Eine SMS meldet, ein Paket habe nicht zugestellt werden können, und verlangt eine kleine Gebühr für die erneute Zustellung. Der Link öffnet eine Seite in den Farben des Paketdienstes mit einem Kartenformular, und nichts daran wirkt kaputt. Genau darum geht es: Die Seite gehört jemandem, der die Kartennummer will, und die Gebühr hat es nie gegeben.
Dieser Beitrag erklärt, was Phishing ist, wie ein Angriff abläuft, welche Arten es gibt, woran Sie eine solche Nachricht erkennen, warum Passkeys das meiste davon stoppen und was zu tun ist, wenn Sie geklickt haben. Er ist für die Person geschrieben, bei der die Nachricht ankommt; eine Anleitung für Angreifer gibt es hier nicht.
Was ist Phishing?
Phishing ist eine Form von Social Engineering: Der Angreifer bricht nicht in ein System ein, sondern überredet einen Menschen, ihm die Tür zu öffnen. Das britische National Cyber Security Centre (NCSC) beschreibt es als Betrug, bei dem Kriminelle ihre Opfer mit gefälschten E-Mails, SMS oder Anrufen täuschen; CISA, die US-Behörde für Cybersicherheit, ergänzt, dass der Köder meist so aussieht, als käme er von jemandem, dem Sie vertrauen.
Die Schreibweise spielt auf das englische „fishing“ an, das Angeln: Ein Köder geht an viele Menschen, und der Absender wartet, bis jemand anbeißt. Der Fang ist eines von vier Dingen: Ihre Anmeldedaten, Ihre Karten- oder Bankdaten, ein Einmalcode, der eine Anmeldung abschließt, oder ein Klick, der Malware installiert, also Software, die Ihr Gerät ausspioniert oder beschädigt.
Wie läuft ein Phishing-Angriff ab?
- Ein Vorwand. Der Absender wählt eine Geschichte, die zum Moment passt: ein Paket, eine Steuererstattung, ein gesperrtes Konto, eine unbezahlte Rechnung, ein geteiltes Dokument.
- Der Köder wird verschickt. Eine E-Mail, SMS oder Direktnachricht enthält einen Link, einen Anhang oder eine Telefonnummer, die Sie anrufen sollen; bei einem Anruf ist die Stimme selbst der Köder.
- Der Haken. Der Link öffnet die Kopie einer echten Anmelde- oder Zahlungsseite, der Anhang fordert Sie auf, „Inhalt zu aktivieren“, oder der Anrufer bittet Sie, den Code vorzulesen, der gerade angekommen ist.
- Die Daten werden abgegriffen. Alles, was Sie eingeben, geht an den Absender. Manche Phishing-Seiten reichen Ihre Eingaben über einen Reverse-Proxy an die echte Website weiter, sodass die Anmeldung zu funktionieren scheint, während der Angreifer das Sitzungscookie behält, das die Website zurückgibt; Was ist Session Hijacking? erklärt, warum dieses Cookie allein das Konto öffnet.
- Die Daten werden genutzt. Das Passwort wird auf der echten Website und auf anderen ausprobiert, die Karte wird belastet, oder Ihr Konto schickt denselben Köder an Ihre Kontakte.
Welche Arten von Phishing gibt es?
| Art | Wie es Sie erreicht | Was es verlangt |
|---|---|---|
| E-Mail-Phishing | Eine Massen-E-Mail | Eine Anmeldung auf einer gefälschten Seite, einen Anhang |
| Spear Phishing | Eine eigens für Sie geschriebene Nachricht | Dasselbe, mit echten Angaben über Sie |
| Whaling | Eine Nachricht an eine Führungskraft | Eine Zahlung, vertrauliche Dateien |
| Smishing | SMS oder Messenger-App | Eine kleine Gebühr, einen Link, um ein Konto zu „reparieren“ |
| Vishing | Ein Anruf oder eine Sprachnachricht | Einen Code, Kartendaten, eine Überweisung |
| Quishing | Ein QR-Code | Kartendaten auf einer gefälschten Zahlungsseite |
| Einwilligungsphishing | Ein echter Anmeldebildschirm für eine unbekannte App | Zugriff auf Ihr Postfach oder Ihre Dateien |
Spear Phishing und Whaling sind die gezielten Varianten. Laut NCSC nutzt der Angreifer Informationen über Ihre Mitarbeitenden oder Ihr Unternehmen, um die Nachricht überzeugend zu machen, und Whaling ist Spear Phishing, das auf einen „großen Fisch“ wie ein Vorstandsmitglied zielt.
Smishing und Vishing verlegen den Trick aufs Telefon; CISA definiert sie als Social Engineering per SMS und per Sprache. Oft wirken beide zusammen: Eine SMS warnt vor einer verdächtigen Zahlung, und das „Betrugsteam“ unter der angegebenen Nummer fragt nach einem Code.
Quishing versteckt den Link in einem QR-Code. Die US-Verbraucherschutzbehörde Federal Trade Commission (FTC) warnt vor Codes, die an Parkautomaten über die echten geklebt werden, und vor QR-Codes in unerwarteten E-Mails und SMS, die auf eine kopierte Website führen.
Einwilligungsphishing (Consent Phishing) stiehlt kein Passwort. Microsoft beschreibt es als Täuschung, mit der Nutzer dazu gebracht werden, einer schädlichen Cloud-App Berechtigungen zu erteilen; der Zustimmungsbildschirm ist echt, deshalb sieht die Adressleiste richtig aus. Verräterisch ist die Anfrage selbst, etwa ein unbekannter „Dokumentbetrachter“, der Ihre E-Mails lesen und senden will; die Lösung ist, die App aus den verbundenen Apps Ihres Kontos zu entfernen.
Woran erkennen Sie eine Phishing-Nachricht?
Eine Phishing-Nachricht drängt Sie zum Handeln, bevor Sie nachdenken; Druck ist also das erste Zeichen, eine Adresse, die nicht zur Organisation gehört, das zweite. Das NCSC nennt fünf Zeichen: Autorität (eine Nachricht, die angeblich von einer offiziellen Stelle kommt), Dringlichkeit (eine kurze Frist oder eine angedrohte Strafe), Emotion (Panik, Angst, Hoffnung oder Neugier), Knappheit (etwas, das nur begrenzt verfügbar ist) und aktuelle Ereignisse (die Zeit der Steuererklärung, ein großes Nachrichtenthema).
Prüfen Sie dann die Details:
- Die Absenderadresse, nicht der Anzeigename. Der Name kann „Bank Support“ lauten; entscheidend ist die Domain nach dem @.
- Täuschend ähnliche Domains. Ein Name, der um einen Buchstaben abweicht, oder die echte Marke am Anfang einer längeren Adresse ist eine häufige Tarnung; Was ist Typosquatting? zeigt, wie Sie eine solche Adresse lesen.
- Ein Link, dessen echte Adresse von seinem Text abweicht. Am Computer fahren Sie mit der Maus darüber; am Smartphone halten Sie ihn gedrückt, um eine Vorschau zu sehen.
- Ein unerwarteter Anhang, vor allem einer, der Sie bittet, Inhalte zu aktivieren. Office unter Windows blockiert Makros in Dateien aus dem Internet standardmäßig, Anweisungen, diese Sperre aufzuheben, sind also schon für sich eine Warnung.
- Eine Zahlung außer der Reihe: die „neue“ Bankverbindung eines Lieferanten, Geschenkkarten, eine dringende Überweisung für eine Vorgesetzte, die gerade nicht erreichbar ist.
- Die Bitte um einen Code. Die FTC sagt es unmissverständlich: Wer Sie nach dem Bestätigungscode Ihres Kontos fragt, ist ein Betrüger.
- Fehlerfreie Sprache beweist nichts. CISA weist darauf hin, dass KI-Werkzeuge heute geschliffene Nachrichten schreiben.
Im Zweifel wenden Sie sich auf einem Weg an die Organisation, den Sie bereits kennen, etwa über ihre App oder die Nummer auf Ihrer Karte, nie über den Link oder die Nummer in der Nachricht.
Warum widerstehen Passkeys Phishing?
Ein Passkey lässt sich nicht in eine gefälschte Seite eintippen: Ihr Gerät bietet ihn nur der Website an, für die er erstellt wurde, sodass eine Kopie der Anmeldeseite unter einer anderen Domain nichts Brauchbares erhält. Ein Passkey ist ein Anmeldeschlüssel, der auf Ihrem Smartphone, Ihrem Computer oder in Ihrem Passwortmanager gespeichert ist; die Website bewahrt nur eine öffentliche Hälfte auf. Die FIDO Alliance erklärt, dass ein Passkey nur der Website vorgelegt wird, bei der er registriert wurde.
Codes und Push-Anfragen sind besser als ein Passwort allein, aber eine Phishing-Seite kann auch sie einsammeln. Das Merkblatt von CISA zu phishing-resistenter MFA beschreibt den klassischen Fall: ein gefälschtes Anmeldeportal, auf dem das Opfer Benutzernamen, Passwort und den 6-stelligen Code aus einer Authenticator-App eingibt. Die Rangfolge von CISA, ergänzt um eine Zeile nur mit Passwort:
| Anmeldeverfahren | Kann eine Phishing-Seite es abgreifen? | Außerdem anfällig für |
|---|---|---|
| Nur Passwort | Ja | Wiederverwendung auf anderen Websites |
| SMS- oder Sprachcode | Ja, sofort weitergereicht | SIM-Swapping, Abhören im Telefonnetz |
| Code aus einer Authenticator-App | Ja, sofort weitergereicht | Nichts weiter in der Liste von CISA |
| Push-Anfrage ohne Zahlenabgleich | Man kann Sie zum Bestätigen überreden | Push-Bombing: Anfragen, bis Sie bestätigen |
| Passkey oder Sicherheitsschlüssel (FIDO/WebAuthn) | Nein | Nichts in der Liste von CISA |
CISA nennt diese Art der Anmeldung „den Goldstandard“ und fügt hinzu, dass jede Multi-Faktor-Authentifizierung (MFA) besser ist als keine. Ein Passwortmanager bietet für Passwörter eine ähnliche Prüfung, denn er füllt ein Formular nur auf der Domain aus, auf der das Passwort gespeichert wurde.
Was tun, wenn Sie auf einen Phishing-Link geklickt haben?
Haben Sie die Seite nur geöffnet und nichts eingegeben, schließen Sie sie, löschen Sie alles, was sie heruntergeladen hat, und starten Sie einen Sicherheitsscan. Haben Sie ein Passwort, einen Code oder eine Kartennummer eingegeben, handeln Sie jetzt, in dieser Reihenfolge:
- Ändern Sie das Passwort auf der echten Website, die Sie erreichen, indem Sie die Adresse eintippen oder die App öffnen. Haben Sie dasselbe Passwort anderswo verwendet, ändern Sie es auch dort, denn ein abgegriffenes Passwort wird bei anderen Diensten ausprobiert; Was ist Credential Stuffing? behandelt diesen Schritt.
- Beenden Sie alle anderen Sitzungen in den Sicherheitseinstellungen des Kontos, prüfen Sie Wiederherstellungsdaten, Weiterleitungsregeln und verbundene Apps, und fügen Sie einen Passkey hinzu, wo das angeboten wird.
- Rufen Sie Ihre Bank an, unter der Nummer auf Ihrer Karte, wenn Sie Karten- oder Bankdaten eingegeben haben; NCSC und FTC raten beide dazu.
- Scannen Sie das Gerät, wenn Sie einen Anhang geöffnet oder etwas installiert haben. Auf einem Arbeitsgerät informieren Sie sofort Ihre IT-Abteilung.
- Melden Sie die Nachricht, wie unten beschrieben. Haben Sie Geld verloren, erstatten Sie bei der Polizei Anzeige wegen Betrugs.
Wie melden Sie Phishing?
Nutzen Sie zuerst die Melde-Schaltfläche Ihrer E-Mail-App, dann die Meldestelle Ihres Landes; beide speisen die Filter und Sperrlisten, die andere Menschen schützen.
- Gmail am Computer: Öffnen Sie die Nachricht, klicken Sie neben Antworten auf Mehr und dann auf Phishing melden.
- Outlook.com: Wählen Sie die Nachricht aus, dann Melden > Phishing melden. Das Melden blockiert den Absender nicht; blockieren Sie ihn separat, wenn weitere Nachrichten kommen.
- Vereinigtes Königreich: Leiten Sie verdächtige E-Mails an report@phishing.gov.uk und betrügerische SMS an die 7726 weiter, wie es die Meldeseiten des NCSC erklären.
- USA: Die FTC bittet darum, Phishing-E-Mails an reportphishing@apwg.org und Phishing-SMS an SPAM (7726) weiterzuleiten und den Betrug unter ReportFraud.ftc.gov zu melden.
- Deutschland: Verdächtige E-Mails können Sie an phishing@verbraucherzentrale.nrw weiterleiten; die Verbraucherzentrale NRW wertet sie für ihr Phishing-Radar aus, auf das auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) verweist.
- Andere Länder: Die nationale Cybersicherheitsbehörde oder das nationale CERT (Computer Emergency Response Team, ein Notfallteam für IT-Sicherheit) betreibt meist ein Meldeformular.
- Am Arbeitsplatz: Nutzen Sie die Melde-Schaltfläche des Unternehmens oder leiten Sie die Nachricht an das Sicherheitsteam weiter, nicht an Kolleginnen und Kollegen.
Wie schützen sich Organisationen vor Phishing?
Organisationen legen mehrere Schutzschichten übereinander, weil kein Filter jede Nachricht erwischt. Das NCSC teilt sie in vier Gruppen: Phishing den Weg zu den Nutzern erschweren (E-Mail-Filter, E-Mail-Authentifizierung), Nutzern helfen, es zu erkennen und ohne Schuldzuweisung zu melden, den Schaden eines Klicks begrenzen (MFA, Passwortmanager, aktuelle Geräte) und schnell reagieren.
Sicherheitsteams prüfen gemeldete Links außerdem, bevor sie sie sperren. Manche Phishing-Seiten zeigen die gefälschte Anmeldung nur Besuchern, die wie das Ziel aussehen, etwa einem Heimanschluss im Zielland, und allen anderen eine leere Seite. Analysten öffnen den Link deshalb in einem isolierten Browser, nie mit echten Anmeldedaten, über einen Residential-Proxy mit Ausgang in diesem Land und dieser Stadt.
Bei einem Köder per SMS zeigt sich die Seite womöglich nur in einem Mobilfunknetz; ein Mobile-Proxy gibt dem Analyseteam für diese eine Prüfung eine echte Adresse eines Mobilfunkbetreibers. Das sind ein paar Seitenaufrufe pro Link, um die Seite zu dokumentieren und zu melden, niemals, um sie auszufüllen.
Wo Ihnen Phishing begegnet
In privaten und beruflichen Postfächern. In SMS zu Paketen, Mautgebühren, Steuererstattungen oder Warnungen der Bank. In Anrufen eines „Betrugsteams“ oder „technischen Supports“. In Nachrichten in sozialen Netzwerken, die einen Gewinn oder einen Job versprechen. Auf QR-Codes, die auf Plakate und Parkautomaten geklebt wurden. Am Arbeitsplatz in Rechnungen, Hinweisen auf geteilte Dokumente und Nachrichten, die scheinbar vom Chef kommen.
Häufige Fehler
- Dem Logo und dem Anzeigenamen vertrauen. Beide lassen sich kostenlos kopieren; die Domain nicht.
- Dem Schloss vertrauen. HTTPS bedeutet, dass die Verbindung zu dieser Domain verschlüsselt ist, nicht, dass die Domain Ihrer Bank gehört.
- Die Nummer aus der Nachricht anrufen, um sie zu prüfen. Diese Nummer gehört dem Absender.
- Einem Anrufer einen Code vorlesen. Ein Code, der während eines Anrufs ankommt, den Sie nicht selbst begonnen haben, ist der Angriff selbst.
- Löschen, ohne zu melden. Erst die Meldung sorgt dafür, dass die Seite für die nächste Person gesperrt wird.
Entscheidungshilfe
| Ihre Situation | Was Sie zuerst tun sollten |
|---|---|
| Eine verdächtige Nachricht, nichts angeklickt | Mit der Schaltfläche Ihrer App melden, dann löschen |
| Sie haben geklickt, aber nichts eingegeben | Seite schließen; scannen, falls etwas heruntergeladen wurde |
| Sie haben ein Passwort eingegeben | Auf der echten Website und überall, wo Sie es wiederverwendet haben, ändern; andere Sitzungen beenden |
| Sie haben Karten- oder Bankdaten angegeben | Ihre Bank unter der Nummer auf Ihrer Karte anrufen |
| Sie haben einem Anrufer einen Code vorgelesen | Passwort ändern, Sitzungen beenden, den Anbieter informieren |
| Sie haben eine unbekannte App zugelassen | Aus den verbundenen Apps Ihres Kontos entfernen |
| Sie prüfen gemeldete Links für ein Unternehmen | Isolierter Browser, Residential- oder Mobile-Ausgang im Zielland, keine echten Anmeldedaten |
Häufige Fragen
Kann man schon durch das Öffnen einer Phishing-Mail gehackt werden?
Selten. Eine Nachricht in einer aktuellen Mail-App zu lesen, ist im Allgemeinen sicher; der Schaden beginnt, wenn Sie klicken, einen Anhang öffnen oder mit Informationen antworten. Eine Lücke in einer veralteten Mail-App kann gelegentlich schon durch eine Nachricht allein ausgelöst werden, halten Sie die App also aktuell.
Ist Phishing strafbar?
Ja. Phishing führt zu Betrug und zu unbefugtem Zugriff auf fremde Konten, und beides ist in den meisten Ländern eine Straftat; der genaue Tatbestand hängt vom jeweiligen Recht ab. Eine Simulation, die ein Unternehmen bei den eigenen Mitarbeitenden durchführt, ist Training, kein Angriff.
Was ist der Unterschied zwischen Phishing und Spam?
Spam sind unerwünschte Massennachrichten, meist Werbung; sie sind lästig, geben sich aber nicht als jemand aus, dem Sie vertrauen. Phishing gibt sich als vertrauenswürdiger Absender aus, um Ihnen etwas abzunehmen: ein Passwort, eine Zahlung oder einen Klick.
Was ist ein Phishing-Test am Arbeitsplatz?
Ein Phishing-Test, auch Phishing-Simulation genannt, ist eine harmlose, gefälschte Phishing-Mail, die ein Unternehmen an die eigenen Mitarbeitenden schickt, damit sie lernen, echte zu erkennen und zu melden. Ein Klick darauf führt meist zu einer kurzen Schulungsseite, und das NCSC rät Organisationen, Mitarbeitende, die klicken, nicht zu tadeln. Sind Sie unsicher, ob eine Nachricht ein Test ist, melden Sie sie trotzdem.
Was ist phishing-resistente MFA?
Ein zweiter Anmeldeschritt, den eine gefälschte Website weder abgreifen noch weiterreichen kann. In der Praxis heißt das Anmeldung per FIDO/WebAuthn mit Passkeys oder Hardware-Sicherheitsschlüsseln, in manchen Organisationen auch per Smartcard. SMS- und App-Codes sind weit besser als ein Passwort allein, aber eine Phishing-Seite kann sie weiterreichen.
Schützen Antivirenprogramme oder ein VPN vor Phishing?
Nur teilweise. Sicherheitssoftware und die Warnlisten des Browsers blockieren bekannte Phishing-Seiten, aber eine Seite, die vor einer Stunde eingerichtet wurde, steht womöglich noch auf keiner Liste. Ein VPN ändert den Netzwerkweg und kann eine gefälschte Anmeldeseite nicht von einer echten unterscheiden; diese Lücke schließen das Lesen der Adresse und Passkeys.
Fazit
Phishing ist eine Verkleidung, kein Einbruch: Jemand gibt sich als vertrauter Absender aus, um ein Passwort, einen Code, eine Zahlung oder einen Klick zu bekommen. Halten Sie inne, wenn eine Nachricht drängt, lesen Sie die Domain des Absenders und die echte Adresse des Links, und lesen Sie niemals jemandem einen Code vor. Haben Sie etwas eingegeben, ändern Sie das Passwort auf der echten Website, beenden Sie andere Sitzungen und melden Sie die Nachricht. Passkeys nehmen den meisten Phishing-Seiten, was sie einsammeln: ein Passwort und einen Code, die überall funktionieren. Marken, die Kopien ihrer eigenen Anmeldeseiten beobachten wollen, finden die Einrichtung auf unserer Seite zum Markenschutz.
