Phishing: Was ist Phishing und wie erkennt man Phishing-Mails?
Jeden Tag landen Millionen gefälschter E-Mails in deutschen Postfächern. Phishing ist eine der häufigsten Formen der Internetkriminalität – und eine der gefährlichsten, da sie schwer zu erkennen ist und Opfer dazu bringt, sensible Daten freiwillig preiszugeben.
Wer weiß, wie Phishing funktioniert und wie man Phishing-Mails erkennt, kann sich schützen. Wir zeigen Ihnen, woran Sie Phishing erkennen, welche Betrugsmaschen aktuell verbreitet sind und was Sie im Ernstfall tun sollten.
Beim Phishing geben sich Betrüger als Angehörige, Banken oder Behörden aus, um Passwörter, Kreditkartendaten oder TANs zu stehlen. Angriffe erfolgen per E-Mail, SMS (Smishing) oder Telefon (Vishing).
Typische Warnsignale sind gefälschte Absenderadressen, unpersönliche Anreden und verdächtige Links. Auch künstlicher Zeitdruck wie „Ihr Konto wird in 24 Stunden gesperrt“ ist ein klares Zeichen.
Sie können das Risiko eines Phishing-Angriffs deutlich reduzieren, indem Sie nicht unbedacht auf Links klicken, Zwei-Faktor-Authentifizierung (2FA) bei wichtigen Konten aktivieren und Ihre Software stets aktuell halten.
Wenn Sie auf eine Phishing-Nachricht hereingefallen sind, sollten Sie das betroffene Gerät vom Internet trennen, einen Virenscan durchführen, Passwörter sofort ändern und bei Bankdatenmissbrauch umgehend die Bank informieren. Zusätzlich empfiehlt sich eine Anzeige bei der Polizei.
Was ist Phishing?
Der Begriff „Phishing“ setzt sich aus den englischen Wörtern „Password“ und „Fishing“ zusammen. Es bezeichnet also das Angeln nach Passwörtern. Das Prinzip ist so alt wie das Internet: Angreifer geben sich als vertrauenswürdige Institutionen aus, zum Beispiel als Banken, Behörden, Paketdienste oder bekannte Online-Shops, und versuchen, ihre Opfer zur Herausgabe sensibler Daten zu verleiten.
Typische Ziele sind Zugangsdaten (Benutzername und Passwort), Kreditkartennummern, TANs fürs Online-Banking oder persönliche Informationen wie Geburtsdatum und Adresse.
Welche Arten von Phishing gibt es?
Phishing ist nicht gleich Phishing. Angreifer setzen je nach Ziel und Methode auf unterschiedliche Varianten: von der Massen-Mail bis zum hochpersonalisierten Angriff:
E-Mail-Phishing
Die klassische und nach wie vor häufigste Methode. Betrüger versenden massenhaft gefälschte E-Mails, die aussehen, als kämen sie von bekannten Unternehmen wie PayPal, der Deutschen Bank oder Amazon. Das Ziel: Sie auf eine gefälschte Webseite locken und dort zur Eingabe von Zugangsdaten oder Zahlungsinformationen verleiten.Smishing
Smishing ist Phishing per SMS. Sie erhalten eine Textnachricht, die scheinbar von Ihrer Bank, einem Paketdienst oder einer Behörde stammt, oft mit einem Link, der auf eine gefälschte Seite führt oder Malware herunterlädt. Besonders verbreitet sind angebliche Sicherheitswarnungen von Banken oder gefälschte Paketbenachrichtigungen.Vishing
Beim Vishing (Voice Phishing) rufen Betrüger Sie per Telefon an. Sie geben sich als Bankmitarbeiter, Microsoft-Support oder Behördenvertreter aus und versuchen, Sie zur Herausgabe von Passwörtern, TANs oder persönlichen Daten zu bewegen. Oft erzeugen sie dabei künstlichen Druck, etwa durch angebliche Sicherheitsprobleme mit Ihrem Konto.Clone Phishing
Hierbei kopieren Angreifer eine legitime E-Mail, die Sie bereits erhalten haben, etwa eine Bestellbestätigung, und ersetzen darin Links oder Anhänge durch schädliche Versionen. Da Absender und Inhalt vertraut wirken, ist diese Methode besonders tückisch.Spear Phishing
Beim Spear Phishing werden Sie gezielt als Einzelperson oder als Mitglied einer bestimmten Organisation angegriffen. Die Angreifer bereiten sich sorgfältig vor, indem sie Informationen aus sozialen Netzwerken, Firmenwebseiten oder früheren Datenlecks sammeln. Die Nachrichten sind dadurch deutlich überzeugender als Massen-Mails.Whaling
Whaling ist Spear Phishing auf höchster Ebene: Das Angriffsziel sind Führungskräfte wie Geschäftsführer, Vorstände oder leitende Mitarbeiter mit weitreichenden Zugriffsrechten. Die Angriffe sind aufwendig vorbereitet und zielen darauf ab, entweder direkt Geld zu erbeuten oder Zugang zu sensiblen Unternehmensdaten zu erlangen.
Wie erkenne ich Phishing-Mails?
Das Gefährliche an Phishing ist, dass sich die Fake-Nachrichten nicht immer auf den ersten Blick von normalen E-Mails unterscheiden lassen. Viele Betrüger verwenden täuschend echte Logos, Layouts und Signaturen. Achten Sie auf diese typischen Warnsignale, um gefälschte E-Mails zu erkennen:
Verdächtige Absenderadresse
Der Name in einer E-Mail kann beliebig gewählt werden und sagt nichts über den tatsächlichen Absender aus. Entscheidend ist deshalb immer die E-Mail-Adresse.
Oft sieht sie auf den ersten Blick seriös aus, enthält aber kleine Abweichungen, z. B. „support@paypa1.com“ statt „paypal.com“ oder „service@sparkasse-sicherheit.de“ statt der offiziellen Domain. Ein Klick auf den Absendernamen zeigt die vollständige Adresse.Unpersönliche oder fehlerhafte Anrede
Viele Phishing-Mails beginnen mit „Sehr geehrter Kunde“, „Lieber Nutzer“ oder verwenden Ihre E-Mail-Adresse statt der persönlichen Anrede mit Namen.
Der Absender gibt sich als „UPS Kundenservice“ aus, aber die Absenderadresse stimmt nicht überein. Statt mit Namen werden wir mit unserer E-Mail-Adresse angesprochen.
Gefälschte Links
Phishing-Mails enthalten fast immer Links, die auf Fake-Webseiten führen. Fahren Sie mit der Maus über einen Link, ohne zu klicken, erscheint in der Statusleiste des Browsers oder E-Mail-Programms die echte Zieladresse des Links.
Wenn die Domain nicht zur angeblichen Absenderorganisation passt oder lang und kryptisch aussieht, ist das ein klares Warnsignal. Auch Weiterleitungen über Kurzlink-Dienste wie bit.ly sind verdächtig.
Wenn man die Maus über diesen Link hält, offenbart sich diese kryptische URL als Phishing-Seite.
Drohungen und Zeitdruck
Phishing-Mails erzeugen bewusst Panik, um Opfer zu übereiltem Handeln zu bringen. Seriöse Unternehmen kommunizieren in der Regel keine Ultimaten wie „Ihr Konto wird in 24 Stunden gesperrt“ oder „Bezahlen Sie sofort, sonst drohen rechtliche Konsequenzen“ per E-Mail.
Phishing-Mails erkennt man häufig am alarmierenden Betreff, der Druck auslösen soll.
Falsche Grammatik und merkwürdige Satzkonstruktionen
Viele Fake-E-Mails sind maschinell übersetzt und stammen von Angreifern aus dem Ausland. Enthält die Nachricht Grammatikfehler, merkwürdige Satzkonstruktionen oder ungewöhnliche Sonderzeichen, sind dies Hinweise darauf, dass etwas mit der E-Mail nicht stimmt.Aufforderungen zur Dateneingabe
Kein seriöses Unternehmen fordert Sie per E-Mail zur Eingabe Ihrer Passwörter, TANs oder vollständigen Kreditkartendaten auf. Wenn eine Mail Sie auf eine Seite leitet und Sie dort Ihre persönlichen Daten eingeben sollen, ist höchste Vorsicht geboten – unabhängig davon, wie professionell die Seite aussieht.Unerwartete Anhänge
Anhänge in unerwarteten E-Mails können Schadsoftware enthalten. Besonders gefährlich: Office-Dokumente mit aktivierten Makros (.docm, .xlsm), ZIP-Archive mit ausführbaren Dateien (.exe) oder PDFs, die beim Öffnen Skripte ausführen. Im Zweifel öffnen Sie den Anhang lieber nicht!
Wie kann ich mich vor Phishing schützen?
Die stärkste Waffe gegen Phishing sind ein kurzes Innehalten und ein kritischer Blick: Schauen Sie nicht nur auf den Anzeigenamen, sondern auf die vollständige E-Mail-Adresse. Prüfen Sie, ob diese wirklich zum Absendernamen passt.
Klicken Sie niemals auf Links in E-Mails, die Sie zu einer Anmeldung auffordern, und geben Sie keine sensiblen Daten ein. Rufen Sie die Webseite stattdessen direkt im Browser auf – entweder über ein gespeichertes Lesezeichen oder durch manuelles Eintippen der Adresse.
Gesunder Menschenverstand allein reicht oft nicht aus. Diese technischen Hilfsmittel bieten zusätzlichen Schutz:
Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA)
2FA ist eine Sicherheitsfunktion, mit der Sie Ihre Konten durch einen zweiten Anmeldeschritt schützen. Neben dem Passwort müssen Sie dabei einen zweiten Nachweis erbringen, etwa einen Code aus einer Authenticator-App oder per SMS.
Selbst wenn Angreifer Ihr Passwort kennen, können sie sich ohne diesen zweiten Faktor nicht anmelden. Aktivieren Sie 2FA daher überall, wo sie verfügbar ist.
Nutzen Sie einen Passwort-Manager
Sie sollten für jeden Dienst ein einzigartiges, sicheres Passwort wählen, damit ein Datenleck bei einem Anbieter nicht automatisch auch Ihre anderen Konten gefährdet. Ein Passwort-Manager hilft, diese zu verwalten, und erkennt außerdem gefälschte Webseiten, indem er gespeicherte Zugangsdaten nur auf echten Domains ausfüllt.
Nutzen Sie Spam-Filter und achten Sie auf Browser-Warnungen
Moderne E-Mail-Programme und Webbrowser verfügen über integrierte Schutzmechanismen gegen Phishing. Sie erkennen viele betrügerische Nachrichten und warnen vor bekannten Schadseiten, bevor Sie diese aufrufen.
Stellen Sie sicher, dass diese Schutzfunktionen aktiviert sind, und ignorieren Sie Warnmeldungen nicht vorschnell.
Halten Sie Ihre Software aktuell
Betrüger nutzen häufig Sicherheitslücken in veralteten Programmen, Browsern oder Betriebssystemen aus. Regelmäßige Updates schließen diese Schwachstellen und erschweren Angreifern den Zugriff auf Ihre Geräte und Daten.
Aktivieren Sie nach Möglichkeit automatische Updates und installieren Sie verfügbare Sicherheitsupdates zeitnah.
Was ist, wenn ich eine Phishing-Mail geöffnet habe?
Keine Panik: Das bloße Öffnen einer Phishing-Mail ist in der Regel harmlos. Gefährlich wird es erst, wenn Sie auf einen Link geklickt, einen Anhang geöffnet oder Daten eingegeben haben.
Sie haben einen Link in der Mail angeklickt oder den Anhang geöffnet?
Trennen Sie das Gerät sofort vom Internet (WLAN deaktivieren oder LAN-Kabel ziehen), um eine mögliche Schadsoftware daran zu hindern, Daten auszuspionieren oder Befehle zu empfangen.
Führen Sie danach einen vollständigen Virenscan durch – am besten mit einem aktuellen Antivirus-Programm. Ändern Sie Passwörter von einem anderen, sicheren Gerät aus.
Sie haben Ihre Zugangsdaten eingegeben?
Handeln Sie sofort: Ändern Sie das kompromittierte Passwort umgehend. Wenn es sich um Banking-Daten handelt, rufen Sie sofort Ihre Bank an und lassen Sie verdächtige Transaktionen sperren. Beobachten Sie Ihre Kontoauszüge in den folgenden Wochen genau.
Erstatten Sie außerdem Anzeige bei der Polizei – Online-Banking-Betrug ist eine Straftat, und die Anzeige ist für mögliche Erstattungsansprüche gegenüber der Bank oft relevant.
Informieren Sie auch Ihre Kontakte: Wenn Ihr E-Mail-Konto kompromittiert wurde, könnten Angreifer in Ihrem Namen Phishing-Mails an Ihr Adressbuch versenden.
Fazit: Wachsamkeit ist der beste Schutz gegen Phishing
Phishing ist eine ernste Bedrohung – aber keine, der Sie hilflos ausgeliefert sind. Wer die typischen Warnsignale kennt, im Zweifelsfall lieber einmal zu viel nachfragt und grundlegende Schutzmaßnahmen wie 2FA und aktuelle Software nutzt, reduziert sein Risiko erheblich.
Die wichtigste Regel lautet: Im Zweifel nicht klicken und nichts eingeben. Wenn Sie unsicher sind, ob eine Nachricht wirklich von einer Bank, einem Unternehmen oder einer Behörde stammt, kontaktieren Sie den vermeintlichen Absender direkt über die offizielle Website oder telefonisch. Ein kurzer Sicherheitscheck kann verhindern, dass sensible Daten in die falschen Hände geraten.
Häufige Fragen & Antworten
Phishing-Mails haben typische Warnsignale: Die Absenderadresse wirkt oft fast echt, hat aber kleine Abweichungen. Links führen auf gefälschte Websites: Fahren Sie mit der Maus über einen Link, ohne zu klicken, um die echte Zieladresse zu sehen. Typisch sind auch Rechtschreibfehler, unpersönliche Anreden und künstlicher Zeitdruck wie „Ihr Konto wird in 24 Stunden gesperrt!“ Seriöse Unternehmen fragen zudem niemals per E-Mail nach Passwörtern oder TANs.
Halten Sie Betriebssystem, Browser und Antivirus-Software aktuell. Nutzen Sie für jeden Dienst ein einzigartiges Passwort – am besten mit einem Passwort-Manager – und aktivieren Sie überall die Zwei-Faktor-Authentifizierung (2FA). Klicken Sie nie leichtfertig auf Links in E-Mails, sondern rufen Sie die Webseite lieber direkt im Browser auf. Überprüfen Sie in der Adresszeile, ob die URL mit https:// und dem richtigen Domainnamen beginnt.
Online-Banking-Betrug ist der Oberbegriff für alle Arten von digitalem Bankbetrug – Phishing ist dabei nur eine von mehreren Methoden. Daneben gibt es etwa auch Trojaner, die Zugangsdaten direkt abfangen, gefälschte Anrufe von angeblichen Bankmitarbeitern oder SIM-Swapping, bei dem Betrüger die Handynummer übernehmen, um TANs abzufangen. Phishing ist aber die mit Abstand häufigste Methode – wer darauf hereinfällt, wird danach oft auch Opfer von Banking-Betrug.
Das hängt vor allem davon ab, wie schnell Sie reagieren und ob Sie grob fahrlässig gehandelt haben. Gute Chancen haben Sie, wenn Sie die Transaktion unverzüglich melden, keine PIN oder TAN aktiv an Dritte weitergegeben haben und der Betrug auf eine technische Manipulation zurückgeht, die Sie nicht erkennen konnten.
Schwierig wird es, wenn Sie selbst eine TAN zur Freigabe einer betrügerischen Überweisung eingegeben haben. Banken werten das häufig als grobe Fahrlässigkeit und verweigern die Erstattung. Ähnliches gilt, wenn Sie auf eine offensichtliche Phishing-Seite hereingefallen sind.
