Checkliste Phishing-Vorfall
Checkliste Phishing-Vorfall für kleine IT-Teams: gemeldete Mail prüfen, aus allen Postfächern entfernen, gehackte Konten sichern und Folgeangriffe erkennen.
- Typischer Rhythmus pro Vorfall
- Die Checkliste 5 Abschnitte, 22 Punkte
- Variablen
{{reporter}}
Diese Checkliste starten, wenn jemand eine verdächtige E-Mail meldet oder zugibt, auf einen Link geklickt oder ein Passwort eingegeben zu haben. Tempo zählt: Ein gestohlenes Passwort kann innerhalb von Minuten missbraucht werden, und Angreifer schicken dieselbe Mail oft an viele Personen im selben Unternehmen. Die Schritte funktionieren für Microsoft 365, Google Workspace und die meisten anderen Mail-Plattformen.
Wer verantwortlich ist
Die zuständige IT- oder Sicherheitsperson führt den Durchlauf. Sie bewertet, dämmt ein und entscheidet, ob daraus ein größerer Vorfall wird. Der meldenden Person danken und sie auf dem Laufenden halten. Anlaufstellen für Meldungen und Warnungen sind in der Schweiz das Bundesamt für Cybersicherheit (BACS, früher NCSC) und in Deutschland das BSI.
Typische Fehler
- Die Person beschuldigen, die geklickt hat. Wer Vorwürfe fürchtet, meldet nicht mehr. Eine schnelle Meldung nach dem Klick ist das beste Ergebnis.
- Nur das Passwort zurücksetzen. Angreifer legen Weiterleitungsregeln an, registrieren ein eigenes MFA-Gerät oder erteilen einer OAuth-App Zugriff. Ein neues Passwort entfernt das nicht.
- Nur ein Postfach bereinigen. Alle Postfächer nach Absender, Betreff oder Link durchsuchen.
- Zahlungsbetrug übersehen. Prüfen, ob vom Konto geänderte Bankverbindungen an Kunden oder Lieferanten verschickt wurden.
- Links auf dem eigenen Laptop öffnen. URLs und Anhänge in einer Sandbox oder mit einem Online-Scanner prüfen.
Passen Sie die Checkliste an Ihre Rechtsordnung an; sie ist keine Rechtsberatung.
Die Checkliste: Phishing-Meldung von {{reporter}}
Einschätzen
-
Original-Mail von
{{reporter}}als Anhang mit vollständigen Headern erhalten -
Absender, Antwortadresse, Links und Anhänge geprüft, ohne sie auf einem normalen Arbeitsplatz zu öffnen
Für Links und Anhänge einen URL-Scanner oder eine Sandbox verwenden.
-
Entschieden, ob Phishing, Spam oder legitime Mail, und
{{reporter}}informiert -
Bei
{{reporter}}nachgefragt, ob geklickt, ein Anhang geöffnet oder Zugangsdaten eingegeben wurden
Eindämmen
-
Alle Postfächer nach Absender, Betreff oder URL durchsucht und Empfänger aufgelistet
-
Mail aus allen Postfächern entfernt oder in Quarantäne verschoben
-
Absenderdomain, URLs und Anhang-Hashes im Mail- und Webfilter gesperrt
-
Andere Empfänger gefragt, ob sie mit der Mail interagiert haben
Wenn Zugangsdaten eingegeben oder ein Link geklickt wurde
-
Passwort zurückgesetzt und alle Sitzungen der betroffenen Konten abgemeldet
-
Unbekannte MFA-Methoden am Konto entfernt
-
Neue Postfachregeln, Weiterleitungen und Stellvertretungen geprüft, unbekannte entfernt
-
OAuth-App-Berechtigungen geprüft und unbekannte Apps widerrufen
-
Anmeldeprotokolle seit Eingang der Mail auf ungewöhnliche Orte oder Geräte geprüft
-
Gerät auf Schadsoftware geprüft, falls ein Anhang geöffnet wurde optional
Weitere Auswirkungen prüfen
-
Gesendete Elemente der betroffenen Konten auf Phishing- oder Zahlungsänderungs-Mails geprüft
-
Buchhaltung und wichtige Kunden oder Lieferanten gewarnt, falls betrügerische Mails verschickt wurden optional
-
Geprüft, ob personenbezogene Daten betroffen sind, und falls ja die Checkliste Datenpanne gestartet
-
Vorfall bei der nationalen Meldestelle (BACS in der Schweiz, BSI in Deutschland) gemeldet optional
-
Anzeige bei der Polizei erstattet, falls ein Schaden entstanden ist optional
Abschließen
-
Zeitachse, betroffene Konten und Maßnahmen im Vorfallprotokoll festgehalten
-
{{reporter}}gedankt und bei gezielten Kampagnen eine kurze Warnung an alle Mitarbeitenden verschickt -
Verbesserungen als Tickets erfasst, etwa stärkere MFA oder bessere Filterregeln
Checkliste als Markdown
Häufige Fragen
Was tun, wenn man auf einen Phishing-Link geklickt hat?
Sofort die IT- oder Sicherheitsperson informieren, auch wenn scheinbar nichts passiert ist. Wurde ein Passwort eingegeben, dieses von einem vertrauenswürdigen Gerät aus ändern und alle anderen Sitzungen abmelden. Die IT prüft danach das Konto auf neue Weiterleitungen, MFA-Geräte und App-Berechtigungen.
Wie entfernt man eine Phishing-Mail aus allen Postfächern?
Die meisten Mail-Plattformen bieten eine Admin-Suche mit Löschfunktion, etwa die Inhaltssuche in Microsoft 365 oder das Untersuchungstool in Google Workspace. Nach Absender, Betreff oder URL suchen, Treffer prüfen und dann löschen oder in Quarantäne verschieben. Die Zahl der betroffenen Postfächer festhalten.
Ist ein Phishing-Vorfall eine meldepflichtige Datenpanne?
Nicht immer. Zur Datenpanne wird er, wenn Angreifer personenbezogene Daten eingesehen, verändert oder abgezogen haben, zum Beispiel durch Lesen eines kompromittierten Postfachs. Dann gelten die Meldepflichten nach DSGVO bzw. revDSG, und Sie sollten die Checkliste Datenpanne starten.
Aktualisiert