Malte ZanderInhalt
- Wie sieht der 24-Stunden-Plan aus?
- Stunde 0 bis 1: Wie bestätigen und verteilen Sie den Fall?
- Stunde 1 bis 2: Welche Beweise sichern Sie?
- Stunde 2 bis 4: Wo melden Sie, und womit?
- Stunde 2 bis 6: Wie schützen Sie betroffene Konten?
- Stunde 4 bis 8: Wie informieren Sie Kunden und Beschäftigte?
- Stunde 8 bis 24: Was verfolgen Sie nach?
- Was passiert nach den ersten 24 Stunden?
- Häufige Fragen
Wenn eine Phishing-Seite Ihren Namen nutzt, entscheiden die ersten 24 Stunden, wie viele Menschen sie erreicht. Bestätigen Sie den Fall in der ersten Stunde und benennen Sie eine verantwortliche Person, sichern Sie bis Stunde zwei die Beweise, melden Sie bis Stunde vier parallel an Hoster, Registrar und Browser und schützen Sie gleichzeitig betroffene Konten. Danach informieren Sie Kunden, verfolgen jede Meldung nach und prüfen, ob Datenschutzpflichten greifen.
Wie sieht der 24-Stunden-Plan aus?
Sechs Phasen, die teilweise parallel laufen. Die Zeiten sind Zielwerte für einen typischen Fall, keine gesetzlichen Fristen.
| Zeit | Ziel | Wichtigste Schritte | Verantwortlich |
|---|---|---|---|
| Stunde 0 bis 1 | Prüfen und zuweisen | Meldung prüfen, eigene Seiten und Partnerseiten ausschließen, Fall eröffnen, eine verantwortliche Person benennen | IT-Sicherheit |
| Stunde 1 bis 2 | Beweise sichern | Vollständige URL, Screenshots, Domain-, DNS-, Hosting- und Zertifikatsdaten, die Ausgangs-Mail oder Anzeige | IT-Sicherheit |
| Stunde 2 bis 4 | Parallel melden | Hoster, Registrar, CDN oder DNS-Anbieter, Google Safe Browsing, Microsoft, nationale Meldestelle | IT-Sicherheit oder Markenschutz |
| Stunde 2 bis 6 | Konten schützen | Domain in Filtern sperren, Anmeldungen prüfen, Zugangsdaten und Sitzungen zurücksetzen | IT und Identitätsmanagement |
| Stunde 4 bis 8 | Menschen informieren | Support-Leitfaden, Hinweis auf der Website, gezielte Kundenwarnung, interne Information | Kommunikation und Support |
| Stunde 8 bis 24 | Nachverfolgen und ausweiten | Antworten verfolgen, eskalieren, verwandte Domains suchen, Datenschutzpflichten prüfen | Verantwortliche Person, Rechtsabteilung, Datenschutzbeauftragte |
Stunde 0 bis 1: Wie bestätigen und verteilen Sie den Fall?
Prüfen Sie, dass die Seite Sie nachahmt und nicht Ihnen gehört. Viele Meldungen entpuppen sich als vergessene Kampagnenseite, als Händler oder als Partner.
Grundlagen prüfen: Domain, Inhalt, Ziel des Formulars und ob Ihre Marke auftaucht.
Eigene Seiten ausschließen, ebenso die von Partnern und Händlern.
Einen Fall eröffnen mit einer ID, und ab jetzt jede Maßnahme darin festhalten.
Eine verantwortliche Person benennen, die entscheidet und das Protokoll führt. Alle anderen wissen dann, wen sie informieren.
Stunde 1 bis 2: Welche Beweise sichern Sie?
Alles, was ein Hoster, ein Registrar oder ein Gericht bräuchte, bevor jemand reagiert. Seiten ändern sich oft oder verschwinden, sobald die erste Meldung eingeht.
- Vollständige URL mit Pfad und Parametern
- Screenshots auf Desktop und Smartphone mit sichtbarer Adresszeile und Uhrzeit
- WHOIS- oder RDAP-Daten, DNS-Einträge, IP-Adresse und Hoster
- Angaben zum TLS-Zertifikat
- Der Köder: die Mail mit vollständigem Header, die Anzeige, der QR-Code oder die Nachricht
Unser Leitfaden zur Beweissicherung erklärt jeden Punkt und wie Beweise glaubwürdig bleiben.
Stunde 2 bis 4: Wo melden Sie, und womit?
An alle Stellen, die handeln können, gleichzeitig. Wer auf eine Antwort wartet, bevor er die nächste Meldung schickt, verliert jedes Mal einen Tag.
Hoster: in der EU eine Meldung nach Artikel 16 DSA mit Begründung, genauer URL, Name und E-Mail-Adresse und einer Erklärung zum guten Glauben (DSA).
Registrar: bei generischen Domains über den Abuse-Kontakt, den der Registrar veröffentlichen muss. Ein Screenshot und die vollständige URL gelten als nützliche Belege (ICANN).
CDN oder DNS-Anbieter, wenn die Seite dahinter liegt.
Google Safe Browsing und Microsoft, damit Browser Besucher in der Zwischenzeit warnen.
Nationale Meldestelle, etwa die Verbraucherzentralen in Deutschland, die Watchlist Internet in Österreich oder antiphishing.ch in der Schweiz.
Alle Meldewege mit Links finden Sie in Phishing-Seite melden.
Stunde 2 bis 6: Wie schützen Sie betroffene Konten?
Gehen Sie davon aus, dass einige Menschen ihre Zugangsdaten schon eingegeben haben, und handeln Sie danach.
Die Phishing-Domain sperren, im E-Mail-Gateway, im Web-Proxy und in DNS-Filtern.
Anmeldungen prüfen auf ungewöhnliche Standorte, Provider und User-Agents sowie auf neue Posteingangsregeln nach einer Anmeldung. Genau diese Suche empfiehlt Microsoft nach Proxy-Phishing (Microsoft).
Passwörter zurücksetzen und Sitzungen beenden für Konten mit Anzeichen einer Übernahme. Bei Echtzeit-Proxys zählen gestohlene Session-Cookies so viel wie Passwörter.
Zahlungen und Änderungen an Bankdaten beobachten, denn Betrug kann binnen Minuten folgen. In dem von Microsoft beschriebenen Fall begann der Zahlungsbetrug schon fünf Minuten nach dem Diebstahl (Microsoft).
Warum Einmalcodes solche Angriffe nicht stoppen, erklärt Warum Zwei-Faktor-Login nicht jede Phishing-Seite stoppt.
Stunde 4 bis 8: Wie informieren Sie Kunden und Beschäftigte?
Kurz, konkret und über Kanäle, die Sie kontrollieren. Eine gute Warnung nennt die gefälschte Adresse, die echte Adresse und was Sie nie abfragen.
Support-Leitfaden: wie die Fälschung aussieht, was Kunden tun sollen, wann ein Passwortwechsel nötig ist.
Hinweis auf der Website oder Login-Seite, wenn die Kampagne breit läuft.
Gezielte Nachricht an Menschen, die wahrscheinlich erreicht wurden, wenn möglich ohne klickbare Links.
Interne Information für Vertrieb, Support und Social-Media-Team.
Unser Leitfaden Kunden vor einer Fake-Website warnen, ohne Panik auszulösen enthält Formulierungen und eine Vorlage.
Stunde 8 bis 24: Was verfolgen Sie nach?
Die Meldungen, die größere Kampagne und Ihre rechtlichen Pflichten.
Jede Meldung verfolgen: Eingang bestätigt, Entscheidung gefallen, Seite offline. Wo nichts passiert ist, erneut senden oder eskalieren.
Verwandte Domains suchen: weitere Domains beim selben Hoster, mit demselben Zertifikat oder Registrar. Kampagnen nutzen selten nur eine Domain. Siehe Fälle verknüpfen.
Datenschutzpflichten prüfen: Haben Angreifer auf Konten in Ihren Systemen zugegriffen, kann das eine Verletzung des Schutzes personenbezogener Daten sein. Dann muss der Verantwortliche die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden ab Kenntnis informieren und jede Verletzung dokumentieren (DSGVO, Artikel 33). Binden Sie Ihre Datenschutzbeauftragten ein. Dies ist keine Rechtsberatung.
Strafanzeige erwägen, wenn Kunden oder Ihr Unternehmen Geld oder Daten verloren haben. Die Original-Nachrichten dienen als Beweismittel (BayernPortal).
Was passiert nach den ersten 24 Stunden?
Die Seite ist vielleicht weg, die Kampagne oft nicht. Beobachten Sie auch den abgeschlossenen Fall weiter, denn Kopien kehren auf neuen Domains zurück. Siehe wenn eine Fake-Website wieder auftaucht.
Halten Sie innerhalb einer Woche eine kurze Nachbesprechung: Was hat am längsten gedauert, welche Kontakte fehlten, welche Texte mussten neu geschrieben werden? Machen Sie aus den Antworten Vorlagen.
Fragen Sie eine Demo an, um Erkennung, Beweise und paralleles Melden in einem Ablauf zu sehen, oder starten Sie den kostenlosen Fraud-Scan, um zu sehen, welche Lookalikes es schon gibt.
Häufige Fragen
Wer sollte einen Phishing-Vorfall verantworten?
Eine benannte Person, meist aus IT-Sicherheit oder Markenschutz, mit Vertretung. Sie entscheidet, führt das Protokoll und ist einziger Ansprechpartner für Support, Kommunikation und Rechtsabteilung.
Müssen wir die Datenschutzaufsicht informieren?
Nur bei einer Verletzung des Schutzes personenbezogener Daten, etwa wenn Angreifer mit gestohlenen Zugangsdaten auf Konten in Ihren Systemen zugegriffen haben. Dann ist die Meldung unverzüglich und möglichst binnen 72 Stunden fällig. Dies ist keine Rechtsberatung.
Sollten wir alle Kunden warnen?
Nicht immer. Warnen Sie die Menschen, die wahrscheinlich erreicht wurden, und ergänzen Sie einen allgemeinen Hinweis, wenn die Kampagne breit läuft. Eine präzise Warnung schützt besser als eine vage an alle.
Sollten wir Strafanzeige erstatten?
Ja, wenn Geld oder Daten verloren gingen. Das Beweispaket aus den Stunden 1 und 2 ist genau das, was Ermittler brauchen.
Woran erkennen wir, dass die Fake-Seite wirklich weg ist?
Prüfen Sie sie aus verschiedenen Netzen und mit dem vollständigen Link samt Parametern. Manche Seiten zeigen die Fälschung nur Zielpersonen, beobachten Sie den Fall deshalb noch eine Weile.
Quellen
ICANN-Leitfaden zu den Pflichten gegen DNS-Missbrauch, 5. Februar 2024
Microsoft Security: AiTM-Phishing als Einstieg in Finanzbetrug, 12. Juli 2022