Phishing
Phishing erkennen und vermeiden: Die wichtigsten Warnsignale und Schutzmaßnahmen
So überprüfen Sie Absender, Links und verdächtige Nachrichten
Eine täuschend echte E-Mail, ein vertrautes Firmenlogo und eine dringende Handlungsaufforderung – mehr brauchen Cyberkriminelle häufig nicht, um Zugangsdaten oder sensible Informationen zu erbeuten. Moderne Phishing-Angriffe sind längst so professionell gestaltet, dass klassische Warnsignale wie Rechtschreibfehler oder ungewöhnliche Formulierungen kaum noch zuverlässig funktionieren. Wer sich schützen will, muss deshalb verstehen, wie Angreifer Vertrauen erzeugen, Internetadressen manipulieren und ihre Opfer psychologisch unter Druck setzen.
Phishing ist längst mehr als eine schlecht gefälschte E-Mail
Phishing gehört zu den verbreitetsten Angriffsmethoden im digitalen Alltag. Cyberkriminelle versuchen dabei, Menschen durch manipulierte Nachrichten dazu zu bringen, Passwörter, Bankinformationen, Kreditkartendaten oder andere vertrauliche Informationen preiszugeben. Häufig sollen die Empfänger einen Link öffnen, eine Datei herunterladen oder eine vermeintlich notwendige Sicherheitsprüfung durchführen.
Die Nachrichten stammen angeblich von Banken, Paketdiensten, Behörden, Streamingplattformen oder bekannten Unternehmen. Dabei setzen die Angreifer gezielt auf Situationen, die vielen Menschen vertraut sind: eine fehlgeschlagene Zahlung, eine ungewöhnliche Kontoanmeldung oder ein Paket, das angeblich nicht zugestellt werden konnte.
Die eigentliche Gefahr liegt in der Kombination aus technischer Täuschung und psychologischer Manipulation
Während früher fehlerhafte Sprache und auffällige Absenderadressen häufig auf Betrugsversuche hindeuteten, können heutige Phishing-Nachrichten nahezu perfekt formuliert sein. Logos, Corporate Designs und komplette Anmeldeseiten lassen sich überzeugend nachbilden. Auch KI-gestützte Werkzeuge erleichtern es Angreifern, glaubwürdige Nachrichten zu erstellen. Eine professionell gestaltete E-Mail ist deshalb noch lange keine vertrauenswürdige E-Mail. Zeitdruck ist eine der wirksamsten Waffen der Angreifer
Phishing funktioniert vor allem dann, wenn Empfänger reagieren, bevor sie nachdenken.
- „Ihr Konto wird innerhalb von 24 Stunden gesperrt.“
- „Bitte bestätigen Sie umgehend Ihre Identität.“
- „Ihre Zahlung konnte nicht verarbeitet werden.“
Solche Formulierungen sollen Unsicherheit erzeugen und eine unmittelbare Reaktion auslösen. Die Angreifer nutzen dabei Angst, Neugier oder die Sorge vor finanziellen Konsequenzen.
Auch vermeintliche Gewinne, Rückerstattungen und unerwartete Paketzustellungen dienen als Köder. Besonders problematisch: Die Aufforderung erscheint häufig plausibel. Wer tatsächlich ein Paket erwartet oder regelmäßig Onlinebanking nutzt, könnte die Nachricht zunächst für authentisch halten.
Der wichtigste Schutzmechanismus ist deshalb überraschend einfach: Nicht unter Zeitdruck handeln.
Statt einem Link zu folgen, sollte die offizielle Website des betreffenden Unternehmens unabhängig von der Nachricht geöffnet werden. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, bei verdächtigen Nachrichten auf bekannte und vertrauenswürdige Kommunikationswege zurückzugreifen.
Der Absendername beweist überhaupt nichts
Eine bekannte Unternehmensbezeichnung im Absenderfeld kann Sicherheit suggerieren, obwohl die tatsächliche E-Mail-Adresse zu einer vollkommen anderen Domain gehört.
So könnte eine Nachricht beispielsweise als „DHL Kundenservice“ erscheinen, tatsächlich aber von einer Adresse wie paket[at]dhl-kundenservice-example.com stammen. Der angezeigte Name ist frei gestaltbar. Entscheidend ist die vollständige Absenderadresse.
Doch auch diese Prüfung bietet keine absolute Sicherheit. Absenderinformationen können manipuliert werden. Zudem nutzen Angreifer kompromittierte E-Mail-Konten, um betrügerische Nachrichten über tatsächlich existierende Geschäftsbeziehungen zu verbreiten.
Eine unerwartete Zahlungsaufforderung kann deshalb selbst dann gefährlich sein, wenn sie scheinbar von einem bekannten Kollegen oder Geschäftspartner stammt. Insbesondere bei Rechnungen, Vertragsunterlagen und angeblich dringenden Freigaben empfiehlt sich eine Rückfrage über einen unabhängigen Kommunikationskanal.
Gefälschte Domains: Kleine Unterschiede mit großen Folgen
Ein zentrales Element vieler Phishing-Angriffe sind manipulierte Internetadressen.
Angreifer registrieren Domains, die bekannten Marken und Dienstleistungen möglichst ähnlich sehen. Dazu verwenden sie zusätzliche Begriffe, Bindestriche, vertauschte Zeichen oder optisch ähnliche Buchstaben.
Beispiele sind:
- unternehmen-kundenservice.example
- unternehmen-login.example
- secure-unternehmen.example
- unternehmen-verifizierung.example
Solche Konstruktionen können seriös wirken, insbesondere auf Smartphones, wo lange Internetadressen häufig nur teilweise angezeigt werden. Entscheidend ist deshalb, die tatsächliche Domain richtig zu lesen.
Bei der Adresse hxxps://konto.beispiel.de/login ist „beispiel.de“ die registrierte Domain. „konto“ bezeichnet lediglich eine Subdomain.
Anders sieht es bei einer Adresse wie hxxps://paypal.de.kundenkonto-beispiel.com aus. Hier gehört die Adresse nicht automatisch zu PayPal. Die maßgebliche registrierte Domain lautet „kundenkonto-beispiel.com“.
Genau diese Unterschiede machen sich Angreifer zunutze.
Warum der sichtbare Link nicht das tatsächliche Ziel verrät
Ein weiteres Problem: Der Text eines Links muss nicht mit seiner tatsächlichen Zieladresse übereinstimmen. Eine E-Mail kann beispielsweise einen scheinbar bekannten Internetauftritt anzeigen, während der hinterlegte Link auf eine völlig andere Website führt. Dasselbe gilt für Schaltflächen mit Beschriftungen wie „Jetzt anmelden“, „Paket verfolgen“ oder „Konto entsperren“.
Am Computer lässt sich die hinterlegte Zieladresse häufig anzeigen, indem der Mauszeiger über den Link bewegt wird, ohne ihn anzuklicken.
Dabei sollten insbesondere folgende Fragen geklärt werden:
- Passt die Domain tatsächlich zum vermeintlichen Absender?
- Enthält die Internetadresse ungewöhnliche Zusätze oder Schreibfehler?
- Ist das Linkziel auffällig lang oder unübersichtlich?
- Führt der Link zu einer unbekannten Domain?
Auf Smartphones ist diese Kontrolle schwieriger. Je nach Betriebssystem und Anwendung kann längeres Berühren eines Links die Zieladresse anzeigen. Dabei besteht allerdings das Risiko, den Link versehentlich zu öffnen.
Bei Unsicherheit ist es deshalb besser, die Nachricht zu ignorieren und die offizielle Website oder App direkt aufzurufen.
Auch verkürzte Internetadressen verdienen besondere Aufmerksamkeit. Sie verschleiern zunächst, auf welche Domain eine Weiterleitung tatsächlich führt.
HTTPS und Schloss-Symbol sind keine Sicherheitsgarantie
Ein weitverbreitetes Missverständnis betrifft verschlüsselte Internetverbindungen. Viele Nutzer gehen davon aus, dass eine Website vertrauenswürdig sein muss, sobald die Adresse mit HTTPS beginnt. Das ist falsch.
HTTPS sorgt zunächst dafür, dass die Kommunikation zwischen Browser und Website verschlüsselt übertragen wird. Über die Seriosität des Betreibers sagt die Verschlüsselung allein nichts aus.
Auch Cyberkriminelle können ihre gefälschten Websites mit gültigen TLS-Zertifikaten ausstatten.
Die entscheidende Frage lautet deshalb nicht, ob eine Website verschlüsselt ist, sondern ob sie tatsächlich zu dem Unternehmen gehört, für das sie sich ausgibt. Gefälschte Login-Seiten sollen Zugangsdaten abgreifen
Besonders häufig führen Phishing-Links auf täuschend echt nachgebildete Anmeldeseiten.
Logos, Schriftarten, Farben und Eingabefelder entsprechen dabei häufig weitgehend dem Original. Wer dort seine Zugangsdaten eingibt, übermittelt diese möglicherweise direkt an die Angreifer.
Teilweise wird das Opfer anschließend automatisch auf die tatsächliche Website des Unternehmens weitergeleitet. Dadurch entsteht der Eindruck, dass lediglich ein technisches Problem aufgetreten sei. Tatsächlich können Benutzername und Passwort zu diesem Zeitpunkt bereits kompromittiert sein.
Eine zusätzliche Schutzebene bietet die Zwei-Faktor-Authentifizierung (2FA). Sie verhindert in vielen Fällen, dass ein gestohlenes Passwort allein zur Kontoübernahme ausreicht. Allerdings versuchen moderne Phishing-Kampagnen zunehmend, auch Einmalcodes oder Authentifizierungsbestätigungen abzugreifen. Besonders widerstandsfähig gegen klassische Phishing-Angriffe sind passwortlose, an die echte Website gebundene Anmeldeverfahren wie Passkeys auf Basis von FIDO2.
QR-Code-Phishing: Wenn die Internetadresse unsichtbar bleibt
Phishing beschränkt sich längst nicht mehr auf klassische Hyperlinks. Zunehmend verwenden Angreifer QR-Codes, die beispielsweise zur Bestätigung einer Anmeldung, zur Aktualisierung von Kontoinformationen oder zur Freigabe einer Zahlung gescannt werden sollen.
Das Problem: Die eigentliche Zieladresse ist im QR-Code nicht unmittelbar erkennbar.
Erst nach dem Scannen zeigt das Smartphone gegebenenfalls an, welche Website geöffnet werden soll. Damit verlagern Angreifer die Entscheidung über das Öffnen einer potenziell gefährlichen Website auf ein anderes Gerät.
Auch bei QR-Codes gilt deshalb: Die hinterlegte Internetadresse muss überprüft werden, bevor eine Website geöffnet oder eine Anmeldung durchgeführt wird.
Selbst bekannte Kontakte können zur Gefahr werden
Nicht jede gefährliche Nachricht stammt von einem offensichtlich unbekannten Absender. Angreifer können legitime E-Mail-Konten kompromittieren und anschließend Nachrichten im Namen der tatsächlichen Kontoinhaber verschicken. Das ist besonders gefährlich im geschäftlichen Umfeld, wo Mitarbeitende regelmäßig Dokumente austauschen, Rechnungen bearbeiten oder Freigaben erteilen.
Eine Nachricht wie „Kannst du diese Rechnung bitte kurzfristig bezahlen?“ kann deshalb auch dann einen Betrugsversuch darstellen, wenn sie aus einem vertrauten E-Mail-Konto stammt. Ähnliches gilt für unerwartete Dateianhänge.
Angebliche Rechnungen, Mahnungen, Bewerbungen, Steuerunterlagen oder Vertragsdokumente können Schadsoftware enthalten oder weitere Angriffsschritte auslösen. Die wichtigste Kontrollfrage lautet: Habe ich diese Nachricht beziehungsweise Datei tatsächlich erwartet?
Wenn nicht, sollte die Echtheit zunächst unabhängig überprüft werden.
Typische Phishing-Fallen im Alltag
Besonders erfolgreich sind Betrugsversuche, die alltägliche Situationen imitieren. Die angeblich fehlgeschlagene Paketzustellung Eine Nachricht informiert darüber, dass ein Paket nicht zugestellt werden konnte. Für einen erneuten Zustellversuch sollen beispielsweise 1,99 Euro bezahlt werden. Der geringe Betrag senkt die Hemmschwelle. Tatsächlich geht es den Angreifern möglicherweise darum, Kreditkartendaten und persönliche Informationen abzugreifen. Wer ein Paket erwartet, sollte die Sendungsverfolgung ausschließlich über die offizielle Website oder App des Paketdienstes öffnen.
Das vermeintlich gesperrte Bankkonto
Eine E-Mail behauptet, dass ungewöhnliche Aktivitäten festgestellt wurden oder das Onlinebanking eingeschränkt sei. Ein Link soll zur angeblichen Sicherheitsprüfung führen. Stattdessen sollten Nutzer ihre Banking-App selbst öffnen oder die bekannte Internetadresse ihrer Bank direkt eingeben. Auch eine telefonische Rückfrage ist sinnvoll. Allerdings sollte dafür niemals ausschließlich eine Telefonnummer verwendet werden, die in der verdächtigen Nachricht angegeben ist.
Das angeblich abgelaufene Streaming-Abonnement
Auch Streamingdienste, Onlineshops und soziale Netzwerke dienen als Vorwand. Häufig werden fehlgeschlagene Abbuchungen, abgelaufene Zahlungsmittel oder notwendige Identitätsbestätigungen behauptet. Die sichere Alternative besteht darin, das betreffende Kundenkonto unabhängig von der E-Mail aufzurufen und dort zu prüfen, ob tatsächlich Handlungsbedarf besteht.
Was tun, wenn der Phishing-Link bereits angeklickt wurde?
Nicht jeder Klick auf einen betrügerischen Link führt automatisch zu einer Infektion oder Kontoübernahme. Entscheidend ist, was anschließend geschehen ist. Wurde lediglich eine Website geöffnet, ohne Daten einzugeben oder Dateien auszuführen, sollte die Seite geschlossen werden. Dennoch ist Vorsicht angebracht, da auch technische Schwachstellen von Browsern oder Endgeräten ausgenutzt werden können. Wurden dagegen Zugangsdaten eingegeben, besteht unmittelbarer Handlungsbedarf. Das Passwort sollte schnellstmöglich über die echte Website des betroffenen Dienstes geändert werden. Außerdem empfiehlt es sich, bestehende Sitzungen und angemeldete Geräte zu kontrollieren sowie unbekannte Sitzungen zu beenden. Wurde dasselbe Passwort für mehrere Konten verwendet, müssen auch diese abgesichert werden.
Besonders kritisch ist die Kompromittierung eines E-Mail-Kontos. Darüber lassen sich unter Umständen Passwörter anderer Dienste zurücksetzen und weitere Konten übernehmen. Wurden Bank- oder Kreditkartendaten übermittelt, sollte unverzüglich der betreffende Finanzdienstleister kontaktiert werden. Gegebenenfalls müssen Karten oder Onlinebanking-Zugänge gesperrt werden. Wenn eine verdächtige Datei ausgeführt wurde, sollte das Gerät zunächst nicht für sensible Anmeldungen verwendet werden. Eine Sicherheitsüberprüfung ist erforderlich. Bei geschäftlich genutzten Geräten muss die zuständige IT-Sicherheitsabteilung möglichst früh informiert werden.
Technische Schutzmaßnahmen sind notwendig, aber nicht ausreichend
Moderne E-Mail-Systeme verfügen über zahlreiche Sicherheitsmechanismen, um betrügerische Nachrichten frühzeitig zu erkennen. Dazu gehören Spamfilter, Phishing-Erkennung, die Überprüfung von Dateianhängen, Browser-Schutzfunktionen und Blocklisten bekannter schädlicher Internetadressen. Im Unternehmensumfeld ergänzen weitere Maßnahmen wie E-Mail-Authentifizierung, Identitätsschutz, sichere Webzugänge und Security-Awareness-Trainings diese Schutzmechanismen.
Dennoch bleibt ein Restrisiko bestehen.
Professionell vorbereitete Phishing-Nachrichten können technische Filter umgehen. Umgekehrt kann selbst eine legitime Nachricht fälschlicherweise als verdächtig eingestuft werden.
Entscheidend ist daher ein mehrschichtiges Sicherheitskonzept, das technische Prävention mit klaren organisatorischen Abläufen und einer gelebten Sicherheitskultur verbindet.
Dabei sollte die Verantwortung nicht ausschließlich auf die Mitarbeitenden abgewälzt werden. Unternehmen müssen ihre Systeme so gestalten, dass einzelne Fehlentscheidungen möglichst nicht unmittelbar zu schwerwiegenden Sicherheitsvorfällen führen.
Die 10-Sekunden-Regel gegen Phishing
Nicht jede verdächtige E-Mail erfordert eine aufwendige technische Analyse. Häufig hilft bereits eine kurze Prüfung, bevor ein Link geöffnet oder eine Datei heruntergeladen wird.
Fünf Fragen sind dabei besonders hilfreich:
- Erwarte ich diese Nachricht überhaupt?
- Passt die tatsächliche Absenderadresse zum angegebenen Unternehmen?
- Warum soll ich plötzlich unter Zeitdruck handeln?
- Wohin führt der enthaltene Link tatsächlich?
- Kann ich denselben Vorgang direkt über die offizielle Website erledigen?
Wer bei einer dieser Fragen Zweifel hat, sollte die gewünschte Aktion zunächst nicht ausführen.
Zusätzliche Unterstützung bieten Dienste zur Überprüfung verdächtiger Internetadressen, beispielsweise der Link Checker von Bitdefender . Solche Prüfungen können Hinweise auf bekannte Bedrohungen liefern, bieten aber keine absolute Sicherheitsgarantie.
Fazit: Nicht die perfekte Fälschung ist das größte Problem, sondern der unüberlegte Klick
Phishing-Angriffe werden professioneller, glaubwürdiger und technisch vielseitiger. Bekannte Firmenlogos, korrekt formulierte Nachrichten und verschlüsselte Websites sind längst keine verlässlichen Hinweise mehr auf die Echtheit einer Nachricht. Gleichzeitig bleibt die Grundstrategie der Angreifer erstaunlich konstant: Sie versuchen, Vertrauen aufzubauen, Druck zu erzeugen und ihre Opfer zu einer Handlung zu bewegen, bevor diese die Situation kritisch hinterfragen.
Wirksamer Schutz entsteht deshalb durch das Zusammenspiel aus technischen Sicherheitsmaßnahmen, sicheren Authentifizierungsverfahren und einem bewussten Umgang mit unerwarteten Nachrichten. Die wichtigste Regel bleibt einfach: Erst prüfen, dann klicken.
