Hier ist ein erfundenes Beispiel, das für diesen Artikel geschrieben wurde. Seine Adressen sind nicht erreichbar, und es steht nur da, damit du das Lesen üben kannst.
Beispiel für eine Phishing-Nachricht, keine echte
Von: "Postfach-Support" <helpdesk@mail-storage-notice.example>
Betreff: Dein Postfach ist zu 98 % voll, Nachrichten werden zurückgehalten
Sehr geehrter Nutzer, 14 eingehende Nachrichten konnten nicht zugestellt werden, weil dein Speicher voll ist. Bestätige dein Konto innerhalb von 24 Stunden, um sie freizugeben und eine Sperrung zu vermeiden.
[Meine Nachrichten freigeben]
Verräterisch sind die Domain des Absenders, die niemandem gehört, mit dem du zu tun hast, eine Anrede, die deinen Namen nicht kennt, eine Frist mit angehängter Drohung und ein Button, der dich zum Anmelden bringen will. Nichts davon ist falsch geschrieben, und das ist heute typisch. Phishing-Mails erkennst du, indem du die echte Absenderadresse prüfst, liest, wohin Links tatsächlich führen, unerwartete Forderungen nach Passwörtern, Geld oder dem Öffnen von Dateien mit Misstrauen behandelst und alles Wichtige über einen Weg bestätigst, dem du schon vertraust, statt über die Nachricht selbst.
Phishing ist eine Nachricht, die sich als vertrauenswürdige Person oder Organisation ausgibt, damit du Zugangsdaten herausgibst, Geld zahlst, Schadsoftware installierst oder Informationen preisgibst, die für einen späteren Angriff nützlich sind. Ratschläge, die auf schlechter Grammatik und plumpen Logos beruhen, sind schlecht gealtert, denn das Design einer Marke zu kopieren ist trivial, und Übersetzungs- und Schreibhilfen stehen jedem zur Verfügung. Verlässlich bleibt, was die Nachricht von dir verlangt und was die technischen Belege über ihre Herkunft sagen.
Welche Signale deine Aufmerksamkeit verdienen
Warnzeichen wiegen nicht gleich viel. Diese Rangfolge ist eine Einschätzung darauf, wie die Angriffe funktionieren, keine gemessene Statistik, aber sie zeigt, wohin du deine wenigen Sekunden Aufmerksamkeit lenken solltest.
| Signal | Wie aussagekräftig | Warum |
|---|---|---|
| Der Link führt zu einer Domain, die nicht der angeblichen Organisation gehört | Sehr hoch | Diese Abweichung ist der Kern von Phishing um Zugangsdaten |
| Die E-Mail verlangt ein Passwort, einen Einmalcode oder eine vollständige Kartennummer | Sehr hoch | Seriöse Dienste erfragen so etwas nicht per E-Mail |
| Zahlungsdaten werden „dringend“ per E-Mail geändert | Sehr hoch | Das Standardmuster von Betrug mit Geschäfts-E-Mails |
| Die Absender-Domain passt nicht zur Organisation | Hoch | Ähnlich aussehende Domains und Gratis-Postfächer sind häufig |
| Unerwartetes Archiv, HTML-Datei oder Makro-Dokument | Hoch | Übliche Wege, Schadsoftware oder eine gefälschte Login-Seite zu verbreiten |
| DMARC schlägt für die angebliche Domain fehl | Hoch | Starker Hinweis auf Fälschung, auch wenn ein Bestehen wenig beweist |
| Starker Zeitdruck oder Drohungen | Mittel | Häufig bei Phishing, doch echte Sicherheitswarnungen können auch dringend sein |
| Allgemeine Anrede | Mittel | Massenkampagnen nutzen sie, gezielte Angriffe nennen deinen Namen |
| Rechtschreib- und Grammatikfehler | Gering bis mittel | Modernes Phishing ist oft glatt geschrieben, und echte Mails haben Tippfehler |
| Logo oder Layout wirkt falsch | Gering | Das Design einer Marke zu kopieren dauert Minuten |
Beachte, dass es oben in der Tabelle um Ziel und Forderung geht und unten um das Aussehen. Der nützlichste gedankliche Wechsel ist, nicht mehr zu fragen „Sieht das echt aus?“, sondern „Was will das von mir, und wie kann ich das prüfen, ohne diese Nachricht zu benutzen?“
Einen Link richtig lesen
Wenn du aus diesem Artikel eine einzige technische Fähigkeit mitnimmst, dann diese, denn der sichtbare Text eines Links und sein wirkliches Ziel sind völlig voneinander getrennt. Ein Button mit „Bei deinem Konto anmelden“ kann überallhin führen. Am Computer fährst du mit der Maus über den Link, ohne zu klicken, und liest die Adresse, die in der Statusleiste oder einem Tooltip erscheint. Am Handy hältst du den Link gedrückt, um die Vorschau zu sehen, und brichst dann ab.
Die meisten lesen Webadressen von links, und Angreifer verlassen sich darauf. Wem eine Adresse gehört, entscheidet sich am rechten Ende des Hostnamens: bei der registrierten Domain samt Endung, direkt vor dem ersten einzelnen Schrägstrich. Alles links davon ist eine Subdomain, die der Inhaber auf beliebigen Text setzen kann. Alles nach dem Schrägstrich ist ein Pfad, und der kann ebenfalls alles Mögliche enthalten. Nimm diese vier Beispiele, von denen das zweite, dritte und vierte erfunden sind:
https://accounts.google.com/signingehört Google, weil die Domaingoogle.comist.https://accounts.google.com.secure-login.example/signingehörtsecure-login.example. Der Markenname ist nur eine Subdomain.https://secure-login.example/accounts.google.com/gehört ebenfallssecure-login.example, mit der Marke im Pfad.https://www.paypal.com@203.0.113.7/nutzt einen alten Trick. Alles vor dem@gilt als Benutzername, und das wirkliche Ziel ist die IP-Adresse dahinter.
Ein paar weitere Linkmuster sollten dich bremsen. Kurzlink-Dienste sind in einer Nachricht einer großen Marke merkwürdig, denn sie hat keinen Grund, ihre eigene Domain zu verstecken. Links zu Formular-Bauern oder Dateifreigabe-Diensten, die dich auffordern, dich „anzumelden, um ein Dokument anzusehen“, sind beliebt, weil Phishing-Seiten oft auf seriösen Cloud-Plattformen liegen. Ein vertrauter Hosting-Name in der Adresse heißt also nicht, dass die Seite sicher ist. Die Frage ist, ob die Domain der Organisation gehört, mit der du dich zu tun glaubst.
Das Vorhängeschloss hilft in keine Richtung. HTTPS sagt dir, dass die Verbindung verschlüsselt ist, und kostenlose Zertifikate bekommt jeder, auch Kriminelle. Eine gefälschte Bankseite mit Schloss ist eine verschlüsselte Verbindung zu einem Dieb.
Sei auch bei internationalen Doppelgängern vorsichtig. Domains können Zeichen aus anderen Alphabeten enthalten, die lateinischen Buchstaben zum Verwechseln ähnlich sehen, etwa ein kyrillisches „а“ statt eines lateinischen „a“. Browser zeigen sie oft in einer codierten Form an, die mit xn-- beginnt, und dieses Präfix dort zu sehen, wo du eine vertraute Marke erwartest, ist ein nützlicher Hinweis.
Den Absender lesen
Mail-Programme zeigen den Anzeigenamen in großer Schrift und verbergen oft die Adresse, dabei ist der Anzeigename freier Text, den der Absender wählt. Eine Nachricht mit „Microsoft-Konto-Team“ kann von einer völlig fremden Domain oder aus einem beliebigen gekaperten Postfach kommen. Am Computer fährst du mit der Maus über den Namen oder klickst ihn an. Am Handy tippst du ihn an, um ihn zu erweitern. Dann sieh dir den Teil nach dem @ an und behalte diese Muster im Kopf (die Domains hier sind Beispiele):
- Vertauschte Zeichen, etwa
rnstattmoder die Ziffer1statt des Buchstabensl. - Zusätzliche Wörter, etwa
netflix-billing.example. Marken verwenden für Kontomails selten Varianten ihres Namens mit Bindestrich. - Eine andere Endung, etwa
yourbank.co, wo duyourbank.comerwartest. - Ein Gratis-Postfach für Privatleute, das sich als Bank, Kanzlei oder deine Geschäftsführung ausgibt.
Prüfe dann die Antwortadresse. Eine Nachricht kann eine glaubwürdige Absenderzeile zeigen und als Reply-To das Postfach des Angreifers setzen, sodass deine Antwort woandershin geht. Viele Programme zeigen das Ziel, wenn du auf Antworten drückst, also sieh nach, bevor du sendest.
Die Absenderprüfung hat eine klare Grenze: Über gekaperte Konten sagt sie nichts. Wenn das echte Postfach eines Kollegen oder Lieferanten übernommen wurde, ist die Adresse einwandfrei. Dann ist die Forderung selbst dein einziges Signal, und damit kommen wir zum nächsten Punkt.
Forderungen, die kein ehrlicher Absender per E-Mail stellt
Manche Forderungen sind verdächtig, egal wie gut der Rest der Nachricht aussieht. Dein Passwort oder deine PIN. Der Einmalcode, den du gerade per SMS oder App bekommen hast. Eine vollständige Kartennummer samt Sicherheitscode. Zahlung per Geschenkkarte oder Kryptowährung oder eine Überweisung auf ein neues Konto. Fernzugriff auf deinen Computer wegen eines Problems, das du nie gemeldet hast. Vertrauliche Dateien oder Mitarbeiterdaten, die „für eine Prüfung“ an eine externe Adresse gehen sollen.
Die Forderung nach dem Einmalcode solltest du verstehen, weil sie sich so harmlos anfühlt. Ein Angreifer, der schon dein Passwort hat, löst eine Anmeldung aus, wodurch du einen echten Code vom echten Dienst bekommst. Dann schreibt er dich als angeblicher Support an und bittet dich, diesen Code zu „bestätigen“. Wer nach einem Code fragt, den du erhalten hast, versucht, sich als du anzumelden.
Auch Behörden dienen oft als Tarnung. Die US-Steuerbehörde IRS etwa sagt, sie nehme nicht per E-Mail Kontakt zu Steuerzahlern auf, um persönliche oder finanzielle Angaben zu erfragen, und viele Finanzbehörden anderswo veröffentlichen ähnliche Warnungen. Wenn du glaubst, eine Erstattung oder eine Strafe könnte echt sein, tippe die Adresse der Behörde selbst ein und melde dich dort an.
Warum auch vorsichtige Menschen darauf hereinfallen
Phishing zielt mehr auf Verhalten als auf Software. Gut gebaute Nachrichten wollen eine schnelle emotionale Reaktion auslösen, damit du erst handelst und dann denkst. Zeitdruck ist der offensichtliche Hebel („Konto wird in 24 Stunden geschlossen“), dazu kommen Angst („ungewöhnliche Anmeldung“, „rechtliche Schritte anhängig“) und Autorität, wobei Geschäftsführung, Bank oder IT-Support als Absender auftreten. Belohnung und Neugier wirken ebenfalls, mit Erstattungen, Preisen und „Sieh, wer dein Profil angesehen hat“. Und dann ist da schlichte Hilfsbereitschaft, etwa wenn ein Kollege dringend eine Datei geprüft haben will.
Die Routine ist vielleicht der stärkste Faktor. Eine gefälschte Rechnung, Zustellbenachrichtigung oder ein geteiltes Dokument sieht aus wie Dutzende echte, die du jede Woche bearbeitest, und bei Dingen, die du auf Autopilot erledigst, bist du am wenigsten aufmerksam. Deshalb ist das Ziel nicht, jeder E-Mail zu misstrauen, was niemand durchhält. Das Ziel ist, den Moment zu bemerken, in dem eine Nachricht etwas Sensibles verlangt, und in diesem Moment vom Reagieren zum Prüfen zu wechseln.
Die Angriffsarten und was jede für dich ändert
Die Namen sind weniger wichtig als zu wissen, was jede Variante an den obigen Ratschlägen ändert. Manche umgehen die üblichen Prüfungen.
| Art | Was es ist | Was es für dich ändert |
|---|---|---|
| Massen-Phishing | Allgemeine Nachricht an riesige Listen, etwa „Postfach voll“ oder „Paket hängt fest“ | Am leichtesten zu erkennen, weil sie selten zu deinem Leben passt |
| Spear-Phishing | Auf dich zugeschnitten, mit Namen und Details aus sozialen Medien oder Leak-Daten | Persönliche Angaben beweisen nichts |
| Whaling | Spear-Phishing gegen Führungskräfte oder Menschen, die über Geld entscheiden | Eine hohe Position macht dich zum Ziel |
| Business Email Compromise | Eine Führungskraft, ein Lieferant oder Kollege wird nachgeahmt oder übernommen, um Geld umzuleiten | Oft ohne Link und ohne Anhang, deshalb sehen Scanner nichts |
| Clone-Phishing | Eine echte frühere E-Mail wird kopiert und mit ausgetauschtem Link oder ausgetauschter Datei erneut verschickt | Vertrauter Inhalt ist kein Beweis |
| Thread-Hijacking | Antwort mitten in einer echten Unterhaltung aus einem gekaperten Postfach | Die Absenderprüfung besteht |
| Quishing | Ein QR-Code ersetzt den Link | Verlagert dich aufs Handy, weg von Schutz am Desktop und von Link-Scannern |
| Consent-Phishing | Eine schädliche App fragt auf einem echten „Zulassen“-Bildschirm nach Zugriff | Kein Passwort wird gestohlen, und die Anmeldeseite ist echt |
| Callback-Phishing | Eine gefälschte Rechnung oder Verlängerung nennt eine Nummer zum Zurückrufen | Nichts zum Anklicken, und der Betrug geschieht im Telefonat |
| Device-Code-Phishing | Du sollst auf einer echten Anmeldeseite einen Code eingeben, der das Gerät des Angreifers freischaltet | Die Domain-Prüfung besteht, also ist die unerwartete Aufforderung der Hinweis |
Zu den letzten drei gehört je ein Satz praktischer Rat. Lies die Berechtigungsliste auf jedem „Zugriff erlauben“-Bildschirm und lehne ab, wenn eine unbekannte App deine Mails lesen will. Ruf nie eine Nummer an, die auf einer unerwarteten Rechnung steht. Und gib nie einen Code auf einer Anmeldeseite ein, nur weil dich jemand in einer E-Mail oder einem Chat dazu auffordert, es sei denn, du hast den Vorgang selbst auf einem Gerät gestartet, das vor dir liegt.
Beispielnachrichten, kommentiert
Alle folgenden Beispiele sind erfunden und beruhen auf breit dokumentierten Mustern. Namen und Domains sind ausgedacht.
Beispiel: das geteilte Dokument
Nur Beispiel
Von: "Jordan (via Docs)" <jordan.m@partnerfirm-mail.example>
Betreff: Jordan hat „Q3-Zahlungsplan“ mit dir geteilt
In Docs öffnen
Das ahmt eine Freigabe-Benachrichtigung nach, doch der Absender ist eine fremde Adresse, die du nicht kennst, und der Button führt zu einer Seite, die nach deinem E-Mail-Passwort fragt, oft mit einer Reihe von Anbieter-Logos. Echte Benachrichtigungen kommen von der Domain der Plattform selbst und öffnen sich in einer Sitzung, in der du schon angemeldet bist. Wenn du einen Jordan kennst, frag ihn. Gib auf keinen Fall dein Passwort auf einer Seite ein, die du über eine „geteilte Datei“-Mail erreicht hast.
Beispiel: das neue Bankkonto des Lieferanten
Nur Beispiel
Von: "Accounts Receivable" <ar@supplier-co.example>
Betreff: AW: Rechnung 4471
Bitte beachten Sie, dass sich unsere Bankverbindung aufgrund einer Prüfung geändert hat. Bitte nutzen Sie für diese und künftige Zahlungen die angehängten neuen Kontodaten. Die Zahlung ist überfällig, bitte veranlassen Sie sie noch heute.
Hier gibt es vielleicht keinen Link, und die Mail könnte aus dem echten, gekaperten Postfach des Lieferanten mitten in einem echten Verlauf stammen. Alle technischen Prüfungen könnten bestehen. Das Warnsignal ist die Forderung: eine Änderung der Zahlungsdaten per E-Mail, mit Zeitdruck. Ruf den Lieferanten unter einer Nummer an, die du schon hast, nicht unter einer aus der E-Mail oder ihrer Signatur, bevor du irgendetwas zahlst. Wenn das Geld schon weg ist, ruf sofort deine Bank an und frag nach einer Rückholung der Zahlung, und in den USA melde es auf ic3.gov.
Beispiel: die Paketgebühr
Nur Beispiel
Betreff: Dein Paket wird zurückgehalten: Zollgebühr nicht bezahlt
Wir haben versucht, dein Paket zuzustellen. Für eine neue Zustellung ist eine kleine Gebühr nötig. Zahle jetzt, um die Rücksendung zu vermeiden.
Der kleine Betrag senkt deine Wachsamkeit, und das Ziel sind deine kompletten Kartendaten, die sich dann für größeren Betrug nutzen lassen. Verfolge Lieferungen mit der Nummer auf der Bestellseite des Händlers oder in der offiziellen App des Paketdienstes.
Beispiel: die Führungskraft, die „in Meetings“ ist
Nur Beispiel
Von: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Betreff: kurzer Gefallen
Hast du Zeit? Ich brauche dich für etwas Diskretes für einen Kunden. Ich bin in Meetings, also nur per E-Mail.
Ein privates Postfach, die Bitte um Geheimhaltung und „nur per E-Mail“ bilden zusammen das Muster, und als Nächstes kommt meist die Bitte um Geschenkkarten-Codes oder eine Überweisung. Die Nachricht selbst enthält nichts, was sich scannen ließe. Kontaktiere die Führungskraft über das Firmenverzeichnis, den Chat oder das Telefon und sag der IT Bescheid.
Beispiel: der QR-Code
Nur Beispiel
Betreff: Aktualisierung der Multi-Faktor-Authentifizierung erforderlich
Deine MFA-Einstellungen laufen heute ab. Scanne den QR-Code unten mit deinem Handy, um dich neu zu registrieren.
Einstellungen für Multi-Faktor-Authentifizierung laufen nicht per E-Mail ab. Der Code verlagert dich auf ein Handy, wo sich die Adresse schwerer prüfen lässt und Schutzmaßnahmen der Firma womöglich nicht greifen. Scanne ihn nicht. Frag die IT oder sieh direkt in den Sicherheitseinstellungen des Kontos nach.
Beispiel: die Steuererstattung
Nur Beispiel
Betreff: Du hast Anspruch auf eine Steuererstattung
Nach der Jahresberechnung deiner Tätigkeit hast du Anspruch auf eine Erstattung. Reiche das Formular innerhalb von 48 Stunden ein.
Ein unerwartetes Geschenk plus ein Formular, das Angaben zu Identität und Karte verlangt. Gehe zum offiziellen Portal der Behörde, indem du die Adresse eintippst, oder ruf die veröffentlichte Nummer der Behörde an.
Beispiel: die Kontowarnung, die teilweise stimmt
Nur Beispiel
Von: "Account Security" <no-reply@secure-acct-center.example>
Betreff: Handlung erforderlich: ungewöhnliche Anmeldeaktivität
Wir haben einen Anmeldeversuch von einem neuen Gerät erkannt. Damit dein Konto aktiv bleibt, bestätige innerhalb von 24 Stunden deine Identität. [Jetzt bestätigen]
Echte Dienste verschicken Anmeldewarnungen, deshalb braucht diese Kategorie mehr Sorgfalt als die übrigen. Hier ist die Domain allgemein gehalten, und die Nachricht nennt nicht einmal den Dienst. Urteile nicht aus der E-Mail heraus. Öffne die App des Dienstes oder tippe seine Adresse ein und sieh dir die Seite mit der letzten Aktivität an. Steht dort nichts, war die E-Mail falsch. Diese Gewohnheit funktioniert auch bei echten Warnungen, denn die erscheinen dort ebenfalls.
Header prüfen, wenn du unsicher bist
Header enthalten technische Belege dafür, woher eine Nachricht kam. In Gmail öffnest du das Drei-Punkte-Menü und wählst Original anzeigen, was oben auch eine kurze Zusammenfassung liefert. In Outlook im Web nimmst du Ansicht, Nachrichtenquelle anzeigen. In Apple Mail nimmst du Darstellung, Nachricht, Alle Header.
Hinter den Ergebnissen, die du siehst, stehen drei Standards. Mit SPF veröffentlicht eine Domain, welche Server ihre Mails senden dürfen, und der Empfänger gleicht den sendenden Server mit dieser Liste ab. DKIM fügt eine kryptografische Signatur hinzu, die mit einem öffentlichen Schlüssel im DNS der signierenden Domain geprüft wird und zeigt, dass die signierten Teile nicht verändert wurden und die Domain Verantwortung übernommen hat. DMARC verknüpft beides mit der Domain in der sichtbaren Absenderzeile, eine Eigenschaft namens Alignment, und sagt den Empfängern, was bei einem Fehlschlag zu tun ist: nichts, in Quarantäne oder ablehnen. Seit 2024 verlangen Google und Yahoo von Massenversendern einen DMARC-Eintrag, wodurch diese Ergebnisse häufiger geworden sind.
Suche die Zeile, die mit Authentication-Results: beginnt. In einem erfundenen Beispiel könnte sie so aussehen:
Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example
Hier bestehen alle Prüfungen, und alle Domains passen zusammen. Eine gefälschte Nachricht zeigt vielleicht dmarc=fail oder ein Bestehen für eine ganz andere Domain als die in der Absenderzeile. Diese Tabelle hilft dir, das Gefundene einzuordnen.
| Ergebnis | Was es bedeutet | Was es nicht bedeutet |
|---|---|---|
| DMARC pass für die echte Domain der Marke | Von dieser Domain oder in ihrem Auftrag gesendet | Ein gekapertes Konto bei dieser Firma schließt es nicht aus |
| DMARC pass für eine ähnlich aussehende Domain | Dem Angreifer gehört diese Domain, und er hat sie richtig eingerichtet | Die Nachricht ist nicht sicher, und das ist bei Phishing häufig |
| DMARC fail für die Domain der Marke | Starkes Zeichen für Fälschung, oder eine Weiterleitung hat die Prüfung gebrochen | Mailinglisten und Weiterleitungen stören gelegentlich echte Mails |
| Kein DMARC-Eintrag | Die Domain hat keine Richtlinie veröffentlicht | Allein beweist es nichts, aber die Domain lässt sich leichter fälschen |
Die Lehre ist, dass die Authentifizierung sagt, wer die Nachricht gesendet hat, und Ehrlichkeit eine andere Frage ist. Eine E-Mail mit perfekten Ergebnissen von bank-resolution-center.example ist trotzdem Phishing. Die kombinierte Prüfung, die du willst, lautet: Ist die authentifizierte Domain die Organisation, für die du sie hältst?
Die Received:-Zeilen halten jeden Server auf der Route fest, der neueste steht oben. Sie können zeigen, dass eine E-Mail einer „örtlichen Bank“ auf einem fremden Server begann, doch alles unterhalb der Stelle, an der dein eigener Anbieter die Nachricht übernommen hat, kann gefälscht sein, vertraue also nur den Einträgen, die die Server deines Anbieters hinzugefügt haben. Für die meisten reichen die Authentifizierungszeile und die Domain-Prüfung.
Anhänge und Bilder in einer Phishing-Mail
Anhänge liefern Schadsoftware aus oder führen zu einer gefälschten Login-Seite. Die meiste Vorsicht verdienen Archive und Datenträgerabbilder wie .zip, .rar, .7z, .iso und .img, HTML-Dateien, die eine lokale gefälschte Anmeldeseite öffnen, Office-Dokumente, die dich auffordern, „Inhalt aktivieren“ oder „Bearbeitung aktivieren“ zu wählen, doppelte Endungen wie invoice.pdf.exe, Skripte und Verknüpfungen wie .js, .vbs, .lnk und .bat sowie PDFs, die nichts als einen Button oder QR-Code enthalten. Unser Ratgeber zur Anhang-Sicherheit erklärt, wie du jeden Typ beurteilst und eine zweifelhafte Datei mit weniger Risiko öffnest.
Bilder sind leiser. Ein nachgeladenes Bild kann dem Absender verraten, dass deine Adresse aktiv ist, und so entstehen Listen „verifizierter“ Adressen. Wie das funktioniert und welche Einstellungen es stoppen, erklären wir in unserem Artikel über Tracking-Pixel in E-Mails. Es ist ein kleiner Grund, dein Mail-Programm so einzustellen, dass es vor dem Anzeigen externer Bilder fragt.
Besondere Vorsicht am Handy
Handys machen all das schwerer. Der Bildschirm ist klein, Adressen sind standardmäßig verborgen, und Link-Vorschauen brauchen langes Drücken. Ein paar Gewohnheiten gleichen das aus. Tippe auf den Absendernamen, um die Adresse zu sehen, bevor du einer Nachricht traust. Halte Links gedrückt, statt sie anzutippen. Öffne bei Banken, Shops und sozialen Netzwerken die offizielle App, statt etwas aus einer E-Mail zu folgen. Behandle QR-Codes in E-Mails mit besonderem Zweifel, denn du scannst sie mit demselben Gerät, auf dem du liest. Wenn deine Kamera vor dem Öffnen eine Vorschau der Adresse zeigt, lies sie so wie jeden Link.
Dieselben Tricks kommen auch per SMS und Messenger, meist Smishing genannt, und ein Anruf kann einer E-Mail folgen, um sie überzeugender zu machen, was Vishing heißt. Wer am Telefon die E-Mail erwähnt, die du gerade bekommen hast, hat damit nichts bestätigt, denn er kann sie selbst geschickt haben. Leg auf und ruf eine Nummer an, die du schon hast.
Was du mit einer verdächtigen Nachricht tust
- Klicke nicht, lade nichts herunter, scanne keinen Code und antworte nicht. Eine Antwort mit „Ist das echt?“ erreicht den Angreifer, und der wird Ja sagen.
- Prüfe Absenderadresse und Linkziele wie oben beschrieben.
- Überprüfe es unabhängig. Öffne die offizielle App oder tippe die Adresse ein. Ruf die Nummer auf der Rückseite deiner Karte, auf einer Rechnung, die du schon hast, oder im Firmenverzeichnis an.
- Melde es deinem Anbieter. In Gmail steht im Drei-Punkte-Menü Phishing melden. In Outlook findest du unter Melden den Eintrag Phishing melden. Nutze bei der Arbeit den Melden-Button oder folge den Anweisungen deines Sicherheitsteams, und leite die Nachricht nicht an Kollegen weiter, um sie zu fragen, denn das verbreitet den Köder.
- Melde es der nachgeahmten Organisation, wenn sie auf ihrer Sicherheitsseite eine Phishing-Adresse nennt. Apple nutzt zum Beispiel reportphishing@apple.com.
- Nutze einen öffentlichen Meldedienst, wo es einen gibt. In Großbritannien nimmt das National Cyber Security Centre weitergeleitete E-Mails unter report@phishing.gov.uk an. In den USA nimmt die FTC Meldungen auf reportfraud.ftc.gov entgegen. Die Anti-Phishing Working Group nimmt weitergeleitete Nachrichten unter reportphishing@apwg.org an. Andere Länder betreiben ähnliche Dienste, meist über eine Verbraucherschutz- oder Cybercrime-Behörde.
- Lösche sie, sobald du sie gemeldet hast.
Wenn du schon geklickt hast
Klicken passiert oft und lässt sich meist beheben. Lass nicht zu, dass Verlegenheit dich aufhält, denn Tempo hilft hier mehr als alles andere. Such den Fall heraus, der zu dem passt, was passiert ist.
Du hast geklickt und nichts eingegeben
Schließe den Tab und lade nichts herunter, was die Seite angeboten hat. Achte darauf, dass Browser und System aktuell sind, und starte einen Sicherheitsscan, falls von selbst etwas heruntergeladen wurde. Rechne mit weiteren Nachrichten, denn der Klick kann bestätigt haben, dass deine Adresse gelesen wird. In den meisten Fällen war es das.
Du hast ein Passwort eingegeben
- Gehe auf die echte Seite, indem du ihre Adresse eintippst, und ändere das Passwort sofort.
- Ändere es überall, wo du dasselbe oder ein ähnliches Passwort benutzt hast. Wenn das gestohlene Passwort zu deiner E-Mail gehörte, ist das dringend, denn über E-Mail lässt sich alles andere zurücksetzen.
- Melde andere Sitzungen ab. In einem Google-Konto kannst du auf der Sicherheitsseite Deine Geräte ansehen und jedes abmelden, das du nicht kennst, und die Angaben zur Letzten Kontoaktivität unten im Gmail-Posteingang zeigen die jüngsten Zugriffe. Andere Dienste haben eine ähnliche Funktion.
- Aktiviere die Zwei-Faktor-Authentifizierung, am besten mit einem Passkey, Sicherheitsschlüssel oder einer Authenticator-App.
- Suche nach Änderungen, die der Angreifer vorgenommen haben könnte: Wiederherstellungs-E-Mail und -Telefonnummer, Weiterleitungsregeln und Filter, verbundene Apps, unbekannte Geräte.
- Sag bei einem Arbeitskonto sofort der IT Bescheid. Angreifer nutzen ein gekapertes Postfach oft, um deine Kollegen innerhalb von Stunden zu phishen.
Unser Ratgeber, was du nach einem Datenleck tun solltest, behandelt das Aufräumen der Passwörter genauer, da sich die Schritte überschneiden.
Du hast einen Code eingegeben oder eine Anfrage bestätigt
Geh davon aus, dass der Angreifer eine aktive Sitzung haben könnte. Ändere das Passwort, melde alle Sitzungen ab, prüfe die Sicherheitseinstellungen und informiere bei einem Arbeitskonto die IT. Moderne „Adversary-in-the-Middle“-Kits reichen deine Anmeldung beim Tippen an die echte Seite weiter und fangen das daraus entstehende Sitzungs-Cookie ab. Deshalb stoppen Einmalcodes allein sie nicht.
Du hast Zahlungsdaten eingegeben
Ruf sofort deine Bank oder den Kartenherausgeber an, mit der Nummer auf deiner Karte. Bitte darum, die Karte zu sperren und auf Betrug zu achten, und prüfe in den folgenden Wochen deine Kontoauszüge. Falls du auch Identitätsangaben eingegeben hast, prüfe, was dein Land bietet. In den USA liefert IdentityTheft.gov einen Wiederherstellungsplan, und bei den Auskunfteien ist eine Kreditsperre möglich.
Du hast einen Anhang geöffnet oder Makros aktiviert
Trenne das Gerät vom Netzwerk, wenn du Schadsoftware vermutest, starte einen vollständigen Scan und wende dich bei der Arbeit an die IT, bevor du etwas anderes tust. Ändere wichtige Passwörter von einem anderen, sauberen Gerät aus.
Du hast einer App Zugriff gewährt
Gehe in die Sicherheitseinstellungen deines Kontos, suche die Liste der Drittanbieter-Apps mit Zugriff und entferne die unbekannte. Eine Passwortänderung allein kappt womöglich nicht den Zugriff einer App, der Zugriff gewährt wurde, daher kommt das Entfernen zuerst. Ändere dann vorsichtshalber das Passwort und prüfe die Regeln in deinem Postfach.
So richtest du alles ein, dass ein Fehler weniger kostet
Du wirst nicht jedes Mal alles erkennen, besonders an einem schlechten Tag. Gute Voreinstellungen sorgen dafür, dass ein einzelner Ausrutscher weniger Schaden anrichtet, und manche übernehmen einen Teil des Erkennens für dich.
Die stärksten davon sind Passkeys und Hardware-Sicherheitsschlüssel. CISA, die US-Behörde für Cybersicherheit, bezeichnet phishingresistente Multi-Faktor-Authentifizierung als Goldstandard und nennt FIDO und WebAuthn als weit verfügbare Form davon. Diese Zugangsdaten sind an die echte Domain gebunden und funktionieren auf einer gefälschten Seite schlicht nicht, selbst bei einer perfekten Kopie. Authenticator-Apps stoppen die meisten Angriffe, die nur auf Passwörter zielen, sind aber schwächer gegen Live-Weiterleitung, sie sind also ein guter Schritt und nicht der letzte. Wenn deine Bank oder dein E-Mail-Anbieter Passkeys anbietet, ist das Einschalten wohl das Wertvollste, was du nach diesem Artikel tun kannst.
Ein Passwortmanager gibt dir eine zweite, leisere Prüfung. Er speichert die genaue Domain zu jedem Passwort. Wenn du auf einer ähnlich aussehenden Seite landest und er keine gespeicherte Anmeldung anbietet, ist dieses Schweigen eine Warnung, und das erwischt auch Seiten, die pixelgenau aussehen. Übergehe es nicht, indem du das Passwort kopierst und einfügst. Eine kleine Einschränkung gibt es: Passwortmanager erkennen manchmal eine echte Seite nicht, die ihre Login-Domain gewechselt hat. Das Schweigen heißt also „Stopp und die Seite über die eingetippte Adresse aufrufen“, nicht „das ist sicher gefälscht“.
| Schutz | Was er bewirkt | Aufwand |
|---|---|---|
| Passkeys oder Hardware-Schlüssel | Stoppen Phishing von Zugangsdaten und Live-Weiterleitungen, weil die Zugangsdaten an die echte Domain gebunden sind | Gering bis mittel |
| Passwortmanager mit Autofill | Füllt auf gefälschten Domains nichts aus und verhindert Wiederverwendung | Gering, sobald eingerichtet |
| Authenticator-App | Stoppt die meisten Angriffe, die nur auf Passwörter zielen | Gering |
| Browser-Schutz | Safe Browsing von Chrome und SmartScreen von Edge warnen vor vielen bekannten schlechten Seiten | Meist schon aktiv |
| Software-Updates | Schließen Lücken, die von schädlichen Dateien und Seiten genutzt werden | Gering |
| Sichtbare Dateiendungen | Decken Tricks mit doppelten Endungen auf | Eine Einstellung |
| Vor dem Laden externer Bilder fragen | Verhindert, dass viele Pixel deine Adresse bestätigen | Eine Einstellung |
| Schriftliche Rückruf-Regel bei Zahlungsänderungen | Stoppt die meisten Rechnungsbetrügereien, egal wie die E-Mail aussieht | Eine Änderung im Ablauf |
| Begrenzen, wohin deine echte Adresse geht | Weniger Listen und Datenlecks enthalten sie | Eine Gewohnheit |
Für ein Unternehmen ist die Rückruf-Regel diejenige, die man aufschreiben sollte. Die Hinweise des FBI zu E-Mail-Kompromittierung und die Empfehlungen der Bankenbranche sind sich im Wesentlichen einig: Bestätige jede Änderung von Zahlungsanweisungen außerhalb von E-Mail, mit einer Nummer, die du schon hast. Sie funktioniert, weil sie nicht davon abhängt, dass jemand etwas erkennt, und sie gibt jüngeren Mitarbeitenden einen Grund, jemandem, der wie ihr Chef auftritt, zu sagen: „Ich muss erst anrufen.“
Deine Haupt-Adresse von den Listen fernhalten
Phisher senden an Adressen, die sie gekauft, abgegriffen oder aus Leak-Daten gezogen haben. Jedes Mal, wenn du deine echte Adresse einer wenig vertrauenswürdigen Seite gibst, besteht die Chance, dass sie auf einer dieser Listen landet. Eine eigene Adresse für einmalige Anmeldungen verringert, wie oft dein Haupt-Postfach ins Visier gerät, und macht die übrige Post auch leichter beurteilbar, denn eine Nachricht über deine Bank an der Adresse, die du nur deiner Bank gegeben hast, hat mehr Gewicht.
Ein temporäres Postfach ist eine Möglichkeit für die unterste Stufe, wo die Bedingungen der Seite es erlauben. Bei VookMail ist eine Adresse da, sobald die Seite lädt, ohne Registrierung und ohne Passwort. Du kannst Neu drücken, um einen Benutzernamen einzutippen und aus mehr als 30 Domains zu wählen, oder den gelben Zufall-Button für eine zufällige Adresse drücken, was die sicherere Wahl ist, weil jeder, der eine Adresse kennt oder errät, dieses Postfach öffnen kann. Nachrichten und Anhänge werden nach etwa einem Tag gelöscht. Wenn diese Adresse später Phishing erhält, landet es an einer Stelle, die von deiner Bank, deiner Arbeit und deinen Hauptkonten getrennt ist.
Das passt zu einem Download, einer einzelnen Forenfrage oder zum Testen eines Formulars, das dir gehört. Es passt nicht zu Konten, die du behalten oder wiederherstellen musst, und nie zu Konten bei Bank, Behörden, Gesundheitswesen, Arbeit oder deinen wichtigsten sozialen Netzwerken. Die FAQ behandelt die angemessene Nutzung, und die Datenschutzerklärung erklärt, wie eingehende Mails behandelt werden.
Die Warnzeichen gelten in jedem Postfach, auch in einem Wegwerf-Postfach. Eine temporäre Adresse bietet sogar einen praktischen Test: Wenn eine Nachricht dort dich auffordert, dich bei deinem echten Bank- oder E-Mail-Konto anzumelden, ist sie fast sicher Phishing, denn du hast diesen Diensten die Adresse nie gegeben.
Irrtümer, die dem Angreifer helfen
- „Es hat ein Vorhängeschloss.“ Das heißt verschlüsselt, nicht ehrlich.
- „Logo und Name stimmen.“ Beides lässt sich mühelos kopieren.
- „Die Grammatik ist perfekt.“ Viele Kampagnen sind heute gut geschrieben.
- „Ich rufe einfach die Nummer in der E-Mail an.“ Diese Nummer kann direkt beim Angreifer landen.
- „Sie kam von der echten Adresse meines Kollegen.“ Konten werden übernommen, die Forderung muss also trotzdem geprüft werden.
- „Ich habe geklickt, aber der IT Bescheid zu sagen wäre peinlich.“ Schweigen gibt Angreifern mehr Zeit und ist meist die teuerste Entscheidung von allen.
- „Ich habe nichts, was sich zu stehlen lohnt.“ Mit deinem Postfach lassen sich deine anderen Konten zurücksetzen, und es kann benutzt werden, um deine Kontakte zu phishen.
Eine Checkliste für die Nachricht vor dir
Wenn eine E-Mail dich auffordert, etwas zu tun, brauchen diese Fragen weniger als eine Minute. Wenn dich eine Antwort beunruhigt, halte an und prüfe über einen anderen Weg.
- Habe ich das erwartet?
- Gehört die echte Absenderadresse der Organisation, für die sie sich ausgibt?
- Wohin führen die Links wirklich, wenn ich die Domain von rechts lese?
- Wird ein Passwort, Code, eine Zahlung oder Datei verlangt?
- Wird Zeitdruck, Angst, Geheimhaltung oder eine Belohnung eingesetzt?
- Gibt es einen unerwarteten Anhang, QR-Code oder eine Aufforderung, „Inhalt zu aktivieren“?
- Erkennt mein Passwortmanager die Login-Seite?
- Kann ich das prüfen, indem ich stattdessen die App öffne oder eine bekannte Nummer anrufe?
Fragen, die Leute zu Phishing stellen
Kann ich schon dadurch gehackt werden, dass ich eine Phishing-Mail öffne?
Mit einem aktuellen Mail-Programm ist das Öffnen einer Nachricht im Allgemeinen ein geringes Risiko. Die Gefahr entsteht durch das Klicken auf Links, die Eingabe von Zugangsdaten, das Öffnen von Anhängen, das Aktivieren von Makros oder Antworten mit Informationen. Beim Öffnen kann bestätigt werden, dass deine Adresse aktiv ist, wenn Bilder geladen werden, und das ist ein Grund, nachgeladene Bilder zu blockieren.
Warum kommen Phishing-Mails an Spam-Filtern vorbei?
Angreifer registrieren neue Domains, senden aus gekaperten seriösen Konten, hosten Seiten bei vertrauten Cloud-Diensten und ändern ständig ihre Formulierungen. Manches Phishing besteht sogar SPF, DKIM und DMARC, weil es von einer Domain kommt, die der Angreifer tatsächlich kontrolliert.
Sind Phishing-Mails immer voller Fehler?
Nein. Viele sind gut geschrieben und sehen genauso aus wie echte E-Mails von Marken. Richte deine Aufmerksamkeit auf technische Signale und darauf, was verlangt wird.
Eine echte Firma hat mir einen Link zum Anmelden geschickt. Ist das immer Phishing?
Nein. Firmen schicken durchaus legitime Links, und die Anmeldung kann echt sein. Die sichere Gewohnheit funktioniert in beiden Fällen: Verlasse die E-Mail, öffne den Dienst selbst und sieh nach, ob etwas deine Aufmerksamkeit braucht. Du verlierst höchstens ein paar Sekunden.
Schützt mich eine Wegwerf-Adresse vor Phishing?
Sie verringert die Angriffsfläche. Phishing, das an diese Adresse gerichtet ist, landet in einem Postfach ohne Verbindung zu deinen echten Konten und wird nach etwa einem Tag gelöscht. Für Post, die in deinem Haupt-Postfach ankommt, bringt sie nichts, dort gelten die obigen Prüfungen also weiterhin.