Was in der ersten Stunde passiert
Hat ein Mitarbeiter auf einer gefälschten Seite sein Passwort eingegeben, ändert er oder der Verantwortliche dieses Passwort sofort beim echten Dienst und beendet danach alle aktiven Sitzungen des Kontos. Anschließend prüfen Sie, ob im Konto Einstellungen geändert oder Einkäufe getätigt wurden, und ändern auch die Passwörter der Konten, die sich über das betroffene Postfach zurücksetzen lassen oder über das betroffene Konto angemeldet werden. Waren es Zugangsdaten fürs Onlinebanking oder Kartendaten, lassen Sie den Zugang über den Sperr-Notruf 116 116 sperren und rufen die Bank an. Erstatten Sie Anzeige, die Checkliste rät dazu in jedem Fall.
Diese Schritte stehen so in der Phishing-Checkliste von BSI und Polizeilicher Kriminalprävention (PDF, Juli 2025), abgerufen am 14.10.2026. Wir ergänzen zwei Punkte für Firmen: Ändern Sie jedes andere Konto, das dasselbe Passwort nutzt, und legen Sie fest, wer welchen Schritt übernimmt.
Wer im Betrieb was übernimmt
| Wer | Aufgabe | Wann |
|---|---|---|
| Der Mitarbeiter, der geklickt hat | Meldet es, sagt was er eingegeben hat, macht ein Bildschirmfoto der Adresszeile, löscht die Mail nicht | Sofort, noch vor dem nächsten Telefonat |
| Verantwortlicher für die Zugänge, etwa Büroleitung | Ändert das Passwort von einem anderen Gerät aus, beendet die Sitzungen, trägt das neue Passwort im Tresor ein | Innerhalb der ersten Stunde |
| IT-Dienstleister | Prüft den Rechner, wenn eine Datei geöffnet wurde, sucht dieselbe Mail in den anderen Postfächern | Am selben Tag |
| Geschäftsführung | Bank, Anzeige, Meldung an die Datenschutz-Aufsicht, Information von Kunden, falls nötig | Sobald klar ist, was betroffen war |
In einem Betrieb mit fünf Leuten können Verantwortlicher und Geschäftsführung dieselbe Person sein. Jeder im Team sollte vorher wissen, wen er anruft. Steht diese Person auf einem Zettel am Monitor, ruft der Mitarbeiter nicht erst den Kollegen an, der „sich mit Computern auskennt“.
Die „Checkliste Organisatorisches“ des BSI für Vorfälle in Unternehmen beginnt mit dem Satz: „Bewahren Sie Ruhe und handeln Sie nicht übereilt.“ Bei Phishing raten wir deshalb, dass eine einzige Person das neue Passwort setzt. Probieren mehrere Kollegen gleichzeitig am selben Konto, weiß hinterher niemand, welches Passwort gilt.
Was der Mitarbeiter sagen sollte
Für die nächsten Schritte braucht der Verantwortliche vier Angaben. Fragen Sie sie in dieser Reihenfolge ab und schreiben Sie mit:
- Der Zugang: das Postfach, das Bankkonto, ein Lieferantenportal, die Plattform eines Kunden.
- Die eingegebenen Daten: nur Benutzername und Passwort, oder auch ein Bestätigungscode aus der App, eine TAN oder Kartendaten.
- Die Uhrzeit, so genau wie möglich. Damit lassen sich später fremde Anmeldungen im Konto zuordnen.
- Geöffnete Dateien: ein Anhang, eine Datei von der Seite, ein mit dem Handy gescannter QR-Code.
Die zweite Angabe entscheidet über die Eile. Einen Bestätigungscode, der auf der gefälschten Seite gelandet ist, kann der Angreifer sofort für eine echte Anmeldung benutzt haben. Dann ist der Angreifer womöglich schon im Konto, und das Beenden der Sitzungen ist so dringend wie das neue Passwort. Warum Codes aus der App dagegen nicht schützen und Passkeys schon, steht unter Zwei-Faktor im Unternehmen einführen.
Die Schritte nach der Meldung
Passwort beim echten Dienst ändern
Öffnen Sie den Dienst über eine selbst eingetippte Adresse oder über den Eintrag im Tresor, nie über den Link aus der Mail. Danach beenden Sie laut BSI-Checkliste in den Kontoeinstellungen alle aktiven Sitzungen. Wurde eine Datei geöffnet, ändern Sie das Passwort von einem anderen Gerät aus, bis der IT-Dienstleister den Rechner geprüft hat. Kommen Sie nicht mehr ins Konto, hat der Angreifer das Passwort womöglich schon geändert. Dann wenden Sie sich an den Anbieter.
Im Konto nachsehen
Die Checkliste nennt geänderte Einstellungen und Einkäufe. In einem Firmenkonto heißt das zum Beispiel: eine neue Lieferadresse im Großhandelsportal, eine geänderte Bankverbindung in einem Abrechnungsportal, eine zusätzliche Telefonnummer für die Anmeldung. Was Sie nicht selbst rückgängig machen können, klären Sie mit dem Anbieter. Waren im Konto Bankdaten zu sehen, informieren Sie laut Checkliste auch die Bank. War das Konto ein E-Mail-Postfach, suchen Sie nach Weiterleitungen und Regeln. Die Einzelheiten dazu und zur Meldung an die Datenschutz-Aufsicht stehen unter Firmen-E-Mail gehackt.
Gleiche Passwörter und abhängige Konten
Nutzt der Mitarbeiter dasselbe Passwort noch woanders, gilt es dort ebenfalls als bekannt. Die Checkliste nennt Konten, die mit der betroffenen Adresse zurückgesetzt werden können oder bei denen man sich über das betroffene Konto anmeldet, etwa mit „Mit Microsoft anmelden“. Ist das Passwort in einem gemeinsamen Zugang, bekommen alle Kollegen den neuen Eintrag über den Tresor. Wie das ohne Weitersagen geht, beschreibt Passwörter im Team teilen.
Bankdaten: andere Regeln
Für Onlinebanking und Karten nennt die Checkliste den Sperr-Notruf 116 116, aus dem Ausland +49 116 116. Welche Banken und Kartenherausgeber teilnehmen, steht in einer Liste auf der Seite des Sperr-Notrufs. Die Checkliste rät außerdem, die Umsätze zu kontrollieren, mit der Bank die weiteren Schritte zu besprechen und nach der Entsperrung nur neue Passwörter und PINs zu nutzen. Wie mehrere Mitarbeiter ein Geschäftskonto mit eigenen Zugängen nutzen, steht unter Onlinebanking für Mitarbeiter.
Meldewege
- Polizei: Die Checkliste rät, in jedem Fall Anzeige zu erstatten, auch bei einem vagen Verdacht. Für Wirtschaftsunternehmen nennt das BSI die Zentralen Ansprechstellen Cybercrime der Polizeien als zuständige Stellen. Die Stelle für Ihr Bundesland steht in der Übersicht nach Bundesland.
- BSI: Unternehmen können einen Vorfall freiwillig über das Meldeformular des BSI melden, auch anonym. Das BSI nutzt die Meldungen für sein Lagebild und für Warnungen. Wer einen Kontakt angibt, bekommt im Rahmen freier Kapazitäten eine Rückmeldung.
- Verbraucherzentrale NRW: Das Phishing-Radar nimmt Phishing-Mails entgegen, die man selbst bekommen hat, an die Adresse phishing@verbraucherzentrale.nrw. Die Verbraucherzentrale wertet sie für ihre Warnungen aus und beantwortet einzelne Mails nicht.
- Das Unternehmen, dessen Name missbraucht wurde: Bei vielen Unternehmen gibt es laut Verbraucherzentrale eine eigene Adresse für solche Hinweise, zum Beispiel im Kontaktbereich ihrer Website.
- Datenschutz-Aufsicht: Konnte der Angreifer personenbezogene Daten sehen, etwa Kundendaten im Postfach, prüft die Geschäftsführung, ob eine Meldung nötig ist. Dieser Text ist keine Rechtsberatung.
Leiten Sie die Mail als Anlage weiter oder speichern Sie sie als Datei, damit Absender und Kopfzeilen erhalten bleiben. Die Verbraucherzentrale nimmt dafür Dateien im Format .eml bis 2 MB an.
Ein Merkmal, das Phishing-Seiten verrät
Die Browser-Erweiterungen der Tresor-Apps schlagen einen gespeicherten Zugang laut ihrer Dokumentation nur auf einer Seite vor, deren Adresse zur gespeicherten passt. Ab Werk vergleicht die Software dafür die Domain, also etwa ihre-bank.de. Eine gefälschte Seite mit anderer Domain bekommt keinen Vorschlag, und wer dort trotzdem von Hand ausfüllen lässt, muss eine Rückfrage beantworten. Das Ausfüllen gleich beim Laden der Seite ist ab Werk ausgeschaltet, weil manipulierte Seiten es ausnutzen könnten.
Bietet die Erweiterung auf einer Anmeldeseite keinen Zugang an, obwohl einer gespeichert ist, prüft der Mitarbeiter zuerst die Adresse und tippt erst danach etwas ein. Diese Regel sollte jeder im Team kennen. Den Schutz hebelt aus, wer das Passwort aus der App kopiert und von Hand einfügt. Eine Garantie gegen Phishing ist das Merkmal deshalb nicht, und gegen Fragen am Telefon hilft es gar nicht. Die Checkliste warnt ausdrücklich vor Anrufern, die unter einem Vorwand verlangen, einen zweiten Faktor in der App zu bestätigen.
Ein erfundenes Beispiel: In einem Reisebüro mit drei Filialen und elf Beschäftigten bekommt eine Mitarbeiterin morgens eine Mail, ihr Zugang zu einem Buchungssystem laufe ab. Auf der verlinkten Seite bietet die Erweiterung nichts an. Sie tippt das Passwort trotzdem aus dem Gedächtnis ein, stutzt, als die Seite danach die Firmenkreditkarte verlangt, und ruft die Inhaberin an. Die öffnet das Buchungssystem über den Eintrag im Tresor, ändert das Passwort, beendet die Sitzungen und trägt das neue Passwort für die Kollegen ein. Der IT-Dienstleister löscht dieselbe Mail aus den Postfächern der beiden anderen Filialen, die Mitarbeiterin leitet sie an das Phishing-Radar weiter, und die Inhaberin erstattet Anzeige. Welche Zugänge ein Reisebüro sonst hat, zeigt die Seite für Reisebüros.
Nach dem Vorfall
Schreiben Sie in fünf Zeilen auf, was passiert ist: Datum, betroffener Zugang, eingegebene Daten, was geändert wurde, wer informiert wurde. Diese Notiz brauchen Sie für eine Anzeige, für Rückfragen der Bank und für die Entscheidung über eine Datenschutz-Meldung. Schicken Sie dem Team außerdem eine kurze Warnung mit einem Bildschirmfoto der Mail, denn dieselbe Mail kann noch in anderen Postfächern liegen.
Ist ein Passwort ohne Eingabe auf einer Phishing-Seite verloren gegangen, etwa durch ein Datenleck bei einem Anbieter, gelten andere Schritte, siehe Firmen-E-Mail in einem Datenleck. Welche Passwörter bei welchem Anlass neu müssen, ordnet die Tabelle unter Passwörter regelmäßig ändern.
Quellen: BSI und ProPK: Phishing, Checkliste für den Ernstfall (PDF, Juli 2025); BSI: Ich habe einen Vorfall, Checkliste Organisatorisches; BSI: Einen IT-Sicherheitsvorfall melden (Unternehmen); Verbraucherzentrale NRW: Phishing-Radar; Sperr-Notruf 116 116. Stand: 14.10.2026.