Öffne bei unerwarteten Nachrichten keine Links oder Anhänge unter Zeitdruck. Prüfe zuerst die vollständige Absenderadresse und rufe den behaupteten Dienst über die offizielle App oder eine selbst eingegebene Webadresse auf. Wurde wirklich eine Zahlung, Anmeldung oder Vertragsänderung ausgelöst, erscheint sie normalerweise auch dort.
Was ist Phishing?
Phishing ist ein Täuschungsversuch. Eine Nachricht, Webseite oder ein Anruf soll dich dazu bringen, Zugangsdaten, Zahlungsdaten, persönliche Informationen, Einmalcodes oder Freigaben preiszugeben. Häufig wird ein bekannter Dienst imitiert: Bank, Paketdienst, E-Mail-Anbieter, Mobilfunkunternehmen, Streamingdienst, Behörde, Support oder ein vertrauter Kontakt.
Smishing
Smishing ist Phishing per SMS oder Messenger. Typisch sind Paketlinks, angebliche Bankwarnungen, neue Familiennummern oder kurze Nachrichten mit sehr dringender Bitte.
Vishing
Vishing läuft per Telefon. Jemand gibt sich als Bank, Polizei, Anbieter oder Support aus und fragt nach Codes, Zahlungen, Fernwartung oder Bestätigungen.
Quishing
Quishing nutzt QR-Codes. Das Linkziel ist vor dem Scannen schwerer sichtbar, deshalb eignen sich QR-Codes für gefälschte Rechnungen, Plakate oder Login-Hinweise.
Spear-Phishing
Spear-Phishing ist gezielter. Die Nachricht nutzt persönliche Informationen, Namen, echte Projekte oder vertraute Zusammenhänge und wirkt dadurch besonders überzeugend.
Warum wirken Phishing-Nachrichten so überzeugend?
Kriminelle kopieren Design, Sprache, Logos, Betreffzeilen und Abläufe bekannter Dienste. Sie nutzen echte Themen wie Paketlieferungen, Streaming-Abos, Bankfreigaben, Cloudspeicher, Rechnungsläufe oder Mobilfunkverträge. Dazu kommen Zeitdruck, Angst vor Sperrung, angebliche Rückzahlungen oder der Eindruck, nur ein kleiner Klick sei nötig.
Auch persönliche Daten aus früheren Datenlecks, sozialen Netzwerken oder alten Nachrichten können eine Täuschung glaubwürdiger machen. Deshalb ist ein professionelles Aussehen kein Beweis für Echtheit.
Diese Warnzeichen können auf Phishing hindeuten
Warnzeichen sind unerwartete Nachrichten, fehlender Anlass, Zeitdruck, Drohungen, angebliche Kontosperre, Zahlungsaufforderung, neue Bankverbindung, ungewohnte Absenderadresse, unklare Domain, verkürzte Links, QR-Codes, Anhänge, Makro- oder ZIP-Dateien, Bitte um Passwort, Einmalcode, TAN, Kartendaten, Ausweiskopie, Fernwartung oder App-Installation.
Kein einzelnes Signal beweist Phishing. Eine echte Nachricht kann ungeschickt formuliert sein, eine falsche Nachricht kann perfekt aussehen. Entscheidend ist, ob du den Vorgang unabhängig im echten Konto, in der offiziellen App oder über einen bekannten Kontaktweg bestätigen kannst.
Anzeigename und Absenderadresse sind nicht dasselbe
Der Anzeigename ist frei wählbar. Dort kann „Kundenservice“, „Bank Sicherheitsteam“ oder der Name eines Kontakts stehen. Die vollständige Absenderadresse findest du meist in den Details der Nachricht. Wichtig ist die Domain hinter dem @-Zeichen.
Beispieladresse:
service@konto.bank-service.invalidHier ist nicht „service“ entscheidend, sondern die Domain konto.bank-service.invalid. Bei echten Anbietern sollte sie zur offiziellen Domain passen. Wenn du unsicher bist, antworte nicht auf die Nachricht, sondern öffne den Dienst selbst.
Wie prüfe ich einen Link, ohne ihn zu öffnen?
Am Computer kannst du mit der Maus über einen Link fahren, ohne zu klicken. Viele Programme zeigen unten oder in einer Vorschau die Zieladresse. Lies sie vollständig, nicht nur den Anfang. Bei verkürzten Links, seltsamen Domains oder sehr langen Adressen besser abbrechen.
Auf dem Smartphone hältst du den Link gedrückt, bis eine Vorschau erscheint. Tippe nicht auf „Öffnen“, wenn die Adresse nicht klar ist. Öffne Bank, Paketdienst, E-Mail, Cloud oder Mobilfunkkonto über die offizielle App, ein gespeichertes Lesezeichen oder eine selbst eingegebene Adresse. HTTPS und Schlosssymbol bedeuten nur: Die Verbindung ist verschlüsselt. Sie beweisen nicht, dass die Seite echt ist.
Domain richtig lesen: von rechts nach links prüfen
Bei Domains sind Zusätze am Anfang oft weniger wichtig als der rechte Teil vor und nach der Endung. Lies deshalb langsam von rechts nach links.
login.konto.example.com
Entscheidend ist example.com. Die Wörter login und konto sind Unterbereiche davor.
example.com.sicherheit.invalid
Hier ist die echte Domain sicherheit.invalid. example.com steht nur davor und kann täuschen.
Prüfe besonders Zeichenverwechslungen, zusätzliche Wörter, fremde Endungen, Bindestriche, verdächtige Weiterleitungen und Domains, die nur ähnlich aussehen.
Gefälschte Anmeldeseiten erkennen
Eine gefälschte Anmeldeseite imitiert den Login eines bekannten Dienstes. Sie kann Logo, Farben, Texte und sogar eine HTTPS-Verbindung haben. Warnzeichen sind eine ungewohnte Domain, ein Login nach einem unerwarteten Link, fehlende gespeicherte Passwörter, ungewöhnliche Zusatzabfragen oder sofortige Aufforderungen zu Einmalcodes, TANs oder Kartendaten.
Schließe die Seite bei Zweifel. Öffne den Dienst selbst und prüfe dort Meldungen, Rechnungen, Sperren, Bestellungen oder Zahlungsaufträge.
Welche Rolle spielt der Passwortmanager?
Ein Passwortmanager kann helfen, weil er gespeicherte Passwörter an Domains bindet. Füllt er auf einer angeblichen Login-Seite nichts aus, ist das ein Warnsignal. Es kann bedeuten, dass die Adresse nicht zur gespeicherten echten Seite passt.
Er ist aber keine Zauberlösung. Du kannst Passwörter kopieren, Einmalcodes weitergeben oder auf einer falschen Seite neue Daten eingeben. Mehr Grundlagen findest du im Ratgeber Passwortmanager einfach erklärt.
Anhänge: PDF, Office-Datei oder ZIP-Datei?
Unerwartete Anhänge sind riskant. PDFs können falsche Rechnungen, gefährliche Links oder eingebettete Inhalte enthalten. Office-Dateien können zu Makros oder Bearbeitungsmodus drängen. ZIP-Dateien verschleiern oft, was wirklich enthalten ist. Öffne keine Datei nur, weil sie professionell aussieht.
Prüfe Rechnungen, Mahnungen, Lieferdokumente und Vertragsänderungen lieber direkt im offiziellen Kundenkonto. Wenn ein Anhang unerwartet ist, frage über einen bekannten Kontaktweg nach.
QR-Code-Phishing: Wenn das Linkziel unsichtbar bleibt
QR-Codes wirken praktisch, machen das Ziel aber weniger sichtbar. Betrügerische Codes können auf falsche Zahlungsseiten, angebliche WLAN-Logins, Paketportale oder Supportseiten führen. Scanne keine unerwarteten QR-Codes unter Zeitdruck, besonders nicht aus E-Mails, Briefen, Rechnungen oder Aufklebern.
Lies die Vorschauadresse vor dem Öffnen. Bei Zahlungen oder Logins: Code schließen, Dienst selbst öffnen.
Typische Phishing-Situationen im Alltag
Angebliche Paketnachricht
Du sollst Zoll, Porto, Zustellung oder Adresse bestätigen. Prüfe zuerst, ob du wirklich ein Paket erwartest, und nutze die offizielle App oder selbst eingegebene Sendungsverfolgung.
Angebliche Banknachricht
Es geht um Sperrung, neue Sicherheitsregeln, verdächtige Zahlung oder TAN. Öffne Banking nie über den Link. Starte die App selbst und lies jede Freigabe genau.
Angebliches E-Mail- oder Cloudproblem
Speicher voll, Konto gesperrt, Passwort läuft ab: Das E-Mail-Konto ist besonders wertvoll. Öffne Anbieter und Kontosicherheit direkt, nicht über die Nachricht.
Angeblicher Mobilfunk- oder Internetanbieter
Vertragsänderung, eSIM, SIM-Tausch, Routerproblem oder Rechnung: Prüfe im Kundenkonto oder in der offiziellen App. Nenne keine Service-PIN oder Codes am Telefon.
Angebliches Streamingabo
Oft geht es um Zahlungsdaten, Kündigung, Familienfreigabe oder Kontosperre. Öffne Streamingdienste selbst und prüfe Abo, Geräte und Zahlmethode dort.
Angebliche Behörde oder Polizei
Drohungen, Bußgelder, Strafverfahren oder Ausweiskopien erzeugen Druck. Nutze nur offizielle Kontaktwege und keine Nummern oder Links aus der Nachricht.
Phishing per SMS und Messenger
Bei SMS und Messenger wirken Nachrichten oft persönlicher, weil sie direkt auf dem Smartphone erscheinen. Neue Nummern, angebliche Angehörige, Paketlinks, Bankwarnungen und Zahlungsbitten sollten immer über einen zweiten Weg geprüft werden. Gerade bei älteren Menschen hilft eine ruhige Regel: erst anrufen, dann handeln.
Für verständliche Grundlagen zu Kontoschutz, Angehörigenhilfe und Notfallwegen ergänzt der Ratgeber Datenschutz für Senioren diese Prüfschritte.
Kann eine bekannte Absenderadresse trotzdem gefährlich sein?
Ja. Ein echtes E-Mail- oder Messenger-Konto kann übernommen worden sein. Außerdem können Absenderinformationen gefälscht oder irreführend dargestellt werden. Wenn ein bekannter Kontakt plötzlich Geld, Codes, neue Bankdaten, einen Datei-Download oder Fernwartung verlangt, prüfe über einen zweiten bekannten Kontaktweg.
Wie helfen Spamfilter und Warnfunktionen?
Spamfilter, Browserwarnungen und Sicherheitssoftware können bekannte Betrugsseiten, Schadsoftware oder verdächtige Nachrichten abfangen. Sie sind sinnvoll und sollten aktiv bleiben. Trotzdem erkennen sie nicht alles, besonders neue Kampagnen, gezielte Nachrichten oder Links, die erst später auf gefährliche Inhalte umgestellt werden.
Eine Warnung solltest du ernst nehmen. Keine Warnung ist aber kein Echtheitsbeweis.
Zwei-Faktor-Authentifizierung: hilfreich, aber nicht unfehlbar
Zwei-Faktor-Authentifizierung erschwert Kontoübernahmen, weil neben dem Passwort ein zweiter Nachweis nötig ist. Bei Phishing können Codes oder Push-Freigaben aber abgefragt und direkt für einen echten Login genutzt werden. Lies deshalb immer, wofür ein Code oder eine Freigabe gilt.
Mehr Einordnung zu SMS, Authenticator-App, Push, Passkeys und Wiederherstellung findest du im Ratgeber Zwei-Faktor-Authentifizierung.
Passkeys und Sicherheitsschlüssel gegen Phishing
Passkeys und moderne Sicherheitsschlüssel sind stärker an die echte Domain gebunden als Passwörter und Einmalcodes. Sie können deshalb besser gegen gefälschte Login-Seiten schützen. Sie ersetzen aber nicht jede Prüfung: Wiederherstellung, Geräteschutz und bewusste Freigaben bleiben wichtig.
Der Ratgeber Passkeys einfach erklärt zeigt, warum Passkeys stärker an die echte Website gebunden sind und welche Phishing-Risiken trotzdem bleiben.
Wie Hardware-Sicherheitsschlüssel gegen viele klassische Login-Phishingseiten helfen und wo die Grenzen liegen, erklärt der Ratgeber Sicherheitsschlüssel einfach erklärt.
Die 7-Punkte-Prüfung für verdächtige Nachrichten
- Habe ich diese Nachricht erwartet?
- Wer ist der vollständige Absender?
- Was ist die eigentliche Domain?
- Wohin führt der Link wirklich?
- Welche Handlung wird verlangt?
- Warum soll es angeblich so dringend sein?
- Kann ich den Vorgang direkt in der offiziellen App oder im Kundenkonto prüfen?
Wenn es um Geld, Login, Vertrag, SIM, Bank, Ausweis oder Passwort geht, nutze offizielle App, eigenes Lesezeichen, selbst eingegebene Adresse, bekannte offizielle Telefonnummer oder Vertragsunterlagen. Nutze nicht die Kontaktdaten aus der verdächtigen Nachricht.
Ein professionelles Design, korrekte Sprache und HTTPS beweisen nicht, dass eine Nachricht oder Webseite echt ist. Entscheidend ist, ob Absender, Domain, Anlass und Handlung unabhängig bestätigt werden können.
Bank, E-Mail-Anbieter, Mobilfunkunternehmen oder Support benötigen weder dein vollständiges Passwort noch einen Einmalcode am Telefon. Wer danach fragt, will meistens keinen Sicherheitscheck durchführen, sondern eine Freigabe auslösen.
Was tun, wenn du eine Phishing-Nachricht vermutest?
- Nicht antworten.
- Keinen Link öffnen.
- Keine Anhänge öffnen.
- Keine Codes, Passwörter oder Zahlungsdaten eingeben.
- Absenderadresse und Linkziel prüfen.
- Den behaupteten Dienst selbst öffnen.
- Im Kundenkonto nach echten Meldungen suchen.
- Bei Unsicherheit über bekannte Kontaktdaten nachfragen.
- Nachricht als Spam oder Phishing melden, wenn dein Dienst das anbietet.
- Absender blockieren, wenn klar betrügerisch.
- Beweise sichern, falls Geld, Daten oder Identität betroffen sein könnten.
- Angehörige oder Kollegen warnen, wenn deren Name genutzt wurde.
- Nach der Meldung löschen, wenn du sie nicht mehr als Nachweis brauchst.
Link angeklickt, aber keine Daten eingegeben – was jetzt?
Ein Klick allein bedeutet nicht automatisch Kontoübernahme oder Infektion. Bleib ruhig und arbeite gezielt.
- Seite schließen.
- Keine weiteren Buttons drücken.
- Keine Datei öffnen, die heruntergeladen wurde.
- Browser und Gerät aktualisieren.
- Download-Ordner prüfen.
- Verdächtige Dateien löschen, ohne sie zu starten.
- Betroffenes Konto über offizielle App oder Adresse prüfen.
- Keine pauschale Passwortänderung nur wegen des Klicks durchführen.
- Passwort nur ändern, wenn es eingegeben wurde oder ein Login ungewöhnlich wirkt.
- Bei Warnmeldungen Sicherheitsprüfung des Geräts nutzen.
- Nachricht melden und blockieren.
Passwort auf einer verdächtigen Seite eingegeben – sofort handeln
- Echte Webseite oder App direkt öffnen.
- Passwort sofort ändern.
- Dasselbe Passwort bei anderen Konten ersetzen.
- Aktive Sitzungen prüfen und unbekannte abmelden.
- Zwei-Faktor-Schutz aktivieren oder prüfen.
- Wiederherstellungsadresse und Telefonnummer kontrollieren.
- Weiterleitungen und Sicherheitsregeln im E-Mail-Konto prüfen.
- Neue Geräte oder Apps entfernen.
- Bank, Mobilfunk oder Zahlungsdienst informieren, wenn betroffen.
- Beweise sichern.
- Kontobewegungen und Nachrichten einige Tage beobachten.
- Vertraute Personen warnen, wenn dein Konto Nachrichten versendet haben könnte.
Einmalcode oder TAN weitergegeben – was ist jetzt wichtig?
Ein Einmalcode kann für Login, Zahlung, Gerätefreigabe, Passwortänderung oder SIM-Aktion genutzt worden sein. Brich das Gespräch oder die Webseite ab, öffne das betroffene Konto selbst, prüfe Sitzungen und Vorgänge und kontaktiere Anbieter, Bank oder Zahlungsdienst über offizielle Wege. Eine TAN ist niemals ein allgemeiner Sicherheitscode für Support.
Bank- oder Kartendaten eingegeben – diese Schritte sind wichtig
- Bank oder Kartenanbieter sofort über offiziellen Weg kontaktieren.
- Keine Telefonnummer aus der Nachricht verwenden.
- Umsätze und vorgemerkte Zahlungen prüfen.
- Karte oder Onlinezugang bei Bedarf sperren lassen.
- Zahlungsdienstkonten prüfen.
- Passwörter betroffener Konten ändern.
- Zwei-Faktor-Einstellungen kontrollieren.
- Nachricht, Link, Datum und Zahlungsdaten sichern.
- Bei Schaden Anzeige oder Beratung über offizielle Wege prüfen.
- Weitere Forderungen nicht aus Scham bezahlen.
Das ist allgemeine Verbraucherinformation und keine individuelle Finanz- oder Rechtsberatung.
Persönliche Daten übermittelt – was kann passieren?
Name, Adresse, Geburtsdatum, Ausweiskopie, Telefonnummer oder Vertragsdaten können für weitere Betrugsversuche, Kontoeröffnungen, Vertragsabschlüsse oder glaubwürdigere Nachrichten genutzt werden. Nicht jeder Fehler führt automatisch zu Schaden, aber Dokumentation ist wichtig.
Sichere, welche Daten du wann wohin übermittelt hast. Prüfe Kontoaktivitäten, Rechnungen, Post, E-Mail-Regeln und ungewöhnliche Anfragen. Bei konkretem Missbrauch nutze offizielle Anbieter-, Bank-, Polizei- oder Beratungswege.
Wo kann eine Phishing-Nachricht gemeldet werden?
Melde verdächtige Nachrichten je nach Fall beim E-Mail-Anbieter, Messenger, betroffenen Unternehmen, Bank, Paketdienst oder Plattform. Bei Rufnummern- und Spamthemen kann die Bundesnetzagentur zuständig sein, bei Betrugsschaden oder Straftatverdacht die Polizei. Verbraucherzentralen sammeln und erklären Phishing-Beispiele. Verwende keine Meldeadressen aus der verdächtigen Nachricht.
Eine einfache Regel für verdächtige Nachrichten
Stopp – prüfen – selbst öffnen. Erst nicht reagieren. Dann Absender, Linkziel, Domain und verlangte Handlung prüfen. Danach den behaupteten Dienst selbst über App, Lesezeichen, selbst eingegebene Adresse oder bekannte Telefonnummer öffnen.
Gefälschte Rechnungen und geänderte Bankverbindungen
Gefährlich sind nicht nur Login-Seiten. Auch Rechnungen, Mahnungen oder geänderte Bankverbindungen können gefälscht sein. Prüfe neue Kontodaten besonders bei hohen Beträgen, Handwerkern, Vermietung, Reisen, Firmenrechnungen oder laufenden Verträgen über einen bekannten Kontaktweg. Antworte nicht einfach auf die verdächtige Mail, wenn die Adresse Teil des Problems sein könnte.
Kann ein anderer E-Mail-Anbieter Phishing verhindern?
Ein anderer Anbieter kann bessere Filter, klarere Warnungen oder mehr Datenschutzfunktionen bieten. Vollständig verhindern kann er Phishing nicht. Gmail, Outlook, Proton Mail, Infomaniak Mail und andere Dienste nutzen unterschiedliche Schutzmechanismen; entscheidend bleiben Kontoschutz, Wiederherstellung, Bedienbarkeit, Spamfilter und deine unabhängige Prüfung.
Proton Mail und Infomaniak Mail sind Beispiele für datenschutzorientierte Anbieter. Daraus folgt keine pauschale Überlegenheit gegen Phishing. Ein Wechsel sollte nur erfolgen, wenn Kosten, Bedienung, Wiederherstellung und Unterstützung passen. Mehr dazu im E-Mail-Anbieter-Vergleich.
Proton und Infomaniak gehören zu unseren Partnern. Wenn du über einen gekennzeichneten Link ein Angebot nutzt, können wir eine Provision erhalten. Für dich entstehen dadurch keine Mehrkosten. Auf die sachliche Einordnung in diesem Ratgeber soll die Partnerschaft keinen Einfluss haben.
So prüfst du eine verdächtige Nachricht Schritt für Schritt
- Nachricht vollständig lesen, ohne zu klicken.
- Anlass prüfen: Erwartest du diesen Vorgang?
- Vollständigen Absender anzeigen.
- Domain hinter dem @-Zeichen prüfen.
- Linkziel anzeigen, ohne zu öffnen.
- Domain von rechts nach links lesen.
- Auf Zeitdruck und Drohungen achten.
- Verlangte Daten oder Zahlung einordnen.
- Anhänge nicht öffnen.
- QR-Code nicht unter Druck scannen.
- Offizielle App oder eigene Adresse öffnen.
- Im Kundenkonto nach Vorgang suchen.
- Bekannten Kontaktweg nutzen, wenn Rückfrage nötig ist.
- Beweise sichern, wenn Schaden möglich ist.
- Nachricht melden, blockieren und erst danach löschen.
Phishing-Check in zehn Minuten
- Haupt-E-Mail-Konto mit eigenem Passwort geschützt?
- Zwei-Faktor-Schutz für E-Mail, Bank, Mobilfunk und Cloud aktiv?
- Passwortmanager oder Passwortliste sauber eingerichtet?
- Browser- und Spamwarnungen aktiv?
- Offizielle Apps und Lesezeichen für Bank, Paketdienst, Mobilfunk und E-Mail vorhanden?
- Familie oder Haushalt kennt die Regel „Stopp – prüfen – selbst öffnen“?
- Bekannte Support- und Anbieterwege in Vertragsunterlagen notiert?
Diese Fehler solltest du vermeiden
- Links in unerwarteten Nachrichten unter Zeitdruck öffnen.
- Passwort, TAN oder Einmalcode am Telefon nennen.
- Banking oder Kundenkonto über eine SMS öffnen.
- Neue Bankverbindungen ungeprüft übernehmen.
- Anhänge öffnen, nur weil die Mail seriös aussieht.
- QR-Codes ohne sichtbares Ziel scannen.
- Fernwartung nach unerwartetem Supportanruf erlauben.
- Beweise sofort löschen, obwohl Geld oder Daten betroffen sein könnten.
Wenn aus einer Nachricht ein Anruf oder eine Fernwartung wird, ergänzt der Ratgeber Falsche Supportanrufe erkennen die Regeln für angeblichen Microsoft-, Bank- oder Provider-Support.
Häufige Fragen zu Phishing-Mails
Was ist Phishing?
Phishing ist ein Täuschungsversuch, bei dem Kriminelle an Zugangsdaten, Zahlungsdaten, Einmalcodes oder persönliche Informationen gelangen wollen. Die Nachricht wirkt oft wie eine echte Mail, SMS, Messenger-Nachricht oder Anmeldeseite eines bekannten Dienstes.
Was ist der Unterschied zwischen Phishing, Smishing und Vishing?
Phishing ist der Oberbegriff. Smishing meint Betrug per SMS oder Messenger, Vishing per Telefonanruf. Das Ziel ist ähnlich: Vertrauen erzeugen, Druck aufbauen und eine Anmeldung, Zahlung, Datenweitergabe oder Installation auslösen.
Woran erkenne ich eine Phishing-Mail?
Warnzeichen sind unerwartete Nachrichten, Zeitdruck, Drohungen, Links, Anhänge, ungewohnte Absender, Zahlungsforderungen, Code-Abfragen und unklare Domains. Kein einzelnes Merkmal beweist Phishing; entscheidend ist die unabhängige Prüfung.
Sind Rechtschreibfehler ein sicherer Hinweis auf Phishing?
Nein. Fehler können ein Warnzeichen sein, aber viele Betrugsnachrichten sind heute sprachlich sauber und professionell gestaltet. Umgekehrt kann auch eine echte Nachricht Tippfehler enthalten. Prüfe Absender, Domain, Linkziel und Konto direkt.
Kann eine Phishing-Mail professionell aussehen?
Ja. Logos, Farben, Design und korrekte Sprache können kopiert werden. Auch HTTPS und ein schlüssiger Betreff beweisen keine Echtheit. Verlasse dich deshalb nicht auf das Aussehen, sondern öffne den Dienst selbst.
Wie prüfe ich die vollständige Absenderadresse?
Öffne die Detailansicht der Nachricht und lies die komplette Adresse hinter dem Anzeigenamen. Wichtig ist die Domain rechts vom @-Zeichen. Ein Anzeigename wie „Kundenservice“ kann frei gewählt sein.
Kann der Anzeigename gefälscht werden?
Ja. Der sichtbare Name in einer E-Mail ist nicht die Absenderadresse. Kriminelle können dort bekannte Marken, Behörden oder Kontakte eintragen. Deshalb zählt die vollständige Adresse, nicht nur der angezeigte Name.
Wie lese ich eine Domain richtig?
Lies die Domain von rechts nach links. Direkt links vor der Endung steht meist der entscheidende Anbietername. Zusätze davor können täuschen. Bei example.com.sicherheit.invalid ist nicht example.com entscheidend, sondern sicherheit.invalid.
Wie prüfe ich einen Link auf dem Smartphone?
Halte den Link gedrückt, ohne ihn zu öffnen, und lies die Vorschau sehr sorgfältig. Bei Unsicherheit abbrechen, keine Vorschau bestätigen und den Dienst über App, Lesezeichen oder selbst eingegebene Adresse öffnen.
Ist eine Webseite mit HTTPS automatisch seriös?
Nein. HTTPS verschlüsselt die Verbindung zwischen Browser und Webseite. Es beweist nicht, dass die Webseite zu der behaupteten Bank, Behörde oder Firma gehört. Auch betrügerische Seiten können HTTPS nutzen.
Bedeutet das Schlosssymbol, dass eine Webseite echt ist?
Nein. Das Schlosssymbol zeigt in der Regel eine verschlüsselte Verbindung an. Es ersetzt nicht die Prüfung der Domain, des Anlasses und der Frage, ob du den Dienst selbst geöffnet hast.
Kann eine bekannte Absenderadresse übernommen worden sein?
Ja. Ein echtes Konto kann kompromittiert sein oder missbraucht werden. Auch dann können Links, Anhänge oder Geldbitten gefährlich sein. Prüfe ungewöhnliche Inhalte über einen zweiten bekannten Kontaktweg.
Was ist eine gefälschte Anmeldeseite?
Eine gefälschte Anmeldeseite sieht wie der Login eines bekannten Dienstes aus, gehört aber nicht zu ihm. Eingegebene Passwörter, Einmalcodes oder Kartendaten können direkt abgegriffen und missbraucht werden.
Warum füllt mein Passwortmanager das Passwort nicht aus?
Ein Passwortmanager füllt Zugangsdaten oft nur auf der gespeicherten echten Domain aus. Bleibt das Feld leer, kann das ein Hinweis auf eine falsche Adresse oder eine ungewohnte Login-Seite sein.
Kann ein Passwortmanager vor Phishing schützen?
Er kann helfen, weil er Passwörter an Domains bindet und nicht jede Seite automatisch befüllt. Er ersetzt aber nicht das Prüfen von Links, Einmalcodes, Anhängen und Zahlungsaufforderungen.
Schützt Zwei-Faktor-Authentifizierung vor Phishing?
Sie senkt das Risiko deutlich, ist aber nicht unfehlbar. Einmalcodes können auf gefälschten Seiten abgefragt und sofort weiterverwendet werden. Passkeys und Sicherheitsschlüssel sind gegen solche Angriffe stärker.
Können Einmalcodes gestohlen werden?
Ja. Wenn du einen SMS-Code, App-Code oder eine TAN auf einer falschen Seite oder am Telefon weitergibst, kann er für einen echten Login oder eine Zahlung missbraucht werden.
Sind Passkeys besser gegen Phishing geschützt?
Passkeys sind kryptografisch an den echten Dienst gebunden und gelten deshalb als phishingresistenter als Passwörter und Einmalcodes. Sie müssen aber richtig eingerichtet und mit sicherer Wiederherstellung geplant werden.
Was ist QR-Code-Phishing?
Beim QR-Code-Phishing führt ein QR-Code auf eine betrügerische Webseite. Das Ziel ist vor dem Scannen schwerer sichtbar. Scanne unerwartete Codes nicht unter Zeitdruck und prüfe die angezeigte Adresse.
Sind PDF-Anhänge ungefährlich?
Nein. PDF-Dateien können gefährliche Links enthalten, täuschend echte Rechnungen zeigen oder Schwachstellen ausnutzen. Öffne unerwartete Anhänge nicht und prüfe Rechnungen lieber im offiziellen Kundenkonto.
Was tun bei einer angeblichen Paket-SMS?
Nicht auf den Link tippen. Prüfe zuerst, ob du wirklich ein Paket erwartest. Öffne die Sendungsverfolgung über die offizielle App oder Webseite und gib keine Karten- oder Zugangsdaten ein.
Was tun bei einer angeblichen Banknachricht?
Öffne keine Links aus der Nachricht. Starte Banking über die offizielle App oder selbst eingegebene Adresse. Lies jede Freigabe genau und nenne PIN, Passwort, TAN oder Einmalcode niemals am Telefon.
Was tun bei einer Nachricht von einer neuen Nummer?
Prüfe über die alte bekannte Nummer oder einen anderen vertrauten Kontaktweg. Besonders bei Geldbitten, angeblichen Notfällen oder neuen Kontodaten gilt: erst bestätigen, dann handeln.
Was tun, wenn ich einen Phishing-Link angeklickt habe?
Gib keine Daten ein, schließe die Seite, öffne keine Downloads und prüfe das Konto über die offizielle App oder Adresse. Ein Klick allein bedeutet nicht automatisch eine Kontoübernahme.
Muss ich mein Handy nach einem Klick zurücksetzen?
Nicht pauschal. Ein Zurücksetzen ist nicht nach jedem Klick nötig und kann Datenverlust verursachen. Aktualisiere Gerät und Browser, lösche verdächtige Downloads und prüfe Konten gezielt.
Was tun, wenn ich mein Passwort eingegeben habe?
Ändere das Passwort sofort über die echte Webseite oder App. Wenn du es anderswo genutzt hast, ersetze es dort ebenfalls. Prüfe Sitzungen, Wiederherstellungsdaten und Zwei-Faktor-Einstellungen.
Was tun, wenn ich einen Einmalcode weitergegeben habe?
Brich den Vorgang ab, prüfe das Konto direkt, melde dich überall ab und ändere das Passwort. Bei Bank, Zahlungsdienst oder Mobilfunkkonto kontaktiere den Anbieter über offizielle Wege.
Was tun, wenn ich Bankdaten eingegeben habe?
Kontaktiere Bank oder Kartenanbieter sofort über einen offiziellen Weg, prüfe Umsätze und sichere Beweise. Verwende keine Telefonnummer aus der verdächtigen Nachricht. Das ist allgemeine Information, keine individuelle Finanzberatung.
Was tun, wenn ich bereits Geld überwiesen habe?
Kontaktiere die Bank oder den Zahlungsdienst sofort über offizielle Wege und sichere Nachricht, Zahlungsdaten und Verlauf. Warte nicht aus Scham. Ob Geld zurückgeholt werden kann, hängt vom Einzelfall ab.
Was tun, wenn ich eine Ausweiskopie hochgeladen habe?
Sichere Beweise, dokumentiere Datum und Zielseite und beobachte ungewöhnliche Vertrags- oder Kontoaktivitäten. Bei Missbrauchsverdacht kommen Anbieter, Bank, Polizei oder Verbraucherberatung über offizielle Wege infrage.
Wo kann ich Phishing melden?
Je nach Fall beim betroffenen Anbieter, E-Mail-Dienst, Messenger, Bank, Paketdienst, Verbraucherzentrale, Bundesnetzagentur oder Polizei. Nutze offizielle Meldewege und keine Kontaktdaten aus der verdächtigen Nachricht.
Sollte ich eine verdächtige Nachricht sofort löschen?
Nicht immer sofort. Öffne nichts und antworte nicht, sichere aber bei möglichem Schaden Absender, Nummer, Datum, Linkziel und Screenshots. Danach kannst du melden, blockieren und löschen.
Sind Gmail, Outlook, Proton oder Infomaniak besser gegen Phishing?
Alle großen Anbieter kombinieren verschiedene Schutzfunktionen, doch keiner verhindert Phishing vollständig. Wichtiger sind Kontoschutz, Spamfilter, Wiederherstellung, Bedienbarkeit und die Fähigkeit, verdächtige Nachrichten unabhängig zu prüfen.
Kann ein Virenscanner Phishing vollständig verhindern?
Nein. Sicherheitssoftware kann warnen und bekannte Gefahren blockieren, aber keine menschliche Prüfung ersetzen. Neue oder gut gemachte Seiten können trotzdem durchrutschen.
Wie erkläre ich Phishing einer älteren Person?
Erkläre es als gefälschte Nachricht mit echter wirkender Fassade. Hilfreich ist die Regel: Stopp, prüfen, selbst öffnen. Keine Beschämung, sondern gemeinsam üben und feste Kontaktwege vereinbaren.
Kann eine echte Rechnung eine falsche Bankverbindung enthalten?
Ja, wenn Kommunikation manipuliert wurde oder jemand eine gefälschte Rechnung verschickt. Prüfe neue Bankverbindungen über einen bekannten offiziellen Kontaktweg, besonders bei hohen Beträgen oder geänderten Zahlungsdaten.
Wie schütze ich mich vor gefälschten Supportanrufen?
Lege bei unerwartetem Druck auf, installiere keine Fernwartung und nenne keine Codes. Rufe Support nur über bekannte offizielle Wege zurück und öffne kein Onlinebanking während einer Fernwartung.
Muss ich jede unbekannte E-Mail ignorieren?
Nein. Manche unbekannten Nachrichten sind legitim. Entscheidend ist, ob Handlung, Link, Anhang, Zahlung oder Datenabfrage plausibel sind. Prüfe wichtige Vorgänge über offizielle Wege statt über den Mail-Link.
Fazit: Nicht das Aussehen, sondern die unabhängige Prüfung entscheidet
Phishing wird gefährlich, wenn eine Nachricht dich direkt in die Handlung zieht: klicken, anmelden, zahlen, Code nennen, Datei öffnen. Genau dort hilft ein kurzer Stopp.
Prüfe Absender, Domain und Linkziel. Öffne wichtige Dienste selbst und vergleiche, ob der behauptete Vorgang dort wirklich erscheint. Professionelles Design, korrekte Sprache und HTTPS reichen als Beweis nicht aus.
Wenn doch etwas passiert ist, zählt ruhiges Handeln: Daten sichern, echte Konten prüfen, Passwörter gezielt ändern und Anbieter oder Bank über offizielle Wege kontaktieren.
Informationsstand: Juli 2026. Dieser Ratgeber ist allgemeine Verbraucherinformation und keine individuelle Rechts-, Finanz-, Polizei- oder IT-Forensik-Beratung. Funktionen, Warnungen und Meldewege können sich je Anbieter, Gerät, Browser und Land unterscheiden.
Informationen zur Datenverarbeitung auf dieser Website findest du in der Datenschutzerklärung. Details zur Finanzierung stehen im Affiliate-Hinweis. Für Hinweise oder Korrekturen nutze die Kontaktseite.
- Phishing-Grundlagen, Warnzeichen und Verhalten nach Klick oder Dateneingabe: Verbraucherzentrale zu Phishing-Mails, BSI zu Sicherheitsirrtümern bei E-Mail, BSI Cyber-Sicherheitsempfehlungen
- Browser-, Anbieter- und Support-Hinweise: Google Chrome Safe-Browsing-Warnungen, Microsoft: Schutz vor Phishing, Microsoft: Onlinebetrug und Angriffe
- Telefon, SMS, Messenger, Banking und Alltagsfälle: Bundesnetzagentur zu Rufnummern und Spam, Polizeiliche Kriminalprävention zu Messenger-Betrug, BaFin Verbraucherwarnungen, Deutsche Post/DHL Sicherheitshinweise, Telekom: Echtheit von Rechnungen prüfen
- Passkeys, Anbieterbeispiele und Meldemöglichkeiten: FIDO Alliance zu Passkeys, Proton: Phishing melden, Infomaniak: Phishing melden