Ein Mitarbeiter klickt auf einen Link in einer scheinbar harmlosen E-Mail und gibt seine Zugangsdaten ein. Was als gewöhnliche Phishing-Mail im Unternehmen beginnt, kann sich daraus zu einem Identitätsdiebstahl mit weitreichenden Folgen entwickeln.
Identitätsbetrug ist eine wachsende Form der Cyberkriminalität, und die Schadenssummen steigen. Für Geschäftsführer und IT-Verantwortliche im Mittelstand stellt sich daher weniger die Frage, ob das eigene Unternehmen ins Visier gerät, sondern wann. Wir erklären, wie aus einer Phishing-Mail ein Identitätsdiebstahl wird, welchen Schaden Kriminelle damit anrichten und mit welchen Maßnahmen Sie sich schützen.
Wie eine Phishing-Mail im Unternehmen zum Identitätsdiebstahl führt
Der Ablauf ist fast immer ähnlich. Ein Mitarbeiter findet eine E-Mail von einem vermeintlich seriösen Absender im Postfach, etwa von einem Paketdienst, einem Software-Anbieter oder einer Bank. Der Anlass wirkt plausibel: eine angeblich nicht zugestellte Sendung, eine erforderliche Bestätigung, eine dringende Sicherheitswarnung. Genau diese Plausibilität ist das Gefährliche.
Die Aufforderung läuft typischerweise auf eine von drei Handlungen hinaus:
-
- einen Link anzuklicken
- einen Anhang zu öffnen
- auf einer gefälschten Website ein Passwort einzugeben
Reagiert der Mitarbeiter falsch, hat der Angreifer mit hoher Wahrscheinlichkeit bereits einen Zugang. Über einen Link oder Anhang lässt sich Schadsoftware auf dem Rechner installieren. Werden Zugangsdaten auf einer gefälschten Seite eingegeben, landen sie direkt beim Angreifer. Mit diesen Daten verschafft er sich Zugang zu Konten, zum Netzwerk und damit potenziell zur gesamten IT-Infrastruktur.
An dieser Stelle wird aus dem Phishing ein Identitätsdiebstahl. Denn der Angreifer besitzt nun nicht nur einen technischen Zugang, sondern die digitale Identität eines Mitarbeiters oder gleich des Unternehmens. Er kann unter fremdem Namen handeln, und genau das macht den eigentlichen Schaden aus.
Was Kriminelle mit einer gestohlenen Identität anfangen
Eine gestohlene Unternehmensidentität ist für Kriminelle vielseitig verwertbar. Im Namen der Firma lassen sich E-Mails an Kunden und Lieferanten versenden, Bestellungen aufgeben oder geschäftliche Aktivitäten vornehmen, aus denen Zahlungs- und Lieferverbindlichkeiten entstehen. Für diese Verpflichtungen haftet im Zweifel Ihr Unternehmen.
Hinzu kommt der Datenabfluss. Persönliche Daten Ihrer Mitarbeiter und sensible Daten Ihrer Kunden können auf Plattformen wie dem Darknet weiterverkauft werden. Was anschließend mit diesen Daten geschieht, liegt vollständig außerhalb Ihrer Kontrolle.
Die Folgen lassen sich grob in drei Bereiche einteilen:
-
- Finanzielle Schäden durch Warenbetrug, eingegangene Verbindlichkeiten und den Aufwand der Wiederherstellung
- Datenschutzverstöße, wenn personenbezogene Daten von Mitarbeitern oder Kunden in falsche Hände geraten
- Reputationsschäden, die oft am längsten nachwirken, weil verlorenes Vertrauen sich nur schwer zurückgewinnen lässt
Besonders wichtig: Gelangen personenbezogene Daten an unberechtigte Dritte, besteht für Sie eine Meldepflicht gemäß Artikel 33 DSGVO gegenüber der zuständigen Aufsichtsbehörde, und zwar innerhalb von 72 Stunden. Ein Identitätsdiebstahl ist damit nicht nur ein technisches, sondern auch ein rechtliches Problem.
Maßnahmen gegen Identitätsdiebstahl
Die gute Nachricht: Sie können das Risiko deutlich senken. Wirksamer Schutz besteht aus zwei Säulen, der Prävention und dem richtigen Verhalten im Ernstfall.
Prävention von Identitätsdiebstahl
Eine Kette ist nur so stark wie ihr schwächstes Glied. Die leistungsfähigste Firewall nützt wenig, wenn ein Mitarbeiter auf einen gut gemachten Angriff hereinfällt. Deshalb gehört zur Prävention immer beides, Technik und Mensch:
-
- Mitarbeiter sensibilisieren: Awareness-Trainings und simulierte Phishing-Kampagnen schulen das Sicherheitsbewusstsein im Arbeitsalltag. Mitarbeiter, die wissen, woran sie eine gefälschte Mail erkennen, sind die wirksamste Verteidigungslinie.
- Technische Schutzmaßnahmen: Firewall, Endpoint-Schutz und vor allem die Multifaktor-Authentifizierung. Letztere sorgt dafür, dass ein gestohlenes Passwort allein dem Angreifer nichts nützt.
- Klare Prozesse: Jeder Mitarbeiter sollte wissen, an wen er sich bei einer verdächtigen Mail wendet und dass eine Nachfrage nie ein Fehler ist.
Im Ernstfall richtig handeln
Trotz aller Vorsorge kann ein Angriff gelingen. Dann zählt schnelles und strukturiertes Handeln (dabei kann ein im Vorhinein erstellter Notfallplan helfen):
-
- Betroffene Systeme umgehend isolieren, um eine weitere Ausbreitung zu verhindern
- Den IT-Dienstleister kontaktieren, damit das Ausmaß professionell bewertet werden kann
- Die Meldepflicht nach Artikel 33 DSGVO prüfen und die Frist einhalten
- Eine Bestandsaufnahme der IT-Landschaft durchführen, um die Eintrittsstelle zu finden und zu schließen
Wie ein solcher Ablauf im Detail aussieht, lesen Sie in unserem Beitrag zum Umgang mit einem IT-Sicherheitsvorfall.
Warum der Mittelstand besonders gefährdet ist
Kleine und mittlere Unternehmen unterschätzen ihr Risiko häufig. Dabei zeigen die Zahlen ein klares Bild. Laut dem BSI-Lagebericht 2025 richteten sich rund 80 Prozent der erfassten Ransomware-Angriffe gegen kleine und mittlere Unternehmen. Auch wenn diese Zahl Ransomware betrifft und nicht ausschließlich Phishing, verdeutlicht sie die Grundtendenz: Der Mittelstand steht nicht am Rand, sondern im Zentrum des Geschehens.
Die Gründe liegen auf der Hand. Mittelständische Unternehmen verfügen über weniger Ressourcen für IT-Sicherheit als Großkonzerne. Mitarbeiter sind oft nicht ausreichend geschult, und Sicherheitsmaßnahmen werden eher reaktiv als vorausschauend umgesetzt. Das BSI stellt zudem fest, dass KMU im Schnitt nur etwa 56 Prozent der Basisanforderungen an IT-Sicherheit erfüllen und ihr eigenes Schutzniveau dabei häufig überschätzen.
Angreifer kennen diese Lücke und nutzen sie gezielt aus. Automatisierte Angriffe machen ohnehin keinen Unterschied zwischen 20 und 200 Mitarbeitern. Wo der Aufwand gering und die Erfolgsaussicht hoch ist, schlagen Kriminelle zu. Genau das macht den Mittelstand zu einem bevorzugten Ziel.
Fazit und Handlungsempfehlung
Kein Unternehmen ist zu klein, um ein Ziel zu sein. Ein Identitätsdiebstahl beginnt oft mit einer einzigen Phishing-Mail, kann aber finanzielle, rechtliche und reputative Folgen nach sich ziehen, die ein Unternehmen über Jahre belasten. Wer jetzt handelt, statt auf den Ernstfall zu warten, reduziert das Risiko erheblich.
Vertriebsleiter
Jaroslaw Andrzejewski
Der wirksamste Hebel liegt bei den Mitarbeitern, ergänzt um durchdachte technische Maßnahmen und klare Abläufe für den Ernstfall. Genau dieses Zusammenspiel verstehen wir bei der GFAD als ganzheitliches Sicherheitsmanagement. Mit Awareness-Trainings stärken wir das Sicherheitsbewusstsein Ihrer Belegschaft, mit individueller IT-Security-Beratung schließen wir technische Lücken, und mit Managed Security übernehmen wir auf Wunsch die laufende Überwachung Ihrer Systeme. Eine erfahrene Einschätzung Ihrer aktuellen Sicherheitslage erhalten Sie in einem kostenlosen und unverbindlichen Erstgespräch.