Woran erkenne ich Phishing?

Was der Angriff erreichen will

Bei Phishing geben sich Angreifer als vertrauenswürdige Stelle aus, um beispielsweise Anmeldedaten zu erlangen. Eine Nachricht führt auf eine nachgebaute Website oder verleitet zu einer Freigabe. Die Polizeiliche Kriminalprävention erklärt diese Täuschung. Entscheidend ist die verlangte Handlung, nicht nur die Form der Nachricht.

Unser eigenes Beispiel lautet: „Dein Konto wird in 20 Minuten gesperrt. Bestätige sofort dein Passwort.“ Hier wird eine Bedrohung mit einer scheinbar einfachen Rettung verknüpft. Statt die Echtheit unter Zeitdruck am Layout zu erraten, trennst du die Behauptung von der angebotenen Handlung: Gibt es überhaupt ein Problem, wenn du den Dienst auf deinem üblichen Weg aufrufst?

Absender, Sprache und Logo sind nur Hinweise

Ein sichtbarer Anzeigename ist nicht dasselbe wie die tatsächliche Absenderadresse. Logos und Textbausteine lassen sich nachahmen. Sprachfehler können auffallen, doch ihr Fehlen macht eine Nachricht nicht seriös. Die Verbraucherzentrale beschreibt auch täuschend echte Nachrichten in korrektem Deutsch.

Prüfe den Zusammenhang: Hast du diese Nachricht erwartet? Passt die Aufforderung zum tatsächlichen Vorgang? Warum sollen Zugangsdaten gerade jetzt über diesen Weg bestätigt werden? Eine persönliche Anrede ist kein verlässlicher Gegenbeweis. Wenn du unsicher bist, musst du die Nachricht nicht abschließend als Betrug beweisen, um zunächst auf eine unabhängige Prüfung auszuweichen.

Links und QR-Codes führen nicht automatisch zum behaupteten Ziel

Der sichtbare Linktext kann ein anderes Ziel versprechen als die tatsächlich hinterlegte Adresse. Auch eine ähnlich geschriebene Domain kann täuschen. Auf kleinen Displays werden Adressen zudem nicht immer vollständig angezeigt. Verlasse dich deshalb nicht darauf, einen verdächtigen Link durch kurzes Ansehen sicher beurteilen zu können. Die Verbraucherzentrale erläutert typische Link-Fallen.

Ein QR-Code ist zunächst nur eine andere Verpackung für Informationen, häufig eine Webadresse. Bei Quishing führt er auf eine betrügerische Seite. Die Polizei erläutert diese Variante. Ein gedruckter Brief oder ein aufgeklebter Code wird dadurch nicht automatisch vertrauenswürdig. Scanne einen zweifelhaften Code nicht nur deshalb, weil die Nachricht einen bekannten Namen nennt.

Der sichere Umweg: selbst den Kontaktweg wählen

Öffne die bereits bekannte App oder gib die vertraute Websiteadresse selbst ein. Nutze bei Rückfragen eine zuvor bekannte oder unabhängig recherchierte Telefonnummer, nicht die aus der verdächtigen Nachricht. So prüfst du die behauptete Kontosperre, ohne den angebotenen Zugang zu übernehmen. Die Polizeihinweise zu Phishing empfehlen unabhängige Kontaktaufnahme.

Ein Beispiel: Eine angebliche Paketnachricht verlangt eine kleine Nachzahlung. Du öffnest stattdessen die dir bekannte Bestellübersicht und prüfst die dortige Sendungsverfolgung. Vielleicht bleibt die Nachricht unklar; trotzdem hast du vermieden, spontan Zahlungs- oder Kontodaten an ein ungeprüftes Ziel weiterzugeben. Dieser Ablauf ist eine eigene Veranschaulichung und keine Zusicherung, dass jede Bestellübersicht einen Angriff erkennen lässt.

Wenn du bereits etwas eingegeben hast

Reagiere passend zu dem, was geschehen ist. Nach preisgegebenen Zugangsdaten solltest du das betroffene Konto über einen vertrauenswürdigen Zugang absichern, das Passwort ändern, aktive Sitzungen beenden und den echten Anbieter informieren. Bei betroffenen Zahlungsdaten oder einer veranlassten Zahlung kontaktiere unverzüglich die zuständige Bank über einen bekannten Kontaktweg. Sichere die Nachricht als Beleg. Die gemeinsame Checkliste von Polizei und BSI führt durch typische Fälle.

Nur einen Link geöffnet zu haben ist nicht dasselbe wie ein Passwort einzugeben oder eine Datei auszuführen. Stelle deshalb zunächst fest, welche Handlung tatsächlich erfolgt ist. Bei einem betrieblichen Konto informiere die zuständige IT, statt auf eigene Faust Spuren zu beseitigen. Die genaue Reaktion hängt vom Vorfall ab; die Checkliste und der echte Support sind dafür hilfreicher als die Aufforderungen der verdächtigen Nachricht.