Wirtschaftsspiegel
Nr. 7218966
3 min
Praxis & Ratgeber

Wenn die Mail-Falle zuschnappt

von Mareike Scharmacher-Wellmann |

Dienstagmorgen, kurz nach acht. In der Buchhaltung landet eine E-Mail mit Behördenlogo. Die Aufforderung: Unternehmensdaten bis morgen aktualisieren. Sonst drohen Konsequenzen. Doch der Absender ist kein Amt, sondern ein Betrüger. Wer seine Zugangsdaten über den mitgeschickten Link eingibt, öffnet Kriminellen womöglich die Tür ins Firmennetzwerk. So könnte ein Phishing-Angriff beginnen.
„Eine Nachricht muss nicht perfekt sein, sondern nur glaubwürdig genug, um jemanden zum Klicken, Öffnen eines Anhangs oder Eingeben von Zugangsdaten zu bewegen“, sagt Ralf Spenneberg, Geschäftsführer der OpenSource Security GmbH aus Steinfurt. In der Webinarreihe „Tools, Methoden, Instrumente zum Schutz der IT“, die von der IHK Nord Westfalen und der Handwerkskammer Münster mit Unterstützung der regionalen Wirtschaftsförderungen veranstaltet wird, erklärte der IT-Sicherheitsexperte, warum selbst erfahrene Beschäftigte auf solche Nachrichten hereinfallen können. Und weshalb Schulungen allein nicht reichen.

Ein Fehler kann teuer werden

Kerstin Weidner leitet das Team Digitalisierung bei der IHK Nord Westfalen.
Wie groß die Gefahr ist, zeigt die Bitkom-Studie „Wirtschaftsschutz 2025“. Danach erlitten 22 Prozent der befragten Unternehmen Schäden durch Phishing-Angriffe, 34 Prozent durch Erpressungssoftware, sogenannte Ransomware. Insgesamt verursachten Cyberattacken der deutschen Wirtschaft 2025 einen Schaden von rund 202 Milliarden Euro.
„Cyberangriffe sind für Unternehmen jeder Größe eine reale Bedrohung. Gerade kleine und mittlere Betriebe unterschätzen oft, wie schnell ein einziger Klick den gesamten Betrieb lahmlegen kann“, sagt Kerstin Weidner, Teamleiterin Digitalisierung bei der IHK Nord Westfalen.

Warum Schweigen gefährlich wird

Spenneberg warnt davor, die Verantwortung für IT-Sicherheit allein den Beschäftigten zu übertragen: „Natürlich sollten sie lernen, verdächtige Nachrichten zu erkennen. Doch auch wer die Tricks der Betrüger kennt, kann im Arbeitsalltag auf eine gut gemachte Fälschung hereinfallen.“
Entscheidend ist, wie das Unternehmen mit dem Fehler umgeht. „Mitarbeiter sollten keine Angst haben, die IT anzusprechen, wenn ihnen etwas auffällt“, sagt er. Denn wer nach einem Fehlklick Vorwürfe fürchtet, meldet ihn nicht. Währenddessen können sich Angreifer im Netzwerk ausbreiten. Die IT-Abteilung verliert wertvolle Zeit, um den Schaden zu begrenzen.

Wenn der Absender täuscht

Auch technisch können Unternehmen ihre E-Mails besser absichern. Spenneberg verweist auf drei Prüfverfahren: SPF, DKIM und DMARC. Sie helfen empfangenden Mailservern, die Herkunft von Nachrichten zu kontrollieren und gefälschte Absender zu erkennen. Verdächtige E-Mails lassen sich dadurch durch den Empfänger leichter aussortieren oder zurückweisen.
Unternehmen sollten ihre IT-Abteilung oder ihren Dienstleister fragen, ob diese Verfahren für die eigene E-Mail-Domain eingerichtet sind. Sie erschweren den Missbrauch der Absenderadresse, können aber nicht jede betrügerische Nachricht verhindern.

IT-Sicherheit in 30 Minuten

Doch E-Mail-Sicherheit ist nur ein Teil des Schutzes. Wie Unternehmen auch andere Schwachstellen erkennen und Risiken begrenzen können, zeigt die Webinarreihe Webinarreihe „Tools, Methoden, Instrumente zum Schutz der IT“. „Viele Betriebe wissen nicht, wo sie anfangen sollen. Mit den Webinaren wollen wir praxisnahe Orientierung geben, damit sich Unternehmen schützen, bevor etwas passiert“, sagt Weidner. In jeweils 30 Minuten erfahren Unternehmen, wie sie ihre IT besser absichern können. Die Themen reichen von Microsoft 365 und Cloud-Diensten über IT-Notfallpläne und Cyberversicherungen bis zur Schadensbegrenzung nach einem Angriff.

Die kommenden Termine im Überblick:

3. November 2026: IT-Notfallplan für KMU: Gut vorbereitet für den Ernstfall
10. November 2026: ISMS in der Praxis – Informationssicherheit systematisch organisieren
17. November 2026: Cyberversicherungen: Policen und Schadensregulierung
24. November 2026: Nach einem Cyberangriff – Schadensbegrenzung und Wiederanlauf
1. Dezember 2026: Passwortsicherheit und Authentifizierung: einfach, sicher und benutzerfreundlich
Die Anmeldung läuft online über den IHK-Veranstaltungskalender.