Phishing erkennen: die häufigsten Maschen und wie du sie durchschaust

Phishing ist der Versuch, dir mit einer gefälschten Nachricht ein Geheimnis zu entlocken: dein Passwort, eine TAN, eine Kreditkartennummer. Die Nachricht sieht aus, als käme sie von deiner Bank, einem Paketdienst oder einem Onlineshop. In Wirklichkeit führt sie dich auf eine nachgebaute Seite, die alles abgreift, was du eintippst. Die gute Nachricht: Fast alle Phishing-Versuche folgen denselben Mustern. Wenn du sie einmal kennst, fällst du deutlich seltener darauf herein.

Warum Phishing so gut funktioniert

Phishing zielt nicht auf deine Technik, sondern auf deine Aufmerksamkeit. Die Nachrichten erzeugen Druck: Dein Konto sei gesperrt, ein Paket könne nicht zugestellt werden, eine Rechnung sei offen. Wer unter Zeitdruck oder in Sorge klickt, prüft weniger genau. Genau darauf setzen die Absender. Deshalb ist die wichtigste Gegenmaßnahme nicht ein Programm, sondern eine kurze Pause vor dem Klick.

Die fünf häufigsten Warnzeichen

Die meisten gefälschten Nachrichten tragen mehrere dieser Merkmale gleichzeitig:

Dringender Handlungsdruck. “Innerhalb von 24 Stunden bestätigen, sonst wird Ihr Konto gelöscht.” Seriöse Anbieter setzen dir selten so knappe Fristen.
Unpersönliche oder falsche Anrede. “Sehr geehrter Kunde” statt deines Namens, oder ein Name, der gar nicht zu dir gehört.
Ein Link, der woanders hinführt. Der sichtbare Text sagt das eine, das eigentliche Ziel ist ein anderes. Auf dem Rechner siehst du das Ziel, wenn du mit der Maus über den Link fährst, ohne zu klicken.
Aufforderung, Daten einzugeben. Passwort, TAN, Kreditkartennummer: Kein seriöser Dienst fragt so etwas per Mail oder SMS ab.
Absenderadresse, die nur fast stimmt. Eine Ziffer zu viel, eine ungewöhnliche Endung, ein Zusatz vor dem eigentlichen Namen. Die angezeigte Adresse lässt sich fälschen, die tatsächliche verrät sich oft im Detail.

Einzeln kann jedes Zeichen ein Zufall sein. Treffen zwei oder drei zusammen, ist Vorsicht angebracht.

So prüfst du eine verdächtige Nachricht

Nicht auf den Link in der Nachricht klicken. Gib die Adresse des Dienstes stattdessen selbst im Browser ein oder nutze ein gespeichertes Lesezeichen. So landest du garantiert auf der echten Seite.
Den Absender genau ansehen. Tippe auf den Namen, um die tatsächliche Adresse dahinter zu sehen. Weicht sie ab, ist das ein deutliches Signal.
Auf die Sprache achten. Holprige Formulierungen, seltsame Zeichen oder ein Text, der wirkt wie schlecht übersetzt, sind typisch. Beachte aber: Diese Nachrichten werden sprachlich immer besser, verlass dich also nicht allein darauf.
Im Zweifel direkt nachfragen. Ruf den Anbieter über die Nummer an, die auf deiner Rechnung oder der offiziellen Website steht, niemals über eine Nummer aus der verdächtigen Nachricht.

Die typischen Maschen

Phishing kommt in wiederkehrenden Verkleidungen. Wenn du sie kennst, erkennst du sie schneller wieder:

Die Bank-Warnung. “Ungewöhnliche Aktivität festgestellt, bitte bestätigen Sie Ihre Identität.” Ziel ist deine Zugangsdaten samt TAN.
Die Paket-SMS. Eine angebliche Sendung hänge im Zoll fest oder brauche eine kleine Gebühr, samt Link zu einer nachgebauten Zusteller-Seite.
Das gesperrte Konto. Ein Streaming-Dienst, ein E-Mail-Anbieter oder ein Bezahldienst behaupte, dein Zugang sei eingeschränkt.
Die dringende Chef-Bitte. In Unternehmen gibt sich jemand als Vorgesetzter aus und bittet um eine schnelle Überweisung oder Gutscheincodes.

Neu ist, dass diese Nachrichten mit KI-Hilfe kaum noch Fehler enthalten. Umso wichtiger werden die inhaltlichen Warnzeichen: KI macht Phishing-Mails überzeugender.

Was du tust, wenn du doch geklickt hast

Es passiert selbst aufmerksamen Menschen. Wichtig ist, dann schnell zu handeln:

Hast du nur geklickt, aber nichts eingegeben? Meist ist das unkritisch. Trotzdem: Gerät auf Aktualität prüfen und aufmerksam bleiben.
Hast du Zugangsdaten eingegeben? Ändere sofort das Passwort des betroffenen Kontos, am besten über ein zweites, sauberes Gerät. Hast du dasselbe Passwort woanders benutzt, ändere es auch dort.
Sichere das Konto mit einem zweiten Faktor ab. Ein gestohlenes Passwort allein reicht Angreifern dann nicht mehr aus. Wie das geht, steht in Zwei-Faktor-Authentifizierung.
Behalte dein Konto im Blick. Prüfe Anmeldungen, Weiterleitungen und Kontobewegungen in den nächsten Tagen.

Der beste Schutz auf Dauer

Zwei Maßnahmen entziehen Phishing einen Großteil seiner Wirkung. Erstens ein Passwort-Manager: Er füllt Zugangsdaten nur auf der echten Adresse aus. Bleibt das Feld auf einer täuschend echten Seite leer, ist das ein Warnsignal. Zweitens Passkeys, die grundsätzlich nicht auf gefälschten Seiten funktionieren, weil sie fest an die echte Adresse gebunden sind. Wie das genau wirkt, erklärt Passkeys erklärt.

Phishing lebt von Eile und Vertrauen. Wenn du dir angewöhnst, bei jeder unerwarteten Aufforderung kurz innezuhalten und den Weg zur echten Seite selbst zu gehen, hast du den größten Teil der Gefahr bereits gebannt.