Jemand hat geklickt. Und jetzt bloß keine Schuldfrage

Die Weiterleitungsregel, an die niemand denkt

Wenn ein Postfach übernommen wird, ist der erste Schritt der Angreifer fast immer derselbe: eine Regel anlegen, die eingehende Nachrichten heimlich weiterleitet oder in einen selten geöffneten Ordner verschiebt. Damit lesen sie mit, auch nachdem Sie das Kennwort geändert haben.

Deshalb reicht ein neues Kennwort nicht. Man muss zusätzlich die Regeln im Postfach prüfen, alle aktiven Anmeldungen beenden und nachsehen, ob eine zusätzliche Authentifizierungsmethode hinterlegt wurde — etwa eine fremde Telefonnummer für die Zwei-Faktor-Anmeldung.

Genau dieser Punkt wird bei Selbsthilfe am häufigsten übersehen, und genau daran hängt, ob der Vorfall nach einem Tag vorbei ist oder wochenlang weiterläuft.

Woran man eine gefälschte Mail erkennt

Der zuverlässigste Hinweis ist nicht die Rechtschreibung — die stimmt inzwischen. Es ist die Kombination aus Dringlichkeit und einer Abweichung vom normalen Weg: Eine Zahlung, die heute noch raus muss. Eine geänderte Bankverbindung. Eine Bitte, etwas außerhalb des üblichen Ablaufs zu tun.

Technisch hilft der Blick auf die tatsächliche Absenderadresse, nicht auf den angezeigten Namen. Und bei Links: mit der Maus darüberfahren, ohne zu klicken — unten links zeigt der Browser das echte Ziel.

Die beste Regel bleibt aber organisatorisch: Bei allem, was Geld oder Zugangsdaten betrifft, wird auf einem zweiten Weg zurückgefragt. Ein Anruf unter der bekannten Nummer, nicht unter der aus der Mail.

Was wirklich hilft, bevor etwas passiert

Zwei-Faktor-Anmeldung. Wenn ein Kennwort allein nicht mehr reicht, läuft der Großteil der automatisierten Angriffe ins Leere. Das ist die wirksamste einzelne Maßnahme, und sie kostet zwei Sekunden je Anmeldung.

Getrennte Rechte. Niemand arbeitet täglich mit einem Konto, das alles darf. Wenn ein normales Benutzerkonto übernommen wird, ist der Schaden begrenzt.

Eine Sicherung, die nicht am Netz hängt. Weil der schlimmste Fall nicht das gelesene Postfach ist, sondern die verschlüsselte Dateiablage.

Und Schulung, die nicht aus einer Präsentation besteht, sondern aus echten Beispielen aus dem eigenen Postfach. Zehn Minuten in einer Teambesprechung wirken besser als eine Stunde Vortrag.