Phishing erkennen – und was tun, wenn Sie schon geklickt haben

Phishing-Mails waren früher an holprigem Deutsch zu erkennen. Heute nicht mehr: Laut BSI sind Tippfehler oder seltsame Umlaute nur noch selten ein eindeutiger Hinweis. Die Absender geben sich als Bank, Paketdienst, Streamingdienst oder Behörde aus und wollen Zugangsdaten, PINs, TANs oder Kreditkartennummern. Wie groß das Problem ist, zeigt das Phishing-Radar der Verbraucherzentralen: 2025 wurden dorthin mehr als 382.000 verdächtige E-Mails weitergeleitet.

Woran Sie Phishing erkennen

• Zeitdruck und Drohungen – etwa, dass Ihr Konto sonst gesperrt wird.
• Die Aufforderung, vertrauliche Daten wie die PIN fürs Online-Banking oder eine Kreditkartennummer einzugeben.
• Links oder Formulare direkt in der Mail.
• Eine ungewöhnliche Bitte von einem Absender, den Sie eigentlich kennen.
• Eine TAN-Abfrage, obwohl Sie gar keine Überweisung ausgelöst haben – für das BSI ein klares Indiz für eine gefälschte Seite.

Auch das Schloss-Symbol und „https://“ in der Adresszeile sind laut BSI keine Entwarnung mehr: Sie zeigen nur, dass die Verbindung verschlüsselt ist – nicht, wer dahintersteckt. Und Banken fordern grundsätzlich keine vertraulichen Daten per E-Mail, Telefon oder Post an, betont die Polizei.

So schützen Sie sich

• Klicken Sie niemals auf Links in einer zweifelhaften Mail. Rufen Sie die Seite des Unternehmens selbst auf oder fragen Sie telefonisch nach – unter einer Nummer, die Sie kennen.
• Merken Sie sich die Regel der Polizei: Stoppen, hinterfragen, schützen.
• Schalten Sie für E-Mail, soziale Netzwerke und Online-Banking eine Zwei-Faktor-Authentisierung ein. Ein gestohlenes Passwort reicht dann allein nicht mehr.

Schon geklickt? Das ist jetzt zu tun

1. Nur auf den Link geklickt: Aktualisieren Sie Ihr Virenschutzprogramm, lassen Sie den ganzen Computer prüfen und kontrollieren Sie, ob automatische Updates eingeschaltet sind.
2. Daten eingegeben: Kontaktieren Sie den Anbieter, ändern Sie die Passwörter und lassen Sie Konten oder Karten bei Bedarf sperren – zum Beispiel über den Sperr-Notruf 116 116, gebührenfrei aus dem deutschen Netz; aus dem Ausland über die kostenpflichtige +49 116 116.
3. Beenden Sie nach dem Passwortwechsel in den Kontoeinstellungen alle aktiven Sitzungen.
4. Behalten Sie Ihre Kontoauszüge im Blick, und prüfen Sie auch andere Konten, die dieselbe E-Mail-Adresse nutzen.
5. Anhang geöffnet oder Software installiert? Löschen Sie die Mail nicht – sie ist ein wichtiges Beweismittel für die Polizei.
6. Zahlen Sie keine Forderungen, und erstatten Sie in jedem Fall Anzeige – bei der Onlinewache Ihres Bundeslandes oder Ihrer örtlichen Polizeidienststelle, auch bei einem vagen Verdacht.

Wo Sie Phishing melden

• Beim Phishing-Radar der Verbraucherzentrale: Leiten Sie die Mail direkt – nicht als Anhang – an phishing@verbraucherzentrale.nrw weiter. Klappt das nicht, laden Sie die Mail auf der Seite des Phishing-Radars als .eml-Datei hoch. Einzelne Antworten gibt es wegen der vielen Eingänge nicht.
• Beim Unternehmen, dessen Name missbraucht wird. Apple etwa nimmt Meldungen unter reportphishing@apple.com entgegen; viele Banken haben eigene Phishing-Meldestellen.
• Bei der Polizei: Strafanzeige über die Onlinewache Ihres Landes oder bei Ihrer Dienststelle. Bringen Sie gesicherte Beweise mit.

Hilft ein Virenschutz gegen Phishing?

Ein aktueller Virenschutz und die Warnungen moderner Browser fangen viele bekannte Phishing-Seiten ab. Ganz neue Seiten stehen aber auf keiner Liste – deshalb bleiben die Gewohnheiten oben der wichtigste Schutz.

Der sicherste Link in einer überraschenden Mail ist der, den Sie nicht anklicken. Gehen Sie selbst auf die Seite – wenn es wirklich ein Problem gibt, finden Sie es dort.