Kurzfassung

Was ist das?

Phishing ist jede Nachricht – E-Mail, SMS, Telefonanruf, WhatsApp, sogar ein QR-Code – die vorgibt, von jemandem oder einer Institution zu stammen, der du vertraust, um dich dazu zu bringen, etwas zu tun, was du sonst nicht tätest.

Das „etwas" ist meistens eines von diesen:

Es heißt Phishing (angelehnt an „Fischen"), weil der Angreifer einen Köder in einen riesigen Teich wirft. Er weiß nicht, ob du anbeißt. Er braucht nur einen kleinen Bruchteil der Empfänger, und das Versenden der E-Mail hat ihn nichts gekostet.

Ein paar Begriffe, die du vielleicht hörst:

Die Technik ist dieselbe. Nur der Kanal ändert sich.

Wie erkenne ich es?

Früher hieß es, man solle auf Rechtschreibfehler und merkwürdige Grammatik achten. Dieser Rat ist überholt – KI kann in zwei Sekunden eine fehlerfreie E-Mail in jeder Sprache schreiben. Du musst schauen, was die Nachricht von dir verlangt, nicht wie höflich sie das tut.

Das Muster besteht fast immer aus drei Dingen zusammen: Dringlichkeit, Autorität, eine Handlung.

  1. Dringlichkeit. „Ihr Konto wird in 24 Stunden gesperrt." „Ihr Paket wird zurückgeschickt." „Verdächtiger Login erkannt – jetzt bestätigen." Echte Institutionen setzen dir per E-Mail fast nie eine Ein-Stunden- oder Ein-Tages-Frist. Sie schicken einen Brief. Sie rufen über ihre normale App zurück. Sie warten.
  2. Autorität. Die Nachricht sieht aus, als käme sie von deiner Bank, deinem Finanzamt, deiner Behörde, einem großen Paketdienst, einem Streamingdienst, dem IT-Team deines Arbeitgebers oder deinem Chef. Das vertraute Logo, die richtigen Farben, der richtige Ton. Jeder kann ein Logo kopieren.
  3. Die Handlung. Klick diesen Link. Bestätige diesen Code. Antworte mit diesem Dokument. Bezahle diese kleine Gebühr, um das Paket freizugeben. Das ist der Punkt, an dem du den Angriff stoppen kannst. Was auch immer die Nachricht sagt, frag dich: Was passiert wirklich, wenn ich nichts tue? Die ehrliche Antwort ist fast immer „nichts Schlimmes".

Weitere Hinweiszeichen:

Was tun?

Wenn du noch nicht reagiert hast:

  1. Stopp. Nicht klicken. Nicht antworten. Keine Nummer anrufen, die in der Nachricht steht.
  2. Über einen anderen Kanal nachprüfen. Wenn „deine Bank" dir schreibt, öffne die Banking-App oder die Website, die du normalerweise nutzt – indem du die Adresse selbst eintippst, nicht aus der E-Mail – und schau dort nach. Wenn „das Finanzamt" anruft, auflegen und auf der offiziellen Nummer ihrer öffentlichen Website zurückrufen. Wenn „dein Chef" eine dringende Anfrage schickt, persönlich vorbeigehen oder auf der Nummer anrufen, die du bereits hast.
  3. Die Nachricht melden und löschen. Die meisten E-Mail-Programme (Gmail, Outlook, Apple Mail, ProtonMail) haben eine Schaltfläche „Phishing melden". Benutze sie. SMS kann in vielen Ländern an 7726 (die Ziffern buchstabieren SPAM) weitergeleitet werden, damit dein Anbieter sie analysiert. Danach die Original-Nachricht löschen.
  4. Die Familie informieren. Wenn Eltern, Partner oder Kinder denselben E-Mail-Nachnamen oder eine Haushaltsadresse teilen, werden sie wahrscheinlich noch am selben Tag dieselbe Kampagne erhalten. Eine kurze „Pass auf diese auf"-Nachricht zu Hause verhindert mehr Schaden als jeder Filter.

Wenn du schon geklickt oder dein Passwort eingegeben hast – die nächsten dreißig Minuten zählen. Ruhig bleiben. Diese Liste der Reihe nach abarbeiten.

  1. Von einem anderen Gerät aus (nicht dem, auf dem du geklickt hast, wenn möglich) – das Passwort des Kontos ändern, dessen Passwort du gerade eingegeben hast. Ein starkes, einzigartiges verwenden.
  2. Zwei-Faktor-Authentifizierung aktivieren für dieses Konto, falls noch nicht aktiv.
  3. Alle anderen Sitzungen abmelden. Die meisten wichtigen Konten (Google, Microsoft, Apple, Facebook, deine Bank) haben irgendwo in den Sicherheitseinstellungen die Schaltfläche „Auf allen Geräten abmelden". Drücken.
  4. Die letzten Aktivitäten des Kontos prüfen. Login-Standorte, zuletzt versendete E-Mails, hinzugefügte Zahlungsmethoden, eingerichtete Weiterleitungsregeln. Phisher richten oft eine Posteingangsregel ein, um ihre Spuren zu verwischen – jede Regel löschen, die du nicht erstellt hast.
  5. Wenn du Bankdaten eingegeben hast – jetzt die offizielle Nummer deiner Bank anrufen. Kartensperrung, Passwortreset, Transaktionsprüfung. Die Bank ist bei einem Fünf-Minuten-Hinweis weit dankbarer als bei einer fünf Tage alten Überraschung.
  6. Wenn du ein Ausweisdokument oder persönliche Daten eingegeben hast – sieh dir das Thema Identitätsdiebstahl und Wiederherstellung an; die Reaktion ist anders und dauert länger.
  7. Das Gerät vom Internet trennen, wenn du einen Anhang geöffnet oder etwas heruntergeladen hast. Den integrierten Sicherheitsscan des Betriebssystems durchführen. Wenn danach irgendetwas merkwürdig aussieht, das Gerät als kompromittiert betrachten und Hilfe suchen.
  8. Die Menschen in deinen Kontakten warnen. Ein kompromittiertes E-Mail-Konto wird oft genutzt, um die Leute zu phishen, die dir vertrauen. Eine kurze Warnung – über einen anderen Kanal wie WhatsApp oder SMS gesendet – verhindert die zweite Welle.

Was NOT tun?

KI zur Hilfe nutzen

Zwei Eingabeaufforderungen zum Kopieren. Die verdächtige Nachricht vollständig einfügen – möglichst einschließlich der Kopfzeilen – und die KI sie durchgehen lassen. Keine Passwörter oder Zwei-Faktor-Codes einfügen.

Ist diese Nachricht Phishing?

„Ich habe die folgende Nachricht erhalten. Ich bin mir nicht sicher, ob es sich um einen Phishing-Versuch handelt. Bitte analysiere sie aus der Perspektive eines erfahrenen Sicherheitsexperten und sag mir: (a) welche Warnsignale du siehst, (b) wie die tatsächliche Domain des Absenders aussieht und wie sie sich von der echten Organisation unterscheidet, (c) was genau die Nachricht von mir verlangt, und (d) auf einer Skala von 1–10, wie wahrscheinlich es ist, dass dies ein Phishing-Versuch ist, mit deiner Begründung. Wenn ich jetzt etwas tun sollte, liste die ersten drei Schritte der Reihe nach auf.

Nachricht: [hier einfügen]"

Ich habe schon geklickt – was jetzt?

„Ich habe auf einen Link in einer E-Mail geklickt, von der ich jetzt glaube, dass es Phishing war. Auf der Seite, auf die ich geklickt wurde, habe ich [meine E-Mail und mein Passwort / meine Kreditkartennummer / mein Ausweisdokument / einen Zwei-Faktor-Code] eingegeben. Bitte erstelle mir einen ruhigen, schrittweisen Wiederherstellungsplan für die nächsten 30 Minuten, in der Reihenfolge der Priorität. Dann sag mir, worauf ich in den nächsten zwei Wochen achten sollte."

Ein Hinweis: KI kann sich bei der Rechtslage, Rufnummern oder Wiederherstellungsrechten in deinem konkreten Land sicher irren. KI als Denkwerkzeug nutzen, nicht als Ersatz für eine kurze Überprüfung bei der echten Bank oder Behörde.

Wen rufe ich an?

Die Reihenfolge ist fast immer dieselbe:

  1. Deine Bank – wenn Geld oder Kartendaten betroffen sind. Die offizielle Nummer auf der Rückseite deiner Karte oder in der App deiner Bank, nie die in der Nachricht.
  2. Die echte Organisation, die imitiert wurde. Ihre offizielle Kontaktseite selbst suchen und das Phishing melden – sie führen Aufzeichnungen und nutzen sie, um gefälschte Seiten abschalten zu lassen.
  3. Die Plattform, über die die Nachricht kam (E-Mail-Anbieter, SMS-Anbieter, Messenger). Die meisten haben eine Ein-Klick-Funktion „Phishing melden" oder „Betrug melden".
  4. Die Anti-Betrugs-Behörde deines Landes.

Das Neueste für dein Land mit KI finden:

„Ich bin in [dein Land]. Liste die offiziellen staatlichen und Strafverfolgungsstellen auf, denen ich einen Phishing-Versuch oder Online-Betrug melden sollte – Anti-Betrugs-Behörde, nationales Cybersicherheitszentrum, Polizei-Cybercrime-Einheit, Banken-Ombudsstelle, ggf. Telekom-SMS-Spam-Kurzwahl. Gib für jede die offizielle Website-URL und die öffentliche Telefonnummer an und sag mir, welche zuerst zu kontaktieren ist, je nachdem ob (a) Geld geflossen ist, (b) nur ein Passwort preisgegeben wurde, oder (c) ein Ausweisdokument weitergegeben wurde. Nenne die offizielle Quelle für jede Angabe. Falls etwas veraltet sein könnte, sag das ausdrücklich."

Eine kurze, kuratierte Liste für den deutschsprachigen Raum (für das wirklich Neueste lieber den KI-Prompt oben verwenden):

Wenn dein Land nicht aufgeführt ist, nutze den KI-Prompt oben oder suche nach „[dein Land] nationales Cybersicherheitszentrum" oder „[dein Land] Anti-Betrug-Meldung". Die meisten haben ein einziges offizielles Portal.

Wann außerhalb des Chats eskalieren?

Quellen & weiterführende Lektüre