Phishing-Mails und Betrugs-SMS erkennen

Was ist Phishing und wie erkenne ich es?

Phishing ist der Versuch, mit gefälschten E-Mails, SMS oder Nachrichten an deine Passwörter, Bankdaten oder Kartennummern zu kommen. Erkennen kannst du es fast immer an derselben Mischung: Die Nachricht setzt dich unter Zeitdruck, droht mit einer Sperrung oder einem Verlust und fordert dich auf, vertrauliche Daten über einen Link einzugeben. Das Bundesamt für Sicherheit in der Informationstechnik nennt genau diese Merkmale als typisch. Der Name kommt vom englischen fishing, denn die Täter werfen einen Köder aus und hoffen, dass jemand anbeißt. Wichtig zu wissen: Kein seriöses Unternehmen und keine Bank fordert dich per Mail oder SMS auf, deine PIN oder ein Passwort über einen Link einzugeben. Wo das passiert, ist es Betrug.

So läuft ein Phishing-Angriff ab

Ein Phishing-Angriff folgt fast immer denselben Schritten. Wer sie kennt, erkennt sofort, an welcher Stelle er die Kette unterbrechen kann.

Am Anfang steht eine Nachricht, die aussieht, als käme sie von deiner Bank, einem Paketdienst oder einem bekannten Dienst. Sie erzeugt Druck, damit du nicht nachdenkst, sondern schnell handelst. Der Link führt auf eine Seite, die der echten täuschend ähnlich sieht. Gibst du dort deine Daten ein, landen sie direkt bei den Tätern, die damit dein Konto plündern oder in deinem Namen bestellen. Die gute Nachricht: Der ganze Angriff bricht zusammen, sobald du den Link nicht anklickst oder auf der gefälschten Seite nichts eingibst.

Woran du Phishing-Mails und Betrugs-SMS erkennst

Meist treffen mehrere dieser Merkmale zusammen. Schon zwei davon sind ein deutliches Warnsignal.

1. Die Nachricht macht Druck, etwa mit einer Frist von wenigen Stunden.
2. Sie droht mit Folgen, zum Beispiel mit der Sperrung deines Kontos.
3. Du sollst vertrauliche Daten wie PIN, Passwort oder Kartennummer eingeben.
4. Es gibt einen Link oder ein Formular, über das du die Daten preisgeben sollst.
5. Der Text enthält Rechtschreibfehler, besonders bei Umlauten wie ä, ö und ü.
6. Die Absenderadresse oder der Link sieht seltsam aus und passt nicht zum echten Namen der Organisation.
7. Die Anrede ist unpersönlich, oder das Anliegen kommt dir unerwartet.

Ein Hinweis zum letzten Punkt: Fehlerfreie und persönlich wirkende Phishing-Nachrichten nehmen zu, weil die Täter bessere Werkzeuge nutzen. Eine saubere Rechtschreibung ist deshalb kein Beweis für Echtheit. Verlass dich stärker auf die Frage, ob du zur Eingabe von Daten über einen Link gedrängt wirst.

Was tun, wenn du geklickt oder Daten eingegeben hast?

Wenn du auf einen Phishing-Link geklickt und Daten eingegeben hast, zählt Tempo. Handle in dieser Reihenfolge.

1. Karten und Banking sperren. Ruf sofort den Sperr-Notruf 116 116 an und sperre Karten sowie den Online-Banking-Zugang. Die Nummer ist rund um die Uhr erreichbar.
2. Bank informieren. Melde dich zusätzlich direkt bei deiner Bank und lass dein Konto auf verdächtige Umsätze prüfen.
3. Passwörter ändern. Ändere das Passwort des betroffenen Zugangs und aller Konten, bei denen du dasselbe Passwort benutzt. Nutze dafür ein sauberes Gerät.
4. Zwei-Faktor-Schutz einschalten. Sichere die betroffenen Konten mit einem zweiten Faktor, damit ein gestohlenes Passwort allein nicht mehr reicht.
5. Beweise sichern und Anzeige erstatten. Bewahre die Nachricht auf, mach Screenshots und erstatte Anzeige bei der Polizei oder über die Onlinewache.
6. Gerät prüfen. Hast du eine Datei geöffnet oder eine App installiert, führe einen Virenscan durch.

Betrugs-SMS: die Paket- und Bank-Masche

Phishing per SMS heißt Smishing, aus SMS und Phishing zusammengesetzt, und hat sich seit 2021 vervierfacht. Es ist besonders gefährlich, weil viele Menschen einer SMS mehr vertrauen als einer E-Mail. Zwei Maschen sind besonders häufig. Bei der Paket-SMS heißt es, eine Sendung liege bereit oder ein Zoll sei zu zahlen, und ein Link führt auf eine gefälschte Seite oder zu einer Schadsoftware. Bei der Bank-SMS wird eine angebliche Sicherheitsprüfung oder eine gesperrte Karte vorgetäuscht. Die Regel ist in beiden Fällen dieselbe: Klick nicht auf den Link. Öffne stattdessen die App des Paketdienstes oder deiner Bank direkt oder tippe die offizielle Adresse selbst in den Browser. Achte in solchen SMS auch auf Rechtschreibfehler und auf kuriose Zeichenfolgen in den Links.

Wo du Phishing meldest

Melden hilft, weil Warnungen dann schneller andere erreichen und gefälschte Seiten schneller vom Netz genommen werden.

Phishing kommt auch per Anruf, QR-Code und Messenger

Der Köder muss nicht immer eine Mail sein. Beim Phishing per Telefon, auch Vishing genannt, gibt sich jemand als Mitarbeiter deiner Bank, eines Softwareherstellers oder einer Behörde aus und will dich am Telefon zu einer Überweisung oder zur Herausgabe von Zugangsdaten bringen. Leg im Zweifel auf und ruf die Organisation über die offizielle Nummer selbst zurück. Beim Phishing über QR-Codes, auch Quishing genannt, führt ein aufgeklebter oder zugeschickter Code auf eine gefälschte Seite. Prüfe die Adresse, die ein QR-Code öffnen will, bevor du dort etwas eingibst, und sei bei Codes im öffentlichen Raum oder in unerwarteter Post besonders vorsichtig. Auch in Messenger-Diensten tauchen gefälschte Nachrichten auf, oft aus dem gekaperten Konto eines Bekannten. In allen Fällen gilt dieselbe Regel wie bei der Mail: keine Daten über einen zugeschickten Link oder Code, sondern immer den offiziellen Weg selbst öffnen.

Wenn deine Daten schon aus einem Leck stammen

Viele Phishing-Wellen folgen auf ein Datenleck. Wenn deine E-Mail-Adresse, dein Name und weitere Angaben bei einem Unternehmen abgeflossen sind, können Täter dich sehr gezielt anschreiben. Solche persönlich zugeschnittenen Nachrichten, auch Spear-Phishing genannt, wirken glaubwürdiger, weil sie deinen Namen und echte Details enthalten. Prüfe deshalb regelmäßig, ob deine Adresse in einem bekannten Leck auftaucht, zum Beispiel über den kostenlosen Identity Leak Checker des Hasso-Plattner-Instituts. Schlägt der Check an, ändere die betroffenen Passwörter und sei bei Nachrichten, die genau diese Daten aufgreifen, besonders wachsam. Denk daran: Auch wenn eine Nachricht deinen Namen kennt, heißt das nicht, dass sie echt ist. Der einzige verlässliche Weg bleibt, Konten und Dienste immer selbst über die offizielle Adresse zu öffnen.

Warum Phishing so oft funktioniert

Phishing wirkt nicht, weil die Opfer unvorsichtig sind, sondern weil es gezielt menschliche Reflexe ausnutzt. Zeitdruck schaltet das ruhige Nachdenken aus. Die Angst vor einem gesperrten Konto oder einer verpassten Lieferung lässt uns schnell reagieren. Und der Name einer vertrauten Marke senkt die Wachsamkeit, weil wir dem Absender glauben, statt die Nachricht zu prüfen. Wer das versteht, hat schon den wichtigsten Schutz: das kurze Innehalten. Ein echtes Anliegen deiner Bank wartet die zwei Minuten, die du brauchst, um die App direkt zu öffnen. Ein Phishing-Versuch dagegen ist auf genau diese zwei Minuten nicht ausgelegt.

Häufige Fragen