Phishing: Was das ist und wie du eine gefälschte Nachricht erkennst

Was Phishing ist

Das Wort setzt sich aus Passwort und dem englischen fishing zusammen, also Angeln, und der Vergleich erklärt die Methode ganz gut: Die Täter werfen einen Köder aus, und der Köder ist die Nachricht. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt auf seiner Seite zum Passwortdiebstahl durch Phishing genau dieses Muster. Die Täter imitieren dort das Erscheinungsbild einer Organisation mit Logo, Farben und Schriftarten so sauber, dass die Nachricht echt wirkt, und sie verstecken den Link hinter einem gut gemachten Button.

Gesucht werden deine Passwörter, die Einmalcodes und TANs, mit denen eine Anmeldung oder eine Zahlung bestätigt wird, deine Kontodaten, die Kreditkartennummer und persönliche Angaben, die später für den nächsten Betrug benutzt werden. Bei einem Punkt aus dieser Liste lohnt es sich, kurz stehen zu bleiben: Der Code, der dir per SMS oder in der Banking-App angezeigt wird, ist so viel wert wie ein Passwort. Über diesen Code entscheidet die Bank, dass wirklich du es bist.

Phishing ist eine Form von Social Engineering, also von Gesprächsführung und Druck, die eine Person dazu bringen, gegen das eigene Interesse zu handeln. Es hängt nicht an Rechtschreibfehlern. Eine gefälschte Nachricht kann sauber geschrieben sein, echte Angaben über dich enthalten und eine Begründung mitliefern, die Sinn ergibt.

Wie groß das Feld ist, zeigt die Statistik des Bundeskriminalamts. Laut der Pressemitteilung zum Bundeslagebild Cybercrime 2025 wurden in Deutschland rund 335.000 Fälle von Cybercrime im engeren Sinne registriert, etwa zwei Drittel davon aus dem Ausland oder von unbekannten Tatorten aus. Der allergrößte Teil des Phishings, das dich als Privatperson trifft, wird allerdings als Betrug erfasst und taucht in dieser Zahl gar nicht auf.

Woran du eine gefälschte Nachricht erkennst

Das BSI und die Polizeiliche Kriminalprävention nennen dieselbe Handvoll Anzeichen. Sei misstrauisch bei einer Nachricht, die:

• nach einem Passwort, einer TAN, einem Einmalcode oder nach deinen Konto- und Kartendaten fragt;
• ankündigt, dass dein Konto oder ein Zugang sofort gesperrt oder gekündigt wird;
• einen Gewinn, eine Rückerstattung oder eine Zahlung verspricht, mit der du nicht gerechnet hast;
• dich auffordert, deine Daten dringend zu aktualisieren;
• einen gekürzten Link enthält, dem man nicht ansieht, wohin er führt, oder eine Adresse, die das Unternehmen sonst nicht benutzt;
• mit einem alarmierenden Ton arbeitet, damit du schnell antwortest.

Rechtschreibfehler stehen auch auf dieser Liste, aber ein sauber geschriebener Text beweist nichts. Die Verbraucherzentrale Hamburg schreibt in ihrem Ratgeber Achtung, Phishing, dass die Nachrichten zusehends professioneller werden, den Firmenauftritt geschickt imitieren und kaum noch Rechtschreibfehler enthalten. Dass dich eine Nachricht mit Namen anspricht, heißt ebenfalls nichts, denn Namen sind leicht zu bekommen. Wie du eine Adresse liest, bevor du sie öffnest, steht in ist dieser Link sicher.

Der Test, der am besten funktioniert, steht nicht in der Nachricht. Frag dich, ob du mit diesem Unternehmen überhaupt eine Geschäftsbeziehung hast und ob es dich auf diesem Weg normalerweise anschreibt. Die Verbraucherzentrale Hamburg empfiehlt genau diese Frage als ersten Schritt, bevor man irgendetwas anklickt.

Die häufigsten Formen

Die E-Mail war der erste Kanal, aber dieselbe Idee taucht heute in mehreren Formen auf. Einige haben eigene Namen bekommen. Nützlicher, als die Namen auswendig zu lernen, ist es, die Situation wiederzuerkennen.

• Die Massennachricht: derselbe Text geht an Tausende Menschen, etwa dein Konto wird gesperrt oder du hast eine Rückerstattung offen. Die Täter rechnen damit, dass ein Teil der Empfänger dieses Konto oder diese offene Sache tatsächlich hat.
• Die Nachricht, die für dich geschrieben wurde: Sie nennt deinen Namen, deinen Beruf, einen kürzlichen Einkauf oder eine anstehende Reise. Das BSI nennt das Spear Phishing, also die gezieltere Variante mit vorheriger Recherche. Die Angaben stammen meist aus einem Firmenverzeichnis, einem öffentlichen Profil oder einem Datenleck.
• Per SMS oder am Telefon: Eine betrügerische SMS heißt Smishing, ein betrügerischer Anruf Vishing. Die Vorsicht ist dieselbe, auch wenn jeder Kanal seine Lieblingsgeschichten hat.
• Ein QR-Code, der woanders hinführt: auf dem Parkscheinautomaten überklebt, auf einem Flyer, in einem Brief oder in einer Nachricht. Der Code öffnet eine gefälschte Seite oder eine Zahlung an einen Unbekannten. Das BSI führt diese Variante als Quishing. Lies die Adresse, die sich öffnet, bevor du dort irgendetwas eingibst.
• Eine gefälschte Anzeige: Sie steht ganz oben in der Trefferliste oder in einem sozialen Netzwerk und gibt sich als Shop oder Bank aus. Lies die Adresse, die der Treffer anzeigt, nicht den Namen, der darüber steht.
• Eine nachgebaute Seite: eine Kopie der echten Seite unter einer ähnlichen Adresse, die alles mitschneidet, was du eintippst. Dazu gibt es gefälschte Website erkennen.

Neu ist, dass der Köder auch per Post kommt. Die Verbraucherzentrale Hamburg berichtet von gefälschten Briefen mit QR-Code, die aussehen wie Post von der Bank. Ein Brief wirkt seriöser als eine E-Mail, und genau darauf setzt die Masche.

Die Aufforderung sagt mehr als das Aussehen

Eine Nachricht kann ein Logo tragen, einen bekannten Namen nennen und sogar Angaben über dich enthalten. Nichts davon beweist, wer sie geschickt hat. Achte lieber auf den Moment, in dem jemand nach einem Passwort fragt, nach dem Code, der gerade auf deinem Handy angekommen ist, nach der Installation eines Programms, nach einer Zahlung auf ein neues Konto oder nach einer Anmeldung über einen Link, der in derselben Nachricht steht.

Die Polizeiliche Kriminalprävention formuliert das auf ihrer Seite zu Phishing als feste Regel: Banken fordern Daten wie PIN und TAN niemals per E-Mail, per Telefon oder per Post an. Ruf die Startseite deiner Bank selbst auf, statt auf einen Link zu klicken.

Dieses Beispiel haben wir erfunden. Es zeigt die Art von Formulierung, die benutzt wird, ohne eine echte Nachricht, eine echte Marke, eine echte Bildschirmansicht oder eine echte Rufnummer nachzubauen.

Was du tun kannst, wenn so eine Nachricht kommt

1. Benutze nicht den Button, den Link und auch nicht die Telefonnummer aus der Nachricht. Schließ die Nachricht, ohne zu antworten.
2. Geh selbst zu dem Dienst. Nimm die App, die du sowieso installiert hast, oder tipp eine Adresse ein, die du schon kennst.
3. Such dieselbe Sache in deinem Konto. Steht der Einkauf, die Buchung, die Sendung oder der Hinweis auf eine Anmeldung wirklich dort?
4. Lies, wer das Geld oder die Daten bekommen soll. Wenn der Name nicht zu dem passt, was du erwartet hast, mach nicht weiter.

Danach: löschen, blockieren und melden. Die Verbraucherzentrale Nordrhein-Westfalen sammelt die Wellen, die gerade laufen, im Phishing-Radar. Die Verbraucherzentrale Hamburg empfiehlt in ihrem Ratgeber, den eigenen Posteingang mit diesen Hinweisen abzugleichen, bevor man eine zweifelhafte Nachricht anfasst. Für eine gefälschte SMS oder einen Anruf mit gefälschter Absendernummer ist die Bundesnetzagentur zuständig: Sie nimmt Beschwerden zu unverlangten SMS, zu gefälschten Rufnummern und zu unerlaubter Telefonwerbung über ihr Verbraucherportal entgegen.

Meld die Sache außerdem dem Unternehmen, dessen Name missbraucht wurde. Viele Banken und Shops haben dafür eine eigene Adresse auf ihrer Internetseite, meist im Kontaktbereich. Und wenn du auf dem Laufenden bleiben willst, ohne selbst zu suchen: Das Bürger-CERT des BSI verschickt einmal im Monat den kostenlosen Newsletter Einfach Cybersicher, den du auf der Seite zu den Abos für Verbraucherinnen und Verbraucher bestellen kannst.

Wenn du schon Daten eingegeben oder gezahlt hast

Schließ die Seite und fang mit dem an, was den größten Schaden anrichten kann. Schuld ist, wer den Betrug gebaut hat. Nützlich ist jetzt nur noch, zu begrenzen, was daraus noch werden kann.

1. Sperr zuerst, dann erklär. Die BaFin schreibt auf ihrer Seite zum Datendiebstahl, dass du bei Verdacht auf Betrug sofort deine Zahlungskarten oder deinen Online-Banking-Zugang sperren lassen sollst, über deine Bank oder über den Sperr-Notruf 116 116. Hast du sensible Karten- oder Bankdaten preisgegeben, informier sofort deine Bank.
2. Wenn Geld geflossen ist, ruf deine Bank an und sag, wie du gezahlt hast. Das ist nicht dasselbe. Eine Lastschrift kannst du zurückgeben lassen: Die BaFin nennt dafür auf ihrer Seite zu Überweisungen und Lastschriften acht Wochen ab der Belastung bei einer Lastschrift, die du erlaubt hast, und 13 Monate, wenn es gar kein Mandat gab. Eine Überweisung, die du selbst beauftragt hast, ist etwas anderes: Sobald der Auftrag bei der Bank eingegangen ist, kann er nicht mehr widerrufen werden. Bei einer Echtzeitüberweisung ist das Geld in Sekunden beim Empfänger. Die Bank kann trotzdem versuchen, die Empfängerbank zu erreichen, und je schneller du anrufst, desto eher hat das Sinn. Versprochen ist damit nichts.
3. Änder das Passwort, das du eingetippt hast. Mach das in der offiziellen App oder auf der offiziellen Seite, und änder es überall dort, wo du dasselbe benutzt hast. Schalt die Zwei-Faktor-Authentisierung ein, die neben dem Passwort einen zweiten Nachweis verlangt. Das BSI rät dazu, sobald ein Dienst das anbietet, weil deine Daten dann auch dann noch geschützt sind, wenn das Passwort in falsche Hände gerät.
4. Wenn du einen Code weitergegeben hast, geh über den offiziellen Weg in das Konto. Such in den Einstellungen die Liste der angemeldeten Geräte oder der offenen Sitzungen, melde alles ab, was du nicht kennst, und sag dem Unternehmen über einen Kanal Bescheid, den du schon vorher benutzt hast.
5. Wenn du ein Programm installiert hast, weil man dich darum gebeten hat, kann es eine Fernwartungssoftware sein, mit der eine andere Person deinen Bildschirm sieht und bedient. Trenn dieses Gerät vom Internet und benutz ein anderes, um mit der Bank zu sprechen und Passwörter zu ändern.
6. Erstatte Anzeige und sicher die Beweise. Die BaFin empfiehlt die Anzeige ausdrücklich, unter anderem für die KUNO-Sperrung, die den Kartenmissbrauch im Lastschriftverfahren verhindert. Die Polizeiliche Kriminalprävention erklärt unter wie erstatte ich eine Anzeige, dass die Strafanzeige kostenlos ist und dass die Online-Anzeige in allen Bundesländern möglich ist. Die Onlinewachen der Polizeien sind für nicht dringende Fälle wie Internetbetrug gedacht; in akuten Notfällen wählst du die 110. Heb die Nachricht auf, notier die Adresse der Seite, sicher Kontoauszüge, Screenshots und jedes Aktenzeichen.

Ein Hinweis, der dir für das nächste Mal hilft: Seit dem 9. Oktober 2025 müssen alle Kreditinstitute bei Überweisungen in Euro eine Empfängerüberprüfung anbieten. Die BaFin beschreibt auf ihrer Seite zur Empfängerüberprüfung, dass der eingegebene Name vor der Freigabe mit der IBAN abgeglichen wird und dass dir bei abweichenden Angaben das Risiko angezeigt wird. Das gilt für gewöhnliche Überweisungen und für Echtzeitüberweisungen. Der Hinweis ist eine echte Hilfe, aber kein Schutzwall: Wenn du eine Überweisung trotz Warnung freigibst, trägst du das Risiko selbst.

Nichts davon sagt etwas über die Person aus, die geantwortet hat. Diese Nachrichten sind so geschrieben, dass sie aussehen wie die, die du sowieso bekommst, und sie kommen an einem ganz normalen Abend, mitten in allem anderen. Dass eine durchkommt, ist keine Unachtsamkeit. Genau dafür ist sie gebaut.

Häufige Fragen zu Phishing