Phishing-Arten: alle Typen einfach erklärt

Phishing ist die häufigste Einstiegsmethode für Cyberangriffe – und längst nicht mehr nur die klassische Betrugsmail von der „Bank“. Angreifer nutzen heute personalisierte Nachrichten, gefälschte Chef-Anweisungen, Anrufe, SMS und sogar QR-Codes. Wer die wichtigsten Phishing-Arten kennt, erkennt Angriffe früher und schützt sein Unternehmen besser. Dieser Beitrag gibt Ihnen den vollständigen Überblick.

Was ist Phishing – und was hat es mit Social Engineering zu tun?

Phishing ist der Versuch, über gefälschte Nachrichten an vertrauliche Daten zu gelangen oder Empfangende zu einer schädlichen Handlung zu bewegen – etwa zur Preisgabe von Passwörtern oder zu einer Überweisung. Der Angreifer gibt sich dabei als vertrauenswürdiger Absender aus, zum Beispiel als Bank, Lieferdienst, Kollege oder Vorgesetzte.

Phishing ist eine Form des Social Engineering. Darunter versteht man die gezielte Manipulation von Menschen, um Sicherheitsmechanismen zu umgehen. Nicht die Technik ist das Ziel, sondern der Mensch mit seinen Emotionen: Zeitdruck, Angst, Hilfsbereitschaft oder Autoritätshörigkeit. Genau diese Hebel nutzen alle Phishing-Arten – sie unterscheiden sich vor allem im Kanal und in der Zielgruppe.

Wie ernst die Lage ist, zeigt das Bundesamt für Sicherheit in der Informationstechnik in seinem jährlichen Lagebericht zur IT-Sicherheit in Deutschland: Die Bedrohung bleibt hoch, und gerade kleine und mittlere Unternehmen geraten zunehmend ins Visier.

Welche Phishing-Arten gibt es im Überblick?

Die folgende Übersicht zeigt die wichtigsten Phishing-Arten auf einen Blick – anschließend erklären wir jede einzeln:

Was ist Spear-Phishing?

Spear-Phishing ist ein gezielter Phishing-Angriff auf eine bestimmte Person oder ein bestimmtes Unternehmen. Anders als beim breiten Massenversand recherchieren die Angreifer ihr Ziel vorab – etwa über soziale Netzwerke oder die Unternehmenswebsite – und schneiden die Nachricht individuell zu.

Beispiel: Eine Mitarbeitende der Personalabteilung erhält eine täuschend echte Mail, die sich auf eine reale, kürzlich veröffentlichte Stellenanzeige bezieht und einen infizierten „Lebenslauf“ im Anhang trägt.

So erkennen Sie es: Die Nachricht wirkt ungewöhnlich gut informiert, erzeugt aber dennoch Druck oder bittet um eine untypische Handlung. Im Zweifel den Absender über einen bekannten, separaten Kanal verifizieren.

Was ist Whaling?

Whaling ist eine Sonderform des Spear-Phishings, die sich gezielt gegen die „großen Fische“ richtet: Geschäftsführung, Vorstand oder andere Führungskräfte. Weil diese Personen weitreichende Befugnisse haben, ist der potenzielle Schaden besonders hoch.

Beispiel: Eine Führungskraft erhält eine vermeintliche Nachricht einer Aufsichtsbehörde oder Anwaltskanzlei mit der dringenden Bitte, vertrauliche Unternehmensdaten in einem verlinkten Portal zu bestätigen.

So erkennen Sie es: Angebliche Vertraulichkeit, hoher Zeitdruck und die Aufforderung, gewohnte Prozesse zu umgehen, sind typische Warnzeichen.

Was ist CEO Fraud?

Beim CEO Fraud (auch „Chef-Masche“ oder Business E-Mail Compromise) geben sich Angreifer als Geschäftsführung aus und weisen Beschäftigte – meist in der Buchhaltung – zu einer dringenden Überweisung oder zur Herausgabe sensibler Daten an. Der Trick lebt von Autorität und Zeitdruck.

Beispiel: Die vermeintliche Geschäftsführung bittet per Mail um eine sofortige, streng vertrauliche Überweisung für eine „Firmenübernahme“ – bloß nicht mit anderen besprechen. Durch KI werden solche Angriffe immer überzeugender: In einem bekannten Fall überwies eine Beschäftigte nach einem Videocall mit Deepfake-Teilnehmenden rund 25 Millionen US-Dollar.

So erkennen Sie es: Ungewöhnliche Dringlichkeit, die Bitte um Geheimhaltung und ein von etablierten Prozessen abweichender Zahlungsweg. Feste Vier-Augen-Prinzipien für Überweisungen schützen wirksam.

Was ist Vishing?

Vishing (Voice Phishing) ist Phishing per Telefonanruf. Angreifer geben sich zum Beispiel als IT-Support, Bank oder Behörde aus und versuchen, am Telefon an Zugangsdaten zu gelangen oder zu einer Aktion zu drängen. Auch hier ermöglicht KI inzwischen täuschend echte Stimmimitationen.

Beispiel: Ein angeblicher IT-Mitarbeiter ruft an, meldet ein „dringendes Sicherheitsproblem“ und bittet um das Passwort oder die Installation einer Fernwartungssoftware.

So erkennen Sie es: Seriöse Stellen fragen nie telefonisch nach Passwörtern. Im Zweifel auflegen und über eine offiziell bekannte Nummer zurückrufen.

Was ist Smishing?

Smishing ist Phishing per SMS oder Messenger-Nachricht. Die Kurznachricht enthält meist einen Link zu einer gefälschten Website oder fordert zu einem Rückruf auf.

Beispiel: Eine SMS im Namen eines Paketdienstes meldet ein „Zollproblem“ und verlinkt auf eine Seite, die Zahlungsdaten abfragt.

So erkennen Sie es: Unerwartete Nachrichten mit Links, verkürzte URLs und die Aufforderung, schnell zu handeln. Links aus SMS grundsätzlich nicht anklicken, sondern offizielle Apps oder Websites direkt aufrufen.

Was ist Quishing?

Quishing ist Phishing über QR-Codes. Der QR-Code führt beim Scannen auf eine gefälschte Website oder löst einen schädlichen Download aus. Weil QR-Codes im Alltag als harmlos gelten, ist die Hemmschwelle niedrig.

Beispiel: Ein aufgeklebter QR-Code auf einem echten Parkautomaten oder in einer gefälschten Rechnung leitet auf eine täuschend echte Bezahlseite.

So erkennen Sie es: Vorsicht bei QR-Codes aus unerwarteten Quellen, überklebten Codes und Zielseiten, die sofort Zahlungs- oder Zugangsdaten verlangen. Die angezeigte URL vor dem Öffnen prüfen.

Wie erkennt man Phishing-Angriffe?

Trotz aller Unterschiede teilen die meisten Phishing-Arten dieselben Warnsignale. Das BSI nennt in seiner Übersicht Wie erkenne ich Phishing in E-Mails und auf Webseiten? mehrere typische Merkmale. Werden Sie misstrauisch, wenn eine Nachricht:

• dringenden Handlungsbedarf vorgibt („nur noch heute“, „sofort bestätigen“),
• mit Konsequenzen droht, etwa einer Kontosperre,
• zur Eingabe vertraulicher Daten wie Passwörtern oder Zahlungsdaten auffordert,
• Links oder Formulare enthält, die zur Dateneingabe drängen,
• scheinbar von einer bekannten Person oder Organisation stammt, das Anliegen aber ungewöhnlich wirkt.

Gerade im Unternehmenskontext gilt: Ein einziges dieser Merkmale genügt, um innezuhalten und die Nachricht über einen zweiten, bekannten Kanal zu prüfen.

Wie schützen sich Unternehmen vor Phishing?

Technische Filter fangen viele, aber längst nicht alle Angriffe ab – die entscheidende Verteidigungslinie sind gut informierte Mitarbeitende. Wirksamer Schutz ruht auf drei Säulen:

Klare Prozesse: feste Regeln für Zahlungen (Vier-Augen-Prinzip), definierte Meldewege und ein umfassendes Security Awareness Training als Rahmen.

Kontinuierliche Sensibilisierung: regelmäßige, alltagsnahe Schulungen statt einer jährlichen Pflichteinheit. Wie das gelingt, zeigt unser Beitrag zur Phishing-Schulung für Mitarbeitende.

Realistisches Training: Phishing-Simulationen machen sicheres Verhalten unter echten Bedingungen erlebbar und messbar.

Fazit: Wer die Arten kennt, erkennt den Angriff

Phishing ist kein einzelnes Phänomen, sondern eine ganze Familie von Angriffsarten – vom breit gestreuten E-Mail-Betrug über gezieltes Spear-Phishing bis zu Quishing per QR-Code. So unterschiedlich die Kanäle sind, so ähnlich sind die Muster dahinter: Druck, Täuschung und der Appell an menschliche Reflexe. Wer diese Muster kennt, ist Angreifern einen entscheidenden Schritt voraus.

Den nachhaltigsten Schutz bietet eine Kombination aus Wissen und Übung. Mit reteach Phishing Awareness verbinden Sie beides: kurze Lerneinheiten und realistische Phishing-Simulationen mit sofortiger Aufklärungsseite – datenschutzfreundlich gestaltet, mit auditfähigem Nachweisbeitrag und als eigenständige Komplettlösung mit und ohne reteach LMS nutzbar.

👉 reteach Phishing Awareness kennenlernen oder direkt eine Live-Demo vereinbaren.

Häufig gestellte Fragen