Phishing per E-Mail und SMS: erkennen, reagieren, melden

Eine Nachricht, die Sie zum sofortigen Handeln drängt

Phishing ist der Versuch, Sie über eine gefälschte Nachricht zur Preisgabe von Daten oder zu einer Zahlung zu bewegen. Per SMS spricht man von Smishing. Die Verpackung wechselt ständig, der Mechanismus bleibt gleich: Eine vertraute Marke wird imitiert, ein Problem erfunden und Zeitdruck aufgebaut, damit Sie handeln, bevor Sie nachdenken.

Drei Kulissen begegnen einem besonders oft. Das gefälschte Paket, das angeblich wegen einer offenen Gebühr von wenigen Cent feststeckt. Das falsche Finanzamt, das eine Rückerstattung oder eine drohende Strafe ankündigt. Und die gefälschte Bank, die eine verdächtige Buchung meldet und zur "Bestätigung" auffordert.

Die Anzeichen, die alle Varianten teilen

Egal wie professionell eine Nachricht aussieht, einige Muster verraten den Betrug:

• Künstliche Dringlichkeit: Ihr Konto werde gesperrt, das Paket vernichtet, die Frist laufe heute ab.
• Ein Link, der zu einer Adresse führt, die der echten nur ähnelt, oft hinter einem Kurzlink versteckt.
• Eine Kleinzahlung, die plausibel wirken soll, in Wahrheit aber nur Ihre Kartendaten abgreift.
• Eine unpersönliche Anrede oder ein Absender, der nicht zur angeblichen Organisation passt.

Bevor Sie irgendwo klicken, lohnt ein kurzer Test. Mit unserem URL-Prüfer prüfen Sie eine verdächtige Adresse, und die Phishing-Analyse hilft, eine zweifelhafte Nachricht einzuordnen.

Ein verbreiteter Trick ist die Tippfehler-Domain. Eine Adresse, die der echten zum Verwechseln ähnelt, etwa mit einem vertauschten Buchstaben, einem zusätzlichen Wort vor dem eigentlichen Namen oder einer fremden Endung. Auf dem Smartphone fällt das besonders schwer auf, weil der Bildschirm klein ist und Links oft verkürzt erscheinen. Im Zweifel tippen Sie die Adresse selbst ein oder öffnen die offizielle App, statt auf den Link in der Nachricht zu vertrauen.

Was tun, wenn Sie geklickt haben

Ein Klick allein ist selten das Ende. Entscheidend ist, was danach passiert.

Haben Sie nur die Seite geöffnet, aber nichts eingegeben, schließen Sie sie einfach. Haben Sie Zugangsdaten eingetragen, ändern Sie sofort das betroffene Passwort, am besten von einem anderen, vertrauenswürdigen Gerät aus, und aktivieren Sie die Zwei-Faktor-Authentifizierung. Haben Sie Bank- oder Kartendaten preisgegeben, kontaktieren Sie unverzüglich Ihre Bank über einen offiziellen Kanal und lassen Sie die Karte gegebenenfalls sperren.

Haben Sie einen Anhang geöffnet oder eine Datei heruntergeladen, trennen Sie das Gerät sicherheitshalber vom Netzwerk und lassen Sie es mit einer aktuellen Schutzsoftware prüfen. Wichtig ist, denselben Zugang nicht auf mehreren Diensten mit demselben Passwort weiterzuverwenden. Wer ein Passwort mehrfach nutzt, öffnet mit einem einzigen erfolgreichen Phishing-Versuch gleich mehrere Türen auf einmal.

Richtig melden

Verdächtige E-Mails und SMS sollten Sie nicht nur löschen, sondern melden. Leiten Sie Phishing-Mails an die zuständigen Stellen weiter und nutzen Sie die Meldewege Ihres E-Mail-Anbieters. Eine gute Anlaufstelle mit aktuellen Warnungen und Anleitungen ist das Bundesamt für Sicherheit in der Informationstechnik. Auch die Verbraucherzentrale sammelt und veröffentlicht laufend bekannte Betrugswellen.

Die ruhige Grundhaltung

Phishing lebt von der Reaktion im ersten Moment. Wer kurz innehält, hat schon gewonnen. Klicken Sie nie aus einer Nachricht heraus auf einen Link, sondern öffnen Sie die App oder Website der Organisation selbst. Gestohlene Zugangsdaten sind oft der Ausgangspunkt für weitergehenden Bankbetrug. Wer die ersten Nachrichten erkennt, verhindert meist alles Weitere.