Eine angebliche Bank meldet eine Kontosperre, ein Paketdienst verlangt eine kleine Nachzahlung oder ein bekanntes Onlinekonto fordert „sofortige Bestätigung“. Solche Nachrichten wirken oft plausibel, weil sie Zeitdruck erzeugen und vertraute Marken, Namen oder persönliche Angaben verwenden. Phishing bedeutet, dass Kriminelle Sie dazu bringen wollen, Zugangsdaten, Zahlungsinformationen oder andere sensible Daten preiszugeben – meist über gefälschte Nachrichten und Webseiten.
Der wichtigste praktische Grundsatz lautet: Nicht überstürzt klicken, sondern den Vorgang unabhängig von der Nachricht prüfen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass Phishing nicht nur per E-Mail kommt, sondern auch per SMS, Messenger, QR-Code und sogar über manipulierte Suchergebnisse. Sprachfehler sind deshalb kein zuverlässiger Erkennungstest mehr. Stand dieses Ratgebers: 29. September 2026.
Früher fielen viele Betrugsnachrichten durch holprige Sprache und offensichtliche Tippfehler auf. Diese Hinweise gibt es weiterhin, aber sie reichen nicht mehr aus. Das BSI erklärt, dass Angreifer Nachrichten personalisieren und auch KI einsetzen können, um Formulierungen glaubwürdiger zu machen. Entscheidend ist daher nicht, ob eine Nachricht „professionell aussieht“, sondern ob Absender, Anlass, Zieladresse und geforderte Handlung zusammenpassen.
Das BSI empfiehlt bei verdächtigen Nachrichten außerdem, eine vermeintliche Absenderin oder einen vermeintlichen Absender über einen zweiten, vertrauenswürdigen Kanal zu kontaktieren – nicht über Telefonnummern oder Links aus der fraglichen Nachricht. Offizielle Hinweise finden Sie beim BSI zu grundlegenden IT-Sicherheitsregeln und im BSI-Faktencheck zur E-Mail-Sicherheit.
Bevor Sie einen Link öffnen oder einen Anhang laden, prüfen Sie zuerst die Nachricht selbst. Vier Fragen sind besonders hilfreich:
Ein einzelnes Merkmal beweist noch keinen Betrug. Mehrere Auffälligkeiten zusammen erhöhen aber den Verdacht. Besonders wichtig: Auch eine korrekt geschriebene Nachricht mit Logo kann Phishing sein.
Wenn eine Nachricht behauptet, dass in Ihrem Bankkonto, Paketkonto oder E-Mail-Postfach etwas erledigt werden müsse, öffnen Sie den Dienst unabhängig. Geben Sie eine Ihnen bekannte Adresse selbst in den Browser ein, nutzen Sie ein gespeichertes Lesezeichen oder öffnen Sie die offizielle App.
Das ist zuverlässiger als ein Blick auf das Schloss-Symbol im Browser. HTTPS zeigt lediglich, dass die Verbindung zu der geöffneten Seite verschlüsselt ist; auch eine betrügerische Seite kann eine verschlüsselte Verbindung verwenden. Entscheidend bleibt, ob Sie auf der richtigen Domain sind.
Auf dem Computer können Sie einen Link häufig mit der Maus berühren, ohne zu klicken, um das tatsächliche Ziel zu sehen. Auf Mobilgeräten ist diese Prüfung je nach App weniger eindeutig. Wenn Zweifel bleiben, ist „nicht öffnen“ die bessere Entscheidung.
Sie erhalten eine ungewöhnliche Zahlungsanweisung von einer Kollegin, eine dringende Nachricht eines Familienmitglieds oder einen Support-Hinweis? Nutzen Sie eine bereits bekannte Telefonnummer, die offizielle Website oder einen vorhandenen Kontakt aus Ihrem Adressbuch. Antworten Sie nicht einfach auf die verdächtige Nachricht und wählen Sie keine darin genannte Telefonnummer.
Dieser Schritt ist besonders wichtig bei sogenanntem Spear-Phishing, also gezielten Nachrichten, die mit echten Namen, Aufgaben oder persönlichen Informationen glaubwürdig wirken sollen.
Phishing ist nicht auf E-Mail beschränkt. Das BSI nennt unter anderem SMS und QR-Codes als mögliche Verbreitungswege. Ein QR-Code kann lediglich verbergen, wohin der Link führt. Behandeln Sie ihn daher wie jeden anderen unbekannten Link: Zieladresse prüfen und keine Zugangsdaten eingeben, wenn Sie die Seite nicht selbst über einen vertrauenswürdigen Weg aufgerufen haben.
Bei Anhängen gilt: Öffnen Sie sie nur, wenn Sie Absender und Kontext erwarten. Ein scheinbar bekanntes Konto oder eine bekannte Person kann kompromittiert worden sein. Das Bundeskriminalamt empfiehlt ebenfalls, Links und Anhänge nur bei vertrauenswürdiger Quelle zu öffnen und Systeme aktuell zu halten. Siehe BKA: Identitätsdiebstahl und Phishing.
Erkennen allein reicht nicht. Gute Kontosicherheit begrenzt den Schaden, falls Sie doch einmal auf eine überzeugende Fälschung hereinfallen.
Nutzen Sie für jedes wichtige Konto ein eigenes Passwort. Wird ein Passwort bei einem Dienst gestohlen, darf es nicht gleichzeitig E-Mail, Shopping, soziale Netzwerke und Cloud-Zugänge öffnen. Ein Passwortmanager kann dabei helfen, unterschiedliche Zugangsdaten zu verwalten.
Bei der Zwei-Faktor-Authentisierung (2FA) reicht das Passwort allein nicht für die Anmeldung. Das BSI empfiehlt, 2FA zu nutzen, sobald ein Dienst sie anbietet. Besonders sensible Konten wie E-Mail, Banking und wichtige Cloud-Dienste verdienen Priorität.
Wichtig ist die Grenze dieser Maßnahme: Das BSI warnt ausdrücklich davor, 2FA als vollständigen Schutz gegen Phishing zu verstehen. Echtzeit-Phishing kann versuchen, neben dem Passwort auch einen Einmalcode abzufangen. Weitere Details bietet das BSI zur Zwei-Faktor-Authentisierung.
Passkeys arbeiten kryptografisch und sind an den jeweiligen Dienst gebunden. Das BSI empfiehlt ihre Nutzung, wenn sie angeboten werden, weil sie das Phishing-Risiko deutlich reduzieren können. Anders als bei Passwort plus Einmalcode gibt es dabei kein gemeinsames Geheimnis, das einfach auf einer gefälschten Login-Seite eingegeben werden kann.
Nur auf einen Link geklickt, aber nichts eingegeben? Schließen Sie die Seite. Wenn eine Datei heruntergeladen oder geöffnet wurde, aktualisieren Sie Sicherheitssoftware und Betriebssystem und prüfen Sie das Gerät auf Schadsoftware. Ein bloßer Klick bedeutet nicht automatisch, dass ein Konto übernommen wurde, aber Anhänge und Downloads erhöhen das Risiko.
Passwort eingegeben? Öffnen Sie den echten Dienst über die offizielle Adresse und ändern Sie das Passwort sofort. Beenden Sie nach Möglichkeit alle aktiven Sitzungen und prüfen Sie hinterlegte E-Mail-Adressen, Telefonnummern sowie verbundene Geräte. Wenn dasselbe Passwort noch bei anderen Diensten verwendet wurde, ändern Sie es dort ebenfalls.
TAN, Zahlungsdaten oder Banking-Zugang weitergegeben? Kontaktieren Sie Ihre Bank unverzüglich über eine offizielle Rufnummer und prüfen Sie Umsätze. Die Polizeiliche Kriminalprävention stellt eine aktuelle Checkliste zu Phishing sowie eine Checkliste zu Onlinebanking-Betrug bereit.
Die Polizeiliche Kriminalprävention weist bei kompromittierten Konten ebenfalls darauf hin, Passwörter schnell zu ändern, aktive Sitzungen zu beenden und unbekannte Zugriffe zu entfernen. Bei Identitätsmissbrauch kann zusätzlich eine Anzeige sinnvoll oder erforderlich sein, abhängig vom konkreten Schaden und Sachverhalt.
Ein gutes Ergebnis erkennen Sie nicht daran, dass Sie jede Phishing-Mail „auf den ersten Blick“ erkennen. Der bessere Maßstab ist, ob Ihr Verhalten auch bei einer sehr glaubwürdigen Fälschung sicher bleibt. Prüfen Sie deshalb zum Abschluss:
Wenn Sie diese Punkte nicht zuverlässig beantworten können, lohnt sich die nächste Verbesserung nicht in der Erkennung einzelner Betrugsmaschen, sondern in der Kontosicherheit selbst. Phishing verändert ständig sein Erscheinungsbild; robuste Anmeldeverfahren, unabhängige Prüfung und ein langsamerer Umgang mit dringenden Nachrichten bleiben dagegen dauerhaft wirksam.
Informieren Sie sich über die wichtigsten Änderungen im Visa Bulletin vom Oktober 2026, erfahren Sie, wie Sie Ihr Prioritätsdatum mit dem richtigen Stichtag vergleichen können, und prüfen Sie, welche Tabelle die USCIS für das Formular I-485 zulässt.
Prüfen Sie, ob Ihr Chlorthalidon von dem Rückruf im September 2026 betroffen ist, was die FDA-Klassifizierung „Klasse II“ bedeutet und was Sie als Nächstes tun sollten, ohne die Behandlung eigenmächtig abzubrechen.
Termine zu U3/U6, Tram-Umleitungen, Oktoberfest-Sperren, Straßenbaustellen und Parkhinweisen in München – mit Ersatzwegen und Änderungsstand.
Welche Einrichtungen in München im Oktober 2026 schließen oder anders öffnen: Stadtbibliotheken, Deutsches Museum, Deutsche Post und Bürgerbüros – mit Feiertag am 3. Oktober, Sonderzeiten und Online-Alternativen.
Müllabfuhr München im Oktober 2026: So prüfen Sie Tonnenleerungen nach Adresse, Feiertagsschließungen am 3. Oktober, Bioabfall, Wertstoffinseln und Sperrmüll.
Schulferien München und Bayern im Oktober 2026: letzter Schultag, Allerheiligen-Tage, Rückkehr am 9. November, Feiertage und schulinterne Ausnahmen.
Hier finden Sie die bestätigten Änderungen im New Yorker Schienenverkehr im Oktober 2026, den aktuellen Status von U-Bahn und Bussen, die Arbeitszeiten an Brücken, Veranstaltungssperrungen, Termine für das Parken auf wechselseitigen Straßen und Möglichkeiten, Verspätungen zu umgehen.
Hier finden Sie den Kalender der öffentlichen Schulen in New York City für Oktober 2026: Schließung am 12. Oktober, letzter Schultag, Rückkehrtermin, Feiertagsdetails, lokale Ausnahmen und was Sie mit Ihrer Schule abklären sollten.
Bitte prüfen Sie die bestätigten Öffnungszeiten der NYC-Bibliotheken, Museen, der USPS und der städtischen Dienstleistungen für Oktober 2026, einschließlich des Feiertags am 12. Oktober, regulärer Schließzeiten und Online-Dienste.
Prüfen Sie die Abholtermine für Restmüll, Recycling und Bioabfall an Ihrer Adresse in New York City im Oktober 2026. Sehen Sie, welche Termine für den Feiertag am 12. Oktober bestätigt sind, wie Sie eine verpasste Abholung melden können und wo Sperrmüll und Sondermüll abgegeben werden können.
