Die Kurzfassung: Woran Phishing zu erkennen ist
Phishing will, dass du freiwillig etwas tust: ein Passwort eintippen, eine PIN nennen, einen Anhang öffnen oder Geld überweisen. Das BSI nennt als Warnsignale, dass eine Nachricht dringenden Handlungsbedarf vorgibt, mit Sperrung droht, vertrauliche Daten wie eine Online-Banking-PIN oder Kreditkartennummer verlangt oder Links und Formulare enthält. Trifft mindestens eines davon zu, sei misstrauisch. Ebenfalls verdächtig: Die Nachricht scheint von einer bekannten Person oder Organisation zu stammen, aber das Anliegen kommt dir ungewöhnlich vor.
Verlass dich nicht auf Sprachfehler. Früher fielen Phishing-Mails oft durch unpersönliche Anrede oder schlechtes Deutsch auf. Laut BSI gehen Kriminelle inzwischen professioneller vor, Tippfehler sind nur noch selten ein eindeutiger Hinweis. Auch das Corporate Design lässt sich täuschend echt nachahmen, samt Logo, Farben und Schriftarten.
Eine Phishing-Mail Zeile für Zeile
Das folgende Beispiel ist komplett erfunden. Die Absenderdomain endet auf .example, sie existiert nicht und gehört zu keinem Unternehmen.
Von: PayPal Sicherheit <service@paypa1-sicherheit.example> Betreff: Letzte Warnung: Ihr Konto wird in 24 Stunden gesperrt
Sehr geehrter Kunde,
wir haben ungewöhnliche Aktivitäten festgestellt. Bestätigen Sie Ihre Daten bis morgen, sonst müssen wir Ihr Konto leider sperren.
[Jetzt Konto bestätigen] (führt zu
https://login.paypa1-sicherheit.example/pruefen)Bitte geben Sie Ihre Zugangsdaten und die Kartennummer ein.
| Stelle in der Mail | Warum sie verdächtig ist |
|---|---|
Anzeigename „PayPal Sicherheit“, Adresse service@paypa1-sicherheit.example | Bei HTML-Mails steht hinter dem angezeigten Namen oft eine andere Adresse. Hier steht eine Ziffer „1“ statt „l“, und die Domain gehört nicht zum Anbieter. |
| „Letzte Warnung“, „in 24 Stunden gesperrt“ | Zeitdruck und Sperrdrohung sind die vom BSI genannten Klassiker. Sie sollen dich zum Handeln bringen, bevor du nachdenkst. |
| „Sehr geehrter Kunde“ | Eine unpersönliche Anrede ist ein schwaches Indiz. Fehlt sie, ist das keine Entwarnung. |
| Button „Jetzt Konto bestätigen“ | Links und Formulare sind ein BSI-Warnsignal. Die Zieladresse enthält den Markennamen nur in Verbindung mit einer ungewöhnlichen Zeichenkombination, wie das BSI es für Fälschungen beschreibt. |
| „Geben Sie Zugangsdaten und Kartennummer ein“ | Kreditinstitute fordern grundsätzlich keine vertraulichen Daten per E-Mail, Telefon oder Post an. |
Zwei Dinge, die dich nicht beruhigen sollten: Ein https:// am Anfang der Adresse besagt nur, dass für die Seite ein Zertifikat vorliegt. Das BSI stellt klar, dass https:// heute keine Entwarnung mehr bedeutet, weil auch Betrüger Zertifikate nutzen. Und verkürzte Links verbergen das Ziel: Im Zweifel klickst du nicht.
Erkennst du eine gefälschte Webseite erst nach dem Klick, achte auf diese Signale: Nach der Anmeldung wirst du aufgefordert, bekannte Daten wie Name, Adresse oder IBAN erneut einzugeben, oder es wird eine TAN abgefragt, ohne dass du eine Transaktion ausgelöst hast. Beides ist laut BSI ein klares Indiz für eine gefälschte Seite.
Die Kanäle: Wo Phishing sonst noch auftaucht
Der Name stammt von „Password“ und „Fishing“. Mittlerweile gibt es mehrere Unterarten, benannt nach dem Kommunikations- oder Medienkanal. Zu jedem Kanal ein erfundenes Szenario.
E-Mail: breit gestreut
Eine Mail wie die oben gezeigte geht an viele Empfänger gleichzeitig. Die Täter setzen darauf, dass unter den Empfängern genug Kunden des genannten Anbieters sind. Das BSI nennt als Vorwände etwa den baldigen Ablauf einer Kreditkarte oder ein angeblich nötiges neues Passwort nach einem Sicherheitsvorfall.
SMS und Messenger: Smishing
Szenario (fiktiv): Du bekommst eine SMS: „Ihr Paket konnte nicht zugestellt werden. Zahlen Sie 1,99 Euro Gebühr: kurzlink.example/xyz“. Du erwartest aber nichts.
Das BSI beschreibt genau dieses Muster: Smishing-SMS kommen meist von angeblichen Paketdiensten oder Onlineshopping-Plattformen. Überlege, ob du überhaupt ein Paket erwartest, lass dich nicht unter Druck setzen und klicke im Zweifel nicht. Laut Verbraucherzentrale führt der Link zu einer Schadsoftware oder zu einer Phishing-Seite. Beschwerden über Phishing-Nachrichten per SMS oder Messenger nimmt laut BSI die Bundesnetzagentur entgegen.
Telefon: Vishing
Szenario (fiktiv): Ein Anrufer meldet sich als „Sicherheitsabteilung Ihrer Bank“. Auf deinem Konto gebe es verdächtige Abbuchungen. Er müsse sofort deine Zugangsdaten prüfen, du solltest bitte nicht auflegen.
Vishing (Voice-Phishing) setzt auf Notlagen und Emotionen. Das BSI rät, keine persönlichen Daten am Telefon herauszugeben, direkt aufzulegen und, wenn du mit deiner Bank telefonierst, ein geheimes Codewort für echte Gespräche zu vereinbaren. Die Verbraucherzentrale ergänzt: Ruf solche Nummern auch dann nicht zurück, wenn dich eine Mail oder SMS dazu auffordert, und gib am Telefon nie persönliche Daten an, wenn du unerwartet angerufen wirst. Eine „Phishing-Anruf“-Nummer kannst du der Bundesnetzagentur melden.
QR-Code: Quishing
Szenario (fiktiv): Eine Mail im Namen einer „Behörde“ verlangt eine dringende Bestätigung. Dazu gibt es keinen Link, sondern einen QR-Code zum Scannen.
Das BSI warnt: Der Code führt entweder auf eine Seite, die Schadcode verbreitet, oder in eine gefälschte Eingabemaske für Bankdaten. Virenscanner stufen QR-Codes als harmloses Bild ein und erkennen solche Mails daher nicht. Der BSI-Tipp: In solchen Mails keine QR-Codes scannen und die Echtheit auf anderem Weg, zum Beispiel per Telefon, bestätigen lassen.
Gezielt: Spear-Phishing und CEO-Fraud
Szenario (fiktiv): Eine Mitarbeiterin der Buchhaltung bekommt eine Mail, scheinbar von der Geschäftsführung: Wegen einer vertraulichen Übernahme müsse heute noch eine größere Summe auf ein neues Auslandskonto gehen, bitte diskret behandeln.
Beim Spear-Phishing ist die Nachricht mit hohem Aufwand auf einen konkreten Empfänger zugeschnitten und richtet sich gezielt gegen Firmen oder Organisationen. Eine bekannte Form ist der CEO-Fraud: Laut Polizei sammeln die Täter vorab Informationen aus Geschäftsberichten, Handelsregister, Homepage und sozialen Netzwerken, geben sich dann als Führungskraft oder Geschäftspartner aus und zielen auf Mitarbeitende, die Überweisungen auslösen dürfen. Vorwände sind etwa eine angebliche Übernahme oder geänderte Bankverbindungen. Die Polizei empfiehlt für ungewöhnliche Überweisungsaufträge klare interne Kontrollen: Absenderadresse prüfen, die Zahlungsaufforderung per Rückruf beim angeblichen Auftraggeber bestätigen und die Geschäftsleitung informieren. Betroffene Unternehmen wenden sich an die örtliche Polizei oder das zuständige Landeskriminalamt.
Prüfen in 30 Sekunden
Checkliste Vor jedem Klick, jedem Anhang, jeder Überweisung
- Habe ich diese Nachricht erwartet, und passt das Anliegen zum Absender?
- Macht sie Zeitdruck oder droht sie mit Sperrung, Kosten oder Konsequenzen?
- Verlangt sie Passwort, PIN, TAN, Kartendaten oder will sie, dass ich bekannte Daten „bestätigen“ soll?
- Passt die echte Absenderadresse zum Anbieter? Fahre dafür mit der Maus über den Absender, ohne zu klicken.
- Enthält der Link eine ungewöhnliche Schreibweise, Zahlen oder Zeichenfolgen, oder ist er verkürzt?
- Kommt sie über einen Kanal, auf dem der Anbieter mich normalerweise nicht kontaktiert (SMS, Anruf, QR-Code)?
- Bei Zahlungen im Betrieb: Habe ich den Auftrag über einen zweiten, selbst gewählten Kanal bestätigt?
Eine einzige Antwort mit „ja, das ist auffällig“ genügt, um nicht zu klicken und nicht zu antworten. Du musst nicht beweisen, dass es Betrug ist.
Wenn du unsicher bist
Der sichere Weg ist immer derselbe: Kontaktiere den Anbieter über einen Weg, den du selbst kennst, nie über den Link, die Nummer oder den QR-Code der Nachricht. Die Polizei rät, nicht auf den Link in der Mail zu klicken, sondern die Seite über die Startseite der Bank zu erreichen, und bei Unsicherheit Rücksprache mit der Bank zu halten. Häufig genutzte Adressen kannst du in den Favoriten speichern. Prüfe außerdem regelmäßig deine Kontobewegungen, damit du ungewollte Abbuchungen früh bemerkst.
Hast du Daten eingegeben, ändere sofort das betroffene Passwort und alle Konten, bei denen du es ebenfalls verwendest. Bei Zahlungsdaten informierst du deine Bank. Die konkreten Schritte stehen in Phishing-Mail geöffnet: Was tun? und, falls ein Konto schon übernommen wurde, in Konto gehackt: Was tun?.
Eine Absicherung bleibt wichtig, weil niemand jede Täuschung erkennt: Mit einem zweiten Faktor ist ein erbeutetes Passwort allein weniger wert. Wie das funktioniert, erklärt Multi-Faktor-Authentifizierung: Warum sie so wichtig ist. Beachte dabei: Eine Eingabemaske, die dich nach dem Code fragt, kann ebenfalls gefälscht sein.
Melden und anzeigen
Phishing ist kein Kavaliersdelikt. Das BSI nennt gezieltes Phishing eine Straftat. In seinem Cybersicherheits-Lotsen verweist es auf folgende Stellen:
- Strafanzeige bei der Onlinewache der Länder oder der örtlichen Polizeidienststelle
- Bundesnetzagentur für Beschwerden über Phishing- und Spam-Nachrichten per SMS oder Messenger
- Verbraucherzentralen: das Phishing-Radar mit aktuellen Warnungen, bei dem du neuartige Phishing-Mails melden kannst
- BSI Service-Center für Fragen rund um die IT-Sicherheit
Ist bereits Geld abgeflossen, wende dich unverzüglich an deine Bank und die Polizei.