Phishing erkennen und das Passwort vor Betrügern schützen

Phishing greift den Menschen an, der Server spielt keine Rolle: Man bringt Sie dazu, Passwort, SMS-Code oder Kartendaten selbst auf einer gefälschten Seite einzugeben. Es bleibt aus einem Grund die häufigste Einbruchsart: Es ist billig. Tausende Mails kosten fast nichts, und ein einziges Opfer bezahlt alles. Die gute Nachricht: Auch der Schutz ist billig, Aufmerksamkeit und ein paar Gewohnheiten genügen.

Wie Phishing heute aussieht

Der Klassiker ist eine Mail der „Bank" oder des „Maildienstes" mit der Bitte, das Konto dringend zu bestätigen. Dazu kamen Messenger und SMS mit Links zur „Paketverfolgung", gefälschte Login-Seiten hinter Suchanzeigen, QR-Codes auf Flyern und Mails von „Kollegen" mit Anhang. Neuronale Netze haben das wichtigste Merkmal früherer Jahre beseitigt: die holprige Sprache. Der Text ist nun korrekt, die Logos stimmen, also achten Sie auf technische Merkmale und ignorieren Sie den Stil.

Zehn Regeln, die fast alles abdecken

1. Öffnen Sie wichtige Dienste über ein Lesezeichen oder durch Eintippen der Adresse, Links aus Mails lassen Sie liegen.
2. Prüfen Sie vor der Passworteingabe die Domain in der Adresszeile Buchstabe für Buchstabe.
3. Schalten Sie die Zwei-Faktor-Bestätigung überall ein: Ein gestohlenes Passwort ohne zweiten Faktor ist fast nutzlos. Wie das funktioniert, zeigt der Artikel über Zwei-Faktor-Authentifizierung.
4. Wechseln Sie wo möglich zu Passkeys: Der Schlüssel ist an die Domain gebunden und funktioniert auf einer gefälschten Website schlicht nicht.
5. Nutzen Sie einen Passwortmanager. Er füllt das Passwort nur auf der echten Domain aus, schweigt er auf einer bekannten Seite, ist das bereits ein Warnsignal.
6. Öffnen Sie keine unerwarteten Anhänge, auch nicht von bekannten Adressen: Der Absender könnte gehackt sein.
7. Lesen Sie SMS-Codes und Push-Bestätigungen vollständig: Dort steht, welche Aktion Sie bestätigen.
8. Legen Sie ein eigenes Postfach für einmalige Anmeldungen und Newsletter an, das Hauptpostfach bleibt für Banken und Dokumente.
9. Halten Sie den Browser aktuell: Eingebaute Listen gefährlicher Websites fangen einen guten Teil der Fälschungen vor dem Laden ab.
10. Erzählen Sie Ihrer Familie von diesen Tricks: Opfer ist meist ein Verwandter dessen, der solche Artikel liest.

Phishing kommt nicht nur per Mail

Mail ist nur der älteste Kanal. Dieselben Maschen laufen in Messengern: „Stimme für meine Nichte ab", „Ihr Paket wartet, zahlen Sie die Lieferung", das gehackte Konto eines Freundes, das um Geld bittet. Am Telefon ist es der Anruf der „Banksicherheit", die Sie drängt, einen SMS-Code zu nennen. QR-Codes auf Tischen und Plakaten führen auf dieselben Fälschungen, nur sehen Sie die Adresse gar nicht. Ein eigenes Problem sind bezahlte Suchanzeigen, bei denen die Fälschung über der echten Website steht. Die Regel gilt für alle Kanäle: Der Kanal beweist nicht, wer spricht. Das tun nur die Domain in der Adresszeile und der zweite Faktor.

Das wirkt auch bei erfahrenen Menschen, denn es trifft Ihren Zustand, nicht Ihr Wissen: Müdigkeit, Eile, Angst um Geld. Der Betrüger erzeugt Zeitdruck, in dem eine Prüfung überflüssig wirkt. Deshalb sind die Regeln oben so gebaut, dass sie automatisch und ohne Nachdenken greifen.

Wenn eine Mail verdächtig wirkt, aber Sie unsicher sind

Nehmen Sie sie technisch auseinander. Öffnen Sie den Quelltext und lesen Sie die Kopfzeilen: woher die Mail wirklich kam und ob sie die Absenderprüfungen bestanden hat. Unser Analysator für Mail-Header zeigt die Serverkette und die Ergebnisse von SPF, DKIM und DMARC ohne Handarbeit. Die Domain aus dem Link können Sie durch die DNS-Abfrage schicken: Frisch registrierte Wegwerf-Domains haben fast keine Geschichte.

Passwort schon eingegeben: die erste halbe Stunde

1. Ändern Sie das Passwort auf der echten Website. Falls Sie es anderswo nutzen, ändern Sie es auch dort.
2. Beenden Sie in den Sicherheitseinstellungen alle Sitzungen: Gestohlene Passwörter werden oft in den ersten Minuten benutzt.
3. Prüfen Sie verknüpfte Mailadresse und Telefonnummer, Weiterleitungsregeln und Backup-Codes: Angreifer lassen sich gern einen Ersatzzugang offen.
4. Falls Sie Kartendaten eingegeben haben, sperren Sie die Karte über die Bank. Das genügt, die Neuausstellung regelt den Rest.
5. Beobachten Sie das Konto einige Tage. Alle Anzeichen fremden Zugriffs und die Schritte zur Wiederherstellung stehen im Artikel über gehackte Konten.

Was Phishing nicht kann

Kennen Sie auch die Grenzen des Angriffs, dann fürchten Sie nichts Unnötiges. Das Öffnen einer Mail stiehlt für sich allein kein Passwort: Die Gefahr beginnt auf der gefälschten Seite oder im gestarteten Anhang. Eine Website per HTTPS anzusehen, gibt dem Betrüger nicht Ihre Passwörter anderer Dienste. Und einen Passkey oder Hardware-Schlüssel können Sie nicht einmal absichtlich „falsch eingeben", denn der Browser legt ihn einer fremden Domain nicht vor. Je mehr Konten Sie so schützen, desto weniger Sinn hat für Sie die ganze Branche gefälschter Seiten.

Phishing setzt auf Ihren Autopiloten: Die Mail drängt, die Hand geht zum Link. Zehn Sekunden Pause mit der Frage „Ist das die richtige Domain?" brechen die ganze Masche. Die Gewohnheit kostet weniger als die Wiederherstellung des Zugangs.