Was ist Phishing? Wie der Datenklau per Fake-Mail funktioniert und du dich schützt
Phishing ist für dich natürlich längst ein alter Hut. Wer fällt heute noch auf gefälschte E-Mails von Banken rein, die nach Anmeldedaten fürs Online Banking fragen? Du jedenfalls nicht. Schließlich weißt du, dass Kriminelle dahinterstecken, die mit den geklauten Infos fremde Konten leerräumen wollen. Doch Vorsicht – die Maschen werden immer raffinierter. Die KlarMacher zeigen dir, woran du auch besonders cleveres Phishing erkennst und wie du dich schützen kannst.
Themen in diesem Artikel
- Definition: Was genau bedeutet Phishing?
- Wie funktioniert Phishing?
- Woran lassen sich Phishing-Mails erkennen?
- Wie reagieren, wenn eine Phishing-Mail im Postfach liegt?
- Was tun nach einem Klick auf Phishing-Links oder -Dateien?
- Wie kann ich mich vor Phishing schützen?
Auf den Punkt
- Mit Phishing wollen Kriminelle vertrauliche Daten abgreifen, um sich damit Zugang zu verschaffen – beispielsweise zu Online Banking oder Benutzerkonten in Onlineshops .
- Die Fake-Mails der Cyberkriminellen sind manchmal kaum von „echten” E-Mails zu unterscheiden.
- Es gibt bestimmte Anhaltspunkte, die auf Phishing-Versuche hindeuten.
- Wenn Links oder Dateien in Phishing-Mails angeklickt wurden, sollten Betroffene schnell reagieren.
Definition: Was genau bedeutet Phishing?
Phishing ist ein Kunstwort aus „Passwort” und „fishing” (englisch für angeln/fischen). Der zusammengesetzte Begriff beschreibt die Methode ziemlich gut: Die Täter*innen werfen Köder aus – meist in Form einer dringlich klingenden E-Mail – und hoffen, damit vertrauliche Daten abzufischen.
Phishing gibt es nicht nur per Mail, sondern auch in sozialen Netzwerken, auf Online-Verkaufplattformen, per SMS und WhatsApp, per Anruf und sogar ganz altmodisch per Post.
Wie funktioniert Phishing?
„Warnung: Nicht autorisierter Zugriff“ oder „Achtung, dein Konto wurde gesperrt“ – solche Mails hat vermutlich jede*r schon einmal im Posteingang entdeckt. Sie sehen aus, als kämen sie von einer Bank, einem Onlineshop, einem Zahlungsdienstleister oder einem Internetanbieter. In Wahrheit stammen sie von Cyberkriminellen, die versuchen, dich mit gefälschten Nachrichten hinters Licht zu führen.
Oft wirst du darin aufgefordert, auf einen Link zu klicken oder eine Datei zu öffnen. Angeblich, um ein Problem zu lösen – sonst drohe Ärger. Die Drohungen reichen von der angeblichen Kontoschließung über hohe Steuerrückzahlungen bis zum baldigen Besuch eines Inkassobüros. Lass dich davon nicht unter Druck setzen – denn nichts davon ist echt.
Unangenehm wird es erst, wenn du auf solche Fake-Mails reagierst. Die Absendenden verfolgen ein Ziel: an deine vertraulichen Daten zu kommen. Zum Beispiel Passwörter, Zugangsdaten oder TANs fürs Online Banking. Damit könnten sie auf deine Kosten einkaufen oder Geld von deinem Konto abzweigen.
Neu: Echtzeitschutz durch KI in Chrome
Google setzt jetzt auf künstliche Intelligenz, um Nutzer*innen besser vor Phishing zu schützen:
- Chrome warnt in Echtzeit vor betrügerischen Websites – dank des KI-Modells Gemini Nano (nur im Enhanced Protection-Modus).
- Andorid-Nutzer*innen sehen zudem KI-gestützte Warnungen, wenn Webseiten versuchen, verdächtige Push-Nachrichten (= kurze Nachrichten, die spontan auf dem Bildschirm aufploppen) zu senden. Sie können dadurch solche Quellen direkt blockieren – bevor etwas passiert.
Tipp: Aktiviere in Chrome den Enhanced Protection-Modus, um den Schutz zu nutzen. So geht es:
- Öffne Chrome und gehe oben rechts auf die drei Punkte (⋮).
- Klicke auf „Einstellungen“.
- Wähle „Datenschutz und Sicherheit“ > „Sicherheit“.
- Aktiviere dort „Erweiterter Schutz“.
Fertig!
(Stand: Mai 2025)
Die typischen Phishing-Tricks
Die Absendenden von Phishing-Mails haben viele Tricks auf Lager, um an deine Daten zu kommen. Häufig setzen sie dich unter Druck und fordern dich auf, etwas zu tun – zum Beispiel:
- Eine bestimmte Website aufzurufen, etwa für angebliches Online Banking oder den Kundenservice
- Eine Datei zu öffnen – oft getarnt als Rechnung, Vertrag oder Mahnung
- Eine App oder Software zu installieren, zum Beispiel ein angebliches Paket-Tracking-Tool
Meist läuft alles über einen harmlos wirkenden Klick in der E-Mail. Der führt entweder auf eine gefälschte Website oder lädt Schadsoftware direkt auf dein Gerät – ob Laptop oder Smartphone. Das Ziel dahinter ist immer gleich: Kriminelle wollen Zugriff auf deine Daten. Sie lesen mit, was du eintippst. Wenn du auf der Fake-Website – die täuschend echt aussehen – deine Log-in-Daten eingibst, etwa fürs Banking oder beim Onlineshopping, landen die direkt bei den Kriminellen. Und die verschaffen sich damit Zugang zu deinen richtigen Accounts.
Woran lassen sich Phishing-Mails erkennen?
Wenn Phishing-Mails total absurd klingen, schlecht übersetzt sind oder voller Rechtschreibfehler stecken, ist der Betrugsversuch meist schnell durchschaut. Aber Vorsicht: Viele dieser Mails sind heute so professionell gemacht, dass sie auf den ersten Blick täuschend echt wirken – durch den Einsatz von Künstlichern Intelligenz (KI) noch mehr denn je. Trotzdem gibt es typische Warnzeichen, die dich stutzig machen sollten.
Typische Merkmale von Phishing-Mails:
- Fehlende oder seltsame Anrede: Seriöse Unternehmen sprechen dich normalerweise mit deinem Namen an. Wenn du mit „Sehr geehrter Kunde“ oder „Liebe Nutzerin“ begrüßt wirst, ist das ein klares Warnsignal. Aber: Auch persönliche Anreden sind kein Beweis für Echtheit – Kriminelle können deinen Namen leicht herausfinden.
- Zeitdruck und Drohungen: Kriminelle spielen häufig mit der Angst ihrer potenziellen Opfer, um sie zu unüberlegtem Handeln zu animieren. Deshalb setzen sie in Phishing-Mails häufig mit drohendem Unterton sehr kurze Fristen. Bei Begriffen wie „Sperrung”, „Inkasso”, „Mahnung”, „Sicherheitsüberprüfung” oder „Verifizierung erforderlich”– womöglich noch in Kombination mit „dringend”, „sofort” oder „wichtig” – solltest du misstrauisch sein.
- Hohe Beträge als Köder: „Das Finanzamt überweist dir 760 Euro“ oder „Deine Kreditkarte wurde mit 1.349,12 Euro belastet“ – solche Summen sollen dich neugierig machen und zum Linkklicken verleiten.
- Kein Bezug zum Absender: Du bekommst eine Mail von einem Onlineshop, bei dem du noch nie bestellt hast? Dann ist das mit hoher Wahrscheinlichkeit Phishing. Die Absendenden setzen auf Masse – irgendwann trifft’s eine Person, die tatsächlich dort Kund*in ist.
- Seltsame Formulierungen und Zeichenfehler: Viele Phishing-Mails sind maschinell übersetzt. Merkwürdige Sätze, falsche Umlaute oder „komisch“ wirkende Begriffe sind typische Hinweise – aber keine Garantie. Manche Phishing-Mails sind äußerst professionell und seriös formuliert.
- Unpassende oder gefälschte Absenderadresse: Die Mail kommt angeblich von deiner Bank, aber abgesendet wurde sie aber von der Adresse Banana-Joe.@supermail.com oder Kundenservice@andereFirma.de? Klarer Fall von Phishing! Auch ein beliebter Trick: Die Mail stammt anscheinend von deiner eigenen Mail-Adresse. Damit wollen die Täter*innen dich noch mehr verunsichern – Zugriff auf dein Postfach haben sie in der Regel aber nicht.
- Mehrere Empfänger*innen: Stehen im Mail-„Briefkopf“ außer deiner noch viele andere Adressen? Dann handelt es sich fast sicher um eine Massenmail – ein klassisches Phishing-Merkmal.
- Links: Viele Phishing-Mails enthalten Links, die auf den ersten Blick seriös aussehen – etwa „hanseaticbank-login.com“. Ein Trick: Buchstaben werden ersetzt oder unauffällig verdreht. Tipp: Bewege den Mauszeiger über den Link (nicht klicken!), um die tatsächliche URL zu sehen. Im Zweifel: Adresse selbst eingeben!
- Anhänge: Klick nie auf Anhänge von unbekannten Absender*innen – egal ob Word-Dokument, PDF oder ZIP-Datei. Darin kann sich Schadsoftware verstecken, etwa Viren oder Trojaner.
Extra-Tipp: Wenn du unsicher bist, ob eine E-Mail echt ist, schau auf den Phishing-Radar der Verbraucherzentrale. Dort findest du eine laufend aktualisierte Liste aktuell kursierender Fake-Mails.
Phishing-Mails in Krisenzeiten
Kriminelle nutzen gezielt die Verunsicherung von Menschen in Krisensituationen aus – wie aktuell durch den Krieg in der Ukraine. Sie setzen auf emotionale Maschen, um an dein Geld zu kommen: Zum Beispiel behaupten sie, dein Online-Banking-Konto müsse wegen der Sanktionen gegen Russland überprüft werden. Oder sie bitten dich um eine „dringende Spende“ für Kriegsopfer. Auch der Klassiker taucht immer wieder auf: Ein angeblicher Verwandter bittet dich ganz plötzlich um finanzielle Hilfe.
Gehe auf solche Aufforderungen nicht ein – egal, wie glaubwürdig sie auf den ersten Blick wirken!
Wenn du wirklich helfen möchtest, informiere dich lieber über offizielle Stellen. Eine gute Anlaufstelle ist zum Beispiel die Hilfsorganisationen-Liste der Tagesschau. Dort findest du seriöse Spendenmöglichkeiten.
Wie reagieren, wenn eine Phishing-Mail im Postfach liegt?
Regel Nummer eins: Nichts anklicken! Keine eingebetteten Links, keine Anhänge – auch wenn sie harmlos aussehen. Am besten löschst du offensichtliche Phishing-Mails direkt, ohne sie zu öffnen. In den meisten Fällen passiert beim reinen Öffnen zwar noch nichts, aber warum ein Risiko eingehen?
Wenn du unsicher bist, dann frag beim Absender nach – am besten telefonisch. Aber bitte nicht über den „Antworten“-Button oder einen Link in der Mail! Genau das könnte die Falle sein. Wenn du per Mail Rücksprache halten willst, nutze eine Adresse aus deinen eigenen Unterlagen oder von der offiziellen Website des Unternehmens.
Viele Banken und große Firmen haben auf ihrer Website eigene Warnhinweise zu aktuellen Phishing-Fällen. Es lohnt sich also, dort kurz nachzuschauen.
Hast du eine Rechnung oder Mahnung erhalten?
Wenn du wirklich bei dem Unternehmen Kund*in bist, kannst du selbst prüfen, ob etwas offen ist:
- Gib die Webadresse direkt im Browser ein – nicht über den Link in der Mail!
- Logge dich in deinen Account ein.
- Prüfe deine Bestellungen oder Nachrichten im Kundenbereich.
Phishing melden – so schützt du auch andere
Indem du Phishing-Mails meldest, hilfst du mit, andere vor Betrug zu bewahren. Hierhin kannst du verdächtige Mails weiterleiten:
- Verbraucherzentrale NRW: phishing@verbraucherzentrale.nrw
- Polizei (für Schadsoftware): trojaner@polizeilabor.de
- Direkt an das Unternehmen, von dem die Mail angeblich stammt: Viele Anbieter haben eigene Meldeformulare oder E-Mail-Adressen dafür – schau einfach auf der Website nach.
- Dein Mail-Provider: Die meisten Mail-Programme haben eine Funktion, mit der du Spam oder Phishing markieren kannst. Damit landen solche Mails künftig direkt im Spam-Ordner.
Was tun nach einem Klick auf Phishing-Links oder -Dateien?
Manche Phishing-Attacken sind so raffiniert gemacht, dass selbst vorsichtige Menschen darauf hereinfallen. Aber keine Panik: Wenn du eine Phishing-Mail nur geöffnet und nichts angeklickt hast, musst du dir in der Regel keine Sorgen machen. In allen anderen Fällen heißt es: Schnell reagieren!
Wenn du einen Phishing Link angeklickt hast ...
... dann starte sofort dein Antivirenprogramm. Es überprüft dann den kompletten Rechner oder das Smartphone. Wichtig: Das Programm sollte aktuell sein – also vorher Updates installieren, falls nötig.
Wird Schadsoftware gefunden, entfernt das Antivirus-Tool sie in der Regel automatisch. Trotzdem solltest du sicherheitshalber alle gespeicherten Passwörter ändern – besonders für E-Mail, Onlineshops oder dein Online Banking.
Wie du besonders sichere Passwörter erstellst, erfährst du in dem KlarMacher Ratgeber „Starker Schutz für deine Accounts: So kannst du sichere Passwörter erstellen”.
Hanseatic Bank Mobile – die smarte App für deine GenialCard & GoldCard
Du hast eine Kreditkarte von der Hanseatic Bank? Dann macht dir die Hanseatic Bank Mobile App das Leben leichter: Ob Konto checken, Passwort ändern, Cashback nutzen oder Kreditkartenfunktionen steuern – alles geht schnell, sicher und einfach per App.
Wenn du Daten eingegeben hast ...
... dann kommt es darauf an, welche Daten betroffen sind:
- Nur Adresse oder Telefonnummer? Dann sei in nächster Zeit besonders wachsam – auch bei Anrufen, SMS oder WhatsApp-Nachrichten von Unbekannten.
- Sensible Daten wie Zugangsdaten, TANs oder die Kreditkartennummer? Dann kontaktiere sofort den echten Anbieter (etwa deine Bank oder den Shop), sperre dein Konto und erstatte Anzeige bei der Polizei.
Tipp: Kontrolliere in den nächsten Wochen regelmäßig deine Kontoauszüge und achte auf verdächtige Abbuchungen.
Wenn du einen Anhang geöffnet hast ...
... dann besteht akute Gefahr – höchstwahrscheinlich wurde eine Schadsoftware installiert. So gehst du jetzt vor:
- Rechner sofort ausschalten
- Gerät vom Internet trennen (auch WLAN aus!)
- Keinesfalls weiter nutzen, bevor das System geprüft wurde!
Denn: Einige Schadprogramme deaktivieren oder manipulieren sogar dein Antivirenprogramm.
Die Verbraucherzentrale empfiehlt, das betroffene Gerät nur noch von einem externen Betriebssystem zu starten – zum Beispiel über einen USB-Stick oder eine externe Festplatte, die nicht mit dem infizierten Gerät verbunden war. Im Zweifel: Professionelle Hilfe holen und das System komplett neu aufsetzen.
Diese Schritte solltest du zusätzlich immer gehen:
- Sofort Bank und Kreditkartenanbieter informieren
- Zugänge sperren lassen
- Alle gespeicherten Passwörter ändern
- Anzeige bei der Polizei erstatten
Wie kann ich mich vor Phishing schützen?
Einen hundertprozentigen Schutz vor Phishing gibt es leider nicht. So nützlich das Internet auch ist, es bleibt auch ein Tummelplatz für Kriminelle. Aber mit ein paar einfachen Regeln kannst du das Risiko deutlich verringern:
- Software aktuell halten: Halte dein Antivirenprogramm, deine Firewall und dein Betriebssystem immer auf dem neuesten Stand – egal ob auf dem PC, Laptop, Tablet oder Smartphone. Nur aktuelle Software erkennt neue Viren, Trojaner und andere Schadprogramme zuverlässig. Tipp: Aktiviere automatische Updates, damit du nichts verpasst.
- Online Banking nur auf deinen Geräten: Erledige deine Bankgeschäfte nur auf Geräten, denen du vertraust. Fremde oder öffentlich zugängliche Rechner, etwa im Internetcafé, sind tabu. Du weißt nie, ob dort Schadsoftware im Hintergrund mitläuft.
- Webadressen besser selbst eingeben: Klicke nicht einfach auf Links in E-Mails oder Nachrichten – besonders nicht bei sensiblen Diensten wie deiner Bank, Paypal oder großen Online-Anbietern wie Amazon – deren Bekanntheit wird häufig für Phishing-Attacken missbraucht. Gib die Adresse lieber direkt im Browser ein. Es dauert zwar etwas länger, ist aber deutlich sicherer.
- Apps nur aus offiziellen Stores laden: zum Beispiel dem Google Play Store oder dem Apple App Store. Finger weg von Downloads über Links in Mails, SMS oder dubiosen Webseiten.
- Sichere Verbindungen erkennen: Gib persönliche Daten wie PINs und TANs nur auf verschlüsselten Seiten ein – erkennbar an „https://“ und dem Schloss-Symbol in der Adresszeile. Aber: Auch das kann heute gefälscht sein. Achte auf Details in der Adresse!
- Zwei-Faktor-Authentifizierung nutzen: Der zusätzliche Sicherheitsnachweis schützt dich, selbst wenn jemand dein Passwort kennt. Mehr dazu liest du in unserem Ratgeber „Zwei-Faktor-Authentifizierung: Das steckt hinter dem Online-Sicherheitsverfahren”.
- Passwörter bewusst einsetzen: Merke dir Passwörter lieber oder nutze einen sicheren Passwortmanager – statt sie einfach im Browser zu speichern. Ändere Passwörter regelmäßig – besonders bei allem, was mit Geld zu tun hat (Online Banking, Bezahldienste, Shops).
- Keine sensiblen Daten wie Passwörter per Mail verschicken: Egal wie sicher dein Rechner ist: Du weißt nie, wer bei den Empfänger *innen mitliest oder sich Zugriff verschafft.
- Immer ausloggen: Logge dich nach dem Online Banking oder nach dem Einkauf im Shop aktiv aus. Ein offener Account ist ein leichtes Ziel für Cyberkriminelle.
- Wachsam bleiben: Vertraue deinem Bauchgefühl! Sieht eine Website plötzlich anders aus? Kommt dir die Nachricht merkwürdig vor? Dann lieber einmal zu viel prüfen – als einmal zu wenig.
Phishing-E-Mails enttarnen! | BSI
Und wie vermeide ich Phishing-Mails?
Am besten landen solche Mails gar nicht erst in deinem Postfach. Ganz verhindern lässt sich das zwar nicht – aber du kannst die Spam-Flut deutlich eindämmen:
- Gib deine E-Mail-Adresse nicht leichtfertig weiter – zum Beispiel bei Gewinnspielen oder digitalen Gästebucheinträgen.
- Wenn du sie öffentlich zeigen musst, dann verschlüssle sie, etwa so: name[at]anbieter[dot]com
- Nutze ein Virenschutzprogramm, das auch deinen E-Mail-Posteingang scannt.
- Nicht antworten! Auf Spam zu reagieren oder den „Abmelden“-Link zu klicken bestätigt nur, dass deine Adresse aktiv ist – und bringt dir oft noch mehr Spam ein.
Teile den Artikel:
