„Achten Sie auf Rechtschreibfehler" ist ein überholter Rat. Heutiges Phishing ist in sauberem Deutsch geschrieben, trägt echte Logos und spricht Sie manchmal mit Namen und korrekter Kontonummer an.
Die Signale, die weiterhin funktionieren, sind andere — und das stärkste liegt nicht im Aussehen der Nachricht, sondern darin, worum sie bittet und was sie in Ihnen auslöst.
Beurteilen Sie eine Nachricht nicht nach ihrem Aussehen. Die drei verräterischen Muster sind erzeugte Dringlichkeit („Ihr Konto wird in 24 Stunden gesperrt"), eine Bitte, die keine seriöse Stelle je äußert (Ihr Passwort oder ein Bestätigungscode), und eine Domain, die nicht passt. Im Zweifel: Nachricht schließen und die Seite selbst aufrufen.
Dringlichkeit ist das erste Signal
Jeder erfolgreiche Phishing-Versuch braucht, dass Sie handeln, bevor Sie nachdenken. Deshalb erzeugen fast alle Zeitdruck:
- „Ihr Konto wird innerhalb von 24 Stunden gesperrt"
- „Verdächtige Anmeldung erkannt — bestätigen Sie jetzt Ihre Identität"
- „Ihr Paket liegt fest, zahlen Sie noch heute die Zollgebühr"
- „Sie haben gewonnen, holen Sie den Preis vor Ablauf ab"
Banken und Behörden arbeiten nicht so. Echte Vorgänge kommen datiert, mit angemessenen Fristen und oft über mehr als einen Kanal.
Die praktische Regel: Je dringender es sich anfühlt, desto langsamer sollten Sie werden. Diese Umkehrung ist Ihre beste Verteidigung, weil sie auch dann greift, wenn die Nachricht technisch makellos ist.
Wonach niemand Seriöses fragt
Keine seriöse Stelle wird Sie — über keinen Kanal — nach Folgendem fragen:
- Ihrem vollständigen Passwort
- Dem Bestätigungscode, der gerade angekommen ist
- Ihrer vollständigen Kartennummer mit Ablaufdatum und Prüfziffer
- Der Installation einer „Support"-App über einen Link aus einer Nachricht
Der Bestätigungscode ist der gefährlichste Punkt. Die übliche Masche: Jemand ruft an, gibt sich als Ihre Bank aus, sagt, er prüfe Ihre Identität, und fragt nach dem Code, der gerade eingegangen ist. Genau dieser Code fehlt ihm, um in Ihr Konto zu kommen. Sie sind es, der die Tür öffnet.
Einen Link lesen
Hier passiert der größte Teil der Täuschung. Eine Webadresse liest man von links bis zum ersten einfachen Schrägstrich — der letzte Teil davor ist die echte Domain. Alles danach ist Dekoration.
| Link | Echte Domain | Urteil |
|---|---|---|
bank.de/login | bank.de | Echt |
bank.de.verify-id.net/login | verify-id.net | Phishing |
sicher-bank.de/login | sicher-bank.de | Eine völlig andere Domain |
bank-sicher.co/login | bank-sicher.co | Andere Endung |
Die zweite Zeile ist der wirksamste Trick: Die echte Domain steht vorn, ist aber zu einer Subdomain der Angreiferseite geworden.
Am Computer: ohne Klicken darüberfahren, das Ziel erscheint unten im Fenster. Am Handy: gedrückt halten, bis die Vorschau erscheint.
Der unabhängige Kanal
Das ist die eine Regel, die selbst gegen den ausgefeiltesten Angriff wirkt, und sie verlangt keinerlei technisches Wissen:
Nutzen Sie niemals den Kontaktweg, der in der Nachricht steht.
Eine Nachricht von Ihrer Bank? Klicken Sie nicht auf den Link und rufen Sie nicht die enthaltene Nummer an. Öffnen Sie selbst Ihre Banking-App oder rufen Sie die Nummer an, die auf Ihrer Karte steht.
War die Nachricht echt, finden Sie dieselbe Mitteilung in Ihrem Konto wieder. Finden Sie nichts, haben Sie Ihre Antwort.
Genau darin liegt der Unterschied: Sie versuchen nicht, die Nachricht zu beurteilen — Sie umgehen sie. Deshalb hält die Regel auch dann, wenn die Nachricht perfekt ist.
Häufige Varianten
Paketgebühren. Eine Nachricht verlangt einen kleinen Betrag, um eine Lieferung freizugeben. Der Betrag ist mit Absicht niedrig, damit Sie nicht zögern — das Ziel sind Ihre Kartendaten, nicht die Gebühr.
Vorgetäuschte Bekannte. Eine Nachricht von unbekannter Nummer: „Das ist meine neue Nummer, ich brauche dringend eine Überweisung." Rufen Sie zuerst die alte Nummer an.
Falsche Stellenangebote. Hohe Bezahlung bei geringen Anforderungen und danach die Bitte um eine Anmeldegebühr oder Bankdaten.
Der Folgeangriff nach einem Kontodiebstahl. Nach der Übernahme eines Kontos gehen Nachrichten an dessen Kontakte hinaus, die scheinbar von einem echten Freund stammen — genau das macht sie wirksam.
Wenn Sie geklickt und Daten eingegeben haben
Handeln Sie in dieser Reihenfolge; Tempo zählt hier wirklich:
- Ändern Sie sofort das Passwort für dieses Konto und für jedes andere, das dasselbe verwendet.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung, falls noch nicht geschehen.
- Rufen Sie Ihre Bank an, wenn Kartendaten betroffen sind, und lassen Sie die Karte sperren.
- Prüfen Sie die aktiven Sitzungen in den Sicherheitseinstellungen des Kontos und beenden Sie alles, was Sie nicht kennen.
- Beobachten Sie Ihre Konten zwei Wochen lang — kleine Testbuchungen gehen großen meist voraus.
Zögern Sie die Meldung nicht aus Scham hinaus. Gut gemachtes Phishing täuscht auch Sicherheitsfachleute; den Unterschied macht, wie schnell Sie danach reagieren.
Häufige Fragen
Wie prüfe ich einen Link, bevor ich klicke?
Am Computer fahren Sie mit der Maus darüber, ohne zu klicken — das echte Ziel erscheint unten im Fenster. Am Handy halten Sie den Link gedrückt, bis eine Vorschau erscheint. Entscheidend ist die Domain unmittelbar vor dem ersten einfachen Schrägstrich.
Die Nachricht hat das Bank-Logo und meinen echten Namen, ist sie damit nicht echt?
Nein. Ein Logo ist in Sekunden kopiert, und Namen wie Kontonummern stammen aus Datenlecks anderer Anbieter. Wie eine Nachricht aussieht, sagt nichts darüber aus, woher sie kommt.
Ich habe geklickt, aber nichts eingegeben. Bin ich gefährdet?
Deutlich weniger. Das bloße Öffnen einer Seite reicht selten aus. Beobachten Sie Ihre Konten, lassen Sie einen Scan laufen und geben Sie nichts ein, wenn die Seite erneut fragt.
Wie prüfe ich, ob ein Anruf wirklich von meiner Bank kommt?
Auflegen und die Nummer von der Rückseite Ihrer Karte oder der offiziellen Website anrufen. Nie eine Nummer verwenden, die der Anrufer nennt. Ein echter Mitarbeiter hat damit kein Problem.
Welche Variante ist am gefährlichsten?
Gezieltes Phishing, bei dem der Absender Ihren Namen, Ihren Arbeitgeber und manchmal eine echte Transaktion kennt. Am Aussehen ist es nicht zu erkennen, nur über eine Regel: vor jeder Überweisung oder Anmeldung über einen unabhängigen Kanal prüfen.
Quellen
Fehler entdeckt? Schreiben Sie uns — wir korrigieren ihn und vermerken die Änderung am Ende des Artikels. Hello@daily-atlas.com
