Was ist Phishing? Einfach erklärt

Phishing ist eine Art Online-Betrug, bei dem Kriminelle vorgeben, eine vertrauenswürdige Organisation zu sein — eine Bank, ein Paketdienst, eine Behörde — um an Ihre Zugangsdaten, Bankdaten oder andere persönliche Informationen zu gelangen. Der Begriff kommt vom englischen „fishing" (Angeln): Die Betrüger werfen einen Köder aus und warten, bis jemand anbeißt.

Wie funktioniert ein Phishing-Angriff?

Die meisten Phishing-Angriffe folgen einem ähnlichen Muster:

1. Auswahl einer bekannten Marke. Die Betrüger imitieren eine Organisation, der Sie vertrauen — zum Beispiel die Sparkasse, DHL, Amazon oder das Finanzamt.
2. Erstellen einer gefälschten Nachricht. Sie erhalten eine E-Mail, SMS oder WhatsApp-Nachricht mit einem dringenden Anliegen: „Ihr Konto wurde gesperrt", „Ihre Sendung wartet auf Zollgebühr", „Steuerrückerstattung verfügbar".
3. Weiterleitung auf eine gefälschte Website. Die Nachricht enthält einen Link zu einer Seite, die dem Original täuschend ähnlich sieht, aber eine andere Domain hat.
4. Datenerfassung. Geben Sie dort Passwort, PIN oder Kreditkartendaten ein, gelangen diese direkt zu den Betrügern.

Warum funktioniert Phishing?

Zeitdruck und Angst

„Ihr Konto wird in 24 Stunden gesperrt" — solche Nachrichten sollen Sie zum schnellen Handeln drängen, ohne dass Sie nachdenken. Lesen Sie eine Nachricht mit diesem Druck immer mit Skepsis.

Vertraute Aufmachung

Gefälschte E-Mails verwenden echte Logos, offizielle Sprache und professionelles Layout. Nur der Absender oder der Link verrät den Betrug.

Mobile Nutzung

Auf dem Smartphone sehen Sie die vollständige URL oft nicht. Betrüger nutzen das aus, um gefälschte Links zu verstecken.

Typische Phishing-Beispiele in Deutschland

• Sparkasse / Commerzbank: „Ungewöhnliche Aktivität auf Ihrem Konto festgestellt. Bitte verifizieren Sie Ihre Daten." — Link führt zu sparkasse-sicherheit.de statt sparkasse.de.
• DHL: „Ihre Sendung konnte nicht zugestellt werden. Zahlen Sie 1,99 € Zollgebühr." — Fake-Website sammelt Kreditkartendaten.
• Finanzamt: „Sie haben Anspruch auf eine Steuererstattung von 487 €. Geben Sie Ihre Bankdaten an." — Behörden kontaktieren Sie nie so.
• Amazon: „Ihre Bestellung wurde storniert. Bestätigen Sie Ihr Konto." — Kein Amazon-Link führt auf amazon-konto-verifikation.com.
• PayPal: „Zahlung wurde blockiert. Konto jetzt entsperren." — Der echte PayPal-Link enthält immer paypal.com als Hauptdomain.

Phishing erkennen: Checkliste

• Die Nachricht kam unerwartet und fordert sofortiges Handeln.
• Die Domain stimmt nicht mit der offiziellen Marke überein (z.B. sparkasse-online-banking.de statt sparkasse.de).
• Sie werden nach Passwort, PIN, TAN oder Kreditkartendaten gefragt.
• Der Absender hat eine ungewöhnliche E-Mail-Adresse.
• Der Link enthält Zahlen, Bindestriche oder Zufallszeichen in der Domain.
• HTTPS-Schloss bedeutet nicht, dass die Seite sicher ist — Betrüger nutzen es auch.

Was tun, wenn Sie auf einen Phishing-Link geklickt haben?

• Nur geklickt, nichts eingegeben: Schließen Sie die Seite und beobachten Sie Ihr Konto.
• Passwort eingegeben: Ändern Sie es sofort über die offizielle Website und aktivieren Sie Zwei-Faktor-Authentifizierung.
• Bankdaten eingegeben: Kontaktieren Sie sofort Ihre Bank und lassen Sie die Karte sperren.
• Datei heruntergeladen: Nicht öffnen — mit Antivirensoftware scannen.

Verdächtigen Link prüfen

Fügen Sie eine URL, SMS oder einen QR-Code in 2check.click ein — der Dienst prüft Domain, Weiterleitungen, Domainzertifizierung und andere Phishing-Merkmale.

Zum 2check.click Analysator

Häufig gestellte Fragen

Kann eine Phishing-Website genauso aussehen wie das Original?

Ja. Betrüger kopieren Logos, Farben und Layouts perfekt. Prüfen Sie immer die Domain-Adresse, nicht nur das Aussehen der Seite.

Ist HTTPS ein Zeichen für eine sichere Seite?

Nein. HTTPS verschlüsselt die Verbindung, beweist aber nicht, dass die Seite legitim ist. Viele Phishing-Seiten verwenden HTTPS.

Wie kann ich einen Link prüfen, ohne darauf zu klicken?

Kopieren Sie den Link und fügen Sie ihn in 2check.click ein. Der Analysator prüft das Ziel, die Domain, Weiterleitungen und Phishing-Merkmale — ohne dass Sie die Seite öffnen müssen.

Kontaktiert das Finanzamt mich per E-Mail oder SMS?

Deutsche Behörden wie das Finanzamt kommunizieren in der Regel per Brief. E-Mails oder SMS mit Links zu Steuererstattungen sind fast immer Betrug.

Was ist der Unterschied zwischen Phishing, Smishing und Quishing?

Phishing kommt per E-Mail. Smishing ist Phishing per SMS. Quishing ist Phishing über QR-Codes.