In diesem Artikel

Phishing-Nachrichten sollen dich dazu bringen, etwas zu tun, das du normalerweise nicht tun würdest: auf einen Link klicken, dich anmelden, persönliche Daten eingeben, eine Datei öffnen oder eine Zahlung ausführen.

Das Problem: Moderne Phishing-Nachrichten können professionell aussehen. Ein bekanntes Logo, fehlerfreie Sprache oder sogar der scheinbar richtige Absender reichen deshalb nicht aus, um eine Nachricht als sicher einzustufen.

Was ist Phishing?

Beim Phishing geben sich Betrüger als vertrauenswürdige Organisation oder Person aus.

Das kann zum Beispiel deine Bank, Microsoft, ein Paketdienst, ein Onlineshop, eine Behörde oder sogar eine Person aus deinem Unternehmen sein.

Das Ziel ist häufig, dich zu einer bestimmten Handlung zu bewegen.

Zum Beispiel:

  • Zugangsdaten auf einer gefälschten Login-Seite eingeben
  • Kreditkartendaten übermitteln
  • einen schädlichen Anhang öffnen
  • eine Zahlung ausführen
  • einen QR-Code scannen
  • eine unerwartete MFA-Anfrage bestätigen

Phishing findet längst nicht mehr nur per E-Mail statt. Ähnliche Angriffe gibt es auch per SMS, Messenger, QR-Code oder Telefon.

Woran erkennst du Phishing?

Es gibt nicht das eine Merkmal, das jede Phishing-Nachricht verrät. Entscheidend ist das Gesamtbild.

1.Die Nachricht kommt unerwartet

Du bekommst plötzlich eine Nachricht über eine Rechnung, eine Paketzustellung, eine Kontosperrung oder ein angebliches Sicherheitsproblem.

Frage dich zuerst:

Habe ich diese Nachricht überhaupt erwartet?

Wenn du beispielsweise gar kein Paket erwartest, sollte eine angebliche Zustellungsgebühr sofort Fragen aufwerfen.

Dass eine Nachricht zu einem realen Dienst gehört, den du tatsächlich nutzt, macht sie noch nicht automatisch echt.

2.Du wirst unter Druck gesetzt

Angreifer möchten verhindern, dass du lange über eine Nachricht nachdenkst.

Typische Formulierungen sind:

  • „Ihr Konto wird gesperrt.“
  • „Bestätigen Sie Ihre Daten sofort.“
  • „Zahlung fehlgeschlagen.“
  • „Dringende Anfrage.“
  • „Handeln Sie innerhalb von 24 Stunden.“

Zeitdruck allein beweist noch keinen Betrug. Er ist aber ein guter Grund, langsamer zu werden und die Anfrage genauer zu prüfen.

3.Die Absenderadresse passt nicht

Der sichtbare Name einer E-Mail kann täuschen.

Eine Nachricht kann beispielsweise als Microsoft Support angezeigt werden, obwohl die tatsächliche E-Mail-Adresse zu einer völlig anderen Domain gehört.

Prüfe deshalb nicht nur den angezeigten Namen, sondern die vollständige Absenderadresse.

Aber auch hier gilt:

Eine plausibel aussehende Absenderadresse ist kein Beweis dafür, dass die Nachricht echt ist.

Absenderinformationen können manipuliert werden und auch echte E-Mail-Konten können übernommen werden.

4.Der Link führt nicht dorthin, wo du erwartest

Besonders vorsichtig solltest du sein, wenn du über eine Nachricht direkt zu einer Login-Seite geführt wirst.

Bevor du klickst, prüfe das tatsächliche Linkziel.

Am Computer kannst du bei vielen Programmen mit der Maus über einen Link fahren, ohne ihn anzuklicken. Dadurch wird die Zieladresse angezeigt.

Auf dem Smartphone kannst du einen Link häufig länger gedrückt halten, um das Ziel zu sehen.

Achte besonders auf die eigentliche Domain.

Eine Adresse wie:

microsoft.security-login.example.com

gehört beispielsweise zu example.com und nicht automatisch zu Microsoft.

Wenn du unsicher bist, öffne den betreffenden Dienst lieber selbst über deine gespeicherte Adresse, ein Lesezeichen oder die offizielle App.

5.Du sollst dich plötzlich anmelden

Ein sehr häufiges Ziel von Phishing ist der Diebstahl von Zugangsdaten.

Du klickst auf einen Link und siehst eine Login-Seite, die praktisch genauso aussieht wie die echte Seite von Microsoft, Google, deiner Bank oder einem anderen Dienst.

Das Design einer Website ist jedoch leicht kopierbar.

Deshalb gilt:

Eine professionell aussehende Login-Seite ist kein Sicherheitsmerkmal.

Prüfe immer, auf welcher Domain du dich tatsächlich befindest.

6.Die geforderte Handlung ist ungewöhnlich

Manchmal ist nicht die Nachricht selbst verdächtig, sondern das, was du tun sollst.

Zum Beispiel:

  • eine Rechnung auf ein neues Konto bezahlen
  • Geschenkkarten kaufen
  • Zugangsdaten bestätigen
  • eine MFA-Anfrage freigeben
  • ein unbekanntes Dokument öffnen
  • Bank- oder Kreditkartendaten erneut eingeben
  • vertrauliche Daten versenden

Frage dich:

Ist es normal, dass diese Person oder dieses Unternehmen so etwas von mir verlangt?

Wenn die Anfrage ungewöhnlich ist, bestätige sie über einen zweiten Kommunikationsweg.

Ruft beispielsweise angeblich dein Chef zu einer dringenden Zahlung auf, kläre die Anfrage persönlich oder telefonisch über eine bekannte Nummer ab.

Rechtschreibfehler sind kein zuverlässiger Phishing-Test

Früher waren schlechte Übersetzungen und offensichtliche Rechtschreibfehler ein häufiges Warnsignal.

Darauf solltest du dich heute nicht mehr verlassen.

Betrüger können überzeugende Texte erstellen, bekannte Marken kopieren und Nachrichten sehr professionell gestalten.

Eine fehlerfreie Nachricht kann trotzdem Phishing sein.

Konzentriere dich deshalb stärker auf Kontext, Absender, Domain, geforderte Handlung und Plausibilität.

Was solltest du bei einer verdächtigen Nachricht tun?

Wenn dir eine Nachricht komisch vorkommt:

Nicht sofort reagieren

Lass dich nicht durch Zeitdruck zu einer schnellen Entscheidung drängen.

Öffne den betreffenden Dienst stattdessen direkt über die offizielle App, eine bekannte Adresse oder ein gespeichertes Lesezeichen.

Anfrage über einen zweiten Weg prüfen

Kommt die Nachricht angeblich von einer bekannten Person oder deinem Arbeitgeber, bestätige die Anfrage über einen anderen Kommunikationsweg.

Verdächtige Nachrichten im Unternehmen melden

Wenn du die Nachricht bei der Arbeit erhältst, nutze den vorgesehenen internen Meldeweg oder kontaktiere deine IT- oder Security-Ansprechperson.

Nur Löschen hilft möglicherweise dir – eine Meldung kann auch andere Mitarbeitende schützen.

Was, wenn die Nachricht tatsächlich echt war?

Dann ist normalerweise nichts verloren.

Wenn eine echte Organisation etwas Wichtiges von dir möchte, solltest du die Information in der Regel auch finden können, indem du den Dienst direkt öffnest oder die Organisation über einen bekannten Kontaktweg erreichst.

Ein zusätzlicher Kontrollschritt ist fast immer besser als eine vorschnelle Reaktion auf eine verdächtige Nachricht.

Eine einfache Regel für den Alltag

Wenn eine Nachricht dich unerwartet dazu bringen möchte, zu klicken, dich anzumelden, Daten einzugeben, Geld zu überweisen oder etwas dringend zu bestätigen, halte kurz inne und prüfe die Anfrage über einen unabhängigen Weg.

Du musst nicht jede Phishing-Methode kennen.

Du musst lernen, ungewöhnliche Situationen rechtzeitig zu erkennen und nicht automatisch zu reagieren.