Turbulenzen im Postfach: Wie Betrüger im Namen von Lufthansa & Co. abkassieren

Wer kennt sie nicht – diese E-Mails, die vorgeben, von der Hausbank, einem Paketdienst oder gar vom Chef persönlich zu stammen? Phishing ist längst zu einer alltäglichen Bedrohung geworden. Der Begriff, eine Wortschöpfung aus „password“ und „fishing“, beschreibt treffend die Methode: Cyberkriminelle werfen ihre digitalen Angelhaken aus und warten darauf, dass ahnungslose Nutzer anbeißen.

Betroffen waren ursprünglich hauptsächlich private Nutzer. Inzwischen geraten aber auch Unternehmen zunehmend ins Visier der Kriminellen. Die wirtschaftlichen Schäden sind gewaltig. Einige Cybersecurity-Experten prognostizieren, dass die weltweiten Kosten durch Cyberkriminalität schon im kommenden Jahr auf atemberaubende 10,5 Billionen USD jährlich ansteigen werden. Auch wenn diese Zahlen umstritten sind und andere Studien eher von 1 bis 2 Billionen USD ausgehen: Klar ist, dass diese Form der Kriminalität Dimensionen erreicht hat, die Wirtschaft und Handel massiv schaden. Phishing stellt in diesem Kontext eine der am häufigsten genutzten und erfolgreichsten Angriffsmethoden dar.

1. Die aktuelle Airline-Betrugswelle – Anatomie einer Phishing-Kampagne

Seit September 2025 läuft eine besonders raffinierte Phishing-Kampagne, die im Namen renommierter Fluggesellschaften wie Lufthansa, Emirates und Qatar Airways operiert. Anders als bei vielen Betrugsversuchen, die auf Privatpersonen abzielen, hat diese Masche Unternehmen im Visier.

Die Angreifer verschicken täuschend echte E-Mails, die angeblich aus Einkaufsabteilungen der Airlines stammen und lukrative neue Möglichkeiten ankündigen, mit den Airlines ins Geschäft zu kommen. Wer antwortet, erhält professionell gestaltete Dokumente wie Registrierungsformulare und Vertraulichkeitsvereinbarungen – alles frei von Schadsoftware, womit viele herkömmliche Sicherheitsprüfungen unterlaufen werden.

Der eigentliche Betrug folgt später: Die Kriminellen fordern eine „rückzahlbare Interessensbekundung“ von mehreren tausend Dollar, angeblich als Pfand für einen bevorzugten Platz im Auswahlprozess. Natürlich sieht kein Opfer dieses Geld jemals wieder.

Besonders perfide: Die Betrüger nutzen die Reputation bekannter Airlines und das B2B-Setting, um Vertrauen aufzubauen. Die üblichen Warnsignale wie die unprofessionelle Gestaltung oder offensichtliche Rechtschreib- und Grammatikfehler fehlen hier völlig.

2. Phishing-Varianten und ihre Erkennungsmerkmale

Das Arsenal der Cyberkriminellen ist stark angewachsen und führt zu immer weiter diversifizierten Angriffsmethoden. Auch bereits etablierte Betrugsmaschen wie das Phishing werden immer wieder um neue Angriffsvektoren erweitert und auf andere Medien und Kommunikationswege angewendet.

·       E-Mail-Phishing: Der Klassiker. Massenweise versandte Betrugsversuche stehen neben gezielten Attacken (Spear-Phishing), wobei Letztere auf umfangreicher Recherche über das Opfer basieren.

·       Smishing und Vishing: Diese Begriffe bezeichnen Phishing via SMS bzw. Telefonanruf. So ruft beispielsweise ein vermeintlicher „Bankmitarbeiter“ an, um angebliche Unregelmäßigkeiten zu überprüfen, während ein Komplize die preisgegebenen Daten sofort für Überweisungen nutzt.

·       QR-Code-Phishing: Ein wachsender Trend. Gefälschte QR-Codes auf Plakaten, Flyern oder in E-Mails führen auf Betrugsseiten.

Allen Varianten gemein sind bestimmte Erkennungsmerkmale: Dringlichkeit („Ihr Konto wird gesperrt, wenn Sie nicht sofort handeln!“), ungewöhnliche Absenderadressen und Links, die bei genauem Hinsehen von den offiziellen URLs abweichen.

3. Phishing im Privatbereich: Gefahren und Schutzmaßnahmen

Privatpersonen sind besonders durch Angriffe gefährdet, bei denen sich die Angreifer als Banken, Paketdienste oder Behörden tarnen. Die Psychologie der Betrüger ist dabei raffiniert: Sie spielen mit Emotionen wie Angst („Ihr Konto wurde kompromittiert!“), Gier („Sie haben gewonnen!“) oder Vertrauen („Ihre Freundin hat Ihnen ein Dokument gesendet!“)

Die Folgen eines erfolgreichen Angriffs können verheerend sein:

·       Finanzielle Verluste

·       Datenverluste und nicht mehr arbeitsfähige Hardware aufgrund von Malware-Befall

·       Identitätsdiebstahl mit langfristigen Folgen

·       Emotionaler Stress und Vertrauensverlust

Als wirksame Schutzmaßnahmen haben sich erwiesen:

1.      Gesunde Skepsis kultivieren: Unerwartete Nachrichten grundsätzlich hinterfragen, besonders wenn sie zu sofortigem Handeln drängen.

2.      Links und Absender prüfen: Statt auf Links zu klicken, lieber die offizielle Website manuell aufrufen. Bei E-Mails genau auf die Absenderadresse achten.

3.      Mehrfaktor-Authentifizierung: Diese zusätzliche Sicherheitsebene verhindert, dass gestohlene Passwörter allein ausreichen, um Konten zu übernehmen.

4.      Aktualisierte Software: Regelmäßige Updates schließen bekannte Sicherheitslücken und minimieren mögliche Einfallstore.

Falls die Schutzmaßnahmen versagt haben und es infolge eines Phishing-Angriffs zu Malwarebefall und Datenverlust gekommen ist: Security-Experten und Datenretter in Bremen und den meisten anderen größeren Städten können oft auch da weiterhelfen, wo scheinbar nichts mehr zu retten ist.

4. Phishing im Unternehmenskontext: Gefahren und Schutzmaßnahmen

Im geschäftlichen Umfeld sind die Risiken oft noch größer. CEO-Fraud – also Betrugsversuche, bei denen sich Angreifer als Geschäftsführer ausgeben und z.B. dringende Überweisungen anordnen – hat bereits zahlreiche Unternehmen Millionen gekostet. Business Email Compromise (BEC) verursachte 2024 weltweit einen Schaden von 2,95 Milliarden USD – mehr als das Budget der amerikanischen Behörde für Cybersicherheit.

Laut aktuellen Statistiken haben Cyberkriminelle im laufenden Jahr bei ihren Angriffen verstärkt auf Künstliche Intelligenz zurückgegriffen und über 210.000 neue Malware-Varianten eingesetzt. Am stärksten betroffen war der Gesundheitsbereich.

Neben den unmittelbaren finanziellen Verlusten drohen Unternehmen weitere Konsequenzen:

·       Wirtschaftsspionage und Datendiebstahl

·       Erhebliche Reputationsschäden und Kundenvertrauensverlust

·       Rechtliche Folgen bei Datenschutzverletzungen nach der DSGVO

Ein umfassendes Schutzkonzept für Unternehmen umfasst sowohl technische als auch organisatorische Maßnahmen:

Technische Schutzmaßnahmen:

·       Leistungsfähige Spam-Filter und Firewalls

·       Endpoint Detection and Response (EDR) Lösungen

·       E-Mail-Authentifizierungssysteme wie DKIM und SPF

Organisatorische Maßnahmen:

·       Vier-Augen-Prinzip bei Zahlungsanweisungen

·       Regelmäßige Mitarbeiterschulungen mit simulierten Phishing-Angriffen

·       Klar definierte Incident-Response-Pläne für den Ernstfall. Dort sollten unbedingt auch Kontaktdaten von Experten für den Notfall festgehalten sein – von Incident-Response-Teams bis zu Spezialisten für RAID-Datenrettung.

5. Die Zukunft des Phishings

Die Entwicklung ist besorgniserregend: Künstliche Intelligenz verstärkt die Bedrohung dramatisch. KI-generierte Phishing-Mails sind kaum noch von legitimen Nachrichten zu unterscheiden. Deepfakes ermöglichen gefälschte Videoanrufe, bei denen vermeintliche Vorgesetzte Anweisungen erteilen.

Besonders alarmierend ist die immer schnellere Ausnutzung von Sicherheitslücken – ein immer größerer Prozentsatz der Attacken wird mittlerweile innerhalb von 48 Stunden nach Entdeckung einer neuen Schwachstelle ausgeführt. Diese Entwicklung hat ein kontinuierliches Sicherheitsmonitoring unverzichtbar werden lassen.

Gleichzeitig gibt es Hoffnung: Die internationale Zusammenarbeit bei der Bekämpfung von Cyberkriminalität intensiviert sich. Und Künstliche Intelligenz wird nicht nur von den Angreifern genutzt, sondern zunehmend auch zur Verteidigung eingesetzt – etwa bei der Früherkennung verdächtiger Aktivitäten.

6. Fazit

Die Phishing-Bedrohung wird uns in den kommenden Jahren weiter begleiten und vermutlich noch raffinierter werden. Der Schlüssel zur Abwehr liegt in einer Kombination aus technischen Lösungen und Wachsamkeit.

Weder Privatpersonen noch Unternehmen können es sich leisten, das Thema auf die leichte Schulter zu nehmen. Die aktuelle Airline-Betrugsmasche zeigt, wie kreativ und anpassungsfähig Cyberkriminelle vorgehen.

Letztlich gilt: Digitale Selbstverantwortung ist unerlässlich. Wer im Internet unterwegs ist, sollte stets einen gesunden Argwohn mitbringen – und im Zweifelsfall lieber einmal zu oft nachfragen als einmal zu wenig. Denn während die digitale Welt immer mehr Lebens- und Geschäftsbereiche durchdringt, wird Cybersicherheit zur Grundvoraussetzung für Vertrauen und Erfolg in unserer vernetzten Gesellschaft.