Phishing-Schutz im Mittelstand: Welche Schichten sind verbreitet?

Welche regulatorischen Grundlagen sind einschlägig?

Die Anforderungen an einen Phishing-Schutz lassen sich aus mehreren parallelen Quellen ableiten:

• DSGVO Art. 32 Abs. 1 verlangt geeignete technisch-organisatorische Maßnahmen zur Sicherstellung von Vertraulichkeit und Integrität der Verarbeitung. Phishing-bezogene Datenschutzvorfälle führen regelmäßig zu Meldepflichten nach Art. 33 DSGVO.
• NIS2-Richtlinie (EU) 2022/2555 Art. 21 Abs. 2 lit. g verlangt Maßnahmen im Bereich der Cyber-Sicherheits-Hygiene und der Schulung des Personals, sofern das Unternehmen in den Anwendungsbereich der nationalen Umsetzung fällt.

Detail

• BSI IT-Grundschutz Baustein APP.5.3 (Allgemeiner E-Mail-Client und -Server) ist die anerkannte Referenz für die Auslegung im deutschen Raum, einschließlich der E-Mail-Authentifizierungs-Mechanismen.
• § 263 StGB (Betrug) und § 263a StGB (Computerbetrug) sind die strafrechtlichen Tatbestände, die bei einem erfolgreichen Phishing-Angriff regelmäßig einschlägig sind; die Strafanzeige ist Bestandteil der Vorfalls-Bearbeitung.
• Sektorspezifische Anforderungen (BAIT, VAIT, KAIT, B3S Krankenhaus, KRITIS-Verordnung) sehen regelmäßig erweiterte Vorgaben für E-Mail-Sicherheit und Schulungspflichten vor.

Welche Schutzbedarfs-Stufe passt typisch zu KMU?

Die Maßnahmen-Tiefe richtet sich nach Schutzbedarf, Branchenlage und vertraglichen Vorgaben:

• Normaler Schutzbedarf (Standard-Bürobetrieb, allgemeine Geschäftskorrespondenz): Eine mehrschichtige Basis-Verteidigung mit korrekt konfigurierten E-Mail-Authentifizierungs-Mechanismen, Standard-Anti-Spam-Filtern, dokumentierten Eskalationsregeln und regelmäßigen Awareness-Impulsen ist ein verbreiteter Bezugspunkt.
• Hoher Schutzbedarf (Buchhaltung mit hoher Transaktionslast, vertrauliche Branchen-Daten, exponierte Funktionen wie Geschäftsführung, Vertrieb, HR): Hier sind erweiterte Filterregeln, Vier-Augen-Prinzipien bei Zahlungsfreigaben, dedizierte Anti-Phishing-Lösungen und gezielte Rollen-Schulungen in Erwägung zu ziehen.

Detail

• Sehr hoher Schutzbedarf (besondere Datenkategorien, KRITIS, regulierte Finanz- und Gesundheitssektoren): Erweiterte technische Schutzmaßnahmen (Sandboxing, URL-Rewriting, erweiterte Bedrohungs-Analyse), strenge Genehmigungsprozesse für Zahlungs- und Datenfreigaben sowie regelmäßige Tabletop-Übungen sind regelmäßig erforderlich.

Welcher Aufbau-Rahmen ist verbreitet?

Ein mehrschichtiges Schutzkonzept, wie es im BSI-Baustein APP.5.3 und in den ENISA-Leitfäden beschrieben ist, umfasst typischerweise drei Schichten. Die Tiefe jeder Schicht ist konditional zum Schutzbedarf zu sehen.

Technische Schicht

• E-Mail-Authentifizierungs-Mechanismen. SPF (Sender Policy Framework, RFC 7208), DKIM (DomainKeys Identified Mail, RFC 6376) und DMARC (Domain-based Message Authentication, Reporting and Conformance, RFC 7489) sind nach BSI-Empfehlung Bestandteil eines tragfähigen E-Mail-Sicherheitskonzepts. Eine fehlerhafte Konfiguration kann zu Zustellbarkeits-Problemen führen — die DMARC-Policy ist nach BSI-Empfehlung typischerweise stufenweise (none → quarantine → reject) zu erhöhen, begleitet von einer Auswertung der DMARC-Reports.
• Anti-Spam- und Anti-Phishing-Filter. Standard-Filter in Microsoft 365 und Google Workspace bieten konfigurierbare Stufen. Eine verschärfte Filterregel reduziert nach Anbieter-Dokumentation den Phishing-Durchsatz, kann jedoch False-Positives erzeugen; ein Quarantäne-Review-Prozess ist erforderlich.
• Erweiterte Bedrohungs-Analyse. Sandboxing von Anhängen, URL-Rewriting mit Klick-Zeit-Prüfung und Antivirus-Integration sind in den Anti-Phishing-Suiten der großen Plattformen (Microsoft Defender for Office 365, Google Workspace Advanced Protection, dedizierte Drittlösungen wie Hornetsecurity, Proofpoint, Mimecast, Cisco) verfügbar — die Auswahl hängt von Lizenzierung und Schutzbedarf ab.

Organisatorische Schicht

• Freigabe-Prozesse für finanzielle Transaktionen. Vier-Augen-Prinzipien bei Zahlungsfreigaben ab definierten Schwellenwerten, separate Rückbestätigung von IBAN-Änderungen über einen zweiten Kommunikationsweg (Telefonrückruf an die aus der Stammdatenbank bekannte Nummer, nicht aus der Mail) sind in Aufsichts- und Versicherungsanforderungen häufig referenziert.
• Lieferanten- und Stammdaten-Management. Eine dokumentierte Pflege der Lieferanten-Domänen und IBANs mit regelmäßigem Abgleich ist Bestandteil eines tragfähigen Prozesses gegen Rechnungs-Manipulationen.
• Eskalationspfade. Eine dedizierte Meldestelle für verdächtige E-Mails und ein dokumentierter Reaktionsweg (technische Analyse, ggf. Block-Listing, Information der Belegschaft, Strafanzeige bei Schadens-Eintritt) sind Bestandteil eines tragfähigen Incident-Response-Konzepts. Eine Schuldzuweisungs-Kultur ist nach ENISA-Empfehlung zu vermeiden, da sie die Meldebereitschaft reduziert.

Awareness-Schicht

• Strukturierte Schulungsformate. Regelmäßige Awareness-Impulse (Mikro-Formate, kurze Videos, Beispiel-Sammlungen) sind in den ENISA-Leitfäden als verbreitete Praxis beschrieben.
• Simulierte Phishing-Tests. Anbieter wie Hornetsecurity, Sophos, KnowBe4, SoSafe bieten kontrollierte Test-Sendungen; die Auswertung dient der Identifikation des Schulungsbedarfs, nicht der individuellen Disziplinierung.
• Rollen-spezifische Inhalte. Mitarbeitende mit erhöhter Exposition (Buchhaltung, HR, Geschäftsführung, IT-Administration) erfordern regelmäßig vertiefte Inhalte, die auf die jeweiligen Angriffsmuster (CEO-Fraud, Bewerbungs-Phishing, Vendor-Impersonation, Wartungs-Vorwand) zugeschnitten sind.

Welche Konstellationen erfordern abweichendes Vorgehen?

Ein mehrschichtiges Standard-Konzept ist nicht für alle Unternehmensprofile ausreichend. In den folgenden Konstellationen sind erweiterte Maßnahmen erforderlich:

• NIS2-pflichtige wesentliche und wichtige Einrichtungen: Erforderlich ist ein dokumentiertes Schulungs- und Hygiene-Programm nach Art. 21 Abs. 2 lit. g, einschließlich Wirksamkeitsnachweis. Eine ad-hoc-Phishing-Test-Praxis ohne Dokumentation und Reportings ist nicht ausreichend.
• Finanzsektor (BAIT, VAIT, KAIT, MaRisk): Erweiterte Vorgaben zu Schulungs-Frequenz, Phishing-Test-Programmen und Auditierbarkeit.

Detail

• Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO: Erweiterte technische und organisatorische Maßnahmen sind regelmäßig erforderlich.
• Hochwertige geistige Eigentum-Bestände, Forschung und Entwicklung, Verteidigungs-Zulieferer: Spear-Phishing und Advanced Persistent Threats sind hier ein realistischeres Risiko; Sandboxing, Threat-Intelligence-Anbindung und ggf. Managed-Detection-and-Response-Dienste sind in Erwägung zu ziehen.
• Cyber-Policen mit erweiterten Anforderungen: Versicherungsbedingungen schreiben regelmäßig dokumentierte Schulungsprogramme, Phishing-Test-Frequenzen und definierte Freigabe-Prozesse als Deckungsvoraussetzung vor.

Bei Unsicherheit über die einschlägige Maßnahmen-Tiefe ist eine fachliche Beratung dem Verzicht auf Erweiterungen vorzuziehen.

Nächster Schritt

Eine erste Strukturierung der Reaktionsorganisation auf Phishing-Vorfälle lässt sich über den Incident-Response-Plan-Generator anlegen. Die Einbindung in das gesamte Cyber-Hygiene-Konzept ist im Anschluss erforderlich.

Eine Einordnung in die breitere Cyber-Sicherheits-Hygiene unter NIS2 findet sich in NIS2-Cybersicherheitshygiene in der Praxis.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand 2026-05-16. Sie ersetzt keine Einzelfallprüfung durch eine qualifizierte Beratung.