Was ist Phishing? Beispiel, Warnzeichen und Hilfe

Stell dir vor, du bekommst eine Mail von „Meine Bank“. Du sollst deine Angaben bestätigen. Ist die Nachricht echt oder versucht jemand, an dein Passwort zu kommen?

Beim Phishing geben sich Kriminelle als jemand aus, dem du vertraust. Sie wollen dir Passwörter, Zahlungsdaten oder andere persönliche Daten entlocken. Die Täuschung kann per E-Mail oder SMS kommen, ebenso über Messenger und soziale Netzwerke. Auch Anrufe und QR-Codes werden dafür genutzt.

Wie funktioniert Phishing am Beispiel der Bankmail?

Das Erklärvideo zeigt den Ablauf in 1:44 Minuten. „Meine Bank“ ist ein erfundenes Beispiel. Die Täuschung funktioniert in vier Schritten:

1. Du bekommst eine Nachricht im Namen deiner Bank. Innerhalb von 24 Stunden sollst du deine Angaben bestätigen.
2. Der Button „Jetzt bestätigen“ führt zu einer Anmeldeseite. Die Adresse lautet im Beispiel meinebank-sicherheit.net/login statt meinebank.de/login.
3. Die nachgebaute Seite sieht aus wie die echte Bankseite. Auch ein Schloss-Symbol ist zu sehen.
4. Du gibst deine Zugangsdaten ein. Deine Eingaben gehen an die Betrüger.

Für den Nachbau können Kriminelle Logos, Farben und Schriften übernehmen. Das vertraute Aussehen soll dich dazu bringen, der Nachricht und der Anmeldeseite zu glauben.

An welchen drei Warnzeichen erkennst du Phishing?

Der Absender passt nicht

Lass dir die vollständige E-Mail-Adresse des Absenders anzeigen. Der Name „Meine Bank“ über einer Mail sagt noch nichts darüber aus, wer die Nachricht verschickt hat. Hinter dem angezeigten Namen kann eine andere Adresse stecken.

Im Video steht hinter dem @-Zeichen meinebank-sicherheit.net. Die bekannte Adresse der Bank lautet aber meinebank.de. Der Zusatz „sicherheit“ und die andere Endung gehören hier zu einer anderen Adresse. Dass „meinebank“ darin steht, beweist keine Verbindung zu deiner Bank.

Eine passend aussehende Absenderadresse beweist umgekehrt nicht, dass die Mail echt ist. Absenderangaben lassen sich fälschen. Auch bei einem vertrauten Absender bleibt eine ungewöhnliche Bitte um vertrauliche Daten verdächtig.

Die Nachricht macht Zeitdruck

Die Frist von 24 Stunden im Video soll dich zu einer schnellen Reaktion drängen. Eine angedrohte Kontosperre verstärkt den Druck. Beides ist ein Anlass zum Nachfragen über einen anderen Kontaktweg.

Laut Verbraucherzentrale fordern Banken dich weder per Mail noch am Telefon zur Preisgabe von PIN oder TAN auf. Banken verschicken auch keine Mail-Links zum Einloggen in dein Kundenkonto. Lass dich von der angekündigten Frist nicht zu einer Eingabe überreden.

Der Link führt woandershin

Am Computer kannst du den Mauszeiger auf den Link oder Button halten, ohne zu klicken. Dein Browser oder Mailprogramm zeigt dann die Zieladresse an. Vergleiche die vollständige Adresse mit der bekannten Website.

Der Text auf einem Button sagt nichts über das Ziel aus. Hinter „Jetzt bestätigen“ kann die Adresse der Betrüger liegen. Verkürzte Links verbergen die eigentliche Zieladresse zusätzlich.

Öffne einen verdächtigen Link auch auf dem Handy nicht zur Kontrolle. Geh direkt über die App oder die bekannte Website zum Anbieter.

Beweisen Schloss und richtige Anrede die Echtheit?

Nein. Das BSI weist darauf hin, dass auch Phishing-Seiten HTTPS und ein Schloss-Symbol nutzen können. Kriminelle können ebenfalls die nötigen Zertifikate bekommen. Das Schloss bestätigt nicht die Identität deiner Bank.

Fehlerfreies Deutsch und eine Anrede mit deinem Namen beweisen ebenfalls keine Echtheit. Verlass dich deshalb nicht darauf, einen Betrugsversuch an Tippfehlern oder „Sehr geehrter Kunde“ zu erkennen.

Wie prüfst du die Nachricht ohne ihren Link?

Öffne die Bank-App selbst oder tipp die bekannte Adresse in den Browser ein. Im Videobeispiel wäre das meinebank.de. Nutze dafür keine Adresse aus der verdächtigen Nachricht.

Wenn du unsicher bleibst, frag beim Anbieter nach. Nimm eine bereits bekannte Telefonnummer oder eine Kontaktmöglichkeit von der selbst aufgerufenen Website. Antworte nicht auf die Mail und ruf keine Nummer aus der Nachricht an. Scanne auch keinen QR-Code aus einer solchen Mail.

Gib am Telefon keine persönlichen Daten an einen unbekannten Anrufer weiter. Eine TAN-Anforderung ohne eine von dir gestartete Transaktion ist laut BSI ein klares Warnzeichen. Brich den Vorgang ab und klär die Anfrage direkt mit deiner Bank.

Warum heißt es Phishing und welche Arten gibt es?

Das BSI erklärt den Namen als Verbindung aus „Passwort“ und dem englischen „Fishing“. Der Begriff beschränkt sich aber nicht auf gestohlene Passwörter.

Je nach Kontaktweg oder Zielgruppe begegnen dir weitere Bezeichnungen:

• Beim Smishing kommt der Phishing-Versuch per SMS.
• Beim Vishing versuchen Kriminelle am Telefon, an vertrauliche Daten zu kommen.
• Beim Quishing führt ein QR-Code zur betrügerischen Website.
• Spear-Phishing richtet sich gezielt gegen bestimmte Firmen oder Organisationen.

Für einen Betrieb könnte die Nachricht angeblich vom Lieferanten oder vom Chef kommen. Ebenso denkbar wäre eine gefälschte Hoster-Mail zur eigenen Domain. Wenn jemand deine eigene Firmenadresse als Absender vortäuscht, geht es um die Absenderfälschung. Die nächsten Schritte erklärt der Ratgeber zu gefälschten Mails mit deiner Firmenadresse.

Schon geklickt oder Daten eingegeben?

Die nächsten Schritte hängen davon ab, was du gemacht und welche Daten du preisgegeben hast. Die Verbraucherzentrale unterscheidet zwischen einem geöffneten Link, eingegebenen Daten und einem geöffneten Anhang.

Nur den Link geöffnet

Aktualisiere dein Virenschutzprogramm und lass den gesamten Computer untersuchen. Prüfe außerdem die automatischen Updates für Virenschutz, Browser und Betriebssystem. Bei Bedarf holst du dir fachkundige Hilfe.

Daten eingegeben

Wenn du Zugangsdaten oder Zahlungsdaten eingegeben hast, kontaktiere sofort den echten Anbieter, etwa deine Bank oder den Zahlungsdienstleister. Geh außerdem diese Schritte durch:

• Lass Konten oder Karten bei Bedarf sperren, etwa über die Sperr-Hotline 116 116.
• Ändere betroffene Passwörter und Sicherheitsfragen umgehend.
• Prüfe deine Kontoauszüge besonders regelmäßig.
• Stell Strafanzeige bei der Polizei.
• Prüfe, ob weitere Konten betroffen sind. Wenn Kriminelle Zugang zu deinem E-Mail-Konto haben, ändere alle Passwörter der Konten mit dieser E-Mail-Adresse als Benutzernamen.

Wenn du nur Adresse und Telefonnummer angegeben hast, sei bei nachfolgenden Anrufen und Briefen besonders vorsichtig.

Einen Anhang geöffnet

Nutze das Gerät nicht weiter, bis es wieder frei von Schadsoftware ist. Arbeite bis dahin mit einem nicht infizierten Gerät. Wenn du die Bereinigung nicht selbst beurteilen kannst, lass das Gerät von Fachleuten prüfen. Ein unauffälliger Virenscan allein gibt hier keine Gewissheit.

Bewahre die betrügerische Mail nach einem Vorfall als Beweismittel auf. Melden kannst du eine verdächtige Mail beim Phishing-Radar der Verbraucherzentrale. Leite die Nachricht dafür direkt an phishing@verbraucherzentrale.nrw weiter, nicht als Anhang.