Phishing erkennen: Die häufigsten Tricks und Warnsignale

Die meisten Konto-Übernahmen beginnen nicht mit dem Knacken eines Passworts, sondern damit, dass jemand es freiwillig auf einer gefälschten Seite eintippt. Phishing nennt sich diese Masche, bei der Angreifer sich als vertrauenswürdiger Absender ausgeben, um an Zugangsdaten, Kreditkartennummern oder andere sensible Informationen zu kommen. Sie funktioniert nicht über Technik, sondern über Psychologie.

Das Tückische: Moderne Phishing-Mails sehen oft täuschend echt aus, mit korrektem Logo, passender Schriftart und fehlerfreiem Deutsch. Die klassischen Rechtschreibfehler sind seltener geworden. Umso wichtiger ist es, die wiederkehrenden Muster zu kennen, an denen sich ein Betrugsversuch trotzdem entlarven lässt.

Die psychologischen Hebel der Angreifer

Phishing setzt fast immer auf Emotionen, die dein rationales Urteil ausschalten sollen. Der häufigste Hebel ist Zeitdruck: „Dein Konto wird in 24 Stunden gesperrt" oder „Verdächtige Anmeldung, jetzt bestätigen". Wer sich gehetzt fühlt, prüft seltener nach und klickt schneller.

Ein zweiter Hebel ist Autorität, etwa eine angebliche Mail von der Bank, vom Finanzamt oder vom Chef. Ein dritter ist Verlockung, also die Nachricht über ein gewonnenes Paket oder eine fällige Rückerstattung. Sobald eine Nachricht dich zu einer schnellen Handlung drängen will, ist erhöhte Vorsicht angebracht.

Wie ein typischer Angriff abläuft

Ein Phishing-Angriff folgt meist einem festen Drehbuch. Zuerst kommt die Nachricht, die vorgibt, von einem bekannten Anbieter zu stammen, etwa deiner Bank, einem Bezahldienst oder einem Versandhändler. Sie behauptet ein Problem, das deine sofortige Aufmerksamkeit erfordert, und enthält einen Link zur vermeintlichen Lösung.

Klickst du, landest du auf einer Seite, die der echten täuschend ähnlich nachgebaut ist. Gibst du dort deine Zugangsdaten ein, fließen sie direkt zum Angreifer. Bei besonders ausgefeilten Angriffen wird deine Eingabe in Echtzeit an die echte Seite weitergereicht, sodass sogar ein eingegebener 2FA-Code missbraucht werden kann, bevor er abläuft. Hier zeigt sich der Vorteil von Hardware-Schlüsseln und Passkeys, die solche Echtzeit-Weiterleitung kryptografisch verhindern.

Konkrete Warnsignale im Detail

Es gibt eine Handvoll Merkmale, die du an fast jeder Phishing-Nachricht überprüfen kannst. Einzeln sind sie nicht immer eindeutig, in Kombination aber ein klares Alarmsignal.

1. Absenderadresse genau prüfen: Die Anzeige zeigt oft einen seriösen Namen, die echte Adresse dahinter ist aber kryptisch oder gehört zu einer fremden Domain.
2. Links vor dem Klick anschauen: Fahre mit der Maus über den Link, ohne zu klicken, und sieh dir die tatsächliche Zieladresse unten im Browser an. Weicht sie vom erwarteten Anbieter ab, ist Vorsicht geboten.
3. Unpersönliche Anrede: „Sehr geehrter Kunde" statt deines Namens deutet auf einen Massenversand hin.
4. Ungewöhnliche Anhänge: Rechnungen oder Mahnungen als Anhang von einem Dienst, bei dem du nichts bestellt hast, gehören ungeöffnet in den Papierkorb.
5. Forderung nach sofortiger Eingabe von Zugangs- oder Zahlungsdaten über einen Link.

Warum moderne Phishing-Mails so echt aussehen

Die Zeiten holpriger Betrugsmails mit offensichtlichen Fehlern sind weitgehend vorbei. Angreifer kopieren das Erscheinungsbild echter Anbieter pixelgenau, weil die Vorlagen frei verfügbar sind, und formulieren Texte sprachlich sauber. Auch Logos, Fußzeilen und rechtliche Hinweise werden mitkopiert, um Seriosität vorzutäuschen.

Verlasse dich deshalb nicht mehr auf Rechtschreibfehler als Erkennungsmerkmal. Die zuverlässigeren Signale liegen in der Absenderadresse, der Zieladresse des Links und der inhaltlichen Logik der Nachricht. Frage dich, ob der angebliche Absender dich auf diesem Weg überhaupt kontaktieren würde und ob die geforderte Handlung Sinn ergibt. Eine Bank fordert dich grundsätzlich nicht per Mail zur Eingabe deiner Zugangsdaten auf.

Phishing kommt nicht nur per E-Mail

Die Masche hat sich auf andere Kanäle ausgeweitet. Beim Smishing kommt der Betrugsversuch per SMS, oft als angebliche Paketbenachrichtigung mit Link zur „Zollgebühr". Beim Vishing rufen Angreifer an und geben sich am Telefon als Bankmitarbeiter oder Support aus. Auch über Messenger und soziale Netzwerke laufen Phishing-Versuche.

Besonders gefährlich ist gezieltes Spear-Phishing, bei dem die Nachricht auf dich persönlich zugeschnitten ist, etwa mit deinem Namen, Arbeitgeber oder kürzlich getätigten Bestellungen. Solche Details stammen häufig aus früheren Datenlecks. Wie viele deiner Daten bereits öffentlich kursieren, kannst du im Breach-Check prüfen.

Auch QR-Codes werden zunehmend für Phishing missbraucht, etwa auf gefälschten Aushängen oder in Mails. Ein abfotografierter Code führt dich oft ungeprüft auf eine Webseite, deren Adresse du vorher nicht siehst. Behandle einen QR-Code aus unbekannter Quelle deshalb wie einen unbekannten Link und prüfe die Zieladresse, bevor du dort etwas eingibst. Gerade weil sich diese Kanäle ständig erweitern, ist das Grundmuster wichtiger als die Kenntnis jeder einzelnen Masche: unaufgeforderte Aufforderung plus Zeitdruck plus Eingabeforderung gleich Vorsicht.

So prüfst du einen Link technisch

Der wichtigste handwerkliche Schritt ist das Lesen der echten Zieladresse. Wenn du einen Link siehst, zählt nicht der angezeigte Text, sondern die dahinterliegende Adresse. Am Computer fährst du mit der Maus über den Link, ohne zu klicken, und liest die Adresse, die unten im Browserfenster erscheint. Am Smartphone hältst du den Link lange gedrückt, dann zeigt das System die volle Adresse an.

Beim Lesen kommt es auf die sogenannte Hauptdomain an, also den Teil direkt vor der Länderendung. Angreifer bauen oft vertrauenswürdig klingende Wörter in lange Adressen ein, etwa als Subdomain oder im hinteren Teil des Pfades, während die eigentliche Domain eine ganz andere ist. Vertraue nur dem Teil unmittelbar vor der Endung, nicht den Wörtern davor oder dahinter.

Phishing am Arbeitsplatz

Im beruflichen Umfeld ist Phishing besonders lohnend für Angreifer, weil sich über ein gekapertes Mitarbeiterkonto oft auf interne Systeme zugreifen lässt. Eine verbreitete Masche ist der gefälschte Auftrag des Vorgesetzten, der zu einer eiligen Überweisung oder zur Herausgabe von Daten drängt, oft mit dem Hinweis auf Vertraulichkeit und Zeitdruck.

Halte dich an die Regel, ungewöhnliche Anweisungen über einen zweiten Kanal zu bestätigen, etwa per Rückruf an die dir bekannte Nummer, nicht an eine in der Mail genannte. Melde verdächtige Nachrichten der internen IT-Abteilung, denn sie kann andere Empfänger warnen und betroffene Systeme prüfen. Klicke im Zweifel nichts an und gib keine Zugangsdaten ein, bevor die Echtheit geklärt ist.

Was tun, wenn du doch geklickt hast

Es passiert auch aufmerksamen Menschen. Wenn du auf einer gefälschten Seite Zugangsdaten eingegeben hast, zählt jede Minute. Ändere sofort das betroffene Passwort, und zwar über die echte Website, die du selbst aufrufst. Hast du dasselbe Passwort woanders verwendet, ändere es auch dort.

Aktiviere, falls noch nicht geschehen, die Zwei-Faktor-Authentifizierung für das betroffene Konto, wie im 2FA-Guide beschrieben. Hast du Zahlungsdaten preisgegeben, informiere deine Bank und lass die Karte gegebenenfalls sperren. Beobachte deine Konten in den folgenden Wochen auf ungewöhnliche Aktivitäten.

Prüfe außerdem, ob der Angreifer bereits in deinem Konto war. Sieh dir die Anmelde- oder Aktivitätsverläufe an, die viele Dienste anbieten, und melde unbekannte Sitzungen ab. Bei deinem E-Mail-Postfach kontrollierst du zusätzlich die Weiterleitungsregeln, denn Angreifer richten dort gern eine heimliche Kopie deiner eingehenden Mails ein. Hat der Angriff Erfolg gehabt, kann es sinnvoll sein, den Vorfall bei der Polizei anzuzeigen, vor allem wenn finanzieller Schaden entstanden ist.

Phishing melden hilft auch anderen

Wenn du einen Phishing-Versuch erkannt hast, kannst du ihn melden, statt ihn nur zu löschen. Viele E-Mail-Anbieter haben eine Schaltfläche zum Melden von Phishing, die solche Nachrichten künftig besser herausfiltert. Gibt sich die Nachricht als bekanntes Unternehmen aus, nehmen viele Anbieter Hinweise über eine Missbrauchs- oder Phishing-Adresse entgegen.

In Deutschland sammelt unter anderem die Verbraucherzentrale Beispiele aktueller Betrugsmaschen über einen Phishing-Radar und warnt davor. Eine Meldung kostet dich wenig Zeit, hilft aber, andere Empfänger derselben Welle zu schützen. Lösche die Nachricht erst, nachdem du sie gemeldet hast.

Skepsis als dauerhafte Gewohnheit

Phishing lässt sich nicht mit einem einzelnen Werkzeug abstellen, weil es die menschliche Reaktion angreift, nicht die Technik. Die wirksamste Verteidigung ist die feste Angewohnheit, bei jeder Aufforderung zu Login oder Zahlung kurz innezuhalten und die Quelle selbst zu prüfen, statt dem mitgelieferten Link zu folgen.

Sichere parallel deine Konten mit langen, einzigartigen Passwörtern aus einem Passwortmanager und aktivem zweiten Faktor ab, damit selbst ein erfolgreicher Phishing-Versuch nicht direkt zur Konto-Übernahme führt. Wer Absender prüft, Links vor dem Klick kontrolliert und bei Zeitdruck misstrauisch wird, fängt den überwiegenden Teil der Versuche ab.