Phishing zur Urlaubszeit: Wenn private Geräte zum Unternehmensrisiko werden

Die Urlaubszeit ist eine Hochsaison für digitale Nachlässigkeit. Reisen werden gebucht, Hotels bestätigt, Kreditkarten geprüft, QR-Codes gescannt und Nachrichten von Buchungsportalen, Fluggesellschaften oder Unterkünften beantwortet. Vieles davon passiert schnell zwischendurch: auf dem Smartphone, am Laptop, im Hotel-WLAN oder über Messenger.

Für Unternehmen entsteht genau hier ein Risiko, das oft unterschätzt wird. Denn berufliche und private Gerätenutzung sind längst nicht mehr sauber getrennt. Mal wird das Firmengerät privat genutzt, um eine Reise zu buchen. Mal wird das private Smartphone für geschäftliche E-Mails, MFA-Freigaben oder schnelle Rückfragen aus dem Team verwendet. In vielen Unternehmen ist diese hybride Nutzung gelebter Alltag.

Das Problem: Angreifer unterscheiden nicht zwischen privat und beruflich. Sie nutzen jedes Gerät, jeden Klick und jeden Zugang, der ihnen einen Einstieg ermöglicht. Wenn ein privater Phishing-Link auf einem Gerät geöffnet wird, das auch beruflich genutzt wird, kann aus einer Reisebuchung ein Sicherheitsvorfall werden.

Phishing funktioniert besonders gut, wenn eine Nachricht glaubwürdig wirkt und sofortigen Handlungsdruck erzeugt. Genau das passiert rund um Reisen besonders häufig. Wer ein Hotel gebucht hat, erwartet Nachrichten zur Reservierung. Wer einen Flug plant, rechnet mit Updates. Wer eine Ferienwohnung bezahlt hat, nimmt Zahlungsaufforderungen ernster.

Kriminelle nutzen diesen Kontext gezielt aus. Sie verschicken Nachrichten mit Betreffzeilen wie „Ihre Buchung ist gefährdet“, „Bitte bestätigen Sie Ihre Kreditkarte“ oder „Ihre Zahlung konnte nicht verarbeitet werden“. Manchmal enthalten solche Nachrichten sogar echte oder plausibel wirkende Buchungsdaten. Dadurch sehen sie nicht mehr aus wie klassische Massenmails, sondern wie eine konkrete Nachricht im richtigen Moment.

Die Folge: Der Link wird schneller geöffnet. Die Seite wird weniger kritisch geprüft. Zahlungsdaten, Zugangsdaten oder persönliche Informationen werden eher eingegeben.

Gerade in der Urlaubszeit ist die Aufmerksamkeit geringer. Mitarbeitende sind unterwegs, arbeiten mobil, erledigen private Dinge nebenbei oder vertreten andere Aufgaben im Unternehmen. Zeitdruck, Ablenkung und Erwartungshaltung machen Phishing besonders wirksam.

Viele Unternehmen betrachten die private Nutzung von Geräten noch als Randthema. In der Praxis ist sie aber oft Teil des Arbeitsalltags.

Ein Firmenlaptop wird nach Feierabend für private Buchungen genutzt. Ein Diensthandy empfängt WhatsApp-Nachrichten zur Ferienwohnung. Ein privates Smartphone wird für geschäftliche E-Mails verwendet, weil kein Dienstgerät bereitgestellt wird. Oder Mitarbeitende sollen erreichbar sein, bekommen aber kein Mobiltelefon gestellt und nutzen deshalb ihr eigenes Gerät.

Das ist bequem und für Unternehmen auf den ersten Blick kostengünstig. Sicherheitstechnisch ist es jedoch problematisch.

Denn ein Gerät, das beruflich genutzt wird, ist nicht mehr einfach privat. Es kann Zugriff auf Unternehmens-E-Mails, Cloud-Dienste, Kalender, Kontakte, Authenticator-Apps, Kundendaten oder interne Systeme haben. Wird dieses Gerät durch einen privaten Phishing-Klick kompromittiert, kann das Unternehmen betroffen sein.

Gleiches gilt umgekehrt: Ein Firmengerät, das privat genutzt wird, bleibt ein Unternehmensgerät. Wenn darüber eine gefälschte Zahlungsseite geöffnet, Schadsoftware nachgeladen oder ein Browser kompromittiert wird, betrifft das nicht nur die private Reisebuchung.

Die entscheidende Frage lautet deshalb nicht: War der Klick privat oder beruflich?
Die entscheidende Frage lautet: Hatte das Gerät Zugriff auf Unternehmensdaten?

Wenn ja, ist der Vorfall auch für die IT-Sicherheit relevant.

Bring Your Own Device, kurz BYOD, ist in vielen Unternehmen längst Realität. Mitarbeitende nutzen private Smartphones, Tablets oder Laptops für berufliche Zwecke. Manchmal ist das offiziell erlaubt. Manchmal entsteht es schleichend: aus Flexibilität, Kostengründen oder fehlender Ausstattung.

Besonders kritisch ist die oft unausgesprochene Vorgabe, auch ohne die Bereitstellung eines Diensthandys erreichbar sein zu müssen. Durch diese Erwartungshaltung wird das private Smartphone faktisch zum Arbeitsmittel transformiert, ohne dass es wie ein solches behandelt oder reguliert wird.

Das spart vielleicht Hardwarekosten, verschiebt aber Sicherheitsrisiken auf Mitarbeitende und Unternehmen zugleich. Denn private Geräte sind oft nicht zentral verwaltet. Betriebssysteme, Apps, Sicherheitsupdates, Gerätesperren, Verschlüsselung und Zugriffsrechte lassen sich nur begrenzt kontrollieren. Gleichzeitig laufen darüber geschäftliche E-Mails, Messenger-Kommunikation, MFA-Freigaben oder Cloud-Zugriffe.

BYOD ist deshalb keine kostenlose Lösung. Es braucht Regeln, technische Mindeststandards und klare Verantwortlichkeiten. Unternehmen müssen definieren, welche privaten Geräte für welche geschäftlichen Zwecke genutzt werden dürfen, welche Sicherheitsanforderungen gelten und was passiert, wenn ein Gerät verloren geht, kompromittiert wird oder ein Phishing-Link geöffnet wurde.

Ohne diese Klärung entsteht eine Grauzone: Das Gerät gehört privat dem Mitarbeitenden, die geschäftlichen Daten darauf betreffen aber das Unternehmen.

Ein privater Phishing-Klick kann verschiedene Folgen haben. Zugangsdaten können abgegriffen werden. Eine gefälschte Login-Seite kann Passwörter sammeln. Eine manipulierte Website kann Schadsoftware nachladen. Eine Zahlungsseite kann Kreditkartendaten stehlen. Ein kompromittierter Browser kann Sitzungen und gespeicherte Informationen gefährden.

Besonders kritisch wird es, wenn auf demselben Gerät geschäftliche Anwendungen genutzt werden. Dann kann ein Angreifer versuchen, weitere Informationen zu sammeln, Unternehmenszugänge zu missbrauchen oder Schadsoftware in Richtung geschäftlicher Systeme auszubreiten.

Der erste Schaden ist oft nicht sichtbar. Vielleicht wurde nur eine Seite geöffnet. Vielleicht wurden Daten eingegeben. Vielleicht wurde im Hintergrund etwas heruntergeladen. Genau deshalb ist eine schnelle Meldung entscheidend.

Mitarbeitende müssen wissen: Wenn ein verdächtiger Link auf einem beruflich genutzten Gerät geöffnet wurde, sollte der Vorfall gemeldet werden. Auch dann, wenn es um eine private Buchung ging. Auch dann, wenn noch kein Schaden erkennbar ist. Und auch dann, wenn es unangenehm ist.

Viele Sicherheitsvorfälle werden nicht groß, weil der erste Fehler besonders schwer war. Sie werden groß, weil zu spät darüber gesprochen wird.

Private Gerätenutzung, BYOD und mobile Arbeit lassen sich nicht mit allgemeinen Appellen absichern. Unternehmen brauchen klare, verständliche Regeln.

Dazu gehören Antworten auf einfache Fragen: 

• Dürfen Firmengeräte privat genutzt werden?
• Dürfen private Reisebuchungen oder Zahlungen darüber erfolgen?
• Dürfen private Geräte geschäftliche E-Mails empfangen?
• Welche Apps sind erlaubt?
• Welche Sicherheitsanforderungen gelten?
• Wer ist verantwortlich, wenn ein privates Gerät beruflich genutzt wird?
• Was passiert bei Verlust, Diebstahl oder einem Phishing-Verdacht?

Diese Regeln sollten nicht nur juristisch sauber, sondern auch alltagstauglich sein. Zu strenge Vorgaben, die niemand einhält, erzeugen Scheinsicherheit. Zu vage Vorgaben lassen Mitarbeitende allein.

Wichtig ist auch Fairness. Wenn Unternehmen Erreichbarkeit erwarten, müssen sie die dafür nötige Ausstattung und Sicherheit mitdenken. Wer private Geräte als Arbeitsmittel nutzt, braucht klare Rahmenbedingungen. Andernfalls profitieren Unternehmen von der Flexibilität der Mitarbeitenden, ohne die damit verbundenen Risiken sauber zu tragen.

Regeln und Awareness sind wichtig, reichen aber nicht aus. Moderne Phishing-Angriffe sind so gestaltet, dass auch aufmerksame Menschen Fehler machen können. Deshalb müssen technische Schutzschichten unterstützen.

• E-Mail-Sicherheit hilft, verdächtige Nachrichten, schädliche Anhänge, manipulierte Links und gefälschte Absender frühzeitig zu erkennen. Securepoint Mail Security kann hier als erste Schutzschicht gegen Phishing, Betrug und Malware eingeordnet werden.
• Endpoint-Schutz ist entscheidend, wenn nach einem Klick Schadsoftware ausgeführt wird oder verdächtiges Verhalten entsteht. Securepoint Antivirus Pro schützt Windows-Endgeräte und unterstützt Unternehmen dabei, Angriffe auf Laptops und Arbeitsplätze einzudämmen.
• Mobile Device Management ist besonders relevant für Smartphones und Tablets, egal ob Dienstgerät oder BYOD-Szenario. Securepoint Mobile Device Management kann helfen, geschäftlich genutzte mobile Geräte zentral zu verwalten, Sicherheitsrichtlinien umzusetzen und bei Verlust oder Kompromittierung schneller zu reagieren.
• DNS- und Webschutz reduziert das Risiko, dass gefährliche Domains, gefälschte Login-Seiten oder betrügerische Zahlungsseiten überhaupt erreicht werden. Securepoint Cloud Shield kann als zusätzliche Schutzebene helfen, bekannte schädliche oder verdächtige Ziele frühzeitig zu blockieren.
• Dazu kommen Netzwerk- und Zugriffsschutz über UTM-Firewall, VPN, Multi-Faktor-Authentifizierung und klare Berechtigungskonzepte. Entscheidend ist das Zusammenspiel. Ein einzelnes Produkt löst das Problem nicht. Aber mehrere abgestimmte Schutzebenen senken das Risiko deutlich.

Viele Schulungen erklären Phishing noch zu abstrakt. Für die Praxis reicht das nicht. Mitarbeitende müssen Beispiele kennen, die ihrem Alltag entsprechen.

Dazu gehören private Reisebuchungen auf dem Firmenlaptop, WhatsApp-Nachrichten auf dem Diensthandy, geschäftliche E-Mails auf dem privaten Smartphone, QR-Codes im Hotel, Zahlungsaufforderungen von Buchungsportalen oder MFA-Freigaben unterwegs.

Die wichtigste Botschaft lautet: Ein verdächtiger Klick auf einem beruflich genutzten Gerät ist meldepflichtig, auch wenn der Anlass privat war. Nicht, um Schuld zuzuweisen, sondern um Schaden zu verhindern.

Securepoint Awareness Next kann Unternehmen dabei unterstützen, solche Szenarien regelmäßig und praxisnah zu vermitteln. Ziel ist nicht, Mitarbeitende zu verunsichern, sondern Handlungssicherheit zu schaffen: erkennen, stoppen, melden.

Unternehmen sollten zunächst prüfen, wie Geräte tatsächlich genutzt werden. 

• Gibt es offizielle BYOD-Regeln?
• Werden private Smartphones für geschäftliche E-Mails oder MFA genutzt?
• Werden Firmenlaptops privat verwendet?
• Gibt es klare Vorgaben zu Reisebuchungen, Zahlungen und privaten Apps?
• Sind mobile Geräte verwaltet?
• Sind E-Mail-Sicherheit, Endpoint-Schutz, DNS-Schutz, MFA und VPN konsequent umgesetzt?

Danach sollten Regeln und Technik zusammengeführt werden. Wer BYOD erlaubt oder duldet, muss Mindeststandards definieren. Wer private Nutzung von Firmengeräten erlaubt, muss Grenzen setzen. Wer Erreichbarkeit erwartet, muss klären, ob dafür private oder geschäftliche Geräte genutzt werden sollen.

Vor der Urlaubszeit empfiehlt sich eine kurze interne Sicherheitsinformation. Sie sollte konkrete Beispiele enthalten: gefälschte Hotelnachrichten, Kreditkartenprüfungen, WhatsApp-Links, QR-Codes, Buchungsportale und Zahlungsaufforderungen. Entscheidend ist der klare Ablauf: nicht klicken, direkt prüfen, intern melden.

Phishing zur Urlaubszeit zeigt, wie eng private und berufliche Sicherheit heute verbunden sind. Ein privater Klick kann ein Unternehmensproblem werden, wenn er auf einem Firmengerät passiert oder auf einem privaten Gerät, das beruflich genutzt wird.

BYOD, mobile Arbeit und flexible Erreichbarkeit sind aus vielen Unternehmen nicht mehr wegzudenken. Aber sie sind nicht automatisch sicher und schon gar nicht kostenlos. Wer private Geräte im Arbeitsumfeld nutzt oder duldet, braucht klare Regeln, technische Schutzmaßnahmen und eine offene Meldekultur.

Die wichtigste Erkenntnis lautet: Entscheidend ist nicht, ob eine Nachricht privat oder beruflich wirkt. Entscheidend ist, ob das Gerät Zugang zum Unternehmen hat.

Wenn ja, gehört das Risiko auf die Agenda von Geschäftsführung, IT-Leitung und Mitarbeitenden. Denn Angreifer nutzen genau die Grauzonen aus, die Unternehmen im Alltag zu lange unbeachtet lassen.