Phishing-Schutz im Mittelstand: Welche Schichten sind verbreitet?

Welche regulatorischen Grundlagen sind einschlägig?

Die Anforderungen an einen Phishing-Schutz lassen sich aus mehreren parallelen Quellen ableiten:

• DSGVO Art. 32 Abs. 1 verlangt geeignete technisch-organisatorische Maßnahmen zur Sicherstellung von Vertraulichkeit und Integrität der Verarbeitung. Phishing-bezogene Datenschutzvorfälle können eine Meldepflicht nach Art. 33 DSGVO auslösen; sie entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt.
• NIS2-Richtlinie (EU) 2022/2555 Art. 21 Abs. 2 Buchst. g nennt grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit. In Deutschland ist das seit 06.12.2025 in § 30 Abs. 2 BSIG umgesetzt: Nr. 7 verlangt „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik" – für besonders wichtige und wichtige Einrichtungen, soweit § 30 nicht nach § 28 Abs. 5 oder 6 BSIG ausgeschlossen ist.

• BSI IT-Grundschutz Baustein APP.5.3 (Allgemeiner E-Mail-Client und -Server) ist die anerkannte Referenz für die Auslegung im deutschen Raum, einschließlich der E-Mail-Authentifizierungs-Mechanismen.
• § 263 StGB (Betrug) und § 263a StGB (Computerbetrug) sind strafrechtliche Tatbestände, die bei einem erfolgreichen Phishing-Angriff in Betracht kommen; eine Strafanzeige ist keine gesetzliche Pflicht, kann aber Teil der Vorfalls-Bearbeitung sein.
• Sektorspezifische Anforderungen können hinzukommen: Im Finanzsektor gilt seit 17.01.2025 DORA (VO (EU) 2022/2554), die nach Art. 13 Abs. 6 Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als Pflichtmodule verlangt; VAIT, KAIT und ZAIT hat die BaFin aufgehoben, die BAIT entfallen mit Ablauf des 31.12.2026 vollständig. Im Gesundheitswesen gibt es branchenspezifische Sicherheitsstandards (B3S). Die BSI-KritisV selbst legt nur Sektoren und Schwellenwerte fest, keine E-Mail- oder Schulungsvorgaben.

Welche Schutzbedarfs-Stufe passt typisch zu KMU?

Die Maßnahmen-Tiefe richtet sich nach Schutzbedarf, Branchenlage und vertraglichen Vorgaben:

• Normaler Schutzbedarf (Standard-Bürobetrieb, allgemeine Geschäftskorrespondenz): Eine mehrschichtige Basis-Verteidigung mit korrekt konfigurierten E-Mail-Authentifizierungs-Mechanismen, Standard-Anti-Spam-Filtern, dokumentierten Eskalationsregeln und regelmäßigen Awareness-Impulsen ist ein verbreiteter Bezugspunkt.
• Hoher Schutzbedarf (Buchhaltung mit hoher Transaktionslast, vertrauliche Branchen-Daten, exponierte Funktionen wie Geschäftsführung, Vertrieb, HR): Hier sind erweiterte Filterregeln, Vier-Augen-Prinzipien bei Zahlungsfreigaben, dedizierte Anti-Phishing-Lösungen und gezielte Rollen-Schulungen in Erwägung zu ziehen.

• Sehr hoher Schutzbedarf (besondere Datenkategorien, KRITIS, regulierte Finanz- und Gesundheitssektoren): Erweiterte technische Schutzmaßnahmen (Sandboxing, URL-Rewriting, erweiterte Bedrohungs-Analyse), strenge Genehmigungsprozesse für Zahlungs- und Datenfreigaben sowie regelmäßige Tabletop-Übungen sind regelmäßig erforderlich.

Welcher Aufbau-Rahmen ist verbreitet?

Ein verbreitetes Ordnungsschema unterscheidet drei Schichten; die Anforderungen an E-Mail-Server und -Clients beschreibt der BSI-Baustein APP.5.3. Die Tiefe jeder Schicht ist konditional zum Schutzbedarf zu sehen.

Technische Schicht

• E-Mail-Authentifizierungs-Mechanismen. SPF (Sender Policy Framework, RFC 7208), DKIM (DomainKeys Identified Mail, RFC 6376) und DMARC (Domain-based Message Authentication, Reporting and Conformance, seit Mai 2026 RFC 9989, das RFC 7489 ablöst) sind nach BSI-Empfehlung Bestandteil eines tragfähigen E-Mail-Sicherheitskonzepts. Eine fehlerhafte Konfiguration kann zu Zustellbarkeits-Problemen führen, nach BSI-Baustein APP.5.3 (Anforderung A9) SOLLTEN DMARC-Einträge vorgeben, dass E-Mails im Fehlerfall abgewiesen werden, und DMARC-Reports SOLLTEN regelmäßig ausgewertet werden. Um Zustellprobleme vorab zu erkennen, lässt sich die Policy schrittweise bis zur Abweisung verschärfen.
• Anti-Spam- und Anti-Phishing-Filter. Standard-Filter in Microsoft 365 und Google Workspace bieten konfigurierbare Stufen. Eine verschärfte Filterregel reduziert nach Anbieter-Dokumentation den Phishing-Durchsatz, kann jedoch False-Positives erzeugen; ein Quarantäne-Review-Prozess ist erforderlich.
• Erweiterte Bedrohungs-Analyse. Sandboxing von Anhängen, URL-Rewriting mit Klick-Zeit-Prüfung und Antivirus-Integration sind in den Anti-Phishing-Suiten der großen Plattformen (Microsoft Defender for Office 365, Sicherheitsfunktionen von Google Workspace, dedizierte Drittlösungen wie Hornetsecurity, Proofpoint, Mimecast, Cisco) verfügbar, die Auswahl hängt von Lizenzierung und Schutzbedarf ab.

Organisatorische Schicht

• Freigabe-Prozesse für finanzielle Transaktionen. Vier-Augen-Prinzipien bei Zahlungsfreigaben ab definierten Schwellenwerten, separate Rückbestätigung von IBAN-Änderungen über einen zweiten Kommunikationsweg (Telefonrückruf an die aus der Stammdatenbank bekannte Nummer, nicht aus der Mail) begrenzen den Schaden, auch wenn eine gefälschte Zahlungsaufforderung alle Filter passiert.
• Lieferanten- und Stammdaten-Management. Eine dokumentierte Pflege der Lieferanten-Domänen und IBANs mit regelmäßigem Abgleich ist Bestandteil eines tragfähigen Prozesses gegen Rechnungs-Manipulationen.
• Eskalationspfade. Eine dedizierte Meldestelle für verdächtige E-Mails und ein dokumentierter Reaktionsweg (technische Analyse, ggf. Block-Listing, Information der Belegschaft, Strafanzeige bei Schadens-Eintritt) sind Bestandteil eines tragfähigen Incident-Response-Konzepts. Meldungen von Fehlklicks sollten ohne Sanktion möglich sein, damit Vorfälle früh bekannt werden.

Awareness-Schicht

• Strukturierte Schulungsformate. Regelmäßige Awareness-Impulse (Mikro-Formate, kurze Videos, Beispiel-Sammlungen) sind ein verbreitetes Format.
• Simulierte Phishing-Tests. Anbieter wie Hornetsecurity, Sophos, KnowBe4, SoSafe bieten kontrollierte Test-Sendungen; die Auswertung dient der Identifikation des Schulungsbedarfs, nicht der individuellen Disziplinierung.
• Rollen-spezifische Inhalte. Mitarbeitende mit erhöhter Exposition (Buchhaltung, HR, Geschäftsführung, IT-Administration) erfordern regelmäßig vertiefte Inhalte, die auf die jeweiligen Angriffsmuster (CEO-Fraud, Bewerbungs-Phishing, Vendor-Impersonation, Wartungs-Vorwand) zugeschnitten sind.

Welche Konstellationen erfordern abweichendes Vorgehen?

Ein mehrschichtiges Standard-Konzept ist nicht für alle Unternehmensprofile ausreichend. In den folgenden Konstellationen sind erweiterte Maßnahmen erforderlich:

• NIS2-pflichtige besonders wichtige und wichtige Einrichtungen (ohne die nach § 28 Abs. 5 und 6 BSIG ausgenommenen): § 30 Abs. 2 BSIG verlangt in Nr. 7 grundlegende Schulungen und Sensibilisierungsmaßnahmen und in Nr. 6 Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen (Umsetzung von Art. 21 Abs. 2 Buchst. g und f NIS2-Richtlinie). Schulungen und Phishing-Tests sollten deshalb so dokumentiert werden, dass sich ihre Durchführung und Wirksamkeit nachweisen lassen.
• Finanzsektor: Seit 17.01.2025 gilt DORA (VO (EU) 2022/2554); Art. 13 Abs. 6 verlangt Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als Pflichtmodule für alle Beschäftigten und die Geschäftsleitung. VAIT, KAIT und ZAIT hat die BaFin aufgehoben; die BAIT gelten nur noch für Institute außerhalb von DORA und entfallen mit Ablauf des 31.12.2026 vollständig.

• Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO: Erweiterte technische und organisatorische Maßnahmen sind regelmäßig erforderlich.
• Hochwertige geistige Eigentum-Bestände, Forschung und Entwicklung, Verteidigungs-Zulieferer: Spear-Phishing und Advanced Persistent Threats sind hier ein realistischeres Risiko; Sandboxing, Threat-Intelligence-Anbindung und ggf. Managed-Detection-and-Response-Dienste sind in Erwägung zu ziehen.
• Cyber-Policen: Ob und welche Schulungen, Phishing-Tests oder Freigabe-Prozesse Deckungsvoraussetzung sind, regeln die jeweiligen Versicherungsbedingungen; sie sollten vor Vertragsschluss und bei jeder Verlängerung geprüft werden.

Bei Unsicherheit über die einschlägige Maßnahmen-Tiefe ist eine fachliche Beratung dem Verzicht auf Erweiterungen vorzuziehen.

Nächster Schritt

Eine erste Strukturierung der Reaktionsorganisation auf Phishing-Vorfälle lässt sich über den Incident-Response-Plan-Generator anlegen. Die Einbindung in das gesamte Cyber-Hygiene-Konzept ist im Anschluss erforderlich.

Eine Einordnung in die breitere Cyber-Sicherheits-Hygiene unter NIS2 findet sich in NIS2-Cybersicherheitshygiene in der Praxis.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand: 18.09.2026. Sie ersetzt keine Einzelfallprüfung durch eine qualifizierte Beratung.