Phishing ist eine Nachricht, die vorgibt, von jemandem zu kommen, dem du vertraust, etwa einer Bank, einem Paketdienst, deinem Arbeitgeber oder einem Freund, damit du auf einen Link klickst, eine Datei öffnest oder ein Passwort preisgibst. Sie kommt per E-Mail, SMS, Messenger und Telefonanruf. Die Nachrichten sind oft überzeugend, haben aber einige Gewohnheiten gemeinsam.
Was will eine Phishing-Nachricht in der Regel?
Fast jede Phishing-Nachricht will eines von drei Dingen: dass du dich auf einer Seite anmeldest, die der Absender kontrolliert, dass du einen Anhang öffnest, der etwas Schädliches installiert, oder dass du wegen eines erfundenen Problems Geld oder Informationen schickst. Die Geschichte um die Forderung ändert sich, das Ziel bleibt gleich.
Typische Geschichten sind ein gesperrtes Konto, ein verpasstes Paket, eine unbezahlte Rechnung, eine unerwartete Rückerstattung, ein Gewinn oder ein Angehöriger in Not, der sofort Hilfe braucht. Prüfe jede Nachricht, die ein Passwort, einen Bestätigungscode, eine Zahlung oder die Kopie eines Ausweises verlangt, erst, bevor du handelst.
Woran erkennst du eine Phishing-Nachricht?
Kein einzelnes Anzeichen beweist, dass eine Nachricht gefälscht ist, und gute Fälschungen können alle vermeiden. Trotzdem lohnt es sich, jedes Mal Folgendes zu prüfen:
Druck. Die Nachricht sagt, du hast nur wenige Stunden, dein Konto werde geschlossen oder es passiere etwas Schlimmes, wenn du wartest.
Eine Absenderadresse, die fast stimmt, aber nicht ganz, etwa mit vertauschtem Buchstaben oder einem zusätzlichen Wort in der Domain.
Ein Link, dessen sichtbarer Text nicht zum Ziel passt. Am Computer kannst du mit der Maus darüberfahren, am Smartphone kannst du ihn gedrückt halten, um die Adresse zu sehen.
Ein unerwarteter Anhang, besonders eine ZIP-Datei, eine Rechnung, die du nicht angefordert hast, oder eine Datei, die dich auffordert, Makros zu aktivieren.
Die Bitte, mit Geschenkkarten, Kryptowährung oder per Überweisung auf ein neues Konto zu zahlen.
Was solltest du tun, bevor du klickst?
Halte inne und werde langsamer. Druck ist das Werkzeug, auf das der Absender setzt; nimmst du dir ein paar Minuten, verliert er einen großen Teil seines Vorteils. Antworte nicht, ruf keine Nummer aus der Nachricht an und öffne weder den Link noch den Anhang.
Prüfe die Behauptung dann über einen Weg, dem du bereits vertraust. Öffne die App des Unternehmens oder tippe die Adresse selbst in den Browser ein und suche in deinem Konto nach derselben Meldung. Ruf die Nummer an, die auf deiner Karte oder auf der offiziellen Website des Unternehmens steht. Scheint die Nachricht von einem Kollegen oder Verwandten zu kommen, kontaktiere ihn auf anderem Weg, zum Beispiel per Anruf, und frage, ob er sie geschickt hat.
Warum gehören auch SMS und Anrufe zum Phishing?
Phishing beschränkt sich nicht auf E-Mails. SMS über Pakete, Mautgebühren oder Bankwarnungen sind häufig, ebenso Anrufe von Personen, die angeblich für deine Bank oder einen Support arbeiten. Anrufer können die Nummer auf deinem Display fast beliebig aussehen lassen, die angezeigte Nummer beweist also nichts.
Eine echte Bank bittet dich nicht, Geld auf ein „sicheres Konto“ zu überweisen, und ein echter Support fragt nicht nach einem Code, der gerade an dein Telefon geschickt wurde. Erzeugt ein Anrufer Dringlichkeit, leg auf und ruf unter einer Nummer zurück, die du selbst herausgesucht hast. Dasselbe gilt für Sprachnachrichten und für Nachrichten vom gehackten Konto eines Freundes, die Geld verlangen.
Was tun, wenn du schon geklickt oder ein Passwort eingegeben hast?
Das passiert auch umsichtigen Menschen, und schnelles Handeln macht wirklich einen Unterschied. Geh diese Schritte der Reihe nach durch:
Trenne dich vom Problem. Hast du eine Datei geöffnet und vermutest, dass sie etwas ausgeführt hat, schalte die Netzwerkverbindung dieses Geräts aus und lass sie aus, bis es geprüft wurde.
Ändere das Passwort des betroffenen Kontos, wenn möglich an einem anderen Gerät. Hast du dasselbe Passwort anderswo verwendet, ändere es auch dort.
Aktiviere die Zwei-Faktor-Authentifizierung, am besten mit einem Passkey oder einer Authenticator-App, und melde in den Kontoeinstellungen andere Sitzungen ab.
Kontaktiere sofort deine Bank, wenn du Karten- oder Bankdaten weitergegeben hast. Bitte sie, die Karte zu sperren oder auf ungewöhnliche Aktivitäten zu achten.
Suche nach Änderungen, die du nicht selbst vorgenommen hast, etwa neuen Weiterleitungsregeln in deinem E-Mail-Konto, neuen Wiederherstellungsadressen oder unbekannten Anmeldungen.
Melde die Nachricht dem Dienst, als der sie sich ausgab, und informiere deine Kontakte, falls das Konto in deinem Namen Nachrichten verschickt hat.
Wie machst du Phishing von vornherein weniger schädlich?
Du kannst nicht verhindern, dass jede Nachricht dich erreicht. Ziel ist es daher, den Schaden zu begrenzen, wenn eine durchrutscht. Verwende für jedes Konto ein anderes Passwort und bewahre sie in einem Passwortmanager auf; der hilft zusätzlich, weil er ein Passwort nicht auf einer Seite mit falscher Adresse einträgt. Passkeys gehen noch weiter, da man sie überhaupt nicht in eine gefälschte Seite eintippen kann.
Halte dein Smartphone und deine Apps aktuell und sei vorsichtig mit Apps und Dateien von außerhalb der offiziellen Stores. Begrenze, was du an Orten aufbewahrst, die ein einziges gestohlenes Passwort öffnen kann. Kopien von Reisepass, Steuerunterlagen oder Verträgen müssen nicht in deinem E-Mail-Postfach liegen, wo eine einzige erfolgreiche Phishing-Nachricht alle offenlegen könnte.
Hier kann Revault helfen. Die App speichert Fotos, Dokumente und Dateien in einem verschlüsselten Tresor auf deinem Gerät, ohne Revault-Konto, das man per Phishing angreifen könnte. Das verhindert nicht, dass dir eine gefälschte Nachricht geschickt wird, hält aber deine sensibelsten Dateien aus deinem Postfach und deinen Cloud-Konten heraus. Kein Werkzeug ersetzt gesundes Urteilsvermögen, und die Gewohnheit, die dich am meisten schützt, ist die einfache: Wenn eine Nachricht etwas Dringendes verlangt, prüfe es zuerst auf anderem Weg.