Phishing-Vorfall: So reagieren Sie richtig

Wenn eine Phishing-E-Mail Ihre Filter passiert und jemand klickt, zählt jede Minute. Bei einer wirksamen Reaktion geht es nicht nur darum, eine einzelne schädliche Nachricht aus den Postfächern zu löschen. Es geht darum, den Schaden einzudämmen, Beweise zu sichern und die Lücken zu schließen, durch die der Angriff überhaupt erst hindurchkam.

In diesem Artikel zeigen wir Schritt für Schritt ein praxistaugliches Vorgehen, wie Sie auf einen Phishing-Vorfall reagieren und wie IT-Teams einen Phishing-Vorfall erkennen, betroffene Systeme und Benutzer:innen triagieren, den Umfang untersuchen und anschließend ihre Verteidigung härten, damit dieselbe Masche kein zweites Mal funktioniert.

Erste Identifizierung und Eindämmung

Das erste Ziel ist einfach: die Blutung stoppen. Sobald ein Phishing-Versuch gemeldet oder erkannt wird, erhöht jede Minute Verzögerung bei der Eindämmung die Wahrscheinlichkeit, dass weitere Benutzer:innen mit der Nachricht interagieren.

Die wichtigsten Schritte in dieser Phase:

• Bestätigen Sie den Vorfall und identifizieren Sie alle betroffenen Benutzer:innen.

Rufen Sie die ursprüngliche Phishing-Nachricht ab, prüfen Sie Header und Inhalt und ermitteln Sie alle Empfänger:innen in Ihrer E-Mail-Umgebung. Nutzen Sie Mail-Logs, Sicherheitstools und Benutzerberichte, um eine vollständige Liste zu erstellen.

• Entfernen Sie Phishing-Nachrichten aus allen Postfächern.

Nutzen Sie die Such- und Löschfunktion Ihrer Mail-Plattform, um Kopien aus Posteingängen, gesendeten Elementen und Archiven zu entfernen. Das senkt die Gefahr verzögerter Klicks deutlich.

• Blockieren Sie bösartige Absender, Domains und URLs.

Blockieren Sie die sendenden Domains, einzelne E-Mail-Adressen und bekannte bösartige URLs an Ihrem E-Mail-Security-Gateway, Web-Proxy und auf den DNS- bzw. Filter-Ebenen. Erstellen Sie nach Möglichkeit Richtlinien für URL-Rewriting oder Detonation ähnlicher Muster.

• Verhindern Sie die weitere Zustellung ähnlicher Nachrichten.

Passen Sie bestehende Regeln an oder erstellen Sie neue, um ähnliche Köder abzufangen, etwa anhand der Sprache, der Anhangstypen oder der Linkmuster aus dem Angriff. Spielen Sie diese Indikatoren in Ihre E-Mail-Sicherheit und Ihr SIEM zurück, um Folgewellen zu erkennen.

Eine wirksame Eindämmung begrenzt den Vorfall auf die kleinstmögliche Gruppe von Benutzer:innen und verschafft Ihnen Luft, um sich auf die Konten und Systeme zu konzentrieren, die möglicherweise bereits kompromittiert sind.

Potenziell kompromittierte Konten absichern

Bei Phishing-Vorfällen liegt das größte Risiko meist in gestohlenen Anmeldeinformationen, nicht in schädlichen Dateien. Deshalb muss die Kontosicherheit Vorrang vor allem anderen haben.

Sofortmaßnahmen auf Kontoebene:

1. Passwort-Resets für betroffene Konten erzwingen:

Erzwingen Sie über Ihre Identitätsplattform ein Zurücksetzen des Passworts für alle Personen, die geklickt oder Anmeldeinformationen eingegeben haben oder deren Postfach verdächtige Aktivitäten zeigt. Wenn Sie nicht sicher sind, ob Anmeldeinformationen übermittelt wurden, behandeln Sie das Konto als kompromittiert.

2. Aktive Sitzungen und Authentifizierungstoken widerrufen:

Beenden Sie aktive Anmeldungen und machen Sie Refresh-Token über Web-, Mobil- und Desktop-Clients hinweg ungültig. Dieser Schritt hilft dabei, Angreifende auszusperren, die aktuell mit gültigen Token angemeldet sind.

3. MFA (Multi-Factor Authentication) durchsetzen oder neu registrieren:

Stellen Sie sicher, dass MFA für alle betroffenen Benutzer:innen aktiviert ist, idealerweise für alle Personen in sensiblen Rollen. Wo MFA bereits existiert, sollten Sie eine erneute Registrierung verlangen oder, sofern verfügbar, phishing-resistente Verfahren erzwingen.

4. Jüngste Anmeldeaktivitäten auf Auffälligkeiten prüfen:

Prüfen Sie die Anmeldeprotokolle auf ungewöhnliche IP-Adressen, unplausible Ortswechsel, seltsame Geräte-Fingerprints oder Zugriffe außerhalb der üblichen Zeiten. Markieren Sie alle Konten mit verdächtigen Mustern für eine tiefere Untersuchung.

Wenn Sie jedes potenziell betroffene Konto als kompromittiert behandeln, solange das Gegenteil nicht bewiesen ist, verkleinern Sie das Zeitfenster für den Missbrauch gestohlener Anmeldedaten erheblich.

Postfachregeln und Persistenzmechanismen prüfen

Kontoübernahmen per Phishing beruhen oft auf unauffälligen Änderungen am Postfach statt auf offensichtlicher Malware. Angreifende legen häufig Regeln und Einstellungen an, mit denen sie sich dauerhaften Zugriff sichern und ihre Spuren verwischen.

Typische Persistenztechniken, auf die Sie achten sollten:

• Automatische Weiterleitungsregeln an externe Adressen. Weiterleitungsregeln, die sämtliche Mails oder alle Mails mit bestimmten Mustern an ein externes Konto senden, können unbemerkt Daten abfließen lassen und Angreifenden dauerhaften Einblick in die Kommunikation geben.
• Posteingangsregeln, die Alarmierungen ausblenden oder löschen. Regeln, die Nachrichten mit Wörtern wie „Alarm“, „Sicherheit“, „Benachrichtigung“ oder von bestimmten Absendern (IT, HR, Bank usw.) in Ordner oder in den Papierkorb verschieben, helfen Angreifenden, einer Entdeckung zu entgehen.
• Verdächtige automatische Antworten. Automatische Antworten und Abwesenheitsnotizen mit ungewöhnlichen Anweisungen, Links oder alternativen Kontaktadressen lassen sich nutzen, um Konversationen umzuleiten oder weitere Social-Engineering-Angriffe vorzubereiten.

Checkliste für die Postfachprüfung:

• Prüfen Sie alle Posteingangs- und Aufräumregeln jedes kompromittierten oder gefährdeten Kontos.
• Deaktivieren oder löschen Sie jede Regel, die extern weiterleitet, Nachrichten ausblendet oder kürzlich ohne Zustimmung der Benutzer:innen erstellt wurde.
• Überprüfen Sie die Postfachberechtigungen (etwa hinzugefügte Stellvertretungen oder Vollzugriffsrechte) und entfernen Sie alles, was Sie nicht zuordnen können.
• Vergewissern Sie sich, dass die Einstellungen für „Senden als“ und „Senden im Auftrag von“ nicht verändert wurden.
• Diese Persistenzmechanismen müssen beseitigt sein, bevor Sie ein Konto als vollständig wiederhergestellt erklären.

Auswirkungen und mögliche Ausbreitung bewerten

Sobald Sie die unmittelbare Bedrohung eingedämmt und gefährdete Konten abgesichert haben, geht es darum, den Umfang des Vorfalls zu verstehen. Diese Phase entscheidet darüber, ob Sie das Ereignis als kleineres, eingegrenztes Problem oder als vollwertigen Sicherheitsvorfall behandeln.

Zentrale Fragen zur Bewertung:

Wurde auf sensible Daten zugegriffen oder wurden sie abgezogen?

Prüfen Sie Postfachinhalte, Protokolle zur Verhinderung von Datenverlust und Zugriffsmuster, um festzustellen, ob vertrauliche Daten (Kundendaten, Finanzunterlagen, Anmeldeinformationen usw.) offengelegt oder extern weitergeleitet worden sein könnten.

Haben Angreifende das kompromittierte Konto genutzt, um andere anzugreifen?

Prüfen Sie gesendete Elemente, Audit-Logs und Sicherheitsalarmierungen auf Phishing-E-Mails, die von kompromittierten Konten an interne oder externe Kontakte gingen. So erkennen Sie Folgeopfer und weiteren Eindämmungsbedarf.

Wurden gestohlene Anmeldeinformationen gegen andere Systeme eingesetzt?

Prüfen Sie die Aktivitäten in angebundenen Systemen auf Anmeldungen mit denselben Anmeldeinformationen. Achten Sie auf unbekannte IP-Adressen oder Zugriffe auf privilegierte Ressourcen, die nicht zum üblichen Verhalten der Benutzer:innen passen.

Greifen regulatorische oder vertragliche Pflichten?

Wenn möglicherweise auf geschützte personenbezogene, finanzielle oder gesundheitsbezogene Informationen zugegriffen wurde, binden Sie Rechtsabteilung und Compliance frühzeitig ein, um zu klären, ob formelle Meldungen oder Berichte erforderlich sind.

Ihre Erkenntnisse aus dieser Phase bestimmen Entscheidungen zur Eskalation, aufsichtsrechtliche Meldungen, die Kommunikation mit Kund:innen oder Partnern und die Frage, ob Strafverfolgungsbehörden eingebunden werden müssen.

Wiederherstellung und Verbesserung der Verteidigung

Sind Eindämmung und Bewertung abgeschlossen, konzentrieren Sie sich darauf, das Vertrauen in Ihre Umgebung wiederherzustellen und die Abwehr gegen ähnliche Angriffe zu stärken.

Zentrale Maßnahmen zur Wiederherstellung:

• Informieren Sie betroffene Benutzer:innen mit klaren Handlungsanweisungen.

Geben Sie knappe Anweisungen ohne Schuldzuweisungen: was passiert ist, welche Maßnahmen die IT ergreift, was die Benutzer:innen tun müssen (Passwörter ändern, MFA-Registrierung bestätigen) und worauf sie achten sollten, etwa auf unerwartete Abfragen oder verdächtige E-Mails.

• Aktualisieren Sie Erkennungs- und Filterregeln.

Spielen Sie neu entdeckte Indikatoren wie Domains, IP-Adressen, Betreffzeilen und Anhang-Hashes in E-Mail-Gateways, Endpunkt-Tools und SIEM-Regeln ein. Passen Sie Schwellenwerte oder Alarmierungen an, um die Erkennungszeit bei ähnlichen Angriffen zu verkürzen.

• Prüfen und dokumentieren Sie Zeitabläufe und Entscheidungen der Reaktion.

Halten Sie fest, wann der Vorfall gemeldet wurde, wann die Eindämmung begann, welche Schritte erfolgt sind und wo Engpässe auftraten. Diese Dokumentation ist die Grundlage, um Ihr Playbook zu schärfen.

• Lassen Sie die Erkenntnisse in Schulungen und Kontrollen einfließen.

Verwenden Sie echte (anonymisierte) Beispiele aus dem Vorfall in künftigen Awareness-Kampagnen. Aktualisieren Sie die Schulungen, um konkrete Köder, nachgebaute Anmeldeseiten und die richtigen Meldewege hervorzuheben.

Ziel der Wiederherstellung ist nicht nur „zurück zum Normalzustand“, sondern „zurück zu einem besseren Zustand“, mit konkreten Änderungen, die künftige Risiken senken.

Phishing-Reaktion in IR-Workflows einbetten

Phishing sollte nicht als einmalige Ausnahme behandelt werden. Ein Incident-Response-Plan für Phishing-Angriffe gehört als bewusst gestalteter Baustein in Ihr übergreifendes IR-Programm. Erst diese Struktur sorgt für Tempo und Konsistenz, wenn es ernst wird.

Zu einer wirksamen Einbettung gehören:

Klare Zuständigkeiten und Eskalationswege: Legen Sie fest, wer die Phishing-Triage verantwortet (etwa Service-Desk oder SOC), wann Fälle an Security oder IR eskaliert werden und wie Geschäftsführung, Rechtsabteilung und HR bei schwerwiegenderen Vorfällen eingebunden werden.

Dokumentierte, phishing-spezifische Playbooks: Pflegen Sie ein Schritt-für-Schritt-Runbook für Eindämmung, Kontosicherheit, Postfachprüfung, Folgenabschätzung, Kommunikation und Abschluss. Nehmen Sie Entscheidungspunkte, erforderliche Freigaben und Kommunikationsvorlagen auf.

Abstimmung zwischen IT, Security und Geschäftsführung: Sorgen Sie dafür, dass E-Mail-Administrator:innen, Identity-Teams, der Sicherheitsbetrieb und die Führungsebene ihre Rollen kennen. Vorab definierte Kommunikationskanäle verhindern Verwirrung während laufender Vorfälle.

Kennzahlen und Nachbetrachtungen: Verfolgen Sie Kennzahlen wie Zeit bis zur Erkennung, Zeit bis zur Eindämmung, Anzahl betroffener Benutzer:innen und Wiederholungsrate. Halten Sie nach größeren Vorfällen eine kurze Retrospektive ab und einigen Sie sich auf 2 bis 3 konkrete Verbesserungen.

Wenn Sie Phishing als eigenes IR-Muster mit eigenen Workflows und KPIs begreifen, wird Ihre Reaktion planbarer und hängt weniger von Einzelleistungen ab.

Weitere Aspekte und typische Stolpersteine

Über den eigentlichen Ablauf hinaus verdienen einige wiederkehrende Themen besondere Aufmerksamkeit:

• Rechtliche und regulatorische Pflichten. Manche Phishing-Vorfälle, besonders solche mit regulierten Daten, können Meldepflichten bei Datenschutzverletzungen auslösen. Binden Sie Rechtsabteilung und Compliance frühzeitig ein, wenn der Verdacht auf offengelegte sensible Daten besteht.
• Tonfall in der Kommunikation mit Benutzer:innen. Kommunizieren Sie ruhig, handlungsorientiert und ohne Sanktionsdrohungen. Wer Schuldzuweisungen fürchtet, meldet später, und das erhöht das Risiko nur.
• Umgang mit Fehlalarmen. Selbst wenn sich ein Vorfall als harmlos erweist, sollten Sie Meldungen gründlich prüfen und sich bedanken. Positive Rückmeldung fördert künftige Meldungen.
• Teamübergreifende Abstimmung. Sorgen Sie dafür, dass Security, IT-Betrieb, HR, Rechtsabteilung und Kommunikation sich über Botschaften und Schweregrad einig sind, besonders wenn externe Stakeholder betroffen sein könnten.

Typische Muster und die passende Reaktion:

Wiederholte Phishing-Klicks durch dieselben Personen oder Gruppen.

Überdenken Sie gezielte Schulungen, prüfen Sie Reibungspunkte in Benutzeroberfläche und Workflows (etwa verwirrende Anmeldeabläufe) und erwägen Sie technische Schutzmaßnahmen wie strengere Linkfilterung und Just-in-time-Warnungen.

Versteckte oder wiederkehrende Postfachregeln.

Setzen Sie automatisierte Tools ein, um im gesamten Tenant nach riskanten Weiterleitungs- und Filterregeln zu suchen, nicht nur bei bekannten kompromittierten Konten. Erwägen Sie Richtlinien, die externe automatische Weiterleitungen standardmäßig blockieren.

Wiederverwendete Anmeldeinformationen über Systeme hinweg.

Wurden kompromittierte Anmeldeinformationen in anderen Anwendungen wiederverwendet, weiten Sie Ihre Reaktion auf Passwort-Resets und Log-Prüfungen in diesen Systemen aus. Fördern Sie außerdem eine bessere Passwort-Hygiene und den Einsatz von Single-Sign-On (SSO).

Verzögerte Erkennung von Vorfällen.

Stärken Sie die Meldewege für Benutzer:innen, justieren Sie die Alarmierung für verdächtige Anmeldungen und E-Mail-Aktivitäten und stellen Sie sicher, dass dort, wo es sinnvoll ist, auch außerhalb der Geschäftszeiten jemand die Signale im Blick behält.

Wer diese systemischen Themen angeht, senkt die Wahrscheinlichkeit, dass sich dasselbe Vorfallsmuster wiederholt.

Die Rolle von NinjaOne bei der Planung der Phishing-Reaktion

Phishing beginnt zwar meist in E-Mail- und Identitätssystemen, seine Auswirkungen und die Behebung reichen jedoch oft bis in Endpunkte und Infrastruktur. Genau hier kann eine Plattform wie NinjaOne Ihre Reaktion unterstützen.

So kann NinjaOne helfen:

• Zentrale Endpunkt-Transparenz: Sie erkennen schnell, welche Geräte zu betroffenen Benutzer:innen gehören, und können bestätigen, dass es keine zusammenhängenden Endpunkt-Alarmierungen oder Hinweise auf nachgelagerte Malware gibt.
• Automatisierte Behebungs-Workflows, etwa das Ausrollen von Konfigurationsänderungen, das Sammeln von Logs oder das Durchsetzen von Sicherheitsrichtlinien auf betroffenen Endpunkten als Teil Ihres Phishing-Playbooks.
• Unterstützung bei der Korrelation von Alarmierungen: So sehen Sie, ob Phishing-Aktivitäten mit ungewöhnlichem Endpunkt-Verhalten, Rechteänderungen oder anderen Sicherheitsereignissen zusammenfallen.
• Einbettung der Schritte Ihres Phishing-Reaktionsplans in übergreifende Incident-Response-Prozesse, damit Maßnahmen wie das Isolieren von Geräten, das Bereitstellen von Tools oder das Auslösen von Benutzerbenachrichtigungen konsistent und wiederholbar ablaufen.
• Indem Sie phishing-spezifische Maßnahmen in Ihre bestehenden, NinjaOne-gestützten Workflows integrieren, senken Sie den manuellen Aufwand, erhöhen die Konsistenz und verkürzen die Zeit von der Erkennung bis zur bestätigten Wiederherstellung.

Fazit

Phishing-Vorfälle verlangen eine fokussierte Reaktion, die den Diebstahl von Anmeldeinformationen, Persistenz im Postfach und eine schnelle Eindämmung über E-Mail, Identität und Endpunkte hinweg berücksichtigt.

Unternehmen, die Phishing als eigene Vorfallskategorie behandeln, gestützt auf klar definierte Playbooks, teamübergreifende Abstimmung und integrierte Tools wie NinjaOne, können Schäden besser begrenzen, die Wiederherstellung beschleunigen und ihre gesamte Sicherheitslage mit jedem bearbeiteten Vorfall stärken.