Phishing erklärt: So erkennen und vermeiden Sie betrügerische E-Mails

Beim häufigsten Cyberangriff der Welt werden nicht Computer, sondern Menschen gehackt. Beim Phishing werden Sie dazu verleitet, Passwörter, Kartendaten oder Geld preiszugeben, indem Sie sich als vertrauenswürdige Person ausgeben. Es steckt hinter vielen Verstößen und die einzige wirkliche Verteidigung besteht darin, zu wissen, wie man es erkennt. Hier ist Ihr Feldführer.

Was Phishing ist

Phishing ist eine betrügerische Nachricht – normalerweise per E-Mail, aber auch per SMS („Smishing“) oder Telefonnachricht („Vishing“) – die so gestaltet ist, dass sie legitim aussieht, sodass Sie auf einen schädlichen Link klicken, einen Anhang öffnen oder vertrauliche Informationen preisgeben. Der Angreifer gibt sich als eine Bank, ein Lieferunternehmen, ein Kollege oder ein von Ihnen genutzter Dienst aus.

Die roten Fahnen

• Dringlichkeit und Angst: „Ihr Konto wird in 24 Stunden geschlossen!“ Druck bringt dich zum Denken.
• Allgemeine Begrüßung: „Sehr geehrter Kunde“ anstelle Ihres Namens.
• Nicht übereinstimmende Links: Bewegen Sie den Mauszeiger über einen Link und das tatsächliche Ziel weicht vom Text ab.
• Etwas falsche Absenderadressen: [email protected] statt paypal.com.
• Unerwartete Anhänge oder Anfragen nach Passwörtern, Codes oder Zahlungen.
• Rechtschreib- und Grammatikfehler, die ein echtes Unternehmen nicht machen würde.

Die goldene Regel: Überprüfen Sie den Link, bevor Sie klicken

Bewegen Sie den Mauszeiger über einen Link, um zu sehen, wohin er wirklich führt (auf Mobilgeräten langes Drücken). Seriöse Unternehmen nutzen ihre eigene Domain. Wenn eine „Bank“-E-Mail auf eine zufällige oder ähnliche Domain verweist, handelt es sich um eine Fälschung. Sie können die Registrierung einer verdächtigen Domain mit unserer WHOIS-Suche untersuchen und ihr Alter mit dem Domain-Alterprüfer überprüfen – betrügerische Domains sind oft Tage alt.

Wenn Sie Zweifel haben, wenden Sie sich direkt an

Verwenden Sie niemals den Link oder die Telefonnummer in einer verdächtigen Nachricht. Öffnen Sie stattdessen einen neuen Browser-Tab und geben Sie die Adresse des Unternehmens selbst ein oder rufen Sie die Nummer auf Ihrer Karte oder auf der offiziellen Website an. Diese einzige Angewohnheit vereitelt fast jeden Phishing-Versuch.

Was tun, wenn Sie erwischt wurden?

Wenn Sie ein Passwort eingegeben haben, ändern Sie es sofort (und überall dort, wo Sie es wiederverwendet haben – ein weiterer Grund, es nicht zu tun). Aktivieren Sie die Zwei-Faktor-Authentifizierung, die Sie retten kann, selbst wenn ein Passwort durchsickert. Melden Sie die Nachricht Ihrem E-Mail-Anbieter und dem imitierten Unternehmen. Organisationen wie die FTC nehmen ebenfalls Berichte entgegen.

Spear-Phishing: wenn es persönlich ist

Generisches Phishing zerstört Millionen von Posteingängen, aber Spear-Phishing zielt gezielt auf Sie ab und verwendet echte Details – Ihren Namen, Ihren Arbeitgeber, einen kürzlich getätigten Kauf –, um den Eindruck von Seriosität zu erwecken. Eine gefährliche Variante, „Business Email Compromise“, gibt sich als Ihr Chef oder Lieferant aus, um eine gefälschte Zahlung zu autorisieren. Da diese personalisiert sind, können die üblichen Tippfehler und allgemeinen Begrüßungen fehlen. Die Verteidigung verlagert sich auf den Prozess: Überprüfen Sie ungewöhnliche Anfragen (insbesondere Geld oder Anmeldeinformationen) über einen zweiten Kanal, wie einen Anruf bei einer bekannten Nummer, bevor Sie handeln.

Jenseits von E-Mail: Smishing und Vishing

Phishing ist nicht nur E-Mail. Smishing verwendet Textnachrichten („Ihr Paket wird zurückgehalten – zahlen Sie eine Gebühr“) und Vishing verwendet Telefonanrufe (eine gefälschte „Bankbetrugsabteilung“). Die Psychologie ist identisch: Dringlichkeit plus ein vertrauenswürdig wirkender Absender. Es gilt überall die gleiche Regel: Handeln Sie niemals aufgrund der Kontaktdaten in der Nachricht. Legen Sie auf und rufen Sie die Nummer auf Ihrer Karte an oder geben Sie selbst die Firmenadresse ein. Behandeln Sie unaufgeforderte Dringlichkeit auf jedem Kanal als Warnsignal.

Wie Technologie hilft – und warum sie nicht ausreicht

Spamfilter, Browserwarnungen und E-Mail-Authentifizierung (SPF, DKIM, DMARC) erkennen viele Phishing-Angriffe, bevor Sie sie überhaupt bemerken. Aber Angreifer passen sich ständig an, und irgendwann landet eine überzeugende Nachricht in Ihrem Posteingang. Deshalb ist die menschliche Ebene am wichtigsten: gesunde Skepsis, Überprüfung über einen zweiten Kanal und – ganz entscheidend – Zwei-Faktor-Authentifizierung, die Sie schützt, selbst wenn Sie versehentlich auf einer gefälschten Website ein Passwort eingeben.

Fazit

Phishing nutzt Vertrauen und Dringlichkeit aus, nicht technische Schwächen. Gehen Sie langsamer vor, überprüfen Sie Absenderadressen und Linkziele, reagieren Sie niemals auf die eigenen Links der Nachricht und gehen Sie im Zweifelsfall direkt zur Quelle. Kombinieren Sie diese Skepsis mit 2FA und einzigartigen Passwörtern, und Sie neutralisieren den häufigsten Angriff im Internet.