Phishing schützen

Was ist Phishing? So erkennst du Betrugsmails und schützt dich

Phishing ist eine Betrugsmasche, bei der Kriminelle gefälschte E-Mails, SMS, Anrufe oder Websites nutzen, um an Passwörter, Bank- oder Kreditkartendaten zu gelangen. Sie geben sich dabei als vertrauenswürdige Absender aus, etwa als Bank, Paketdienst oder Streaming-Anbieter. Der Begriff leitet sich vom englischen Wort fishing ab: Die Täter angeln gezielt nach deinen Daten.

Wie relevant das Thema ist, zeigt der Cybersicherheitsmonitor 2026 des BSI: Allein im vergangenen Jahr war rund jede zehnte Person in Deutschland von Cyberkriminalität betroffen, Phishing zählt dabei zu den häufigsten Maschen. Und die Angriffe werden immer besser: Dank künstlicher Intelligenz sind viele Betrugsnachrichten heute fehlerfrei formuliert und kaum noch von echten Nachrichten zu unterscheiden.

Wie funktioniert Phishing?

Beim Phishing verschicken Kriminelle Nachrichten, die scheinbar von einem vertrauenswürdigen Absender stammen. Darin fordern sie dich unter einem Vorwand auf, einen Link anzuklicken, einen Anhang zu öffnen oder Daten einzugeben. Der Link führt auf eine täuschend echt nachgebaute Website, die deine Eingaben direkt an die Betrüger weiterleitet.

Typische Vorwände sind angebliche Kontosperrungen, offene Rechnungen, Paketankündigungen oder Sicherheitswarnungen. Gibst du auf der gefälschten Seite deine Zugangsdaten ein, landen sie direkt bei den Tätern. Oft wirst du danach sogar auf die echte Website weitergeleitet, sodass der Betrug zunächst gar nicht auffällt.

Phishing greift also nicht die Technik an, sondern den Menschen. Dieses Vorgehen nennt man Social Engineering: Die Täter erzeugen gezielt Zeitdruck, Angst oder Neugier, damit du handelst, bevor du nachdenkst. Manche Phishing-Mails enthalten statt eines Links auch einen Anhang, der beim Öffnen Schadsoftware installiert. Diese kann anschließend Passwörter aus dem Browser auslesen oder deine Eingaben mitschneiden.

Welche Arten von Phishing gibt es?

Phishing beschränkt sich längst nicht mehr auf E-Mails. Die Täter nutzen heute alle Kanäle, über die sie dich erreichen können: SMS, Messenger, Telefonanrufe und sogar QR-Codes. Das sind die wichtigsten Varianten:

E-Mail-Phishing

Der Klassiker: massenhaft versendete Mails im Namen von Banken, Paketdiensten, Bezahldiensten oder Streaming-Anbietern. Ein Link führt auf eine gefälschte Login-Seite, die deine Zugangsdaten abgreift.

Spear-Phishing und CEO-Fraud

Gezielte Angriffe auf einzelne Personen oder Firmen. Die Täter recherchieren vorab Namen und Abläufe und geben sich zum Beispiel als Vorgesetzte aus, um Überweisungen oder Daten zu erschleichen.

Smishing (SMS und Messenger)

Phishing per SMS oder Messenger: angebliche Paketbenachrichtigungen, Bank-Warnungen oder der bekannte „Hallo Mama“-Trick, bei dem sich Betrüger als Familienmitglied mit neuer Nummer ausgeben.

Vishing (Telefonanrufe)

Betrug am Telefon: angebliche Bankmitarbeiter, Support-Techniker oder Behörden. Mit KI lassen sich inzwischen sogar Stimmen klonen, wenige Sekunden Sprachmaterial reichen dafür aus.

Quishing (QR-Codes)

Eine der am schnellsten wachsenden Varianten: QR-Codes in Mails, Briefen oder auf überklebten Parkautomaten führen auf gefälschte Seiten. Viele Spam-Filter können den Code im Bild nicht prüfen.

Gefälschte Websites und Anzeigen

Täuschend echte Kopien von Login-Seiten, die über gekaufte Werbeanzeigen sogar ganz oben in den Suchergebnissen landen können. Ein prüfender Blick auf die Adresszeile ist deshalb Pflicht.

Allen Varianten gemeinsam ist das Ziel: Sie wollen dich auf eine gefälschte Seite locken oder direkt zur Herausgabe von Daten und Geld bewegen. Die Kanäle ändern sich, das Prinzip bleibt gleich.

Woher haben die Betrüger meine E-Mail-Adresse?

In den meisten Fällen stammen die Adressen aus Datenlecks: Wird ein Online-Dienst gehackt, landen die erbeuteten Kundendaten oft im Darknet und werden dort in großen Paketen verkauft. Dazu kommen automatische Programme, die das Internet nach öffentlich sichtbaren E-Mail-Adressen durchsuchen, etwa auf Kontaktseiten, in Foren oder sozialen Netzwerken.

Auch unseriöse Gewinnspiele und Adresshändler spielen eine Rolle. Deine E-Mail-Adresse in einer Phishing-Welle zu finden, sagt also nichts darüber aus, dass dein eigenes Konto gehackt wurde. Es bedeutet nur, dass deine Adresse irgendwo im Umlauf ist.

Tipp: Mit dem kostenlosen Identity Leak Checker des Hasso-Plattner-Instituts prüfst du, ob deine E-Mail-Adresse in bekannten Datenlecks auftaucht. Falls ja, ändere die Passwörter der betroffenen Konten.

Phishing erkennen: die wichtigsten Warnsignale

Eine Phishing-Nachricht zu erkennen ist heute schwieriger als früher, aber mit einem geschulten Blick weiterhin gut möglich. Achte auf diese Warnsignale:

  • Die Absenderadresse passt nicht: Der Anzeigename wirkt seriös, doch dahinter steckt eine fremde oder kryptische Domain. Lass dir die vollständige Absenderadresse anzeigen und vergleiche sie genau.
  • Das Linkziel weicht ab: Fahre mit der Maus über den Link, ohne zu klicken (am Smartphone: gedrückt halten). Zeigt die eingeblendete Adresse eine andere Domain als erwartet, ist das ein klares Alarmzeichen.
  • Zeitdruck und Drohungen: „Ihr Konto wird in 24 Stunden gesperrt“ oder „letzte Mahnung“. Seriöse Anbieter setzen dich nicht unter Druck. Erzeugte Panik ist selbst schon ein Warnsignal.
  • Abfrage sensibler Daten: Banken, Behörden und seriöse Dienste fragen niemals per E-Mail oder SMS nach Passwörtern, PINs oder TANs. Solche Anfragen sind praktisch immer Betrug.
  • Unerwartete Anhänge oder QR-Codes: Eine Rechnung, die du nicht zuordnen kannst, oder ein QR-Code, den du scannen sollst. Öffne und scanne nichts, was du nicht erwartet hast.
  • Unstimmige Details: Eine unpersönliche Anrede, falsche Kunden- oder Vertragsnummern oder ein Dienst, bei dem du gar kein Konto hast. Aber Vorsicht: Gezieltes Spear-Phishing kennt deinen Namen.
  • Ungewöhnliche Zahlungswege: Wer dich zur Zahlung per Gutscheinkarte, Kryptowährung oder Sofortüberweisung an Unbekannte drängt, will dich betrügen. Seriöse Unternehmen nutzen solche Wege nicht.

Wichtig: Verlass dich nicht mehr auf Rechtschreibfehler. Früher galten holprige Formulierungen als sicherstes Erkennungszeichen für Phishing. Heute erstellen Kriminelle ihre Nachrichten mit KI: fehlerfrei, im perfekten Ton und persönlich zugeschnitten. Das BSI warnt im Cybersicherheitsmonitor 2026 ausdrücklich vor KI-gestütztem Phishing. Entscheidend ist deshalb der Blick auf Absender und Linkziel, nicht auf die Sprache.

So schützt du dich vor Phishing

Der beste Schutz vor Phishing ist eine Kombination aus gesundem Misstrauen und ein paar technischen Maßnahmen, die im Ernstfall den Schaden begrenzen. Diese Punkte empfehle ich jedem:

  • Zwei-Faktor-Authentifizierung aktivieren: Sichere alle wichtigen Konten (E-Mail, Banking, Shops, Social Media) mit einem zweiten Faktor ab. Selbst wenn dein Passwort gestohlen wird, kommen die Täter so meist nicht weiter. App-basierte Verfahren sind dabei sicherer als Codes per SMS.
  • Auf Passkeys umsteigen, wo möglich: Passkeys ersetzen das Passwort durch ein kryptografisches Verfahren, das nur auf der echten Website funktioniert. Auf einer gefälschten Seite laufen sie schlicht ins Leere. Das BSI empfiehlt Passkeys deshalb ausdrücklich als Schutz vor Phishing, und große Anbieter wie Google, Apple, Amazon und PayPal unterstützen sie bereits.
  • Passwort-Manager nutzen: Ein Passwort-Manager erstellt für jedes Konto ein eigenes, starkes Passwort und füllt Login-Felder nur auf der echten Domain aus. Auf einer Fälschung bleibt das Feld leer, und genau das entlarvt die Seite.
  • Niemals über Links aus Nachrichten einloggen: Tippe die Adresse deiner Bank oder eines Shops selbst in den Browser ein oder nutze ein Lesezeichen. So landest du garantiert auf der echten Seite, egal wie überzeugend die Mail aussieht.
  • Software aktuell halten: Browser, Betriebssystem und Mail-Programm regelmäßig updaten, denn viele Angriffe nutzen bekannte Sicherheitslücken aus. Das gilt übrigens genauso für deine Website: Wie du WordPress absicherst, zeige ich dir im Beitrag WordPress Sicherheit erhöhen.
  • Bei Anrufen und QR-Codes misstrauisch bleiben: Lege bei angeblichen Bank- oder Support-Anrufen auf und ruf die offizielle Nummer selbst zurück. Scanne keine QR-Codes aus unerwarteten Mails oder von überklebten Aufstellern.

Ein Hinweis aus meinem Agentur-Alltag: Auch Website-Betreiber sind ein beliebtes Ziel. Ich sehe regelmäßig täuschend echte Mails im Namen von Hosting-Anbietern, in denen angeblich die Domain abläuft, eine Rechnung offen ist oder das Postfach voll sein soll. Wer dort seine Zugangsdaten eingibt, verliert schlimmstenfalls die Kontrolle über die eigene Website. Behandle Zugänge zu Hosting, Domain und WordPress deshalb genauso sorgsam wie dein Online-Banking.

Was tun, wenn du auf Phishing hereingefallen bist?

Hast du Daten auf einer gefälschten Seite eingegeben oder einen verdächtigen Anhang geöffnet, zählt jede Minute. Geh in dieser Reihenfolge vor:

1

Passwörter sofort ändern

Ändere umgehend das Passwort des betroffenen Kontos, und zwar über die offizielle Website, nicht über Links aus der Mail. Nutzt du dasselbe Passwort auch woanders, ändere es dort ebenfalls. Aktiviere bei der Gelegenheit die Zwei-Faktor-Authentifizierung.

2

Bank informieren und Karten sperren

Hast du Bank- oder Kreditkartendaten preisgegeben, kontaktiere sofort deine Bank und lass Karten und Zugänge sperren. Der zentrale Sperr-Notruf ist unter der Rufnummer 116 116 rund um die Uhr erreichbar. Prüfe anschließend deine Kontobewegungen.

3

Gerät prüfen und Phishing melden

Hast du einen Anhang geöffnet, führe einen vollständigen Virenscan durch. Melde die Phishing-Nachricht außerdem beim Phishing-Radar der Verbraucherzentrale und markiere sie bei deinem Mail-Anbieter als Phishing. So schützt du auch andere.

4

Anzeige erstatten

Erstatte Anzeige bei der Polizei, das geht bequem über die Onlinewache deines Bundeslandes. Die Anzeige ist auch wichtig, wenn du Geld von deiner Bank oder Versicherung zurückfordern möchtest.

Fazit

Phishing ist und bleibt eine der häufigsten Betrugsmaschen im Netz, und durch KI werden die Angriffe immer überzeugender. Der beste Schutz ist deshalb eine einfache Grundregel: Klicke nicht auf Links aus unerwarteten Nachrichten, sondern rufe wichtige Seiten immer selbst auf. Kombiniert mit Zwei-Faktor-Authentifizierung, Passkeys und einem Passwort-Manager machst du es den Tätern richtig schwer.

Und falls doch einmal etwas passiert: schnell handeln, Passwörter ändern, Bank informieren und den Vorfall melden. Je früher du reagierst, desto geringer ist der Schaden.

Du betreibst eine WordPress-Website und möchtest sie dauerhaft sicher halten? Mit meinem Wartungspaket WP-Fit kümmere ich mich um Updates, Backups und Sicherheits-Checks. Und wenn deine Website bereits gehackt wurde oder sich verdächtig verhält, hilft dir meine WordPress-Soforthilfe schnell und unkompliziert weiter.

FAQ: Häufige Fragen zu Phishing

Phishing ist der Versuch von Kriminellen, dir mit gefälschten Nachrichten oder Websites Passwörter, Bank- oder Kreditkartendaten zu entlocken. Sie geben sich dafür als vertrauenswürdiger Absender aus, zum Beispiel als deine Bank oder ein Paketdienst, und locken dich auf täuschend echte Fälschungen der echten Website.

Die wichtigsten Warnsignale sind eine abweichende Absenderadresse, Links, deren Ziel nicht zur angeblichen Website passt, künstlicher Zeitdruck sowie die Abfrage sensibler Daten. Rechtschreibfehler sind dagegen kein verlässliches Kriterium mehr, da viele Phishing-Mails heute mit KI fehlerfrei erstellt werden.

Der reine Klick ist oft noch nicht das Problem, gib aber auf keinen Fall Daten ein. Hast du bereits Daten eingegeben, ändere sofort die betroffenen Passwörter, informiere bei Bankdaten deine Bank (Sperr-Notruf 116 116) und führe einen Virenscan durch. Melde den Vorfall anschließend und erstatte bei einem Schaden Anzeige.

Quishing ist Phishing per QR-Code. Der Code steckt in E-Mails, Briefen oder klebt über echten Codes, etwa an Parkautomaten oder Ladesäulen. Beim Scannen landest du auf einer gefälschten Website. Tückisch daran: Viele Spam-Filter können die im Bild versteckte Adresse nicht prüfen. Scanne deshalb nur QR-Codes aus vertrauenswürdigen Quellen.

Sie erhöht die Sicherheit deutlich und wehrt die meisten Angriffe ab. Bei ausgefeilten Echtzeit-Angriffen können Täter allerdings auch Codes per SMS oder aus Authenticator-Apps abfangen. Den stärksten Schutz bieten laut BSI Passkeys, da sie auf gefälschten Websites technisch nicht funktionieren.

Melde verdächtige Nachrichten beim Phishing-Radar der Verbraucherzentrale und markiere sie in deinem Postfach als Phishing beziehungsweise Spam. Bei einem finanziellen Schaden solltest du zusätzlich Anzeige bei der Polizei erstatten, das geht online über die Onlinewache deines Bundeslandes.

Ja. Je nach Vorgehen erfüllen Phishing-Angriffe mehrere Straftatbestände, unter anderem Betrug, Computerbetrug und das Ausspähen von Daten. Als Opfer solltest du deshalb immer Anzeige erstatten, auch wenn die Täter oft im Ausland sitzen. Die Anzeige ist zudem Voraussetzung für viele Erstattungen durch Banken und Versicherungen.

Ähnliche Beiträge