Cyberangriffe sind keine abstrakte Gefahr mehr – sie treffen Unternehmen jeder Größe, auch in der Energie- und Versorgungsbranche. Der Faktor Mensch ist dabei das häufigste Einfallstor, nicht technische Lücken.
91%
aller Cyberangriffe beginnen mit einer Phishing-E-Mail
24 h
dauert es im Schnitt, bis ein Angriff bemerkt wird
4,5 Mio.
EUR durchschnittlicher Schaden pro Vorfall in DE
Was sind typische Angriffsziele?
Zugangsdaten – Benutzername und Passwort für E-Mail, VPN, Systeme
Phishing ist der Versuch, Menschen durch gefälschte E-Mails, SMS oder Anrufe zur Herausgabe von Daten zu verleiten – oder zur Ausführung von Aktionen (Überweisungen, Downloads). Klicken Sie auf die markierten Punkte, um mehr zu erfahren.
Vonit-support@stwhas.de.securitycheck.net ①
Betreff[DRINGEND] ② VPN-Zertifikat läuft heute ab
DatumMo, 07:42 Uhr
Sehr geehrte Damen und Herren,
unser VPN-Zertifikat läuft heute um 23:59 Uhr ③ ab. Bitte bestätigen Sie Ihr Passwort über folgenden Link ④:
https://vpn-update.stwhas-support.net/verify ④
Mitarbeiter, die dies nicht tun, verlieren den VPN-Zugang. ⑤
①
Gefälschte Absender-Domain
Die echte Domain steht ganz rechts: securitycheck.net – nicht stwhas.de. Der Firmenname davor ist nur eine Subdomain und kann von jedem eingetragen werden.
②
Künstlicher Zeitdruck im Betreff
[DRINGEND] und Großschreibung sollen Panik erzeugen, damit man nicht nachdenkt. Legitime IT-Mails sind sachlich formuliert.
③
Deadline als Druckmittel
Konkrete Fristen wie "heute um 23:59 Uhr" sollen zur übereilten Handlung drängen. Nehmen Sie sich immer kurz Zeit zu prüfen.
④
Link zu einer gefälschten Website
Die URL stwhas-support.net gehört nicht zur Stadtwerk Haßfurt. Echte interne Links enden auf stwhas.de. Immer die Domain vor dem ersten "/" prüfen.
⑤
Drohung mit Konsequenzen
Drohungen mit Zugangsverlust oder Konsequenzen sind ein typisches Mittel. Die IT-Abteilung kommuniziert keine Drohungen per E-Mail.
Seite 2 von 4
Angriffsformen
Phishing hat viele Gesichter
Neben klassischen E-Mails gibt es weitere verbreitete Angriffsmethoden, die im Arbeitsalltag auftreten können.
📧
Phishing-Mail
Massenversand gefälschter E-Mails. Häufig als Bank, Paketdienst oder IT-Abteilung getarnt.
🎯
Spear-Phishing
Gezielte Angriffe auf eine Person – oft mit persönlichem Namen und echten Infos aus LinkedIn o.ä.
👔
CEO-Fraud
Angreifer geben sich als Vorgesetzte aus und fordern dringende Überweisungen oder Gutscheinkäufe.
📱
Smishing
Phishing per SMS – z.B. als Paketdienst-Benachrichtigung oder Bankwarnung mit gefälschtem Link.
📞
Vishing
Betrug per Telefon – Anrufer geben sich als IT-Support, Microsoft oder Behörden aus.
🗓️
Kalender-Phishing
Gefälschte Meeting-Einladungen über Kalender-Tools mit Links zu Fake-Login-Seiten.
Unbekannter oder seltsamer Absender – Domain genau prüfen
Aufforderung, Passwort einzugeben – die IT fragt das niemals per Mail
Unerwartete Anhänge oder Links – besonders ZIP, EXE, Office-Dateien mit Makros
Ungewöhnliche Bitte vom "Chef" – Gutscheine, Überweisungen, Dateifreigaben
Seite 3 von 4
Schutzmaßnahmen
Was Sie konkret tun können
Cybersicherheit ist kein IT-Thema allein – jede und jeder trägt täglich dazu bei. Diese Grundregeln schützen Sie und die Stadtwerk Haßfurt.
Ihre persönliche Schutzcheckliste:
Im Zweifel anrufen: Ungewöhnliche Anfragen immer über einen zweiten Kanal (Telefon) bestätigen – nie per "Antworten".
Links vor dem Klicken prüfen: Maus über den Link bewegen und die angezeigte Domain kontrollieren.
Einzigartiges Passwort pro Dienst: Passwort-Manager nutzen – niemals dasselbe Passwort für Firma und privat.
Bildschirm sperren: Immer beim Verlassen des Arbeitsplatzes, auch kurz (Windows+L / Ctrl+Cmd+Q).
Vorfälle sofort melden: Kein Vorwurf bei Meldungen – schnelles Handeln begrenzt den Schaden.
Updates nicht aufschieben: Sicherheitsupdates schließen bekannte Lücken, die Angreifer aktiv ausnutzen.
Goldene Regel: Wenn Ihnen etwas seltsam vorkommt – auch wenn Sie sich nicht sicher sind – melden Sie es der IT-Abteilung. Lieber einmal zu viel fragen als einmal zu wenig.
Seite 4 von 4
Erkennen Sie Cyberangriffe?
Praxisnahe Fragen und echte E-Mail-Simulationen – keine Definitionen, sondern Situationen aus dem Arbeitsalltag. Dauer: ca. 40–55 Minuten.
M1
Phishing erkennen
5 Fragen
M2
Passwörter & Zugang
5 Fragen
M3
Sicheres Arbeiten
5 Fragen
M4
Vorfälle & Reaktion
5 Fragen
M5
E-Mail-Analyse 🔎
4 simulierte E-Mails – Phishing oder legitim?
⏱ 40–55 Minuten✓ 24 Aufgaben💡 Mit Erklärungen🔒 Läuft offline