternehmen reagieren bei verdächtigen Anmeldungen mit einem Kennwortwechsel. Das ist notwendig, aber oft nicht ausreichend. Hat ein Angreifer bereits eine aktive Sitzung, eine Weiterleitung oder eine zusätzliche Anmeldemethode eingerichtet, kann er trotz geändertem Passwort weiter Zugriff haben.

Deshalb gehört zur Bereinigung immer ein Blick auf die vollständige Kontokonfiguration: Gibt es unbekannte Regeln im Postfach? Wurden externe Weiterleitungen aktiviert? Sind zusätzliche Geräte oder Authentifizierungsmethoden hinterlegt? Wurden verdächtige Dateien abgelegt oder Nachrichten an Lieferanten verschickt?

Auch die Frage nach weiteren betroffenen Konten darf nicht fehlen. Wenn ein Passwort mehrfach verwendet wurde oder die Phishing-Mail intern weitergeleitet wurde, kann aus einem Einzelvorfall schnell ein größeres Problem werden. Hier entscheidet die Prüfung der Protokolle darüber, ob ein Unternehmen beruhigt weiterarbeiten kann oder weitere Schutzmaßnahmen braucht.

Die technische Lücke: fehlende zweite Anmeldung

Die Ursache lag nicht bei einer unvorsichtigen Person allein. Die gefälschte Seite war professionell gemacht, und der Arbeitsdruck war real. Der entscheidende technische Schwachpunkt war, dass für dieses Konto keine Multi-Faktor-Authentifizierung eingerichtet war.

Mit Multi-Faktor-Authentifizierung reicht ein gestohlenes Passwort in vielen Fällen nicht aus. Die Anmeldung muss zusätzlich über eine App, einen Sicherheitsschlüssel oder eine andere freigegebene Methode bestätigt werden. Das verhindert nicht jede Angriffstechnik, macht die Übernahme eines Kontos aber deutlich schwieriger.

Es gibt dabei Ausnahmen. Auch Bestätigungsanfragen können missbraucht werden, wenn Mitarbeitende viele Anfragen gedankenlos freigeben. Deshalb sollte die Einführung nicht nur technisch erfolgen. Eine kurze Erklärung, wie echte und verdächtige Anfragen aussehen, gehört dazu. Für sensible Rollen wie Geschäftsführung, Buchhaltung und Administration sind strengere Regeln besonders sinnvoll.

Was nach der akuten Störung geändert wurde

Nach der Bereinigung nahm sich das Unternehmen Zeit für die Frage, was dauerhaft verbessert werden muss. Nicht jede Maßnahme muss kompliziert oder teuer sein. Wirksam wird Sicherheit vor allem dann, wenn sie zum Arbeitsalltag passt und regelmäßig überprüft wird.

Zuerst wurde die Multi-Faktor-Authentifizierung schrittweise für alle Microsoft-365-Konten eingeführt. Die Einführung erfolgte nicht an einem Freitagnachmittag für die gesamte Belegschaft, sondern geplant nach Teams. So konnten Rückfragen direkt geklärt werden, ohne den Betrieb unnötig zu stören.

Danach wurden externe Mailweiterleitungen eingeschränkt und Warnungen bei ungewöhnlichen Anmeldungen aktiviert. Für die Buchhaltung wurde außerdem ein verbindlicher Prozess vereinbart: Änderungen von Bankverbindungen oder Zahlungsdaten werden nie allein aufgrund einer E-Mail übernommen. Eine telefonische Rückbestätigung über eine bekannte Rufnummer ist Pflicht.

Hinzu kam eine kurze Phishing-Schulung mit echten Beispielen aus dem Unternehmensalltag. Kein Vortrag voller Fachbegriffe, sondern konkrete Fragen: Passt der Absender wirklich? Wohin führt der Link? Warum erzeugt die Nachricht Zeitdruck? Wen rufe ich an, wenn ich unsicher bin? Solche Übungen sind hilfreicher als der Appell, einfach vorsichtiger zu sein.

Der oft unterschätzte Faktor: klare Verantwortung

Technik hilft nur, wenn im Ernstfall klar ist, wer handelt. In kleineren Unternehmen landen verdächtige E-Mails sonst schnell bei mehreren Personen, während niemand eine Entscheidung trifft. Das kostet Zeit und schafft Unsicherheit.

Ein praxistauglicher Notfallweg muss kurz sein: Mitarbeitende melden Auffälligkeiten an einen bekannten internen Kontakt oder direkt an den IT-Partner. Dieser prüft, sperrt bei Bedarf Zugänge und informiert die verantwortliche Stelle im Unternehmen. Geschäftsführung, Buchhaltung und Datenschutzverantwortliche werden einbezogen, wenn Datenzugriffe, Zahlungsrisiken oder Meldepflichten betroffen sein könnten.

Ob eine Meldung an Behörden erforderlich ist, hängt vom konkreten Vorfall ab. Entscheidend sind unter anderem Art und Umfang der betroffenen personenbezogenen Daten sowie das Risiko für die betroffenen Personen. Hier sollte nicht geraten werden. Eine saubere Dokumentation und bei Bedarf fachliche rechtliche Beratung schaffen eine belastbare Grundlage.

Was andere Unternehmen aus dem Fall mitnehmen können

Diese Fallstudie zeigt keine außergewöhnliche Schwachstelle. Genau das macht sie relevant. Der Angriff nutzte eine alltägliche E-Mail, einen glaubwürdigen Vorwand und ein Konto ohne zusätzlichen Anmeldeschutz. Das kann jedes Unternehmen treffen, unabhängig von Branche oder Größe.

Der Unterschied liegt in der Vorbereitung. Wer Microsoft 365, Endgeräte, Benutzerkonten und Sicherungen laufend betreut, erkennt Auffälligkeiten schneller und kann gezielt handeln. Managed IT-Services sind dabei nicht nur Support, wenn etwas ausfällt. Sie schaffen feste Abläufe, aktuelle Schutzmaßnahmen und einen Ansprechpartner, der die eigene Umgebung kennt.

PAPE-IT unterstützt Unternehmen in Berlin und Brandenburg dabei, solche Grundlagen planbar aufzubauen und im Ernstfall schnell zu reagieren. Denn eine gute Sicherheitsstrategie soll den Betrieb nicht ausbremsen. Sie soll dafür sorgen, dass Ihr Team nach einem verdächtigen Klick weiß, was zu tun ist – und nicht erst dann nach Hilfe suchen muss.