Phishing erkennen: So entlarvst du gefälschte Mails, SMS und Webseiten

Kurz gesagt: Phishing lebt von zwei Dingen — Zeitdruck und Gewohnheit. Wer bei jeder Nachricht mit angeblichem Handlungsdruck kurz innehält, den Absender und den Link prüft (ohne zu klicken) und niemals Passwörter, PINs oder TANs über einen Link aus einer Mail oder SMS eingibt, fällt praktisch nicht mehr herein. Alles andere in diesem Ratgeber sind die Details, mit denen du auch die raffinierten Fälschungen entlarvst.

Phishing ist die häufigste Betrugsform im Netz — und sie trifft nicht nur unvorsichtige Menschen. Die Nachrichten werden jedes Jahr besser: sauberes Deutsch, echte Logos, richtige Anrede, Absender, die täuschend nach „paypal.de" oder „dhl.de" aussehen. Die gute Nachricht: Fast jede Phishing-Masche folgt demselben Muster. Wenn du dieses Muster einmal verstanden hast, erkennst du gefälschte Mails, SMS und Webseiten in Sekunden. Genau darum geht es hier.

Was ist Phishing — ohne Fachchinesisch

Phishing (gesprochen wie das englische „fishing", also Angeln) bedeutet: Kriminelle geben sich als vertrauenswürdige Absender aus — deine Bank, PayPal, DHL, Amazon, eine Behörde — und versuchen, dir Daten zu „angeln". Meist wollen sie Zugangsdaten (Benutzername und Passwort), Bankdaten, Kreditkartennummern oder eine TAN. Manchmal geht es auch nur darum, dich auf eine verseuchte Seite zu locken oder dich zu einer Zahlung zu bewegen.

Der Trick ist immer derselbe: Du sollst nicht nachdenken, sondern reagieren. Deshalb erzeugen die Nachrichten Druck („Dein Konto wird in 24 Stunden gesperrt"), wecken Angst („unautorisierte Abbuchung festgestellt") oder locken mit etwas Gutem („Paket konnte nicht zugestellt werden — hier neuen Termin wählen"). In dem Moment, in dem du unter Druck klickst, hat der Angriff schon halb gewonnen.

Phishing, Smishing, Vishing — dieselbe Masche, andere Kanäle

• Phishing läuft klassisch über E-Mail. Der Klassiker: eine gefälschte Bank- oder PayPal-Mail mit Link zu einer nachgebauten Login-Seite.
• Smishing ist Phishing per SMS (das „S" steht für SMS). Der Dauerbrenner in Deutschland: die angebliche Paket-Nachricht von DHL, Hermes oder dem Zoll mit einem Link zur „Sendungsverfolgung" oder zur Zahlung einer kleinen Gebühr.
• Vishing ist Phishing per Anruf (von „voice"). Hier meldet sich eine angebliche Bank-Mitarbeiterin, ein „Microsoft-Support" oder ein falscher Polizist und will dich am Telefon zu Überweisungen oder zur Herausgabe von Daten bewegen.

Egal über welchen Kanal: Die Warnzeichen sind fast immer dieselben. Wenn du sie einmal kennst, ist es egal, ob die Masche als Mail, SMS oder Anruf kommt.

Warum ausgerechnet du? So kommen Betrüger an deine Daten

Phishing fühlt sich persönlich an — ist es aber fast nie. Meist verschicken Kriminelle dieselbe Nachricht an Hunderttausende gleichzeitig. Deine Mailadresse oder Handynummer haben sie fast immer aus einer von drei Quellen: aus einem Datenleck bei einem Anbieter, bei dem du irgendwann Kunde warst; aus gekauften Adresslisten im kriminellen Untergrund; oder schlicht per Zufallsgenerator, der Nummern und Adressen durchprobiert.

Das erklärt zwei wichtige Dinge. Erstens: Dass eine Nachricht deinen echten Namen kennt, heißt nicht, dass sie echt ist — Namen stehen oft mit in den geleakten Daten. Zweitens: Du musst nichts „falsch gemacht" haben, um zum Ziel zu werden. Ob deine Mailadresse in einem bekannten Leck auftaucht, kannst du übrigens kostenlos prüfen — etwa mit dem Identity Leak Checker des Hasso-Plattner-Instituts oder bei „Have I Been Pwned". Taucht sie auf, ändere dort das Passwort und schalte die Zwei-Faktor-Bestätigung ein.

Was Betrüger mit deinen Daten machen

Erbeutete Zugangsdaten werden selten sofort benutzt. Häufig landen sie in Sammlungen, die im Netz weiterverkauft werden. Mit deinem Passwort probieren Täter dann automatisiert Hunderte andere Dienste durch (weil viele Menschen dasselbe Passwort mehrfach nutzen), kaufen auf deine Kosten ein, missbrauchen dein Konto, um weitere Opfer anzuschreiben, oder eröffnen in deinem Namen Verträge. Genau deshalb sind zwei Dinge so wirksam: für jeden Dienst ein eigenes Passwort — und ein zweiter Faktor beim Login.

Die wichtigsten Warnzeichen einer Phishing-Nachricht

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt eine Handvoll klarer Indikatoren. Wir haben sie um die Merkmale erweitert, die uns in echten Fällen am häufigsten begegnen. Je mehr davon zutreffen, desto sicherer ist es Betrug.

1. Zeitdruck und Drohung

„Handle sofort", „nur noch heute gültig", „dein Konto wird gesperrt", „letzte Mahnung". Seriöse Unternehmen setzen dich nicht mit einer 24-Stunden-Frist unter Druck, um Zugangsdaten zu bestätigen. Druck ist das mit Abstand häufigste Phishing-Merkmal — und dein wichtigstes Warnsignal.

2. Aufforderung, sensible Daten einzugeben

Keine Bank, kein Zahlungsdienst und keine Behörde fordert dich per Mail oder SMS auf, dein Passwort, deine PIN, eine TAN oder komplette Kreditkartendaten „zur Bestätigung" einzugeben. Wer das verlangt, will dich betrügen — ohne Ausnahme. Das ist die eiserne Regel.

3. Ein Link oder Formular, das du benutzen sollst

Phishing braucht fast immer einen Klick. Die Nachricht drängt dich, einem Link zu folgen oder ein eingebettetes Formular auszufüllen. Genau hier steckt die Falle: Der Link führt nicht dorthin, wo er vorgibt.

4. Eine gefälschte oder seltsame Absenderadresse

Der angezeigte Name kann alles behaupten. Entscheidend ist die echte Adresse dahinter. Fahre mit der Maus über den Absender (ohne zu klicken) oder tippe ihn lange an, um die vollständige Adresse zu sehen. Verdächtig sind Adressen wie service@paypal-sicherheit-kundencenter.com oder dhl@paket-info24.net — echte Nachrichten kommen von der echten Domain (etwa @paypal.de, @dhl.de), nicht von kreativen Zusätzen.

5. Unpersönliche Anrede — aber Vorsicht mit diesem Merkmal

„Sehr geehrter Kunde" statt deines Namens ist ein klassisches Warnsignal. Aber verlass dich nicht darauf: Bei Datenlecks landen oft auch echte Namen und Mailadressen bei den Tätern. Eine persönliche Anrede ist heute kein Beweis für Echtheit.

6. Rechtschreibung ist kein Freibrief mehr

Früher galt: schlechtes Deutsch = Betrug. Das stimmt heute nur noch halb. Dank Übersetzungstools und KI schreiben viele Phishing-Mails inzwischen fehlerfrei. Fehler entlarven eine Fälschung — ihr Fehlen beweist aber gar nichts. Verlass dich nie darauf, dass „das sah doch professionell aus".

7. Ein Anliegen, das du gar nicht hast

Eine Paketbenachrichtigung, obwohl du nichts bestellt hast. Eine „Rückerstattung", die du nie beantragt hast. Eine Rechnung für etwas, das du nicht kennst. Unerwartete Vorgänge, die eine Reaktion verlangen, sind ein starkes Warnsignal.

8. Anhänge, die du nicht erwartest

Rechnungen als ZIP, eine „Mahnung" als Word-Datei, ein angebliches Foto als ausführbare Datei: Unerwartete Anhänge können Schadsoftware enthalten. Öffne sie nicht, wenn du die Nachricht nicht zweifelsfrei zuordnen kannst.

9. Ungewöhnliche Bitte von einem bekannten Absender

Auch wenn die Nachricht scheinbar von einer Person oder Firma kommt, die du kennst: Wenn plötzlich Geld, Gutscheincodes oder Zugangsdaten verlangt werden, ist Vorsicht angebracht. Konten werden gehackt, Absender werden gefälscht.

10. Der Link zeigt woanders hin, als er sagt

Der sichtbare Text kann „www.deine-bank.de" lauten, während der echte Link ganz woanders hinführt. Wie du das prüfst, ohne zu klicken, steht gleich im Kapitel zu gefälschten Webseiten.

Der 7-Sekunden-Phishing-Check

Für den Alltag brauchst du keine Checkliste mit zwanzig Punkten. Stell dir bei jeder verdächtigen Nachricht diese sieben Fragen. Ein einziges klares „Ja" bei den ersten drei genügt oft schon, um die Nachricht zu löschen.

• Werde ich unter Druck gesetzt? (Frist, Drohung, Dringlichkeit)
• Soll ich Passwort, PIN, TAN oder Kartendaten eingeben?
• Passt der echte Absender wirklich zur angeblichen Firma?
• Habe ich diesen Vorgang überhaupt ausgelöst?
• Wohin führt der Link wirklich? (Adresse ansehen, nicht klicken)
• Wird mit etwas Ungewöhnlichem gelockt? (Rückerstattung, Gewinn, Gebühr)
• Habe ich ein ungutes Bauchgefühl? Das ist öfter richtig, als du denkst.

Im Zweifel gilt immer dieselbe sichere Regel: Nicht auf den Link tippen. Öffne stattdessen die offizielle App oder gib die Adresse der Firma von Hand im Browser ein und prüfe dort, ob wirklich etwas ansteht.

So prüfst du eine verdächtige Mail Schritt für Schritt

Wenn du dir bei einer Nachricht unsicher bist, geh sie ruhig in dieser Reihenfolge durch — es dauert keine halbe Minute:

1. Absender aufklappen. Tippe (Handy) oder fahre mit der Maus (PC) auf den Absendernamen, bis die vollständige Adresse erscheint. Passt die Domain hinter dem @ wirklich zur Firma? „service@paypal.de" ja, „paypal@secure-mail-service.com" nein.
2. Anliegen hinterfragen. Erwarte ich diese Nachricht überhaupt? Habe ich hier ein Konto, eine Bestellung, einen laufenden Vorgang? Wenn nein, hat sich die Sache oft schon erledigt.
3. Ton prüfen. Wird Druck aufgebaut, gedroht, eine Frist gesetzt? Werde ich zu Passwort, TAN oder Kartendaten gedrängt? Beides sind rote Flaggen.
4. Link ansehen, nicht anklicken. Halte den Link lange gedrückt bzw. fahre mit der Maus darüber und lies das echte Ziel. Stimmt die Domain nicht, ist es Betrug.
5. Im Zweifel den offiziellen Weg gehen. Schließe die Nachricht, öffne die echte App oder tippe die Adresse selbst ein und sieh dort nach. Nur so umgehst du jede Falle in der Nachricht sicher.

Diese fünf Schritte funktionieren bei jeder Mail, jeder Marke und jeder neuen Masche — weil sie nicht am Aussehen ansetzen, sondern am Verhalten der Nachricht.

So sieht Phishing wirklich aus — echte Beispiele

Theorie ist gut, Beispiele sind besser. Hier drei Maschen, die in Deutschland ständig kursieren — mit den konkreten Merkmalen, an denen du sie erkennst.

Beispiel 1: Die gefälschte PayPal-Mail

Betreff: „Ungewöhnliche Aktivität — Ihr Konto wurde vorübergehend eingeschränkt". Im Text: dein (echter) Name, das PayPal-Logo, ein blauer Button „Jetzt bestätigen". Angeblich musst du deine Identität bestätigen, sonst bleibt das Konto gesperrt.

Woran du sie erkennst: Der Absender lautet nicht @paypal.de, sondern etwa @paypal-services-secure.com. Der Button führt auf eine Seite, deren Adresse mit „paypal" nur spielt (etwa paypal.konto-verify.com). Und der eigentliche Verräter: PayPal fordert dich nie per Mail auf, über einen Link Passwort oder Kreditkartendaten einzugeben. Echte Sicherheitsprüfungen erledigst du immer direkt in der App oder unter paypal.de — nie über einen Mail-Button.

Beispiel 2: Die DHL-Paket-SMS (Smishing)

„DHL: Ihr Paket konnte nicht zugestellt werden. Bitte bestätigen Sie Ihre Adresse: hxxp://dhl-paket.info/de". Manchmal geht es um eine angebliche Zollgebühr von 1 bis 3 Euro, die du „schnell" zahlen sollst.

Woran du sie erkennst: Echte Paketdienste verlangen keine Zoll- oder Zustellgebühr per SMS-Link. Der Link nutzt eine wilde Domain (dhl-paket.info, dhl-tracking24.net) statt dhl.de. Und die kleine Gebühr ist der Trick: Über das Zahlungsformular greifen die Täter deine Kreditkartendaten ab — nicht die drei Euro sind das Ziel, sondern deine kompletten Kartendaten. Erwartest du wirklich ein Paket, prüfe es in der offiziellen DHL-App oder auf dhl.de mit deiner Sendungsnummer.

Beispiel 3: Das Bank-Phishing „Konto gesperrt"

Als Mail oder SMS von „Sparkasse", „ING" oder „Commerzbank": Dein Konto oder das pushTAN-Verfahren sei „abgelaufen" oder „gesperrt", du müssest es „reaktivieren". Der Link führt auf eine perfekt nachgebaute Login-Seite deiner Bank.

Woran du sie erkennst: Deine Bank schreibt dir wichtige Sicherheitsthemen in der Regel über das Postfach im Online-Banking — nicht per SMS-Link. Sie fragt nie per Link nach Zugangsdaten plus TAN. Und die Adresse der Login-Seite ist nicht die echte Bank-Domain. Im Zweifel: App schließen, Bank-Adresse selbst eintippen, einloggen und im Postfach nachsehen. Steht dort nichts, war die Nachricht Betrug.

Beispiel 4: Das gehackte Konto bei Amazon, Microsoft oder Netflix

„Wir haben eine ungewöhnliche Anmeldung bei deinem Amazon-Konto festgestellt. Bestätige deine Identität, sonst wird dein Konto gesperrt." Oder von „Netflix": „Deine Zahlung ist fehlgeschlagen — aktualisiere jetzt deine Zahlungsdaten." Immer mit Logo, immer mit Button, oft mit deinem Namen.

Woran du sie erkennst: Auch hier gilt die eiserne Regel — kein Anbieter lässt dich per Mail-Link Passwort oder Kreditkarte „bestätigen". Prüfe die echte Absenderadresse und öffne dein Konto ausschließlich über die offizielle App oder die selbst eingetippte Adresse. Steht dort keine Warnung und keine fehlgeschlagene Zahlung, war die Mail Betrug.

Beispiel 5: Die angebliche Steuerrückerstattung vom „Finanzamt"

„Sie haben Anspruch auf eine Rückerstattung von 128,50 €. Geben Sie Ihre Bankdaten an, um die Auszahlung zu erhalten." Absender: ein offiziell klingendes „Bundeszentralamt für Steuern" oder „ELSTER".

Woran du sie erkennst: Finanzämter und Behörden fordern dich nie per Mail oder SMS auf, über einen Link Bankdaten für eine Rückzahlung einzugeben. Erstattungen laufen über deinen Steuerbescheid und das bereits hinterlegte Konto — nie über ein Webformular. Die konkrete Summe soll dich nur neugierig und schnell machen.

Beispiel 6: Die „PSD2-Verifizierung" von PayPal — ein aktueller Fall im Original

So sieht die Masche wirklich aus. Betreff: „Wichtige Information zu Ihrer PSD2-Sicherheitsprüfung", Überschrift: „Sicherheitsmaßnahme: Verpflichtende Verifizierung". Im Text: Ein „automatisierter Prüfungsprozess" habe ergeben, dass deine „Passkey"-Authentifizierung „nicht validiert" sei. Rot hervorgehoben die Drohung: Ohne Handlung binnen 24 Stunden werde dein Konto „vorsorglich eingeschränkt", du könntest kein Geld mehr senden oder empfangen. Zur Beglaubigung beruft sich die Mail auf die „europäischen Richtlinien PSD2 & EBA RTS". Darunter der Button „Zugang jetzt verifizieren".

Woran du sie erkennst: Der eindeutige Verräter ist der Absender — die Mail kommt von oof@cnctrading.co.za, nicht von PayPal. Dazu alle Klassiker auf einmal: die 24-Stunden-Frist, die unpersönliche Anrede „Sehr geehrte Kundin, sehr geehrter Kunde" und offiziell klingende Begriffe (PSD2, EBA RTS, Passkey), die Kompetenz vortäuschen sollen. Genau das ist der Punkt — je technischer und behördlicher eine Mail klingt, desto genauer solltest du hinsehen. Den ganzen Fall haben wir in einer eigenen Warnung aufbereitet.

Phishing bei WhatsApp, Instagram und Facebook

Betrug wandert dorthin, wo die Menschen sind — also längst auch in die Messenger und sozialen Netzwerke. Drei Varianten begegnen dir dort besonders oft:

• Der „Hallo Mama"-Trick: Eine Nachricht von einer unbekannten Nummer, angeblich von deinem Kind: „Hey Mama, mein Handy ist kaputt, das ist meine neue Nummer." Kurz darauf folgt die Bitte, schnell eine Rechnung zu überweisen. Verifiziere so etwas immer über die alte, bekannte Nummer oder einen Anruf — nie durch Überweisung auf die neue Nummer.
• Konto-Übernahme per „Verifizierungscode": Jemand aus deinen Kontakten (dessen Konto bereits gekapert wurde) bittet dich, einen SMS-Code weiterzuleiten, den du „versehentlich" bekommen hast. In Wahrheit ist es dein eigener WhatsApp-Anmeldecode — gibst du ihn weiter, verlierst du dein Konto. Gib solche Codes niemals weiter.
• Gefälschte Gewinnspiele und Gutscheine: „Kaufland verschenkt 500-Euro-Gutscheine", „Du hast bei der Instagram-Verlosung gewonnen". Der Link führt zu Datenabfragen oder Abo-Fallen. Echte Marken verlosen nicht über Kettennachrichten.

Gefälschte Webseiten erkennen

Wenn du doch einmal auf einer Seite landest, entscheidet ein Blick in die Adresszeile über echt oder falsch. Zwei Dinge musst du dafür wissen.

Warum „https" und das Schloss-Symbol dich NICHT schützen

Ein weit verbreiteter Irrtum: „Da ist ein Schloss und https — also sicher." Das ist falsch. Das BSI stellt klar: „https" und das Schloss bedeuten nur, dass die Verbindung verschlüsselt ist — nicht, dass die Seite vertrauenswürdig ist. Betrüger besorgen sich für ihre Fälschungen problemlos die passenden Zertifikate. Das Schloss ist heute also keine Entwarnung mehr, sondern nur die absolute Mindestanforderung.

Die Adresse Zeichen für Zeichen lesen

Was zählt, ist die echte Domain — der Teil direkt vor dem ersten einzelnen Schrägstrich. Lies ihn von rechts nach links bis zum Punkt davor. Beispiele:

• Echt: konto.sparkasse.de/login — die Domain ist sparkasse.de.
• Falsch: sparkasse.de.sicherheit-login.com — die echte Domain ist hier sicherheit-login.com, „sparkasse.de" ist nur Deko davor.
• Falsch: paypal-kundenservice.de oder paypa1.com (mit Eins statt l) — kleine Abweichungen, große Wirkung.

Verdächtig sind außerdem ungewöhnliche Zahlen und Zeichen in der Adresse (Marke „135x-Bank.de") sowie Kurz-URL-Dienste (bit.ly und Co.), die das echte Ziel verbergen. Auf dem Smartphone kannst du einen Link lange gedrückt halten, um die Ziel-Adresse in der Vorschau zu sehen — ohne ihn zu öffnen. Am Computer zeigt ein Mauszeiger über dem Link (ohne Klick) unten im Fenster das echte Ziel.

Neue Maschen: QR-Codes und KI-Phishing

Die Grundregeln bleiben gleich, nur die Verpackung wird neuer. Zwei Entwicklungen solltest du auf dem Schirm haben.

Quishing — Phishing per QR-Code

„Quishing" ist Phishing über einen QR-Code. Der Code steckt in einer Mail, auf einem gefälschten Aushang, in einem Brief oder als Aufkleber, der über den echten Code am Parkautomaten geklebt wurde. Scannst du ihn, landest du auf einer gefälschten Zahlungs- oder Login-Seite. Der Trick: Ein QR-Code verbirgt sein Ziel — du siehst die Adresse erst nach dem Scan. Prüfe deshalb nach jedem Scan zuerst die angezeigte Adresse, bevor du etwas eingibst, und sei bei QR-Codes an öffentlichen Automaten besonders misstrauisch.

KI macht Fälschungen besser

Mit KI-Werkzeugen schreiben Betrüger heute fehlerfreies, überzeugendes Deutsch — und bauen sogar täuschend echte Sprachnachrichten oder ganze Stimmen nach. Für dich heißt das: Verlass dich noch weniger auf „klang echt" oder „war gut geschrieben". Entscheidend bleibt das Verhalten der Nachricht — Druck, Datenabfrage, verdächtiger Link — nicht ihr Sprachstil.

Phishing am Telefon (Vishing) erkennen

Beim Vishing rufen die Täter an — oder lassen automatisch anrufen. Typische Rollen: der „Bankmitarbeiter", der eine „verdächtige Abbuchung" mit dir klären will; der „Microsoft-" oder „Apple-Support", der einen „Virus" auf deinem Rechner entdeckt haben will; oder eine Bandansage angeblich von Europol, BKA oder Zoll, die dich zum „Drücken der 1" auffordert.

Das Ziel ist immer dasselbe: Du sollst Fernzugriff auf deinen Computer gewähren, eine „Sicherheits-App" installieren, Zugangsdaten oder TANs durchgeben oder Geld auf ein „sicheres Konto" überweisen. So schützt du dich:

• Kein echter Support ruft unaufgefordert an, um dir einen Virus zu melden. Microsoft, Apple und Co. tun das nicht.
• Gib niemals Fernzugriff auf deinen Computer und installiere keine App, zu der dich ein Anrufer drängt.
• Lass dich nicht unter Druck setzen. Leg auf und ruf bei Zweifeln die Bank oder Firma über die offizielle Nummer zurück — von der Rückseite deiner Karte oder der echten Website, nie über eine Nummer, die dir der Anrufer nennt.
• Die Nummer im Display sagt nichts. Auch eine echt wirkende Ortsvorwahl oder sogar die Nummer deiner Bank kann gefälscht sein (Call-ID-Spoofing).

Spear-Phishing: wenn der Angriff persönlich wird

Die meisten Phishing-Wellen sind Massenware. Beim Spear-Phishing nehmen Täter dagegen gezielt eine einzelne Person ins Visier — oft im Job. Die Nachricht ist dann auf dich zugeschnitten: mit deinem Namen, deiner Position, echten Projekt- oder Kollegennamen. Eine verbreitete Form ist der „CEO-Betrug": eine angebliche Mail der Geschäftsführung, die dich zu einer dringenden, vertraulichen Überweisung drängt. Weil so vieles daran stimmt, wirkt die Nachricht besonders glaubwürdig. Die Abwehr bleibt trotzdem dieselbe: Bei ungewöhnlichen Geld- oder Datenbitten den Absender über einen zweiten, bekannten Kanal rückversichern — lieber kurz anrufen als schnell antworten.

Häufige Denkfehler — worauf schon viele hereingefallen sind

• „Die Mail sah professionell aus, also war sie echt." Logo und sauberes Deutsch sind in Sekunden kopiert. Aussehen sagt nichts über Echtheit.
• „Da stand mein richtiger Name, das kann kein Betrug sein." Namen und Mailadressen stammen oft aus Datenlecks. Persönliche Anrede ist kein Echtheitsbeweis.
• „Es war ja verschlüsselt (Schloss-Symbol)." Verschlüsselung schützt die Übertragung, nicht vor Betrügern, die die Seite betreiben.
• „Ich zahle einfach die zwei Euro, dann habe ich Ruhe." Die Gebühr ist Vorwand. Über das Formular holen sich die Täter deine kompletten Kartendaten.
• „Ich klicke nur mal drauf, gebe ja nichts ein." Der Klick allein kann dich auf eine Schadseite führen oder deine Daten preisgeben. Besser gar nicht erst öffnen.
• „Meine Bank hat mir doch geschrieben." Absender lassen sich fälschen. Prüfe im Zweifel immer über den offiziellen Weg, nicht über den Link in der Nachricht.

Ich habe geklickt oder Daten eingegeben — was jetzt?

Erst einmal: Kein Grund zur Panik, aber jetzt zählt Tempo. Arbeite diese Schritte der Reihe nach ab — am besten von einem anderen, sicheren Gerät aus.

1. Passwörter sofort ändern. Ändere das Passwort des betroffenen Kontos — und überall dort, wo du dasselbe Passwort noch benutzt. Genau deshalb ist ein eigenes Passwort pro Dienst so wichtig.
2. Zwei-Faktor-Authentifizierung aktivieren. Schalte, falls noch nicht geschehen, die Zwei-Faktor-Bestätigung ein. Dann nützt den Tätern ein gestohlenes Passwort allein nichts mehr.
3. Bank oder Anbieter informieren — und Karte/Konto sperren. Hast du Bank- oder Kartendaten eingegeben, ruf sofort deine Bank an und lass Karte oder Zugang sperren. Der zentrale Sperr-Notruf für Karten ist 116 116 (aus Deutschland kostenlos).
4. Kontobewegungen prüfen. Schau die letzten Umsätze durch und widersprich unberechtigten Abbuchungen. Bei Lastschriften hast du dafür in der Regel acht Wochen Zeit.
5. Gerät auf Schadsoftware prüfen. Hast du einen Anhang geöffnet, lass einen aktuellen Virenscanner durchlaufen.
6. Beweise sichern und Anzeige erstatten. Mach Screenshots der Nachricht und der Seite. Erstatte Anzeige bei der Polizei — online über die Onlinewache deines Bundeslandes oder auf jeder Dienststelle.
7. Andere warnen. Wurde dein Konto missbraucht, um Nachrichten an deine Kontakte zu verschicken, informiere sie, damit sie nicht ebenfalls hereinfallen.

Phishing melden — die richtigen Anlaufstellen

Melden hilft nicht nur dir, sondern schützt alle anderen — deine Meldung fließt in Warnungen und in die Sperrung von Rufnummern und Seiten. So geht's, je nach Kanal:

• Phishing-Mails leitest du an die Verbraucherzentrale weiter: phishing@verbraucherzentrale.nrw. Daraus entsteht der bekannte Phishing-Radar mit tagesaktuellen Warnungen. Beachte: Wegen der Masse an Zuschriften gibt es keine persönliche Antwort, und deine Daten werden vor einer Veröffentlichung anonymisiert.
• Zusätzlich an die betroffene Firma: Viele Unternehmen haben eine eigene Meldeadresse (oft im Bereich „Kontakt" oder „Sicherheit"), etwa phishing@dhl.com. So kann die Firma die Fälschung schneller aus dem Netz nehmen lassen.
• Phishing-SMS (Smishing) leitest du kostenlos an die Kurzwahl 7726 weiter (das ist „SPAM" auf der Tastatur). Dein Mobilfunkanbieter wertet die Meldung aus und kann den Absender sperren. Die Rufnummer kannst du außerdem der Bundesnetzagentur melden.
• Beim BSI bekommst du Rat über das Service-Center unter 0800 274 1000 und über den kostenlosen Newsletter „Sicher informiert".
• Bei finanziellem Schaden oder Datenmissbrauch: Anzeige bei der Polizei (Onlinewache oder Dienststelle). Für reine Phishing-Anrufe ist nicht die Bundesnetzagentur, sondern die Polizei zuständig.

Und wenn nichts passiert ist? Richtig entsorgen

Hast du eine Phishing-Nachricht erkannt, ohne zu klicken, musst du dir keine Sorgen machen. Melde sie einmal (siehe oben) und lösche sie dann. Antworte auf keinen Fall — auch nicht mit „Abmelden" oder „Nein danke": Jede Reaktion bestätigt den Tätern nur, dass deine Adresse aktiv ist, und du bekommst mehr davon. Die richtige Reihenfolge lautet also: ignorieren, melden, löschen.

Dauerhaft schützen: die Gewohnheiten, die fast alles abfangen

Du musst kein IT-Profi werden. Drei Dinge senken dein Risiko drastisch — richte sie einmal ein, und sie arbeiten für dich.

1. Ein eigenes Passwort pro Dienst — mit einem Passwort-Manager

Der größte Schaden bei Phishing entsteht, weil Menschen dasselbe Passwort überall nutzen. Fällt eins, fallen alle. Ein Passwort-Manager erzeugt und merkt sich für jeden Dienst ein eigenes, langes Passwort — du musst dir nur noch ein einziges Master-Passwort merken. Als angenehmer Nebeneffekt füllt er Login-Daten nur auf der echten Seite automatisch aus. Bleibt das Feld auf einer „Bank-Seite" leer, ist das ein deutliches Warnsignal, dass die Adresse nicht stimmt.

2. Zwei-Faktor-Authentifizierung überall, wo es sie gibt

Mit der Zwei-Faktor-Authentifizierung (2FA) reicht ein Passwort allein nicht mehr für den Login — es braucht zusätzlich einen Code aus einer App oder eine Bestätigung auf deinem Handy. Selbst wenn Betrüger dein Passwort abgreifen, kommen sie ohne den zweiten Faktor nicht ins Konto. Aktiviere 2FA vor allem für E-Mail, Online-Banking, PayPal und deine wichtigsten Konten.

3. Der ruhige Reflex: erst prüfen, dann handeln

Die wirksamste Schutzmaßnahme kostet nichts: bei Handlungsdruck kurz innehalten. Kein seriöses Unternehmen bestraft dich dafür, dass du eine Nachricht erst prüfst. Öffne im Zweifel die offizielle App oder tippe die Adresse selbst ein — und klicke nie auf den Link in der verdächtigen Nachricht. Halte außerdem dein Betriebssystem und deine Apps aktuell; Updates schließen Sicherheitslücken, die sonst ausgenutzt werden.

4. Kleine Vorkehrungen mit großer Wirkung

Ein paar Einstellungen kosten dich einmalig zehn Minuten und nehmen Betrügern viel Angriffsfläche. Nutze für wichtige Konten (E-Mail, Banking) eine eigene, wenig herumgereichte Mailadresse. Aktiviere den Spam-Filter deines Mailanbieters und markiere Phishing konsequent als Spam — das trainiert den Filter. Halte Betriebssystem, Browser und Apps aktuell, denn Updates schließen Sicherheitslücken. Und richte, wo möglich, Push-Benachrichtigungen für Kontobewegungen ein: So merkst du eine unberechtigte Abbuchung sofort, statt erst beim nächsten Kontoauszug.

Eltern und Großeltern schützen — ohne Panikmache

Ältere Menschen sind ein bevorzugtes Ziel, gerade beim Telefonbetrug. Du hilfst ihnen am meisten, wenn du nicht mit Technik, sondern mit einfachen Grundsätzen arbeitest. Vereinbart am besten drei feste Regeln, die immer gelten:

• Keine Bank und keine Behörde verlangt am Telefon oder per Link Passwörter, TANs oder eine Überweisung. Wer das tut, ist ein Betrüger — ohne Ausnahme.
• Bei Druck: auflegen und selbst zurückrufen. Nie über die genannte Nummer, sondern über die echte Nummer von der Karte oder der offiziellen Website. Ein Gespräch einfach zu beenden ist völlig in Ordnung.
• Im Zweifel jemanden fragen. Vereinbart, dass bei jeder Geldforderung erst kurz in der Familie Rücksprache gehalten wird. Genau dieser eine Anruf verhindert die meisten Schäden.

Sprich solche Maschen aktiv an, bevor sie passieren. Wer den „Schockanruf" oder die „Hallo Mama"-Nachricht schon einmal in Ruhe erklärt bekommen hat, fällt viel seltener darauf herein.

Zusammengefasst

Phishing wird technisch immer besser, aber die Masche dahinter bleibt gleich — und genau das ist deine Chance. Du musst nicht jede neue Variante auswendig kennen. Es genügt, das Muster zu erkennen: Eine Nachricht setzt dich unter Druck, will sensible Daten und drängt dich zu einem Klick. Wer bei diesem Muster kurz innehält, den Absender und den Link prüft, statt sofort zu reagieren, und Passwörter oder TANs niemals über einen Link eingibt, ist gegen die allermeisten Angriffe geschützt.

Kommt doch einmal etwas durch, zählt Tempo: Passwörter ändern, zweiten Faktor aktivieren, Bank informieren, Karte notfalls über 116 116 sperren, Anzeige erstatten. Leite verdächtige Mails an phishing@verbraucherzentrale.nrw weiter und Betrugs-SMS an die Kurzwahl 7726 — so schützt du mit wenig Aufwand auch alle anderen mit. Und im Zweifel gilt immer der eine sichere Satz: nicht auf den Link — lieber die offizielle App öffnen oder die Adresse selbst eintippen. Teile diesen Ratgeber ruhig mit den Menschen, die dir wichtig sind, besonders mit denen, die Betrüger am liebsten ins Visier nehmen.

Du bist nicht allein — nutze den Netzcheck-Weg

Phishing verändert sich täglich. Deshalb hilft ein Ratgeber am besten zusammen mit tagesaktuellen Warnungen. Bei einer konkreten verdächtigen Nachricht kannst du in unserer Rubrik Ist das echt? nachsehen, ob die Masche schon bekannt ist. Aktuelle Fälle findest du laufend in den Warnungen. Und wenn du wissen willst, wie du dich rund um einen bestimmten Dienst schützt, lohnt der Blick auf die Themenseiten zu PayPal, DHL oder WhatsApp.