Phishing bezeichnet den Versuch, über gefälschte Nachrichten an Zugangsdaten, Kartennummern oder andere vertrauliche Informationen zu gelangen oder Empfänger zum Öffnen einer Schaddatei zu bewegen. Der Name spielt auf das Angeln an: Massenhaft ausgeworfene Köder, von denen ein kleiner Anteil genügt. Typische Muster sind der Aufbau von Zeitdruck, eine angebliche Kontosperre, eine unerwartete Rechnung oder Lieferankündigung und ein Link auf eine täuschend nachgebaute Anmeldeseite.
Gezielte Varianten sind das Spear Phishing gegen bestimmte Personen und der CEO-Fraud, bei dem eine vermeintliche Weisung der Geschäftsführung eine eilige Überweisung auslöst; solche Nachrichten sind sprachlich fehlerfrei und mit internen Details angereichert, weshalb die alten Erkennungsmerkmale nicht mehr tragen. Technisch helfen Spamfilter, korrekt gesetzte SPF-, DKIM- und DMARC-Einträge sowie phishing-resistente Anmeldeverfahren nach FIDO2, die an die tatsächliche Adresse gebunden sind.
Organisatorisch zählt vor allem eine Kultur, in der Meldungen erwünscht sind und niemand für einen versehentlichen Klick zurechtgewiesen wird, denn nur früh gemeldete Vorfälle lassen sich eindämmen.