Phishing ist nicht mehr nur die schlecht geschriebene E-Mail eines angeblichen Prinzen. Moderne Phishing-Nachrichten sehen oft aus wie echte Mitteilungen von Banken, Paketdiensten, Streamingdiensten, Behörden oder Online-Shops. Sie nutzen Logos, Farben, Sprache und Zeitdruck.

Nach Angaben aus dem BSI-Umfeld gehören Phishing, Account-Missbrauch und Identitätsdiebstahl zu den häufigen Themen bei Verbraucher-Anfragen. Gleichzeitig entstehen neue Varianten: Phishing per Messenger, QR-Code-Betrug („Quishing“) und Anrufe, bei denen sich Betrüger als Support ausgeben. Ein kurzer Prüfprozess ist deshalb wichtiger als Bauchgefühl.

Warum Phishing funktioniert

Phishing zielt nicht auf Dummheit, sondern auf Alltag. Menschen sind beschäftigt, erwarten Pakete, zahlen Rechnungen, nutzen Online-Banking und reagieren auf Sicherheitswarnungen. Eine Nachricht muss nur im richtigen Moment kommen, dann wirkt sie plausibel.

Viele Phishing-Nachrichten verwenden drei Hebel: Dringlichkeit, Autorität und Verlustangst. „Ihr Konto wird gesperrt“, „Bestätigen Sie Ihre Zahlung“, „Ihr Paket geht zurück“, „Ungewöhnlicher Login erkannt“. Wer diese Muster kennt, gewinnt Abstand.

Der 60-Sekunden-Check

0 bis 15 Sekunden: Absender prüfen

Der sichtbare Name ist leicht zu fälschen. Entscheidend ist die echte Adresse oder Rufnummer. Bei E-Mails lohnt der Blick auf die Domain nach dem @-Zeichen. Passt sie wirklich zum Anbieter? Gibt es Buchstabendreher, Zusatzwörter oder ungewöhnliche Endungen?

Bei SMS und Messenger-Nachrichten ist der Absender schwieriger zu beurteilen. Deshalb gilt dort besonders: Keine Login- oder Zahlungslinks direkt öffnen.

15 bis 30 Sekunden: Linkziel prüfen

Am Computer kann man mit der Maus über einen Link fahren, ohne zu klicken. Dann erscheint oft das Ziel. Auf dem Smartphone ist das schwieriger. Sicherer ist, die bekannte Website manuell zu öffnen oder die App direkt zu starten. Wenn dort keine Nachricht steht, war der Link wahrscheinlich unnötig oder gefährlich.

Bei QR-Codes gilt: Man sieht dem Code nicht an, wohin er führt. An Parkautomaten, Aushängen oder angeblichen Rechnungen sollte man besonders vorsichtig sein, wenn ein QR-Code direkt zur Zahlung führt.

30 bis 45 Sekunden: Druckmittel erkennen

Je dringender die Nachricht, desto ruhiger sollte man werden. Echte Anbieter setzen Fristen, aber seriöse Sicherheitsprozesse verlangen selten, dass man in zwei Minuten persönliche Daten über einen Link bestätigt. Druck ist ein Warnsignal, kein Grund zur Eile.

45 bis 60 Sekunden: Anhänge und Datenforderung prüfen

Unerwartete Anhänge sind riskant. Besonders ZIP-Dateien, Office-Dokumente mit Makros oder angebliche Rechnungen von unbekannten Absendern sollten nicht geöffnet werden. Ebenso kritisch sind Formulare, die Passwörter, TANs, vollständige Kartendaten oder Ausweiskopien verlangen.

Typische Phishing-Szenarien

Paketdienst

Eine Nachricht behauptet, eine Lieferung sei gestoppt oder es fehle eine kleine Zoll- oder Versandgebühr. Der Betrag ist absichtlich niedrig, damit man nicht lange nachdenkt. Ziel sind oft Karten- oder Login-Daten.

Bank oder Zahlungsdienst

Die Nachricht meldet ungewöhnliche Aktivität und fordert zur Bestätigung auf. Banken fragen keine TANs per E-Mail ab. Wer unsicher ist, öffnet die Banking-App manuell oder ruft die offizielle Nummer an.

Streaming oder Abo

Es wird behauptet, die Zahlung sei fehlgeschlagen. Der Link führt zu einer gefälschten Login-Seite. Wer dort E-Mail und Passwort eingibt, riskiert auch andere Konten, wenn dasselbe Passwort mehrfach genutzt wird.

Behörde oder Steuer

Rückzahlung, Bußgeld, Dokumentenprüfung: Behördlich wirkende Nachrichten erzeugen Autorität. Hier ist besonders wichtig, Absender und offiziellen Zugang getrennt zu prüfen.

Was tun, wenn man geklickt hat?

Klicken allein ist nicht immer ein Schaden. Kritisch wird es, wenn Daten eingegeben, Dateien geöffnet oder Zahlungen bestätigt wurden. Dann sollten Sie schnell handeln:

  • Passwort des betroffenen Kontos sofort ändern.
  • Wenn dasselbe Passwort anderswo genutzt wurde, auch dort ändern.
  • Zwei-Faktor-Authentifizierung aktivieren.
  • Bank oder Zahlungsdienst kontaktieren, wenn Zahlungsdaten betroffen sind.
  • Gerät prüfen, wenn Dateien geöffnet wurden.
  • Nachrichten und Screenshots als Belege speichern.

Wie man sich langfristig schützt

Der beste Phishing-Schutz besteht aus mehreren Schichten: Passwortmanager, einzigartige Passwörter, Zwei-Faktor-Schutz, aktuelle Geräte und die Gewohnheit, Links nicht direkt zu vertrauen. Besonders wichtig ist das E-Mail-Konto, weil darüber viele andere Konten zurückgesetzt werden.

Auch Familien und Teams profitieren von klaren Absprachen. Wenn ältere Angehörige, Kinder oder Kollegen wissen, dass man bei Zahlungs- und Login-Nachrichten lieber einmal nachfragt, sinkt der Druck, allein zu handeln.

60-Sekunden-Checkliste

  • Passt der echte Absender zur Nachricht?
  • Öffne ich den Link direkt – oder besser die Website/App manuell?
  • Wird ungewöhnlicher Zeitdruck aufgebaut?
  • Wird nach Passwort, TAN, Karte oder Ausweisdaten gefragt?
  • Erwarte ich den Anhang wirklich?
  • Gibt es dieselbe Information auch im offiziellen Kundenkonto?

Häufige Fragen

Kann eine Phishing-Mail fehlerfrei geschrieben sein?

Ja. Rechtschreibfehler sind kein zuverlässiges Erkennungsmerkmal mehr. Layout, Sprache und Absender können sehr professionell wirken.

Ist ein QR-Code gefährlicher als ein Link?

Nicht grundsätzlich, aber er ist schwerer vorher einzuschätzen. Deshalb sollte man bei QR-Codes mit Zahlungs- oder Login-Ziel besonders vorsichtig sein.

Soll ich Phishing-Mails löschen?

Bei klaren Betrugsversuchen ja. Vorher kann ein Screenshot oder die Weiterleitung an eine Meldestelle sinnvoll sein, wenn ein Anbieter oder die Verbraucherzentrale darum bittet.

Reicht Zwei-Faktor-Authentifizierung gegen Phishing?

Sie hilft stark, ist aber kein Freifahrtschein. Manche Angriffe versuchen auch zweite Faktoren abzufangen. Trotzdem ist 2FA deutlich besser als nur Passwort.

Quellen und weiterführende Informationen

Fazit

Phishing erkennt man am zuverlässigsten durch eine kurze Pause. Absender, Linkziel, Druckmittel und Datenforderung reichen als schneller Prüfrahmen. Wer Websites manuell öffnet, wichtige Konten mit 2FA schützt und bei unerwarteten Anhängen vorsichtig bleibt, fällt deutlich seltener auf Betrugsversuche herein.

Passend zum Thema