--- id: "phishing-020" title: "Internes Phishing: Was tun, wenn die E-Mail vom echten Kollegenkonto kommt?" description: "Verdächtige E-Mails von echten Mitarbeiterkonten? Erfahren Sie, wie Sie kompromittierte Konten und internes Phishing im Unternehmen stoppen." canonical: https://startbrain.io/de/cybersecurity/internes-phishing-gekapertes-mitarbeiterkonto-reaktion/ slug: "internes-phishing-gekapertes-mitarbeiterkonto-reaktion" date: "2026-09-24" category: "phishing" product: "superphisher" lang: de author: "Brain Security · F&E Cyber & Faktor Mensch" frameworks: "BSI IT-Grundschutz · NIS-2 · DORA · DSGVO · ISO 27001" --- # Internes Phishing: Was tun, wenn die E-Mail vom echten Kollegenkonto kommt? Dieses Szenario bereitet jedem CISO schlaflose Nächte. Am frühen Morgen erhalten Dutzende Beschäftigte eine Nachricht mit einem dringenden Login-Link oder einem verdächtigen Dateianhang. Die Absenderadresse enthält keinerlei Tippfehler, die Domäne stimmt exakt mit der Firmenadresse überein und SPF, DKIM sowie DMARC melden alle einen fehlerfreien Status. Der Grund dafür ist tückisch: Der Angriff kommt nicht von außen, sondern wird direkt aus dem legitimen Postfach eines Kollegen verschickt, dessen Zugangsdaten zuvor entwendet wurden. Wenn Cyberkriminelle in eine Microsoft-365- oder Google-Workspace-Umgebung eindringen, versuchen sie nicht zwingend sofort, riesige Datenmengen zu exfiltrieren. Ihr erster Reflex besteht häufig darin, sich lateral im Firmennetzwerk weiterzubewegen, indem sie das Vertrauen interner Kommunikationswege schamlos ausnutzen. Gegen solche Manöver laufen klassische Perimeter-Schutzmechanismen ins Leere. Die Früherkennung liegt fast ausschließlich bei den geschulten Reflexen und der Wachsamkeit der Mitarbeitenden. --- ## Wie reagiert man richtig, wenn eine verdächtige Nachricht vom echten Postfach eines Kollegen eintrifft? > **Kurz gesagt: Antworten Sie niemals direkt auf die verdächtige Nachricht, um deren Echtheit zu prüfen. Kontaktieren Sie den mutmaßlichen Absender sofort über einen separaten Kanal (Telefon, direkter Messenger) und leiten Sie die Meldung umgehend an das IT-Sicherheitsteam weiter, damit das betroffene Konto isoliert werden kann.** Der erste Impuls potenzieller Opfer lautet oft: einfach auf "Antworten" klicken und fragen: "Hast du mir das wirklich geschickt?". Das ist ein schwerer Fehler. Sofern das Konto des Kollegen von einem Angreifer kontrolliert wird, liest dieser den Posteingang live mit und bestätigt die Anfrage blitzschnell selbst, um jeden Zweifel zu zerstreuen. Vielfach richten Täter sogar unbemerkt automatische Weiterleitungs- oder Löschregeln ein, damit der eigentliche Postfachinhaber diese Nachfragen gar nicht erst bemerkt. Um die Angriffskette sauber zu unterbrechen, sind zwei Schritte parallel erforderlich: - **Die Out-of-Band-Verifikation:** Kontaktieren Sie die Person über einen getrennten Kommunikationskanal. Rufen Sie die geschäftliche Durchwahl an oder gehen Sie persönlich im Büro vorbei, wenn Sie am selben Standort arbeiten. - **Die unverzügliche Meldung an die IT-Sicherheit:** Nutzen Sie die Phishing-Meldeschaltfläche Ihres E-Mail-Clients oder leiten Sie die verdächtige Nachricht als Anhang (im Format .eml oder .msg) an das interne SOC oder das IT-Security-Team weiter, um die relevanten E-Mail-Header unverändert zu übermitteln. --- ## Welche Warnsignale verraten internes Phishing trotz echter E-Mail-Adresse? > **Kurz gesagt: Die Erkennung stützt sich auf verhaltensbasierte Auffälligkeiten: plötzliche Stilbrüche, ungewohnter Druck oder Dringlichkeit, unangekündigte Freigabelinks zu externen Plattformen sowie unpassende Antworten innerhalb bestehender Mail-Verläufe.** Interner Identitätsdiebstahl baut auf blindem Vertrauen auf, dennoch hinterlassen Angreifer fast ausnahmslos inhaltliche Spuren. Ein Hacker, der eine aktive Session übernommen hat, kennt weder die genaue Historie der Zusammenarbeit noch den firmeninternen Umgangston oder persönliche Schreibgewohnheiten. Achten Sie auf folgende subtile Signale: - **Bruch im gewohnten Umgangston:** Ein Kollege, mit dem Sie sich sonst informell duzen, siezt Sie plötzlich, wählt eine hölzerne Formulierung oder schreibt in fehlerhaftem Deutsch. - **Ungewöhnliche Dringlichkeit und emotionaler Druck:** Die Nachricht verlangt die sofortige Begleichung einer Mahnung, droht mit der Sperrung geschäftlicher Konten oder fordert die Unterschrift unter eine vertrauliche Vereinbarung innerhalb einer Stunde. - **Unerwartete Anmeldeaufforderungen:** Ein Link führt zu einer vorgeschalteten Login-Maske, die Microsoft- oder Google-Passwörter abfragt, um angeblich Dokumente auf SharePoint, OneDrive oder Drive anzuzeigen. - **Kapern bestehender Verläufe (Thread Hijacking):** Der Angreifer greift einen wochenalten Vorgang wieder auf und platziert einen bösartigen Link, der überhaupt nicht zum jüngsten Stand der Absprachen passt. --- ## Warum begünstigt internes Phishing die laterale Ausbreitung so massiv? Postfach-zu-Postfach-Phishing ist einer der gefährlichsten Hebel für eine Rechteausweitung im Netzwerk. Sobald ein erstes Konto fällt (beispielsweise durch Session-Hijacking infolge eines Adversary-in-the-Middle-Angriffs), liegt das vollständige globale Adressbuch vor den Augen der Kriminellen. Die Angreifer identifizieren gezielt sensible Rollen wie Finanzbuchhaltung, Personalabteilung oder IT-Administration. Binnen weniger Minuten lancieren sie maßgeschneiderte Köder an Personen mit erweiterten Rechten. Da der Absender aus der eigenen Domäne stammt, sinkt die Wachsamkeit bei Empfängern erfahrungsgemäß drastisch im Vergleich zu externen E-Mails. Um dieses Risiko nachhaltig zu beherrschen, reicht trockene Theorie längst nicht mehr aus. Das praktische Training an realistischen Szenarien ist unersetzlich. Mit unserem Phishing-Simulator [Super Phisher](/de/katalog/super-phisher/), den wir individuell mit unseren Teams bei Ihnen ausrollen, konfrontieren Sie Ihre Belegschaft mit lebensnahen Social-Engineering-Angriffen. So lernen Teams anhand realistischer Nachbildungen interner Vorfälle, genau die richtigen Reflexe zu verankern, bevor echter Schaden entsteht. --- ## Welchen Notfallplan muss die IT-Abteilung nach der Alarmierung sofort starten? Sobald eine Meldung über internes Phishing eingeht, zählt jede Minute, um den Vorfall einzugrenzen und Folgeschäden an der Systemlandschaft zu verhindern: - **Sofortiger Sitzungs-Widerruf:** Das betroffene Benutzerkonto muss umgehend gesperrt, das Kennwort zurückgesetzt und alle aktiven Token sowie Benutzersitzungen auf sämtlichen Geräten terminiert werden. - **Forensische Postfach-Prüfung:** Angreifer legen fast immer verdeckte Postfachregeln an (wie das automatische Weiterleiten oder sofortige Löschen eingehender E-Mails mit Stichwörtern wie "Sicherheit", "Phishing" oder "Kennwort"). Diese Regeln müssen vollständig geprüft und gelöscht werden. - **Mandantenweite Bereinigung der E-Mail:** Über zentrale administrative Funktionen im Tenant (etwa Microsoft 365 Compliance Search oder Google Workspace Investigation Tool) muss die schädliche E-Mail unverzüglich aus allen betroffenen Postfächern im Unternehmen gelöscht werden, bevor weitere Kolleginnen und Kollegen darauf klicken. - **Analyse der Login- und Zugriffsprotokolle:** Die Auswertung von IP-Adressen, geografischen Standorten und User-Agent-Informationen liefert Aufschluss über den genauen Zeitpunkt des Zugriffs und den Umfang potenziell eingesehener Unternehmensdaten. Um Ihre Organisation vor lateralen Angriffen effektiv zu schützen, braucht es ein lückenloses Zusammenspiel aus moderner Mail-Sicherheit und geschulter Wachsamkeit. Wenn Sie Ihre Resilienz durch passgenaues Cyber-Training stärken wollen, [vereinbaren Sie einen Termin](/de/termin/) und besprechen Sie Ihre Anforderungen direkt mit dem Team von Brain Security. ### Operational Review Checklist: Internes Phishing: Was tun, wenn die E-Mail vom echten Kollegenkonto kommt? | Ref. | Operational Control Point | Expected Outcome & Verification | | --- | --- | --- | | **CTRL-01** | Die Out-of-Band-Verifikation | Kontaktieren Sie die Person über einen getrennten Kommunikationskanal. Rufen Sie die geschäftliche Durchwahl an oder gehen Sie persönlich im Büro… | | **CTRL-02** | Bruch im gewohnten Umgangston | Ein Kollege, mit dem Sie sich sonst informell duzen, siezt Sie plötzlich, wählt eine hölzerne Formulierung oder schreibt in fehlerhaftem Deutsch. | | **CTRL-03** | Sofortiger Sitzungs-Widerruf | Das betroffene Benutzerkonto muss umgehend gesperrt, das Kennwort zurückgesetzt und alle aktiven Token sowie Benutzersitzungen auf sämtlichen Geräten… | | **CTRL-04** | Die unverzügliche Meldung an die IT-Sicherheit | Nutzen Sie die Phishing-Meldeschaltfläche Ihres E-Mail-Clients oder leiten Sie die verdächtige Nachricht als Anhang (im Format .eml oder .msg) an das… | | **CTRL-05** | Ungewöhnliche Dringlichkeit und emotionaler Druck | Die Nachricht verlangt die sofortige Begleichung einer Mahnung, droht mit der Sperrung geschäftlicher Konten oder fordert die Unterschrift unter eine… | --- ## Weiterführende Artikel und Lösungen von Brain Security ### Verwandte Artikel zu diesem Thema - **[Mobiles Arbeiten, Bahn, Hotel: 6 Cyber-Sicherheitsfehler, die Unternehmen gefährden](/de/cybersecurity/mobiles-arbeiten-bahn-hotel-cyber-sicherheit-fehler/)** (Phishing & Social Engineering) : Schützen Sie Remote Work: Erfahren Sie die wichtigsten Verhaltensregeln zu öffentlichem WLAN, Shoulder Surfing und VPN für mobile Teams. - **[Infostealer: Warum Passwörter im Browser ein enormes Risiko bedeuten](/de/cybersecurity/infostealer-passwoerter-browser-risiko-ciso/)** (Phishing & Social Engineering) : Erfahren Sie, wie Infostealer Anmeldedaten und Session-Cookies aus unmanaged Browsern abgreifen, um Netzwerke von Unternehmen gezielt zu infiltrieren. - **[Scareware und gefälschte Browser-Warnungen: Mitarbeiter vor Web-Fallen schützen](/de/cybersecurity/scareware-fake-browser-warnungen-clickfix-erkennen/)** (Phishing & Social Engineering) : Blockieren Sie Scareware und gefälschte Virenwarnungen. Verstehen Sie ClickFix-Taktiken und trainieren Sie Browser-Sicherheit für Mitarbeiter. - **[Kanzleien und Consulting: Berufsgeheimnis vor gezielten Cyberangriffen schützen](/de/cybersecurity/kanzleien-consulting-berufsgeheimnis-cyberangriffe-schuetzen/)** (Branchen & Rollen) : Erfahren Sie, warum Kanzleien und Beratungsunternehmen im Fokus von Cyberkriminellen stehen und wie Sie Ihre Teams vor Spear-Phishing schützen. ### Lösungen von Brain Security entdecken - **Passende Lösung : [Super Phisher](/de/katalog/super-phisher/)** : Der Phishing-Simulator, der Ihre Teams auf reale Angriffe trainiert, von der gefälschten E-Mail bis zum präparierten QR-Code, in einem kontrollierten Rahmen, der niemals ein Passwort erfasst. - **[Anwendungsfälle nach Bedarf und Branche ansehen](/de/anwendungsfaelle/)** - **[Unsere Formate für Cyber- und KI-Sensibilisierung vergleichen](/de/vergleich/)** - **[Den gesamten interaktiven Katalog von Brain Security entdecken](/de/katalog/)** - **[Sprechen Sie mit unserem Team über Ihren Bedarf (Demo & Beratung)](/de/termin/)** --- - https://startbrain.io/de/cybersecurity/internes-phishing-gekapertes-mitarbeiterkonto-reaktion/ - [Français](https://startbrain.io/fr/cybersecurite/phishing-interne-boite-mail-collegue-piratee/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/internal-phishing-compromised-colleague-email-response/) - [English (US)](https://startbrain.io/en-us/cybersecurity/internal-phishing-compromised-colleague-email-response/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-interno-cuenta-correo-comprometida-empleado/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-interno-email-compromessa-collega-cosa-fare/) - [Nederlands](https://startbrain.io/nl/cybersecurity/interne-phishing-gehackt-account-collega-aanpak/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-interno-email-conta-colega-seguranca/) - [日本語](https://startbrain.io/ja/cybersecurity/internal-phishing-compromised-account-ciso-response/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/wewnetrzny-phishing-przejete-konto-pracownika-reakcja/) - [Svenska](https://startbrain.io/sv/cybersakerhet/internt-natfiske-kapat-konto-atgarder-ciso/) - [Dansk](https://startbrain.io/da/cybersikkerhed/intern-phishing-angreb-kompromitteret-mailkonto/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/sisainen-kalastelu-kollegan-sahkoposti-tilimurto-ciso/) - [Norsk](https://startbrain.io/no/cybersikkerhet/internt-phishing-kompromittert-konto-tiltak/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/internal-phishing-compromised-account-incident-response/) - [llms.txt](https://startbrain.io/llms.txt)