10 praktische Wege, Ihr Startup vor Phishing-Angriffen zu schützen

Eine einzige überzeugende E-Mail kann Monate an Arbeit zunichtemachen. Ein Angreifer muss Ihre Verschlüsselung nicht knacken oder einen Zero-Day finden, wenn er einfach einen beschäftigten Mitarbeiter bitten kann, ein Passwort zurückzusetzen, eine gefälschte Rechnung freizugeben oder auf einen Link zu klicken, der ein Sitzungstoken stiehlt. Phishing bleibt die häufigste Art, wie wachsende Unternehmen kompromittiert werden, gerade weil es auf Menschen statt auf Maschinen abzielt.

Startups sind aus mehreren Gründen attraktive Ziele. Die Teams sind klein, sodass eine Person oft mehrere Rollen übernimmt und gleichzeitig Zugriff auf Geld, Code und Kundendaten hat. Die Abläufe sind noch im Entstehen, was bedeutet, dass es selten einen dokumentierten Weg gibt, eine ungewöhnliche Anfrage zu überprüfen. Und die Gründer sind sichtbar damit beschäftigt, Kapital einzuwerben und ihr Produkt auszuliefern, was ihre Namen leicht nachzuahmen macht. Die gute Nachricht ist, dass die meisten Phishing-Abwehrmaßnahmen kostengünstig sind, sich schnell einführen lassen und kein eigenes Sicherheitsteam erfordern. Hier sind zehn praktische Schritte, die Sie unternehmen können, die meisten davon innerhalb einer Woche.

1. Aktivieren Sie überall die Multi-Faktor-Authentifizierung

Die Multi-Faktor-Authentifizierung (MFA) ist die wirkungsvollste Maßnahme, die Sie aktivieren können, denn sie sorgt dafür, dass die meisten gestohlenen Passwörter unbrauchbar werden. Priorisieren Sie zuerst Ihre E-Mail, Ihre Cloud-Konsole, Ihren Quellcode-Host und alle Admin-Dashboards und arbeiten Sie sich dann zu jedem SaaS-Tool vor. Vermeiden Sie SMS-Codes, wo immer es geht, da sie anfällig für SIM-Swapping sind, und bevorzugen Sie eine Authenticator-App oder, noch besser, Hardware-Sicherheitsschlüssel (FIDO2) für Administratoren und Gründer. Hardware-Schlüssel sind von Natur aus phishing-resistent, weil sie eine Anmeldeinformation nicht an eine täuschend ähnliche Domain herausgeben.

2. Geben Sie allen einen Passwort-Manager

Wiederverwendete und schwache Passwörter machen aus einer einzigen geleakten Anmeldeinformation zehn Sicherheitsvorfälle. Ein Passwort-Manager für das Team ermöglicht es Ihnen, für jedes Konto ein einzigartiges, langes Passwort zu erzeugen und Anmeldedaten sicher zu teilen, ohne sie in den Chat einzufügen. Führen Sie einen für das gesamte Unternehmen ein, machen Sie ihn beim Onboarding zum Standard und nutzen Sie ihn als führendes System, damit niemand Passwörter in Browsern oder Tabellen speichert. Als zusätzlichen Vorteil füllen die meisten Passwort-Manager nur auf der exakt passenden Domain automatisch aus, was Nutzer leise warnt, wenn sie auf einer gefälschten Anmeldeseite landen.

3. Sichern Sie Ihre E-Mail mit SPF, DKIM und DMARC ab

Diese drei DNS-Einträge machen es für Angreifer deutlich schwerer, Ihre Domain zu fälschen und Ihr Team zu imitieren. SPF listet die Server auf, die im Namen Ihrer Domain E-Mails senden dürfen, DKIM signiert Ihre Nachrichten kryptografisch, und DMARC teilt den empfangenden Servern mit, was zu tun ist, wenn eine Nachricht diese Prüfungen nicht besteht. Beginnen Sie damit, SPF und DKIM zu veröffentlichen, und fügen Sie dann einen DMARC-Eintrag im Überwachungsmodus (p=none) hinzu, damit Sie die Berichte lesen können, ohne legitime E-Mails zu stören. Sobald die Berichte sauber aussehen, verschärfen Sie die Richtlinie auf Quarantäne und danach auf Ablehnung, was gefälschte E-Mails vollständig davon abhält, überhaupt in die Postfächer zu gelangen.

4. Führen Sie regelmäßige Schulungen zum Sicherheitsbewusstsein durch

Ihre Mitarbeitenden sind die letzte Verteidigungslinie, geben Sie ihnen daher das Gespür, einen Betrug zu erkennen. Halten Sie Schulungen kurz und häufig statt einer langen jährlichen Sitzung und verwenden Sie echte Beispiele der Phishing-Themen, die Ihre Branche tatsächlich erlebt, etwa gefälschte Rechnungen, geteilte Dokumentlinks und Anfragen zur Änderung der Gehaltsabrechnung. Führen Sie gelegentlich simulierte Phishing-Übungen durch, um zu messen, wer klickt, aber behandeln Sie die Ergebnisse als Gelegenheit zum Coaching, niemals als Mittel, um Mitarbeitende zu bestrafen oder bloßzustellen. Das Ziel ist eine Kultur, in der das Hinterfragen einer verdächtigen Nachricht normal ist und gefördert wird.

5. Machen Sie das Melden einer Phishing-E-Mail mühelos

Wenn das Melden langsam oder unklar ist, löschen Menschen verdächtige Nachrichten stillschweigend, und Sie verlieren Ihr Frühwarnsystem. Fügen Sie Ihrem E-Mail-Programm eine "Phishing melden"-Schaltfläche mit einem Klick hinzu oder veröffentlichen Sie eine einzige, leicht zu merkende Adresse wie security@ihrunternehmen, und stellen Sie dann sicher, dass tatsächlich jemand sichtet, was eingeht. Bedanken Sie sich bei jeder meldenden Person, auch bei denen, die versehentlich legitime E-Mails weiterleiten, denn Sie wollen den Instinkt belohnen, nicht die Genauigkeit. Wenn Sie eine laufende Kampagne früh erkennen, können Sie das ganze Team warnen und schädliche Nachrichten aus den Postfächern entfernen, bevor weitere Personen klicken.

6. Setzen Sie das Prinzip der geringsten Rechte durch

Je weniger Zugriff ein Konto hat, desto weniger Schaden kann ein erfolgreicher Phishing-Angriff anrichten. Geben Sie Personen nur die Berechtigungen, die ihre Rolle wirklich benötigt, halten Sie die Zahl der Administratoren so klein wie möglich und verwenden Sie für risikoreiche Aktionen separate Admin-Konten statt der täglichen Arbeit. Überprüfen Sie Zugriffe nach einem festen Zeitplan und entziehen Sie sie in dem Moment, in dem jemand die Rolle wechselt oder das Unternehmen verlässt. Dieses Prinzip steht im Zentrum einer modernen Sicherheitsstrategie, und Sie können mehr dazu in unserem Leitfaden zur Zero-Trust-Architektur erklärt lesen.

7. Setzen Sie auf jedem Gerät Endpunktschutz ein

Wenn ein Phishing-Link doch einmal Schadsoftware ausliefert, ist es der Endpunktschutz, der sie abfängt. Installieren Sie auf jedem Laptop ein renommiertes Tool zur Endpunkterkennung und -reaktion (EDR) oder ein modernes Antivirenprogramm und machen Sie es zur Voraussetzung, bevor ein Gerät auf Unternehmensdaten zugreifen darf. Kombinieren Sie es mit grundlegender Gerätehygiene: vollständige Festplattenverschlüsselung, automatische Bildschirmsperre und eine Möglichkeit, ein verlorenes oder gestohlenes Gerät aus der Ferne zu löschen. Für ein kleines Team bietet Ihnen ein verwalteter EDR-Dienst rund um die Uhr Warnmeldungen, ohne dass Sie ein eigenes Security Operations Center besetzen müssen.

8. Spielen Sie Software-Updates zeitnah ein

Angreifer verketten gern einen Phishing-Klick mit einer ungepatchten Schwachstelle, daher schließt aktuelle Software diese Tür. Aktivieren Sie automatische Updates für Betriebssysteme, Browser und Browser-Erweiterungen, denn in Browsern landen die meisten Phishing-Links tatsächlich. Führen Sie ein Inventar der Software, die Ihr Team nutzt, damit nichts Wichtiges vergessen wird, und setzen Sie eine klare Frist für das Einspielen kritischer Patches, zum Beispiel innerhalb von 48 Stunden nach der Veröffentlichung. Dieselbe Disziplin gilt für Ihre eigenen Webanwendungen und deren Abhängigkeiten.

9. Prüfen Sie Zahlungs- und Bankänderungen über einen zweiten Kanal

Business E-Mail Compromise, bei dem ein Angreifer eine Überweisung anfordert oder Bankdaten ändert, ist eine der teuersten Formen von Phishing. Legen Sie als feste Regel fest, dass jede Änderung von Zahlungsdaten oder jede ungewöhnliche Geldforderung über einen zweiten Kanal bestätigt wird, etwa durch einen Anruf unter einer bekannten Nummer, und niemals über die Kontaktdaten in der E-Mail selbst. Legen Sie einen Betragsschwellenwert fest, ab dem eine zweite Person zustimmen muss, und stellen Sie sicher, dass Finanzmitarbeitende wissen, dass Dringlichkeit und Geheimhaltung klassische Druckmittel sind. Ein Telefonanruf von dreißig Sekunden hat vielen Unternehmen einen fünfstelligen Verlust erspart.

10. Üben Sie mit Planspielen

Sie wollen nicht, dass Ihr Team zum ersten Mal während eines echten Vorfalls auf einen Vorfall reagiert. Führen Sie ein- oder zweimal im Jahr eine kurze Planspielübung durch, in der Sie ein realistisches Szenario durchgehen, etwa ein kompromittiertes Gründerkonto, und besprechen Sie, wer was tut. Dokumentieren Sie die Ergebnisse als einfachen Notfallplan mit Namen, Kontaktdaten und den ersten Schritten und bewahren Sie ihn an einem zugänglichen Ort auf, selbst wenn die E-Mail ausfällt. Diese Übungen decken Lücken kostengünstig auf, bevor ein Angreifer sie für Sie findet.

Eine kurze abschließende Checkliste

Nutzen Sie dies als Ihren Umsetzungsplan. Gehen Sie zuerst die obersten Punkte an, da sie den größten Schutz bei geringstem Aufwand bieten:

• MFA aktiviert für E-Mail, Cloud, Code und alle Admin-Tools, mit Hardware-Schlüsseln für Gründer und Administratoren
• Ein Team-Passwort-Manager eingeführt und beim Onboarding als Standard festgelegt
• SPF, DKIM und DMARC veröffentlicht, wobei DMARC in Richtung einer Ablehnungsrichtlinie geht
• Kurze, häufige Schulungen zum Sicherheitsbewusstsein mit gelegentlichen Simulationen
• Ein Meldeweg für Phishing mit einem Klick, den jemand aktiv sichtet
• Zugriff nach geringsten Rechten, nach einem Zeitplan überprüft
• Endpunktschutz, Festplattenverschlüsselung und Remote-Löschung auf jedem Gerät
• Automatische Updates aktiviert, mit einer klaren Frist für kritische Patches
• Eine feste Regel zur Verifizierung über einen zweiten Kanal für jede Zahlungs- oder Bankänderung
• Ein Notfallplan, den Sie mindestens einmal geübt haben

Keiner dieser Schritte erfordert ein großes Budget, und zusammen beseitigen sie die leichten Erfolge, auf die Phishing-Kampagnen bauen. Wenn Sie Ihre Gesamtangriffsfläche tiefer betrachten möchten, ist eine strukturierte Überprüfung der natürliche nächste Schritt, und unsere Darstellung eines Sicherheitsaudits für die Website eines kleinen Unternehmens ist ein guter Ausgangspunkt.

Sicherheit ist kein einmaliges Projekt, sondern eine Gewohnheit, die Sie in die Arbeitsweise Ihres Teams einbauen. Wenn Sie Unterstützung bei der Härtung Ihrer E-Mail-, Cloud- und Web-Infrastruktur wünschen, kann das Innovation T Team Ihre aktuelle Konfiguration bewerten und diese Abwehrmaßnahmen gemeinsam mit Ihnen umsetzen. Entdecken Sie unsere Leistungen oder nehmen Sie Kontakt auf, um das Gespräch zu beginnen.