Phishing: die Falle erkennen und ohne Panik reagieren

An einem Montagmorgen erhalten Sie eine E-Mail Ihres Lieferdienstes. Das Paket kann nicht zugestellt werden, es fehlen 1,95 Euro, und die Nachricht fordert Sie auf, „jetzt zu begleichen“. Sie erwarten tatsächlich ein Paket. Das Logo stimmt, der Satz ist gut formuliert, und der Betrag ist so gering, dass er Sie nicht beunruhigt.

Genau das macht Phishing wirksam. Es versucht nicht immer, eine außergewöhnliche Geschichte zu erzählen. Es sucht den richtigen Moment, in dem eine banale Nachricht mit Ihrem Leben zusammenfällt.

Einen Versuch zu erkennen, heißt daher nicht mehr, Rechtschreibfehler zu suchen. Man muss die Situation betrachten, die verlangte Handlung und die Möglichkeit, sie zu überprüfen.

Die Kulisse wechselt, das Ziel bleibt dasselbe

Eine Phishing-Nachricht will in der Regel eines dieser Dinge erreichen:

• Ihr Passwort oder einen Anmeldecode;
• Ihre Bankdaten oder eine itsme-Bestätigung;
• das Öffnen einer Datei oder die Installation einer Software;
• eine Zahlung;
• persönliche Informationen, die sich für einen späteren Betrug nutzen lassen.

Das Paket, das Bußgeld, die Steuererstattung, das gesperrte Konto und die Rechnung sind nur Vorwände. Diese Lesart ist nützlich, weil sie auch bei einem völlig neuen Szenario funktioniert.

Fragen Sie sich beim Lesen einer Nachricht: „Wenn ich die Anweisungen genau befolge, was bekommt der Absender dann?“

Erstes Signal: Ihre Bedenkzeit wird verkürzt

„Letzte Mahnung“, „Konto wird heute Abend gesperrt“, „Zahlung sofort bestätigen“. Künstliche Dringlichkeit beweist allein noch keinen Betrug, sollte aber Ihr Verhalten ändern: Je mehr eine Nachricht drängt, desto mehr sollten Sie bremsen.

Betrüger fügen mitunter einen zweiten Druck hinzu: Vertraulichkeit. Ein falscher Geschäftsführer bittet Sie, mit niemandem über einen heiklen Vorgang zu sprechen. Ein falscher Bankberater behauptet, die Ermittlung scheitere, wenn Sie Ihre Filiale kontaktieren. Diese Aufforderung zur Isolation ist ein besonders starkes Signal.

Eine seriöse Organisation akzeptiert, dass Sie die Nachricht schließen und über ihren offiziellen Kanal zurückkommen.

Der angezeigte Name ist nicht die Adresse

Ihr E-Mail-Programm kann „Bank“, „Geschäftsleitung“ oder den Vornamen eines Angehörigen anzeigen, obwohl die tatsächliche Adresse völlig anders lautet. Öffnen Sie am Computer die Absenderdetails. Tippen Sie auf dem Smartphone auf den Namen, um die vollständige Adresse zu sehen.

Achten Sie auf den Teil nach dem `@`. Die irreführendsten Varianten fügen ein Wort hinzu, ersetzen einen Buchstaben oder verwenden eine andere Endung. Eine Adresse wie `service@bank-verifizierung.example` kann plausibel wirken, weil sie den erwarteten Namen enthält; die eigentliche Domain bleibt das, was unmittelbar vor der Endung steht.

Aber Vorsicht: Eine korrekte Adresse garantiert keine echte Nachricht. Ein Postfach kann kompromittiert sein. Deshalb muss man auch die Anfrage selbst prüfen.

Ein Link kann das eine sagen und etwas anderes öffnen

Der sichtbare Text einer Schaltfläche beweist nichts. Fahren Sie am Computer mit dem Mauszeiger darüber, ohne zu klicken. Auf dem Smartphone zeigt langes Drücken oft das Ziel an.

Sehr lange Adressen, Linkverkürzer und Weiterleitungsseiten erschweren das Lesen. Versuchen Sie nicht, Experte für jede URL zu werden. Betrifft die Nachricht ein bestehendes Konto, ist die sicherste Methode einfacher: Folgen Sie dem Link nicht. Öffnen Sie die gewohnte App oder geben Sie die bekannte Adresse selbst ein.

Ist die Warnung echt, erscheint sie in der Regel in Ihrem Kundenbereich.

Eine ungewöhnliche Anfrage sagt mehr als ein Tippfehler

Stellen Sie einige konkrete Fragen:

• ist es normal, dass diese Organisation mich per E-Mail nach einem Code fragt?
• habe ich diesen Lieferanten schon einmal auf dieses Bankkonto bezahlt?
• warum muss jemand, der mich anruft, dass ich einen Vorgang bestätige?
• warum soll ich ein Fernzugriffswerkzeug installieren?
• warum wechselt dieser Kollege plötzlich Kanal und Tonfall?

Eine Bank fragt nicht nach Ihren persönlichen Codes. Eine seriöse IT-Abteilung fragt nicht nach Ihrem Passwort. Eine Behörde verlangt nicht, dass Sie Geld auf ein „Schutzkonto“ überweisen.

Modernes Phishing läuft über mehrere Kanäle

Die E-Mail ist vielleicht nur der Anfang. Nach einem Klick ruft jemand an und behauptet, Ihnen zu helfen. Ein falscher Support setzt das Gespräch auf WhatsApp fort. Ein QR-Code führt zu einer mobilen Seite, auf der die Adresse weniger sichtbar ist.

Jeder neue Kanal scheint den vorherigen zu bestätigen, obwohl alle vom selben Team kontrolliert werden. Deshalb ist „die Nummer aus der Nachricht anrufen“ keine unabhängige Überprüfung.

Nutzen Sie zur Überprüfung eine bereits gespeicherte Nummer, die Nummer auf Ihrer Bankkarte, eine alte Rechnung oder die separat gefundene offizielle Website.

Und wenn die Nachricht wirklich von einem Kollegen kommt?

Ein kompromittiertes berufliches Postfach erlaubt es dem Betrüger, Gespräche mitzulesen und im richtigen Moment einzugreifen. Er kann eine Signatur übernehmen, eine echte Rechnung zitieren und im bestehenden Verlauf antworten.

Finanzielle Anfragen müssen daher einem von der E-Mail unabhängigen Verfahren folgen. Eine Änderung der Bankverbindung wird telefonisch bei einem bekannten Kontakt bestätigt. Eine ungewöhnliche Zahlung erhält eine zweite Freigabe. Die Regel schützt ebenso vor Hacking wie vor internen Fehlern.

Einmalcodes machen eine gefälschte Website nicht sicher

Manche Phishing-Seiten leiten Ihren Benutzernamen und Ihr Passwort in Echtzeit an den echten Dienst weiter. Dann fragen sie nach dem erhaltenen Code und spielen ihn sofort ein. Authentifizierung per App oder SMS bleibt nützlich, verhindert aber nicht alle Angriffe.

Passkeys und physische Sicherheitsschlüssel bieten mehr Widerstand: Sie prüfen die Domain der Website. Auf einer Nachahmung verweigern sie normalerweise die Anmeldung.

Aktivieren Sie sie vorrangig für Ihr E-Mail-Konto, Ihren Passwort-Manager und Ihre Administratorkonten.

Sie haben geklickt: Was nun?

Ein Klick hat nicht immer dieselben Folgen. Keine Panik; klären Sie, was passiert ist.

### Sie haben nur die Seite geöffnet

Schließen Sie sie. Laden Sie nichts herunter und füllen Sie kein Feld aus. Leiten Sie die Nachricht an `suspect@safeonweb.be` weiter. Verhält sich der Browser oder das Gerät seltsam, lassen Sie es überprüfen.

### Sie haben ein Passwort eingegeben

Ändern Sie von einem sauberen Gerät aus das Passwort des betroffenen Kontos. Wurde es mehrfach verwendet, ändern Sie es überall. Widerrufen Sie aktive Sitzungen, prüfen Sie die Wiederherstellungsadresse und kontrollieren Sie die Weiterleitungsregeln Ihres Postfachs.

### Sie haben einen Code weitergegeben oder itsme bestätigt

Wenden Sie sich sofort über eine offizielle Nummer an die betroffene Organisation. Geht es um einen Bankvorgang, rufen Sie unverzüglich Ihre Bank an. Ändern Sie nicht nur ein Passwort: Der Vorgang könnte bereits autorisiert sein.

### Sie haben eine Datei geöffnet oder ein Programm installiert

Trennen Sie das Gerät vom Netzwerk, ohne Beweise zu löschen. Kontaktieren Sie Ihren Support oder einen Fachmann. Melden Sie den Vorfall in einer Organisation sofort; Zeit, die man mit dem Verbergen eines Fehlers verliert, hilft nur dem Angreifer.

Eine Kultur, in der Melden kein Schuldeingeständnis ist

Sensibilisierungskampagnen wiederholen oft „Nicht klicken“. Das reicht nicht. Nachrichten sind darauf angelegt, den Klick auszulösen, und wer in Eile ist, wird sich irgendwann irren.

Eine widerstandsfähige Organisation legt klar fest:

• wohin man eine zweifelhafte Nachricht weiterleitet;
• wen man nach einer Fehlbedienung anruft;
• dass eine schnelle Meldung nicht bestraft wird;
• welche Vorgänge eine zweite Freigabe erfordern.

Der erste Kollege, der eine Kampagne meldet, kann das ganze Team schützen. Schweigen hingegen macht aus einem individuellen Fehler einen kollektiven Vorfall.

Offizielle Quellen

• Safeonweb — Tipps zu Phishing
• CCB — die Cyber-Realität in Belgien 2025 (FR)
• Verdächtige Nachrichten melden: `suspect@safeonweb.be`