Ist dieser Link sicher? So erkennst du einen gefährlichen Link, bevor du ihn öffnest

Ob ein Link sicher ist, kannst du kostenlos im Google Transparenzbericht oder bei VirusTotal prüfen. Beide kennen nur Adressen, die schon aufgefallen sind, und eine neue Betrugsseite kommt oft sauber zurück. Deshalb liest du zusätzlich die Adresse selbst.

Von Prudents·11 Min. Lesezeit

22.09.2026, 16:32·Aktualisiert am 15.10.2026, 21:16

Eine Person liest die Adresse einer Seite, bevor sie den Link auf dem Handy antippt

Die meisten gefährlichen Links kommen in einer Nachricht an, die wie eine Bank, ein Shop oder eine Behörde aussieht. Um diese ganze Masche geht es in was Phishing ist. Hier geht es nur um den Link: wie du eine Adresse liest, welche Tricks verstecken, wohin sie führt, und was ein Linkprüfer dir sagen kann und was nicht.

Wo kann ich einen Link kostenlos prüfen, und wo hören diese Dienste auf?

Einen Link prüfst du kostenlos, indem du ihn kopierst, ohne ihn zu öffnen, und bei einem Dienst einfügst, der ihn mit Listen bekannter gefährlicher Adressen vergleicht. Im Google Transparenzbericht gibst du dafür die Adresse unter Safe Browsing ein. Google schreibt dort, dass jeden Tag Tausende neuer unsicherer Seiten entdeckt werden und dass es oft seriöse Seiten sind, die manipuliert wurden.

Prüfweg	Was er macht	Worauf du achtest
Google Transparenzbericht	Zeigt, ob Google die Adresse bei Safe Browsing als unsicher eingestuft hat	Eine ganz neue Seite ist oft noch nicht eingestuft
Die Warnung im Browser	Zeigt neben der Adresse an, wenn die Seite als gefährlich eingestuft ist	Eine ganz neue Seite steht oft noch auf keiner Liste
VirusTotal	Vergleicht die Adresse mit über 70 Virenscannern und Sperrlisten	Der Bericht wird mit Partnern und der Community geteilt

VirusTotal erklärt selbst, dass die Ergebnisse zwischen den prüfenden Partnern geteilt werden, dass Berichte öffentlich in der Community landen und dass eingereichte Inhalte auch zahlenden Kunden zugänglich gemacht werden können.

Daraus folgen zwei Vorsichtsmaßnahmen. Erstens: Keine Warnung ist nicht dasselbe wie eine Freigabe. Sie heißt nur, dass diese Adresse es noch nicht auf die Listen geschafft hat, und eine gestern gebaute Seite kommt sauber zurück. Zweitens: Füg keinen Link ein, der deine eigenen Daten trägt, also deinen Namen, eine Kontonummer, einen Code oder eine Adresse zum Zurücksetzen eines Passworts, denn er kann für andere sichtbar werden.

Woraus besteht eine Webadresse?

Bevor du einen Link öffnest, such den Teil, der nach https:// anfängt und beim ersten Schrägstrich aufhört. Dort sitzt die Domain. Alles nach dem Schrägstrich kann auf eine Seite innerhalb der Website zeigen, ändert aber nichts daran, wem die Adresse gehört.

In konto.beispiel.de/anmelden ist die Domain beispiel.de. In beispiel.de.andere-seite.example gehört die Adresse zu andere-seite.example. Ein bekanntes Wort ganz vorn zieht den Blick von dem Teil weg, der tatsächlich entscheidet, wo du landest.

Wie finde ich die echte Domain in einem Link?

Lies langsam und such nach vertauschten Buchstaben, zusätzlichen Wörtern, unerwarteten Bindestrichen und einer anderen Endung. Eine Adresse, die fast die richtige ist, kann auf eine Seite führen, die das Aussehen eines Dienstes nachbaut, den du schon nutzt. Das BSI nennt zusammengesetzte Endungen wie „.de.com“ als eines der Zeichen, bei denen sich das zweite Hinsehen lohnt.

Die Polizeiliche Kriminalprävention geht es von der anderen Seite an: Klick nie auf den Link in einer Nachricht, die du nicht erwartet hast, sondern ruf die Seite über ein eigenes Lesezeichen oder die selbst eingetippte Adresse auf. Genauso rät das BSI: nicht auf Links in verdächtigen E-Mails oder SMS klicken und die Organisation über einen anderen Weg erreichen.

Welche Tricks verstecken, wohin ein Link führt?

Manche Adressen sind für jemanden gebaut, der in Eile liest. Die Beispiele unten benutzen die Endung „.example“, die für Beispiele reserviert ist und hinter der keine echte Seite steht.

Das At-Zeichen mitten in der Adresse. Bei https://[email protected]/tv wird alles vor dem At-Zeichen als Benutzername behandelt und beim Öffnen ignoriert. Der Browser geht zu blitz-angebote.example. Der Trick ist alt und funktioniert weiter, weil der Browser keinen Fehler macht: Die Adresse ist tatsächlich so geschrieben, und der vertraute Name davor steht nur da, damit ein Mensch ihn liest.
Buchstaben aus einem anderen Alphabet, die gleich aussehen. Das kyrillische „а“ wird genauso gezeichnet wie das „a“, das du gerade liest, ist für den Computer aber ein anderer Buchstabe, also eine andere Adresse. Damit das auffällt, zeigt Chrome die Adresse in einer merkwürdigen Form an, die mit xn-- beginnt, wenn es eine verdächtige Mischung von Schriften findet. Das steht in der Chromium-Dokumentation zu internationalisierten Domainnamen, die dort auch ganzseitige Warnungen vor täuschend ähnlichen Adressen beschreibt. Eine Adresse, die so in der Leiste auftaucht, ist einen zweiten Blick wert.
Die Marke als Subdomain. Bei bank.example.kunden-service.example steht der vertraute Name vorn, aber der Adresse gehört kunden-service.example.
Ein langer Pfad mit bekannten Wörtern. Wörter wie „sicher“, „login“ oder ein Firmenname können hinter dem Schrägstrich stehen, so oft man will. Sie sagen nichts darüber, wem die Seite gehört.

Wie sehe ich das Ziel eines Links, ohne ihn zu öffnen?

Am Computer legst du den Mauszeiger auf den Link, ohne zu klicken, und liest die Adresse, die in der Ecke des Bildschirms erscheint. Die Gmail-Hilfe empfiehlt genau das: prüfen, ob die Adresse zur Beschriftung des Links passt.

Auf dem Handy drückst du lange auf den Link, ohne loszulassen, bis die vollständige Adresse oder ein Menü damit erscheint. Auf manchen Geräten öffnet dieselbe Geste zusätzlich eine Vorschau der Seite. Wenn das passiert, tipp nichts darin an, und wenn du Sorge hast, den Link aus Versehen zu öffnen, lass ihn liegen und such den Dienst selbst.

Ist ein Link per SMS, WhatsApp oder von Bekannten sicher?

In einem Messenger kommt ein Link meistens mit einer Vorschau an: ein Bild und eine Überschrift. Diese Vorschau wird aus der Seite selbst gebaut, und wer eine gefälschte Seite baut, sucht Überschrift und Bild dort aus. Über den Besitzer der Adresse sagt sie nichts.

Ein Link von jemandem, den du kennst, verdient dieselbe Lesung, denn das Konto kann übernommen worden sein, oder die Person hat die Nachricht weitergeleitet, ohne selbst nachzusehen. Wenn es um Geld oder um persönliche Daten geht, ruf diese Person unter der Nummer an, die du schon hattest. Bei einer SMS lässt sich auch der Absendername nachahmen, und darum geht es in was Smishing ist.

Ein erfundenes Beispiel

In der Familiengruppe leitet jemand ein Fernseher-Angebot weiter, mit dem Link https://[email protected]/tv. Bevor er tippt, hält Robert den Finger auf dem Link, liest die ganze Adresse und bemerkt das At-Zeichen in der Mitte. Der Name des Shops steht da, aber die Seite, die sich öffnen würde, gehört jemand anderem. Er tippt die Adresse des Shops selbst in den Browser und findet dort kein solches Angebot.

Eine Spam-SMS kannst du außerdem bei der Bundesnetzagentur melden. Sie hat ein Beschwerdeformular für SMS und Messenger und kann Rufnummern abschalten lassen.

Sind Kurzlinks und QR-Codes gefährlich?

Ein Kurzlink ersetzt eine lange Adresse durch eine kurze, etwa kurz-link.example/x7K2, und versteckt das Ziel, bis der Link geöffnet wird. Auch echte Unternehmen benutzen Kurzlinks, ein kurzer Link ist also für sich allein kein Beweis. Er hindert dich aber daran, die Domain zu lesen.

Ein QR-Code funktioniert genauso: Er ist nur eine Adresse, geschrieben in einer Form, die deine Kamera lesen kann. Das BSI rät ausdrücklich davon ab, QR-Codes aus unaufgefordert zugesandten E-Mails zu scannen, auch wenn sie echt wirken. Dasselbe gilt für einen Code, der auf einer Rechnung, einem Aushang oder einem Aufkleber auftaucht, mit dem du nicht gerechnet hast. Such die Information stattdessen in der App oder auf der Seite, die du schon kennst.

Ist ein Link mit https oder Schloss sicher?

Eine https-Adresse bedeutet, dass die Verbindung zwischen deinem Browser und der Seite verschlüsselt ist, die Daten also unlesbar unterwegs sind. Das zählt, aber eine gefälschte Seite kann https genauso haben. Es sagt nichts darüber, ob die Firma, deren Name auf der Seite steht, sie auch betreibt, ob das Angebot echt ist oder ob eine Zahlung bei der richtigen Person ankäme. Das BSI schreibt das zu Onlineshops genau so: Verschlüsselung ist wichtig, wird aber auch von Fake-Shops zunehmend eingesetzt.

Ein Schloss siehst du vielleicht gar nicht mehr. Chrome hat es in der Adressleiste durch ein Symbol für die Seiteneinstellungen ersetzt, angekündigt im Mai 2023 im Beitrag An Update on the Lock Icon. Die Chrome-Hilfe erklärt, was dieses Symbol dir sagt: ob die Verbindung geschützt ist, ob sie es nicht ist, und ob die Seite als gefährlich eingestuft wurde. Und sie fügt den Satz hinzu, auf den es ankommt: Lies den Namen der Website in der Adressleiste, auch wenn die Verbindung sicher ist.

Das Aussehen entscheidet es auch nicht. Farben, Fotos und Texte einer Seite zu kopieren ist einfach. Eine gut gemachte Seite kann jemand anderem gehören, und eine ehrliche Seite kann schlicht aussehen.

Wann öffne ich einen Link besser gar nicht?

Niemand muss jeden Link prüfen, den er bekommt. Wenn die Nachricht von einer Bank, einer Lieferung, einem Kauf, einer Leistung oder einem gesperrten Konto handelt, öffne den Dienst stattdessen selbst. Such das Problem in deinem eigenen Konto und sieh dir vor jeder Zahlung den Namen des Empfängers an.

Führt der Link zu einem Shop oder zu einem Anmeldeformular, lohnt es sich, vor dem Bezahlen herauszufinden, wer dahintersteckt: Impressum lesen, Firma im Register nachschlagen, Empfängernamen vergleichen. Für Shops steht das in Fake-Shop erkennen, für nachgebaute Bank- und Login-Seiten in Fake-Website erkennen.

Ich habe auf einen Link geklickt: was jetzt?

Was nach einem Klick auf einen Link zu tun ist, hängt davon ab, was danach passiert ist. Hast du die Seite nur geladen und nichts eingetippt, schließ sie, lad keine Dateien herunter und erlaub keine Berechtigungen. Die Verbraucherzentralen raten außerdem, Virenschutz, Browser und Betriebssystem zu aktualisieren und das Gerät vom Virenschutz prüfen zu lassen, weil manche Täter Schadprogramme im Quellcode der Seite verstecken.

Hast du ein Passwort eingegeben, änder es über die offizielle Adresse, und wenn du dasselbe Passwort anderswo benutzt hast, änder es auch dort. Das BSI empfiehlt einen Passwortmanager, damit jedes Konto ein eigenes Passwort bekommt.
Schalte die Zwei-Faktor-Authentisierung ein, wo der Dienst sie anbietet. Das BSI rät dazu vor allem beim Online-Banking, beim Einkaufen und bei E-Mail- und Social-Media-Konten.
Hast du eine Datei heruntergeladen oder eine Installation erlaubt, mach auf diesem Gerät nichts mit Geld, bis es jemand angesehen hat, der sich damit auskennt.
Ist schon Geld geflossen, ruf sofort deine Bank an und sag, dass es Betrug war. War es eine Lastschrift, kannst du ihr bis zu acht Wochen nach der Buchung widersprechen. War es eine Überweisung, zählt nur die Geschwindigkeit: Ein ausgeführter Überweisungsauftrag kann grundsätzlich nicht mehr widerrufen werden, schreibt die BaFin.
Erstatte Anzeige, bei einer Dienststelle oder online über die Onlinewache der Polizei deines Bundeslandes, und häng die Bildschirmfotos gleich an.

Quellen, die wir geöffnet haben

Die Dienste und das Browserverhalten oben wurden am 22. September 2026 und am 9. Oktober 2026 auf diesen Seiten geprüft:

Alle Beispieladressen in diesem Artikel sind erfunden und benutzen die für Beispiele reservierte Endung „.example“. Dieser Artikel nennt keine Statistik und keine Zahl, und er ist keine Rechtsberatung.

Häufige Fragen zu gefährlichen Links

Gibt es eine Seite, die mit Sicherheit sagt, ob ein Link sicher ist?

Nein. Prüfdienste vergleichen eine Adresse mit Listen von Adressen, die schon als gefährlich bekannt sind. Eine Warnung ist ein guter Grund, den Link nicht zu öffnen, aber das Fehlen einer Warnung heißt nur, dass diese Adresse es noch nicht auf die Listen geschafft hat.

Wie erkenne ich einen gefährlichen Link?

Lies die Domain, also den Teil direkt vor dem ersten einzelnen Schrägstrich, und vergleiche sie mit der Adresse, die du kennst. Vertauschte Buchstaben, angehängte Wörter, ein At-Zeichen mitten in der Adresse und Kurzlinks sind Gründe, den Link nicht zu öffnen und den Dienst selbst aufzurufen.

Ich habe auf einen Link geklickt. Ist das schlimm?

Meistens ist das Risiko deutlich kleiner, wenn du nichts eingegeben, nichts heruntergeladen und keine Berechtigungen erlaubt hast. Ganz ausschließen lässt es sich nicht: Die Verbraucherzentralen weisen darauf hin, dass manche Seiten Schadprogramme im Quellcode verstecken. Schließ die Seite, aktualisiere Browser, Betriebssystem und Virenschutz und lass das Gerät prüfen. Hast du Daten eingegeben, geh die Schritte im Abschnitt über das Klicken auf einen Link durch.

Ist ein Link von jemandem, den ich kenne, sicher?

Nicht unbedingt. Das Konto kann übernommen worden sein, oder die Person hat die Nachricht weitergeleitet, ohne selbst nachzusehen. Lies die Adresse wie jede andere, und wenn es um Geld oder persönliche Daten geht, frag telefonisch nach, unter der Nummer, die du schon hattest.

Ist ein Kurzlink immer Betrug?

Nein. Auch Unternehmen benutzen Kurzlinks. Das Problem ist, dass eine kurze Adresse das Ziel versteckt. Wenn der Link in einer Nachricht kam, die du nicht erwartet hast, such den Dienst lieber selbst, statt ihn zu öffnen.

Und ein QR-Code, den ich nicht erwartet habe?

Ein QR-Code ist nur eine Adresse in einer Form, die deine Kamera lesen kann, und er zeigt dir vorher nicht, wohin er führt. Das BSI rät davon ab, Codes aus unaufgefordert zugesandten E-Mails zu scannen. Such die Information in der App oder auf der Seite, die du schon kennst.