Phishing erkennen

Phishing-Mails erkennst du heute vor allem am Inhalt, nicht an Tippfehlern: Sie machen Druck, drohen mit Konsequenzen und wollen, dass du Zugangs- oder Bankdaten eingibst. Laut BSI schreiben Kriminelle inzwischen professionell, kopieren Logo, Farben und Schriftarten echter Firmen und verstecken Links hinter echt wirkenden Buttons. Die wichtigste Regel ist deshalb einfach: Klick im Zweifel nicht auf den Link, sondern ruf die Seite des Anbieters selbst auf.

Der Name setzt sich laut BSI aus „Passwort“ und „Fishing“ zusammen. Gemeint sind gefälschte Nachrichten und Webseiten, mit denen Betrüger Zugangsdaten, Kontodaten oder andere persönliche Informationen abgreifen.

Typische Merkmale einer Phishing-Mail

Das BSI beschreibt in seinem Ratgeber Wie erkenne ich Phishing in E-Mails und auf Webseiten? diese Warnzeichen:

Typische Vorwände sind laut BSI eine angeblich nötige Aktualisierung deiner Daten, eine bald ablaufende Kreditkarte oder ein Sicherheitsvorfall, nach dem du dein Passwort ändern sollst. Besonders häufig missbraucht werden laut BSI die Namen von Sparkassen sowie Volks- und Raiffeisenbanken.

Eine unpersönliche Anrede wie „Sehr geehrter Kunde“ war früher ein gutes Zeichen. Heute verlässt du dich besser nicht darauf, denn manche Phishing-Mails enthalten sogar korrekte persönliche Daten.

So prüfst du Absender und Link

1. Absender prüfen: Fahre mit der Maus über den Absendernamen, ohne zu klicken, oder lass dir die vollständige Adresse anzeigen.
2. Link prüfen: Fahre mit der Maus über den Link oder halte ihn auf dem Smartphone gedrückt, ohne ihn zu öffnen. Schau dir die Adresse genau an.
3. Auf Tricks achten: Laut BSI enthalten gefälschte Adressen oft den Namen der Firma, kombiniert mit ungewöhnlichen Zahlen oder Zeichen. Kurz-URLs verstecken das echte Ziel.
4. Selbst aufrufen: Gib die Adresse des Anbieters selbst in den Browser ein oder öffne seine offizielle App und schau dort nach, ob wirklich etwas zu tun ist.
5. Zweiter Kanal: Bei Zweifeln ruf beim Anbieter unter der Nummer an, die du von seiner offiziellen Webseite oder deiner Karte kennst, nicht unter der aus der Mail.

Gezielte Angriffe auf Selbstständige und Firmen

Neben Massen-Mails gibt es Spear-Phishing. Laut BSI richten sich solche Angriffe gezielt gegen bestimmte Firmen oder Organisationen und sind oft aufwendig auf einzelne Empfänger zugeschnitten. Für einen kleinen Betrieb kann das eine Mail sein, die angeblich vom Steuerbüro oder vom Webhoster kommt und deinen Namen, deine Firma und ein echtes Projekt nennt. Hier hilft nur der zweite Kanal: kurz anrufen, bevor du zahlst, Daten herausgibst oder einen Anhang öffnest.

Woran du gefälschte Webseiten erkennst

Wenn du doch auf einer Seite gelandet bist, helfen diese Hinweise des BSI:

• „https://“ ist keine Entwarnung mehr. Auch Betrüger besitzen Zertifikate, das Schloss-Symbol sagt nichts über die Echtheit.
• Eine TAN-Abfrage ohne Auftrag von dir ist ein klares Zeichen für eine Fälschung.
• Erneute Abfrage bekannter Daten: Sollst du nach dem Login Name, Adresse oder IBAN noch einmal eingeben, ist das laut BSI ein starkes Indiz für eine gefälschte Seite.

Ein Passwortmanager hilft zusätzlich: Er füllt Zugangsdaten nur auf der Adresse aus, für die sie gespeichert sind. Bleibt das Feld leer, obwohl du dort angeblich ein Konto hast, solltest du stutzig werden. Noch besser schützen Passkeys, die laut BSI gegen die breite Masse bekannter Phishing-Angriffe immun sind.

Phishing per SMS, QR-Code und Telefon

Phishing kommt nicht nur per E-Mail. Das BSI unterscheidet weitere Formen:

• Smishing (SMS): Meist angeblich von Paketdiensten oder Onlineshops mit Zahlungsaufforderung. Prüfe, ob du überhaupt ein Paket erwartest, lass dich nicht unter Druck setzen und achte auf seltsame Zeichenfolgen in Links.
• Quishing (QR-Codes): QR-Codes in E-Mails, scheinbar von Behörden oder Banken. Virenscanner halten sie für harmlose Bilder. Das BSI rät, solche QR-Codes nicht zu scannen und den Absender auf anderem Weg zu kontaktieren.
• Vishing (Telefon): Anrufer geben sich als Polizei, Bank oder IT-Support aus. Gib am Telefon keine persönlichen Daten heraus und leg auf. Das BSI schlägt vor, mit der Bank ein geheimes Codewort zu vereinbaren.

Beispiel: Eine Familie mit geteiltem Amazon-Konto bekommt eine SMS: Ein Paket könne nicht zugestellt werden, bitte Zollgebühr über den Link bezahlen. Niemand hat etwas bestellt. Statt zu klicken, schaut die Mutter in der Amazon-App nach: keine offene Lieferung. Sie löscht die SMS. Übrigens: PayPal fragt laut eigener Hilfe nie per Telefon, E-Mail oder SMS nach dem Code aus der zweistufigen Verifizierung.

Was tun nach dem Klick?

Die Verbraucherzentrale beschreibt in ihrer Ersten Hilfe bei gehackten Online-Konten diese Schritte. Wir haben sie für den Fall zusammengefasst, dass du Daten auf einer Phishing-Seite eingegeben hast:

1. Anderes Gerät nutzen: Melde dich von einem anderen Gerät an. Das erste könnte mit Schadsoftware befallen sein, und neue Passwörter würden sonst mitgelesen.
2. Virenscan: Prüfe das zuerst benutzte Gerät, bevor du dort Passwörter änderst.
3. E-Mail-Konto zuerst sichern: Neues, starkes Passwort für das Postfach, denn darüber lassen sich andere Konten zurücksetzen.
4. Weiterleitungen prüfen: Schau in die Filterregeln und Weiterleitungen deines Postfachs und lösche alles, was du nicht selbst eingerichtet hast.
5. Betroffene Passwörter ändern: auch bei allen Konten, die dasselbe Passwort hatten. Schalte dabei gleich die Zwei-Faktor-Authentifizierung ein.
6. Bank informieren: Bei Bank-, Karten- oder Zahlungsdaten sofort die Bank oder den Zahlungsdienst anrufen. Karten und Online-Banking lassen sich über den Sperr-Notruf 116 116 rund um die Uhr sperren.
7. Kontakte warnen: Familie, Freunde und Kollegen, damit sie nicht auf Nachrichten in deinem Namen hereinfallen.
8. Anzeige erstatten: bei der Polizei, laut Verbraucherzentrale am besten persönlich auf der Dienststelle und mit Belegen.
9. Alles dokumentieren: Screenshots, Mails, Uhrzeiten. Missbrauch deiner Daten kann auch später noch auftauchen.

Wenn du dich nicht mehr anmelden kannst, wende dich direkt an den Anbieter. Hilfe bei allen Fragen zur IT-Sicherheit bietet außerdem das Service-Center des BSI unter 0800 274 1000.

Phishing melden

Verdächtige Mails kannst du an das Phishing-Radar der Verbraucherzentrale NRW unter [email protected] weiterleiten. Dort werden aktuelle Warnungen veröffentlicht. Zusätzlich lohnt sich ein Hinweis an das Unternehmen, dessen Name missbraucht wird. Phishing-SMS und -Messenger-Nachrichten nimmt laut BSI die Bundesnetzagentur als Beschwerde entgegen.

Wie gut du insgesamt aufgestellt bist, zeigt der Sicherheits-Check.