Phishing ist der Versuch, an Zugangsdaten zu kommen, indem man den Absender fälscht. Die Nachricht sieht aus wie von der Bank, vom Paketdienst oder vom eigenen Geschäftsführer — und führt auf eine Seite, die aussieht wie die echte.
Der Grund, warum es funktioniert, ist selten Unachtsamkeit. Es ist die Verbindung aus Eile und Plausibilität: eine Rechnung, die tatsächlich erwartet wird, eine Frist, die knapp ist, ein Absender, mit dem man ohnehin schreibt.
Technisch lässt sich viel abfangen — Prüfungen, ob der Absender überhaupt von der angegebenen Stelle senden durfte, Filter für bekannte Betrugsseiten, ein Hinweis an Nachrichten von außerhalb. Ein Teil kommt trotzdem durch.
Deshalb ist der zweite Faktor bei der Anmeldung die wirksamste einzelne Maßnahme: Ein erbeutetes Passwort allein genügt dann nicht mehr. Und es hilft, wenn im Haus bekannt ist, dass eine Rückfrage per Telefon nie albern ist.