Phishing erkennen

Das Wichtigste auf einen Blick

• Beim Phishing versuchen Betrüger, über gefälschte Nachrichten oder Websites an persönliche Daten und Zugangsdaten zu gelangen.
  
  
• Typische Warnsignale sind ungewöhnliche Absenderadressen, Zeitdruck und verdächtige Links.
  
  
• Auch professionell gestaltete EMails mit persönlicher Anrede können Phishing-Versuche sein.
  
  
• Öffnen Sie bei einem Phishing-Verdacht keine Links oder Anhänge. Haben Sie bereits Zugangsdaten eingegeben, ist schnelles Handeln wichtig.

Eine EMail Ihrer Bank fordert Sie auf, innerhalb von 24 Stunden Ihre Kontodaten zu bestätigen. Andernfalls werde Ihr Konto gesperrt. Der Absender wirkt vertraut und auch die Nachricht sieht auf den ersten Blick seriös aus. Doch dahinter könnte ein Phishing-Versuch stecken. Wir zeigen Ihnen, woran Sie Phishing erkennen, wie Sie verdächtige Nachrichten und Links prüfen können und was zu tun ist, wenn Sie bereits darauf reagiert haben.

Was ist Phishing?

Beim Phishing versuchen Betrüger, an vertrauliche Informationen wie Passwörter oder Zugangsdaten zum Online Banking zu gelangen. Dafür geben sie sich beispielsweise als Bank, Versanddienstleister oder bekanntes Unternehmen aus.

Oft enthalten die Nachrichten einen Link zu einer gefälschten Website. Diese sieht der echten Internetseite teilweise zum Verwechseln ähnlich. Wer dort seine Daten eingibt, übermittelt sie möglicherweise direkt an die Betrüger. Phishing findet aber nicht nur per EMail statt. Auch SMS, Telefonanrufe oder QR-Codes können für solche Betrugsversuche genutzt werden.

Woran erkennt man eine Phishing-Mail?

Eine angebliche Zahlungsbestätigung, ein Problem mit Ihrem Bankkonto oder ein Paket, das nicht zugestellt werden konnte: Phishing-Mails können ganz unterschiedlich aussehen. Manche fallen sofort durch ungewöhnliche Formulierungen oder verdächtige Links auf. Andere sind so gestaltet, dass sie sich kaum von einer echten Nachricht unterscheiden lassen.

Diese fünf Merkmale können Ihnen helfen, eine Phishing-Mail zu erkennen:

●    Ungewöhnliche Absenderadresse: Der angezeigte Name gehört zu einem bekannten Unternehmen, die tatsächliche EMail-Adresse passt jedoch nicht dazu. Achten Sie auf zusätzliche Zeichen, vertauschte Buchstaben oder unbekannte Domains.

●    Zeitdruck und Drohungen: Ihr Konto soll angeblich gesperrt werden oder eine wichtige Frist läuft ab. Damit sollen Sie dazu gebracht werden, möglichst schnell zu reagieren.

●    Aufforderung zur Dateneingabe: Sie werden gebeten, über einen Link persönliche Informationen, Passwörter oder Zugangsdaten zum Online-Banking einzugeben.

●    Verdächtige Links und Anhänge: Die Nachricht enthält eine unbekannte Internetadresse oder fordert Sie auf, eine unerwartete Datei herunterzuladen.

●    Auffällige Sprache: Ungewöhnliche Formulierungen, Rechtschreibfehler oder eine unpersönliche Anrede können ebenfalls Hinweise sein.

Nicht jedes dieser Merkmale bedeutet automatisch, dass eine Nachricht gefälscht ist. Umgekehrt sind eine persönliche Anrede und eine fehlerfreie Rechtschreibung kein Beweis für die Echtheit. Die Verbraucherzentrale zeigt anhand verschiedener Beispiele, wie unterschiedlich Phishing-Mails aussehen können.

Wie lassen sich Phishing-Links erkennen?

Eine Schaltfläche kann eindeutig wirken. Ob sie tatsächlich zur Website Ihrer Bank führt, lässt sich am Text allein allerdings nicht erkennen. Denn hinter einem Link kann eine ganz andere Internetadresse stecken.

So können Sie verdächtige Links überprüfen:

●    Zieladresse anzeigen lassen: Bewegen Sie am Computer den Mauszeiger über einen Link, ohne darauf zu klicken. Viele EMail-Programme zeigen Ihnen dann die hinterlegte Internetadresse an.

●    Schreibweise kontrollieren: Achten Sie auf vertauschte Buchstaben, zusätzliche Wörter oder unbekannte Domains. Schon kleine Unterschiede können auf eine gefälschte Website hindeuten.

●    Domain genau ansehen: Die Beispieladresse “meinebank.de.konto-pruefung.example” führt nicht zu “meinebank.de.” Die tatsächliche Domain lautet hier “konto-pruefung.example”.

●    HTTPS richtig einordnen: Auch gefälschte Websites können eine verschlüsselte Verbindung nutzen. Das Kürzel „https“ allein sagt deshalb nichts darüber aus, ob eine Internetseite vertrauenswürdig ist.

Sind Sie sich bei einem Link unsicher, rufen Sie die Website Ihrer Bank am besten selbst über die bekannte Internetadresse auf oder nutzen Sie die offizielle App. Das gehört zu den wichtigsten Grundregeln für sicheres Online Banking, gerade wenn es um persönliche Zugangsdaten geht.

Welche Arten von Phishing gibt es?

Nicht jeder Phishing-Versuch läuft gleich ab. Mal sollen Betroffene einen Link öffnen, mal persönliche Daten weitergeben oder eine Zahlung freigeben. Die Vorgehensweisen unterscheiden sich teilweise deutlich. Drei häufige Betrugsmaschen und wie Sie diese erkennen können, stellen wir Ihnen im Folgenden vor.

Smishing: Phishing per SMS

Sie erhalten eine SMS mit dem Hinweis, dass Ihr Paket nicht zugestellt werden konnte. Über einen Link sollen Sie die Lieferung bestätigen oder eine zusätzliche Gebühr bezahlen. Solche Nachrichten können ein Beispiel für Smishing sein.

Der Begriff setzt sich aus SMS und Phishing zusammen. Die enthaltenen Links führen häufig auf gefälschte Websites, auf denen persönliche Daten abgefragt werden. Teilweise sollen Betroffene auch eine schädliche App installieren. Neben Paketdiensten werden beispielsweise Banken als Absender vorgetäuscht.

Vishing: Phishing am Telefon

Beim Vishing, kurz für Voice Phishing, erfolgt der Betrugsversuch am Telefon. Ein angeblicher Bankmitarbeiter ruft an und berichtet von ungewöhnlichen Kontobewegungen. Um das Problem zu lösen, sollen Sie beispielsweise Ihre Zugangsdaten nennen, eine TAN weitergeben oder eine Überweisung freigeben.

Was viele nicht wissen: Auch die angezeigte Telefonnummer lässt sich fälschen. Selbst wenn auf Ihrem Display eine bekannte Rufnummer erscheint, muss der Anruf also nicht tatsächlich von diesem Unternehmen stammen.

Quishing: Phishing über QR-Codes

QR-Codes finden sich inzwischen an vielen Stellen, etwa auf Parkautomaten, in Briefen oder auf Informationsschildern. Beim sogenannten Quishing nutzen Betrüger manipulierte QR-Codes, um Menschen auf gefälschte Internetseiten zu leiten.

Da sich die hinterlegte Internetadresse nicht direkt am QR-Code erkennen lässt, lohnt sich vor dem Öffnen ein genauer Blick auf das angezeigte Linkziel. Vorsicht ist auch bei vermeintlich offiziellen Schreiben geboten, denn selbst gefälschte Bankbriefe können Teil eines Phishing-Versuchs sein.

Was tun bei einem Phishing-Verdacht?

Sie haben eine verdächtige E-Mail erhalten oder versehentlich auf einen Link geklickt? Zunächst kommt es darauf an, was genau passiert ist. Denn nicht jeder Kontakt mit einer Phishing-Nachricht bedeutet automatisch, dass Ihre Daten betroffen sind.

Sie haben eine verdächtige Nachricht erhalten

Haben Sie eine verdächtige Nachricht erhalten, aber keine Links oder Anhänge geöffnet und keine persönlichen Daten weitergegeben? Dann besteht allein durch den Erhalt der Nachricht normalerweise kein Grund, Ihren Kontozugang sperren zu lassen.

Antworten Sie nicht auf die Nachricht und verwenden Sie keine darin angegebenen Kontaktdaten. 

Sie haben auf einen Phishing-Link geklickt

Ein Klick auf einen verdächtigen Link bedeutet nicht automatisch, dass persönliche Daten gestohlen wurden. Dennoch ist Vorsicht geboten, denn auch gefälschte Websites können Sicherheitsrisiken bergen. Schließen Sie die Seite deshalb, ohne weitere Angaben zu machen oder Dateien herunterzuladen.

Prüfen Sie anschließend, ob Ihr Browser und Ihr Betriebssystem auf dem aktuellen Stand sind. Je nach Gerät kann auch eine Überprüfung auf Schadsoftware sinnvoll sein. Haben Sie eine unbekannte Datei heruntergeladen oder eine App installiert, können weitere Sicherheitsmaßnahmen erforderlich sein.

Sie haben persönliche Daten eingegeben

Haben Sie Ihre Zugangsdaten auf einer gefälschten Website eingegeben, sollten Sie möglichst schnell reagieren. Besonders wichtig ist das, wenn Ihr Online Banking betroffen sein könnte.

Diese Schritte sind jetzt sinnvoll:
1.    Bank informieren: Haben Sie Ihre Online Banking-Daten eingegeben, einen Sicherheitscode weitergegeben oder eine unbekannte Zahlung freigegeben? Informieren Sie möglichst schnell Ihre Bank. Dort erfahren Sie, welche Schritte jetzt wichtig sind und ob Ihr Kontozugang oder betroffene Karten gesperrt werden müssen.

2.    Passwörter ändern: Ändern Sie betroffene Passwörter oder PINs über die offizielle Website oder App. Nutzen Sie dafür möglichst ein Gerät, dem Sie vertrauen. Verwenden Sie dieselben Zugangsdaten auch für andere Konten, sollten Sie diese dort ebenfalls ändern.

3.    Kontobewegungen prüfen: Kontrollieren Sie Ihre Umsätze und achten Sie auf unbekannte Abbuchungen oder Überweisungen. Melden Sie Auffälligkeiten direkt Ihrer Bank.

4.    Beweise sichern: Bewahren Sie die verdächtige Nachricht und weitere Nachweise möglichst auf. So lässt sich später besser nachvollziehen, was passiert ist. Bei einem Betrugsverdacht oder wenn bereits ein Schaden entstanden ist, können Sie Anzeige bei der Polizei erstatten.

Für die Sperrung vieler Bankkarten und bestimmter Online Banking-Zugänge steht außerdem der Sperr-Notruf unter 116 116 zur Verfügung. Ob Ihr Online Banking-Zugang darüber gesperrt werden kann, hängt von der jeweiligen Bank ab. 

Wie kann man sich vor Phishing schützen? 

Nicht jede betrügerische Nachricht lässt sich sofort erkennen. Mit einigen einfachen Sicherheitsmaßnahmen können Sie das Risiko jedoch verringern und Ihre Online Konten besser schützen.

Ein guter Anfang sind sichere Passwörter. Verwenden Sie für jedes Konto ein eigenes Passwort, damit im Falle eines Datenmissbrauchs nicht gleich mehrere Zugänge betroffen sind. Ein Passwortmanager kann Ihnen helfen, den Überblick zu behalten. Zusätzlichen Schutz bietet die Zwei-Faktor-Authentifizierung. Dabei wird die Anmeldung durch einen zweiten Faktor abgesichert, etwa über eine Authentifizierungs-App. So reicht ein gestohlenes Passwort allein häufig nicht aus, um auf Ihr Konto zuzugreifen. Wichtig ist jedoch, dass Sie auch Bestätigungscodes niemals an unbefugte Dritte weitergeben.

Einige Online Dienste bieten inzwischen auch sogenannte Passkeys als Alternative zum klassischen Passwort an. Damit können Sie sich anmelden, ohne ein Passwort eingeben zu müssen. Das macht die Methode weniger anfällig für herkömmliche Phishing-Angriffe. Voraussetzung ist, dass der jeweilige Dienst Passkeys unterstützt. Ebenso wichtig ist es, Ihr Smartphone, Ihren Computer und Ihre Apps regelmäßig zu aktualisieren. Denn Sicherheitsupdates schließen bekannte Schwachstellen, die andernfalls ausgenutzt werden könnten.

Gerade beim Online Banking sollten Sie außerdem sorgfältig mit Ihren Zugangsdaten umgehen. Geben Sie Passwörter, TANs oder Sicherheitscodes nicht auf Aufforderung in unerwarteten Nachrichten oder Telefonaten weiter. Prüfen Sie vor einer Zahlungsfreigabe auch immer, ob der angezeigte Betrag und der Empfänger mit Ihrer geplanten Überweisung übereinstimmen.

Spamfilter können zusätzlich helfen, verdächtige Nachrichten frühzeitig auszusortieren. Einen vollständigen Schutz bieten sie allerdings nicht. Wer sich über aktuelle Betrugsmaschen informieren möchte, findet im Phishing-Radar der Verbraucherzentrale regelmäßig Beispiele für gefälschte Nachrichten und neue Betrugsversuche.

Autorin: Annika Rössler, Oktober 2026

zurück zum Finanzguide