Phishing erkennen: So entlarvst du gefälschte E-Mails, SMS und Webseiten

„Ihr Konto wurde vorübergehend gesperrt“, „Ihr Paket konnte nicht zugestellt werden“, „Ihre Zahlung ist fehlgeschlagen“: Solche Nachrichten landen täglich millionenfach in Postfächern und auf Smartphones. Viele davon sind gefälscht. Hinter ihnen stecken Kriminelle, die an Passwörter, Bankdaten oder Geld kommen wollen. Diese Masche heißt Phishing, ein Kunstwort aus „Passwort“ und „fishing“, also das Angeln nach Zugangsdaten. Die gute Nachricht: Mit etwas Übung erkennst du die meisten Fälschungen in wenigen Sekunden. Diese Anleitung zeigt dir, worauf du achten musst.

Wie Phishing funktioniert

Phishing folgt fast immer demselben Muster:

1. Du erhältst eine Nachricht, die aussieht, als käme sie von einem bekannten Unternehmen: deiner Bank, einem Paketdienst, einem Online-Shop, einem Streamingdienst, der Krankenkasse oder sogar einer Behörde.
2. Die Nachricht erzeugt Druck: Ein Konto werde gesperrt, eine Zahlung sei offen, eine Frist laufe ab.
3. Ein Link oder ein Anhang soll das Problem lösen.
4. Der Link führt auf eine gefälschte Website, die genauso aussieht wie das Original. Dort sollst du dich anmelden, Kartendaten eingeben oder eine App installieren.
5. Die Kriminellen nutzen die Daten sofort, um Geld abzubuchen, Konten zu übernehmen oder in deinem Namen zu bestellen.

Phishing kommt per E-Mail, per SMS (Smishing), über Messenger, als Anruf (Vishing) und sogar über QR-Codes (Quishing), etwa auf gefälschten Briefen oder Aufklebern an Parkautomaten.

Die zehn wichtigsten Warnzeichen

1. Druck und Drohungen

„Handeln Sie innerhalb von 24 Stunden“, „Letzte Mahnung“, „Ihr Konto wird gelöscht“. Seriöse Unternehmen setzen dich selten mit kurzen Fristen unter Druck, und schon gar nicht per E-Mail mit Link. Druck ist das stärkste Warnsignal, weil er dich vom Nachdenken abhalten soll.

2. Eine unpersönliche Anrede

„Sehr geehrter Kunde“ oder „Hallo Nutzer“ statt deines Namens. Das ist kein sicheres Zeichen, weil manche Betrüger deinen Namen aus Datenlecks kennen, aber ein häufiges.

3. Ein verdächtiger Absender

Der angezeigte Name kann „Sparkasse“ oder „DHL“ lauten, die tatsächliche Adresse aber etwas ganz anderes, etwa service@kundenservice-info24.xyz. Tippe auf dem Smartphone auf den Absendernamen oder fahre am Computer mit der Maus darüber, um die echte Adresse zu sehen. Achte auf kleine Abweichungen wie paypa1.com statt paypal.com oder amazon-de.support.com.

Achtung: Absender lassen sich auch fälschen. Eine echt aussehende Adresse ist deshalb kein Beweis.

4. Links, die woandershin führen

Bevor du auf einen Link klickst, prüfe, wohin er wirklich führt:

• Am Computer: Fahre mit der Maus über den Link, ohne zu klicken. Unten im Fenster erscheint die Zieladresse.
• Am Smartphone: Halte den Finger auf den Link gedrückt, bis eine Vorschau mit der Adresse erscheint. Tippe dann nicht auf „Öffnen“.

Entscheidend ist der Teil der Adresse direkt vor dem ersten einzelnen Schrägstrich. Bei https://www.sparkasse.de/konto ist das sparkasse.de. Bei https://sparkasse.de.konto-sicherheit.com/login ist es konto-sicherheit.com, und das hat mit der Sparkasse nichts zu tun.

5. Aufforderung, Daten einzugeben

Deine Bank wird dich niemals per E-Mail oder SMS auffordern, deine PIN, TAN, Zugangsdaten oder Kartennummer einzugeben oder zu bestätigen. Das gilt auch für PayPal, Amazon und andere große Unternehmen.

6. Unerwartete Anhänge

Rechnungen, Mahnungen oder „Lieferscheine“ als ZIP-Datei, Word-Dokument mit Makros oder Datei mit seltsamer Endung wie .exe, .js oder .iso sind gefährlich. Öffne keine Anhänge, die du nicht erwartet hast, auch nicht, wenn sie scheinbar von Bekannten kommen.

7. Rechtschreibung und Gestaltung

Früher erkannte man Phishing oft an holprigem Deutsch. Mit Übersetzungsprogrammen und KI sind die Texte heute oft fehlerfrei. Fehlende Umlaute, seltsame Satzstellungen und gemischte Sprachen sind aber weiterhin Warnzeichen.

8. Zu gut, um wahr zu sein

„Sie haben ein iPhone gewonnen“, „Ihnen steht eine Steuerrückerstattung zu“, „Exklusives Angebot nur heute“: Gewinne, für die du nichts getan hast, sind fast immer Betrug.

9. Ungewöhnliche Wege

Eine Paketbenachrichtigung per SMS, obwohl du nichts bestellt hast, eine Nachricht der Krankenkasse über WhatsApp oder ein „Microsoft-Mitarbeiter“ am Telefon: Wenn der Kanal nicht zum Absender passt, sei misstrauisch.

10. Gefälschte Websites

Auch auf der Website selbst gibt es Hinweise: eine seltsame Adresse in der Adressleiste, fehlende Funktionen außer dem Anmeldeformular oder ein Passwortmanager, der deine Zugangsdaten nicht automatisch ausfüllt. Das Schloss-Symbol in der Adressleiste beweist übrigens nur, dass die Verbindung verschlüsselt ist, nicht, dass die Seite echt ist. Auch Betrüger haben verschlüsselte Seiten.

Typische Phishing-Maschen in Deutschland

Die goldene Regel: Selbst nachsehen

Statt auf einen Link in einer Nachricht zu klicken, geh selbst zum Dienst:

• Öffne die offizielle App deiner Bank, des Paketdienstes oder Shops.
• Oder tippe die bekannte Adresse selbst in den Browser ein, oder nutze ein gespeichertes Lesezeichen.
• Wenn wirklich etwas nicht stimmt, siehst du es dort.

Diese eine Gewohnheit schützt dich vor fast allen Phishing-Versuchen, egal wie gut sie gemacht sind.

Wenn du unsicher bist

• Ruf beim Unternehmen an, aber nicht unter der Nummer aus der verdächtigen Nachricht, sondern unter der Nummer von der Website, der Bankkarte oder deinen Unterlagen.
• Frag jemanden, dem du vertraust.
• Die Verbraucherzentrale veröffentlicht im Phishing-Radar aktuelle Betrugsmails. Dort kannst du verdächtige Mails auch melden.
• Suche nach einem markanten Satz aus der Nachricht im Internet. Oft haben andere schon über dieselbe Masche berichtet.

Hilfe! Ich habe schon geklickt

Keine Panik, aber schnelles Handeln ist wichtig.

Du hast nur auf einen Link geklickt, aber nichts eingegeben

Schließe die Seite. In den meisten Fällen ist nichts passiert. Halte Browser und System aktuell, und führe bei einem Computer einen Virenscan durch, wenn sich etwas heruntergeladen hat.

Du hast Zugangsdaten eingegeben

1. Ändere sofort das Passwort des betroffenen Kontos, und zwar über die echte Website oder App.
2. Ändere es auch überall dort, wo du dasselbe Passwort verwendest.
3. Aktiviere die Zwei-Faktor-Authentisierung, falls noch nicht geschehen.
4. Prüfe in den Kontoeinstellungen, ob fremde Geräte angemeldet sind oder Einstellungen verändert wurden, etwa eine Weiterleitung deiner E-Mails.

Du hast Bankdaten, TAN oder Kartendaten eingegeben

1. Ruf sofort deine Bank an oder den Sperr-Notruf 116 116, und lass Karte und Online-Banking sperren.
2. Prüfe deine Kontoauszüge und melde verdächtige Abbuchungen. Lastschriften kannst du in der Regel acht Wochen lang zurückgeben.
3. Erstatte Anzeige bei der Polizei, viele Bundesländer bieten eine Onlinewache.

Du hast eine App oder Datei installiert

Wenn du auf Anweisung eine App installiert hast, etwa eine Fernwartungs-App oder eine angebliche Sicherheits-App, trenne das Gerät vom Internet, deinstalliere die App und informiere deine Bank. Bei Fernwartungsprogrammen sollte ein Fachmann das Gerät prüfen. Ändere die wichtigsten Passwörter von einem anderen, sicheren Gerät aus.

So schützt du dich dauerhaft

• Passwortmanager nutzen: Er füllt Zugangsdaten nur auf der echten Website aus und warnt so indirekt vor Fälschungen.
• Zwei-Faktor-Authentisierung für alle wichtigen Konten.
• Passkeys, wo angeboten, denn sie funktionieren auf gefälschten Seiten nicht.
• Spam-Filter im E-Mail-Programm aktiv lassen und verdächtige Mails als Spam markieren.
• Updates für Browser und System installieren.
• SMS von Unbekannten mit Links grundsätzlich ignorieren.
• Familie informieren: Ältere Menschen und Jugendliche sind besonders häufig Ziel. Erzähl von neuen Maschen, wenn du von ihnen hörst.

Ein kurzer Selbsttest

Stell dir vor, du bekommst diese SMS: „DHL: Ihr Paket wartet auf Zustellung. Bitte bestätigen Sie Ihre Adresse und zahlen Sie 1,99 € Zustellgebühr: dhl-zustellung-de.info/xyz“. Was fällt dir auf?

• Du erwartest vielleicht gar kein Paket.
• Echte Paketdienste verlangen keine Gebühr per SMS-Link.
• Die Adresse lautet dhl-zustellung-de.info, nicht dhl.de.
• Der kleine Betrag soll dich zur Eingabe deiner Kartendaten bringen, die dann für viel größere Abbuchungen genutzt werden.

Richtig ist: Nachricht löschen oder als Spam melden und, wenn du wirklich ein Paket erwartest, die Sendungsnummer aus der Bestellbestätigung in der offiziellen App oder auf der echten Website des Paketdienstes eingeben.

Ein zweites Beispiel: Eine E-Mail „Ihrer Sparkasse“ fordert dich auf, das pushTAN-Verfahren bis Freitag zu „aktualisieren“, sonst werde der Zugang gesperrt. Auch hier gilt: Die Sparkasse schreibt dir solche Aufforderungen nicht mit Link. Öffne die App der Sparkasse oder ruf deine Filiale an.

Häufige Fragen

Woher haben die Betrüger meine Adresse? Meist aus Datenlecks, gekauften Adresslisten oder einfach durch Ausprobieren. Dass du eine Phishing-Mail bekommst, heißt nicht, dass dein Rechner infiziert ist.

Soll ich auf Phishing-Mails antworten oder „abmelden“ klicken? Nein. Jede Reaktion bestätigt, dass deine Adresse aktiv ist. Lösche die Nachricht oder markiere sie als Spam.

Wie erkenne ich eine echte Nachricht meiner Bank? Viele Banken stellen wichtige Mitteilungen ins Postfach im Online-Banking. Wenn du unsicher bist, schau dort nach, statt in der E-Mail zu klicken.

Fazit

Phishing lebt von Zeitdruck und Vertrauen. Wer innehält, den Absender und die echte Linkadresse prüft und im Zweifel selbst die App oder Website des Unternehmens öffnet, entlarvt die allermeisten Fälschungen. Gib niemals Passwörter, PINs, TANs oder Codes auf Seiten ein, die du über einen Link aus einer Nachricht erreicht hast. Und wenn es doch passiert ist: Passwort ändern, Bank informieren und Anzeige erstatten, je schneller, desto besser.