Ein Mitarbeiter erhält eine E-Mail von seiner Personalabteilung, in der er aufgefordert wird, seine Anmeldedaten in einem Formular zu bestätigen. Der Link führt zu einer Domain, die dem internen Portal ähnelt, nur mit einem Buchstaben Unterschied. Im Jahr 2024 hat die Plattform cybermalveillance.gouv.fr über 420.000 Unterstützungsanfragen registriert, von denen etwa ein Drittel mit Phishing in Verbindung steht.
Die Sicherheit von Daten online basiert nicht mehr auf vagen Prinzipien, sondern auf präzisen Reflexen im Angesicht zunehmend gezielter Angriffe.
Ebenfalls empfehlenswert : Die Top 50 der besten 50cc zugelassenen Motorräder, die man 2024 unbedingt entdecken sollte
Zielgerichtetes Phishing und massive Datenlecks: Was die aktuellen Zahlen verändern
Das Barometer der Datenlecks, das in Partnerschaft mit der CNIL erstellt wurde, verzeichnet 8.613 gemeldete Verstöße zwischen September 2024 und September 2025, was einem Anstieg von 45 % im Vergleich zum vorherigen Zeitraum entspricht. Die sogenannten “Massenvorfälle”, die mehr als eine Million Menschen betreffen, nehmen zu.
Es geht nicht mehr um abstrakte Risiken. Wenn eine Datenbank eines Betreibers oder einer Krankenkasse geleakt wird, zirkulieren Namen, Adressen und Sozialversicherungsnummern in spezialisierten Foren. Jedes Leck nährt personalisierte Phishing-Kampagnen: Die betrügerische Nachricht enthält Ihren echten Namen, Ihre echte Adresse, manchmal eine Vertragsnummer. Der klassische Spam-Filter reicht nicht mehr aus.
Ebenfalls empfehlenswert : Entdecken Sie die besten Geräte zur Optimierung Ihrer Online-Architekturprojekte
Angesichts dieser Realität finden sich aktualisierte technische Ressourcen in dem Sicherheitsbereich von Tech Mafia, die die gängigen Angriffsmechanismen und die entsprechenden Gegenmaßnahmen detailliert beschreiben.
Der Reflex, den jede Gruppe entwickeln sollte: systematisch die Absenderdomain überprüfen, bevor man auf einen Link klickt oder einen Anhang öffnet. Nicht den angezeigten Namen, sondern die vollständige technische Adresse. Auf Mobilgeräten erfordert dies ein langes Drücken auf die Adresse, eine Geste, die nur wenige Menschen beherrschen.
Passwortmanager: Das einzige Werkzeug, das langfristig funktioniert
Die Regel ist bekannt: Ein einzigartiges Passwort pro Dienst, lang und komplex. In der Praxis verwaltet eine Person zwischen fünfzig und hundert Online-Konten. Ohne ein spezielles Tool landet man bei Varianten desselben Passworts oder speichert sie in einer Textdatei.
Ein Passwortmanager (KeePass, Bitwarden, 1Password) generiert und speichert zufällige Anmeldedaten hinter einem einzigen Master-Passwort. Das Master-Passwort ist die einzige Zeichenkette, die man sich merken muss. Der Rest wird lokal oder in einem synchronisierten Tresor verschlüsselt.
Konkrete Kriterien zur Auswahl eines Managers
- Ende-zu-Ende-Verschlüsselung: Der Anbieter darf Ihre Passwörter nicht lesen können, selbst im Falle einer Kompromittierung seiner Server
- Multi-Geräte-Kompatibilität: Der Manager muss auf Ihrem Desktop-Browser, Ihrem Telefon und Ihrem Tablet reibungslos funktionieren
- Veröffentlichtes Sicherheits-Audit: Bevorzugen Sie Lösungen, deren Code von einem unabhängigen Dritten geprüft wurde, mit einem zugänglichen Bericht
Die Meinungen variieren über die Wahl zwischen selbstgehosteter Lösung und Cloud-Lösung. Für den persönlichen Gebrauch deckt eine geprüfte Cloud-Lösung die meisten Bedürfnisse ab. Für ein Unternehmen, das mit sensiblen Daten umgeht, bietet das Selbsthosting die vollständige Kontrolle über die Infrastruktur.
Zwei-Faktor-Authentifizierung: Wo sie vorrangig aktiviert werden sollte
Die Zwei-Faktor-Authentifizierung (2FA) überall auf einmal zu aktivieren, ist der beste Weg, es gar nicht zu tun. Man beginnt mit den Konten, deren Kompromittierung die schwerwiegendsten Auswirkungen hätte.
Haupt-E-Mail, Online-Banking, Arbeitgeberbereich: Diese drei Zugänge konzentrieren das wesentliche Risiko. Ein Angreifer, der Ihre E-Mail kontrolliert, kann die Passwörter aller Ihrer anderen Dienste zurücksetzen.
SMS, App, physischer Schlüssel: Was wählen?
Der Code per SMS bleibt anfällig für SIM-Swapping (Abfangen der SIM-Karte). Eine Authentifizierungs-App wie Google Authenticator oder Authy generiert Codes lokal, ohne das Mobilfunknetz zu nutzen. Für die am stärksten exponierten Profile (Führungskräfte, Systemadministratoren) blockiert ein physischer FIDO2-Schlüssel jede Phishing-Versuch, selbst die ausgeklügeltsten, da er die Domain der Website überprüft, bevor er aktiviert wird.
Konkret dauert der Wechsel von SMS zu einer App weniger als zehn Minuten pro Konto. Der Gewinn an Schutz ist erheblich.
Sicherungen und Verschlüsselung sensibler Daten
Wenn ein Ransomware ein Laufwerk verschlüsselt, ist die Frage nicht, ob man das Lösegeld zahlen kann. Die Frage ist: Haben wir ein aktuelles, vom Netzwerk getrenntes und getestetes Backup?
Die operationale Regel besteht aus drei Punkten:
- Eine lokale Kopie auf einer externen Festplatte, die nach jedem Backup vom Stromnetz getrennt wird, um einem Ransomware-Angriff, der alles verschlüsselt, was verbunden ist, standzuhalten
- Eine entfernte Kopie (verschlüsselter Cloud oder externer Server), um das Risiko von Feuer, Diebstahl oder Hardwareausfall abzudecken
- Ein Wiederherstellungstest mindestens einmal pro Quartal, denn ein Backup, das man nie wiederhergestellt hat, ist ein Backup, das nicht existiert
Die Verschlüsselung sensibler Dateien, bevor sie gespeichert werden, fügt eine Schutzschicht hinzu. Tools wie VeraCrypt ermöglichen es, in wenigen Minuten ein verschlüsseltes Volume auf einer externen Festplatte zu erstellen. Wenn die Festplatte gestohlen wird, bleiben die Daten ohne den Schlüssel unlesbar.
Berechtigungen und Updates: Zwei vernachlässigte Aspekte im Alltag
Eine Taschenlampen-App zu installieren, die Zugriff auf Kontakte, Mikrofon und Geolokalisierung verlangt, ist eine gängige Situation. Jede erteilte Berechtigung ist eine potenzielle Angriffsfläche.
Sowohl auf Android als auch auf iOS kann man inzwischen temporäre Berechtigungen (nur während der Nutzung) erteilen oder sie appweise widerrufen. Eine vierteljährliche Bereinigung der installierten Berechtigungen dauert fünfzehn Minuten und reduziert die Exposition erheblich.
Was die Updates betrifft, so ist ein nicht aktualisiertes Gerät eine offene Tür. Sicherheits-Patches schließen aktiv ausgenutzte Lücken. Automatische Updates auf allen Geräten, einschließlich des Heimrouters, zu aktivieren, beseitigt das Risiko des Vergessens.
Der Schutz von Daten online beruht weniger auf dem Wissen um die Regeln als auf deren regelmäßiger Anwendung. Ein konfigurierter Passwortmanager, eine aktivierte Zwei-Faktor-Authentifizierung auf drei kritischen Konten, ein getestetes Backup: Diese drei Maßnahmen decken die Mehrheit der Angriffsszenarien ab, denen wir tatsächlich ausgesetzt sind.