Echt oder Falle?

So erkennen Sie Phishing und Betrugsmaschen

Gefälschte E-Mails und SMS sind heute erschreckend gut gemacht: angebliche Paketdienste, Banken oder Microsoft-Mitarbeiter, die zu einer schnellen Handlung drängen. Die Masche funktioniert über Druck ("Ihr Konto wird gesperrt"), über Links zu nachgebauten Anmeldeseiten oder über die Bitte, eine Fernwartung zu installieren.

Die wichtigste Regel: Bei jedem Verdacht nichts anklicken, nichts zahlen, erst prüfen. Echte Unternehmen setzen Sie nie unter Zeitdruck und fragen keine Passwörter per Mail ab. Unser Quiz zeigt Ihnen anhand von fünf echten Beispielen, wie gut Ihr Gespür ist, und schärft den Blick für die typischen Warnzeichen. Geben Sie es gern an Familie und Kollegen weiter.

Die fünf Signale, an denen Sie es wirklich erkennen

„Achten Sie auf Rechtschreibfehler" ist der Ratschlag von vor zehn Jahren. Moderne Phishing-Mails sind sprachlich einwandfrei, weil sie mit denselben Sprachmodellen geschrieben werden wie jeder andere Text. Verlässlich sind heute andere Merkmale:

1. Die tatsächliche Linkadresse. Fahren Sie mit der Maus über den Link, ohne zu klicken — unten links zeigt der Browser das echte Ziel. Entscheidend ist dabei der Teil direkt vor dem letzten Schrägstrich der Domain: Bei sparkasse.sicher-login.de ist die Domain sicher-login.de, nicht die Sparkasse.
2. Die Absenderdomain im Detail. Nicht der angezeigte Name zählt, sondern was hinter dem @ steht. Der Name lässt sich frei setzen — dass eine Mail „Deutsche Post" heißt, sagt nichts.
3. Zeitdruck ohne Sachgrund. „Ihr Konto wird in 24 Stunden gesperrt" ist keine Information, sondern eine Methode. Echte Institute setzen Fristen in Wochen und schreiben zusätzlich per Post.
4. Eine Anrede, die zu wenig weiß. Ihre Bank kennt Ihren Namen und meist die letzten Ziffern Ihrer Kontonummer. „Sehr geehrter Kunde" von einem Absender, der Sie kennen müsste, ist ein Widerspruch.
5. Anhänge, die Sie nicht erwartet haben. Besonders .zip, .iso und Office-Dateien mit Makro-Nachfrage. Eine echte Rechnung kommt als PDF und wird angekündigt.

Wenn Sie schon geklickt haben

Der häufigste Fehler danach ist Abwarten aus Scham. Die ersten Minuten entscheiden aber, ob aus einem Klick ein Schaden wird:

• Zugangsdaten eingegeben? Passwort sofort ändern — und zwar zuerst bei dem Dienst selbst, dann überall dort, wo Sie dasselbe Passwort verwendet haben. Genau das ist der Grund, warum Passwörter nie doppelt vergeben werden sollten.
• Bankdaten betroffen? Sperrnotruf 116 116, rund um die Uhr und kostenlos. Danach die Bank informieren, nicht umgekehrt.
• Anhang geöffnet? Gerät vom Netz nehmen (WLAN aus, Kabel ziehen) und erst dann prüfen lassen. Ein Verschlüsselungstrojaner arbeitet sich über das Netzwerk weiter.
• Nichts eingegeben, nur geklickt? Meist unproblematisch. Trotzdem einen vollständigen Virenscan laufen lassen.

Und in jedem Fall: Melden Sie den Vorfall. Phishing-Mails lassen sich an die Verbraucherzentrale weiterleiten, und bei finanziellem Schaden gehört die Sache zur Polizei — auch wenn es unangenehm ist.

Häufige Fragen