Phishing erkennen

Grundlagen

Was ist Phishing?

Beim Phishing geben sich Kriminelle als bekannte Organisation oder vertraute Person aus. Sie wollen an Zugangsdaten, Sicherheitscodes, persönliche Informationen oder Geld gelangen.

Die Nachricht kann per E-Mail, SMS, Messenger oder QR-Code kommen. Auch ein Anruf mit einer vertraut klingenden Stimme kann Teil der Masche sein. Ein Logo, eine persönliche Anrede oder fehlerfreies Deutsch beweisen nicht, dass der Kontakt echt ist.

Spam bezeichnet unerwünschte Massennachrichten. Bei Phishing geht es um Täuschung: Du sollst dich auf einer nachgebauten Seite anmelden, eine Zahlung freigeben, eine Datei öffnen oder am Telefon einen Sicherheitscode nennen. Manchmal sammeln die Täter zunächst nur Informationen und nutzen sie später für einen glaubwürdigeren zweiten Kontakt.

Technische Schutzfilter fangen viele solcher Nachrichten ab, aber nicht alle. Besonders schwer zu erkennen sind Fälle, die zu einer aktuellen Bestellung, einer tatsächlichen Geschäftsbeziehung oder einem öffentlichen Ereignis passen. Prüfe deshalb, ob der Kontaktweg und die Forderung zum Anlass passen.

Die Masche verstehen

Wie läuft die Masche ab?

Eine angebliche Kontosperre soll dich zur Anmeldung auf einer gefälschten Seite bewegen. Beim nächsten Versuch verspricht die Nachricht einen Gewinn. Beide Geschichten zielen darauf, dass du schnell handelst.

Es ist halb sechs, das Essen steht auf dem Herd, und gerade kommt eine Nachricht zum Paket, auf das du wartest. In so einem Moment passt „nur kurz die Adresse bestätigen“ bequem zwischen zwei andere Aufgaben. Genau dieses Nebenbei verdient Aufmerksamkeit: Man muss keine absurde Geschichte glauben, um einen Link zu öffnen.

Lass eine ungewöhnliche Forderung deshalb kurz liegen. Prüfe sie über einen Kontaktweg, den du selbst gewählt hast.

Vom ersten Kontakt bis zum Schaden

1. Vertrauen herstellen: Name, Logo, Schreibstil oder eine bekannte Situation sollen die Nachricht glaubwürdig machen.
2. Druck erzeugen: Eine angebliche Kontosperre, offene Rechnung oder knappe Frist soll eine schnelle Reaktion auslösen.
3. Aus dem sicheren Weg locken: Ein Link, QR-Code, Anhang oder Rückruf führt zu einer fremden Seite, Datei oder Person.
4. Handlung verlangen: Dort werden Zugangsdaten, TANs, Zahlungen, Fernzugriff oder die Installation einer App gefordert.
5. Zugang ausnutzen: Gestohlene Daten können für Kontoübernahmen, weitere Betrugsversuche oder Identitätsmissbrauch verwendet werden.

Öffne den Dienst über die bekannte App, ein gespeichertes Lesezeichen oder eine selbst eingegebene Adresse. Dort kannst du nachsehen, ob die behauptete Nachricht auch in deinem Kundenkonto vorliegt.

Nachrichten prüfen

Woran erkenne ich Phishing?

Beginne mit der vollständigen Absenderadresse. Vergleiche dann, ob Anlass und Forderung zu deinem Kontakt mit der Organisation passen.

Absender und Anlass einordnen

Prüfe die vollständige Adresse hinter dem angezeigten Namen. Ein vertrauter Name lässt sich leicht vortäuschen. Achte auf vertauschte Buchstaben, zusätzliche Wörter oder eine Domain, die nicht zur Organisation gehört. Prüfe ungewöhnliche Forderungen auch bei einer passenden Adresse nach: Angreifer fälschen Absenderangaben oder übernehmen echte Konten.

Frage dich anschließend, ob du diesen Kontakt erwartet hast. Gibt es wirklich eine Bestellung, Rechnung oder Sicherheitsmeldung? Passt der verwendete Kanal zum üblichen Verhalten der Organisation? Wenn du unsicher bist, beginne einen neuen Kontakt über die offizielle Website oder eine bereits bekannte Telefonnummer.

Links prüfen, ohne ihnen zu folgen

Auf einem Computer zeigt der Browser beim Darüberfahren häufig das tatsächliche Linkziel an. Auf einem Smartphone kannst du einen Link meist länger berühren, um eine Vorschau zu sehen. Öffne ihn dabei nicht. Prüfe den Domainnamen des tatsächlichen Ziels. Bei kurs.example.org ist das example.org; „kurs“ ist eine Subdomain. Ein vertrauter Name an anderer Stelle der Adresse belegt keine Zugehörigkeit. Bei mehrteiligen Endungen wie .co.uk ist die Zuordnung weniger leicht abzulesen. Im Zweifel öffnest du den Dienst über eine bereits bekannte Adresse.

Verkürzte Links und QR-Codes verbergen das Ziel zunächst. Bei einer wichtigen Nachricht ist das ein Grund mehr, die Website selbst aufzurufen. Eine verschlüsselte Verbindung und das Schloss-Symbol bedeuten lediglich, dass die Verbindung zur geöffneten Seite geschützt ist – nicht, dass die Seite seriös ist.

Forderungen und Anhänge bewerten

• Die Nachricht erzeugt Zeitdruck, droht mit Nachteilen oder verspricht eine ungewöhnliche Belohnung.
• Du sollst Passwort, TAN, Wiederherstellungscode, Ausweisdaten oder Zahlungsinformationen mitteilen.
• Eine Zahlung soll auf ein neues Konto, per Gutscheincode oder Kryptowährung erfolgen.
• Du sollst eine App installieren, eine Fernwartung erlauben oder Sicherheitseinstellungen abschalten.
• Ein unerwarteter Anhang fordert dich auf, Makros, Bearbeitung oder zusätzliche Inhalte zu aktivieren.

Auch ohne sichtbaren Link kann eine Nachricht gefährlich sein. Eine Antwort bestätigt möglicherweise, dass deine Adresse aktiv ist, und eröffnet ein Gespräch, in dem weitere Informationen abgefragt werden.

Eine verdächtige Kursnachricht prüfen

Diese Nachricht ist ein erfundenes Lernbeispiel.

Von: Kursbüro <anmeldung@example.org>
Betreff: Ihr Kursplatz verfällt heute
„Bestätigen Sie sofort Ihren Platz. Melden Sie sich dazu mit Ihrem E-Mail-Passwort über unseren Bestätigungslink an.“

Der Name „Kursbüro“ sagt nichts darüber aus, wer die Nachricht versendet hat. Die Frist erzeugt Druck. Ausschlaggebend ist hier die Forderung nach dem Passwort des Mailkontos: Ein Kursveranstalter benötigt dieses Passwort nicht, um einen Platz zu bestätigen.

Du öffnest den Link nicht und gibst keine Zugangsdaten ein. Wenn du dich tatsächlich angemeldet hast, fragst du über die Kontaktadresse aus deiner ursprünglichen Buchung nach. Hast du das Passwort schon eingegeben, folge der Soforthilfe unten.

Wie Adresse und Postfach zusammenhängen, erklärt der Ratgeber zu E-Mail-Adressen.

Soforthilfe

Was soll ich jetzt tun?

Noch nichts angeklickt? Reagiere nicht auf die Nachricht. Öffne das echte Kundenkonto selbst oder frage über eine offizielle Telefonnummer nach.

Link geöffnet, aber nichts eingegeben? Schließe die Seite. Öffne keine heruntergeladene Datei. Ein bloßer Seitenaufruf führt nicht automatisch zu einer Kontoübernahme, trotzdem solltest du auf ungewöhnliche Downloads, neue Browser-Erweiterungen oder Warnmeldungen achten.

Datei geöffnet oder Software installiert? Trenne das Gerät bei einem konkreten Verdacht vom Netz und nutze es nicht für weitere Anmeldungen. Lass es mit aktuellen Schutzprogrammen oder fachkundiger Hilfe prüfen. Bei einem Arbeitsgerät informierst du sofort die zuständige IT-Stelle.

Passwort eingegeben? Öffne den echten Dienst auf einem vertrauenswürdigen Gerät und ändere das Passwort. Beende unbekannte Sitzungen, kontrolliere hinterlegte E-Mail-Adressen und Telefonnummern und aktiviere eine Zwei-Faktor-Anmeldung. Ändere das Passwort auch bei anderen Konten, falls du es mehrfach verwendet hast.

TAN oder Sicherheitscode weitergegeben? Kontaktiere den betroffenen Dienst sofort über seinen offiziellen Notfallweg. Ein neues Passwort allein reicht möglicherweise nicht, wenn bereits eine Zahlung oder Anmeldung bestätigt wurde.

Bank- oder Zahlungsdaten betroffen? Rufe die Bank oder den Zahlungsdienst über die selbst recherchierte Notfallnummer an, sperre den Zugang und kontrolliere die Umsätze. Frage, ob sich noch ausstehende Überweisungen oder Kartenumsätze stoppen lassen.

Belege sichern und den Vorfall melden

Lösche die Nachricht nicht sofort. Sichere Absenderadresse, Inhalt, Linkziel, Telefonnummer, Zeitpunkt und gegebenenfalls Zahlungsbelege. Diese Informationen helfen der Bank, der IT-Abteilung oder der Polizei bei der Einordnung. Teile öffentlich keine Zugangsdaten oder vollständigen persönlichen Dokumente.

Bei finanziellem Schaden, Identitätsmissbrauch oder einer Erpressung solltest du eine Anzeige bei der Polizei erwägen. Informiere außerdem die Organisation, deren Name missbraucht wurde, über den auf ihrer offiziellen Website genannten Meldeweg.

Kanäle und Methoden

Welche Varianten gibt es?

Phishing ist der Oberbegriff für verschiedene Kontaktwege. Per SMS heißt die Masche häufig Smishing. Kurze Nachrichten über angebliche Pakete, Kontosperren oder Familiennotfälle sollen dich zu einem Link oder einer schnellen Antwort bewegen.

Beim Vishing findet der Betrug am Telefon statt. Die angezeigte Rufnummer kann gefälscht sein. Seriöse Mitarbeitende benötigen weder deine vollständigen Zugangsdaten noch eine TAN, um einen angeblichen Sicherheitsvorfall zu stoppen. Beende das Gespräch und rufe selbst über eine verifizierte Nummer zurück.

QR-Phishing verlagert den Link in einen QR-Code, etwa auf einem Brief, Plakat oder Parkautomaten. Prüfe die Vorschau der Adresse und öffne wichtige Dienste lieber direkt. Bei gezieltem Spear-Phishing greifen Täter Informationen über eine bestimmte Person oder Organisation auf. Eine persönliche Ansprache macht die Forderung plausibler, aber nicht automatisch echt.

Social Engineering beschreibt den psychologischen Druck hinter diesen Varianten. Angst, Hilfsbereitschaft, Autorität oder Neugier sollen die ruhige Prüfung verkürzen. Unterbrich bei einer ungewöhnlichen Forderung den Kontakt und frage über einen unabhängig geöffneten Weg nach.

Häufige Fragen

Noch Fragen zu Phishing?

• Kann eine fehlerfreie Nachricht trotzdem Phishing sein?

  Ja. Sprache und Gestaltung können professionell wirken. Prüfe deshalb die vollständige Absenderadresse, das tatsächliche Linkziel, den Anlass und jede Forderung nach Daten, Codes oder Geld.

• Was mache ich, wenn ich nur auf den Link geklickt habe?

  Schließe die Seite und gib dort nichts ein. Hast du eine Datei geladen oder geöffnet, trenne das Gerät im Zweifel vom Netz und lass es fachkundig prüfen.

• Was mache ich nach der Eingabe von Passwort oder TAN?

  Öffne den echten Dienst selbst, ändere das betroffene Passwort sofort und sperre bei Bank- oder Zahlungsdaten unverzüglich den Zugang über die offizielle Notfallnummer. Prüfe weitere Konten, falls du dasselbe Passwort mehrfach verwendet hast.

• Wo kann ich eine verdächtige Nachricht prüfen oder melden?

  Frage die angebliche Organisation über deren offizielle Website, App oder bekannte Telefonnummer. Aktuelle Maschen sammelt außerdem das Phishing-Radar der Verbraucherzentrale.