Beim Phishing versucht ein Angreifer, sich als vertrauenswürdige Person, Organisation oder Website auszugeben und das Opfer zu einer bestimmten Handlung zu bewegen.

Das Ziel kann beispielsweise sein:

Zugangsdaten zu erhalten,

einen Einmalcode abzufangen,

Zahlungsdaten zu stehlen,

eine Überweisung auszulösen,

persönliche Informationen zu sammeln

oder Schadsoftware auf einem Gerät auszuführen.

Phishing erfolgt längst nicht nur über E-Mail. Behörden warnen auch vor entsprechenden Angriffen über SMS, Messenger, gefälschte Websites, QR-Codes und andere Kommunikationswege. (Consumer Advice)

Das grundlegende Muster ist erstaunlich einfach:

Vertrauen erzeugen
↓
Druck oder Interesse auslösen
↓
Handlung verlangen
↓
Opfer führt Handlung selbst aus
↓
Angreifer profitiert

Der Angreifer muss dabei nicht unbedingt ein technisches Sicherheitssystem überwinden.

Er versucht vielmehr, den legitimen Benutzer dazu zu bringen, die Sicherheit selbst zu umgehen.

Phishing ist vor allem Social Engineering

Ein Passwort kann 30 zufällige Zeichen besitzen.

Die Website kann über HTTPS erreichbar sein.

Der Benutzer kann eine Authenticator-App verwenden.

Wenn eine überzeugende Nachricht dazu führt, dass der Benutzer Passwort und Einmalcode freiwillig auf einer falschen Website eingibt, muss der Angreifer weder das Passwort erraten noch die Verschlüsselung der echten Website brechen.

NIST definiert Phishing deshalb als Angriff, bei dem sich ein betrügerischer Verifier beziehungsweise Dienst als legitimer Dienst ausgibt und versucht, den Benutzer zur Preisgabe eines Authentifikators oder eines gültigen Authentifizierungsnachweises zu bewegen. Passwörter und manuell eingegebene OTP-Codes gelten nach NIST nicht als phishing-resistent. (NIST Pages)

Phishing richtet sich damit vor allem gegen eine besonders leistungsfähige Komponente jedes IT-Systems:

den Menschen, der berechtigt ist, etwas zu tun.

Ein typischer Phishing-Ablauf

Eine Nachricht könnte beispielsweise behaupten:

Bei Ihrem Konto wurde eine ungewöhnliche Anmeldung festgestellt. Bitte bestätigen Sie innerhalb von 30 Minuten Ihre Identität.

Der Ablauf sieht dann vielleicht so aus:

Phishing-Mail
↓
Button „Konto bestätigen“
↓
gefälschte Loginseite
↓
E-Mail-Adresse
↓
Passwort
↓
Authenticator-Code
↓
Angreifer erhält Zugangsdaten

Die Website kann optisch nahezu genauso aussehen wie der echte Dienst.

Logo,

Farben,

Schriften,

Formular,

Texte

lassen sich leicht nachbilden. Aktuelle FBI-Warnungen beschreiben beispielsweise täuschend nachgebaute Mitarbeiterportale, die über manipulierte Suchanzeigen verbreitet werden und echte Loginseiten imitieren. (Internet Crime Complaint Center)

Der Angriff beginnt häufig mit einer Geschichte

Phishingnachrichten verlangen selten einfach:

Schick mir dein Passwort.

Stattdessen erzeugen sie einen Grund, warum eine ungewöhnliche Handlung plötzlich plausibel wirkt.

Typische Geschichten sind etwa:

Ihr Konto wurde gesperrt.

Eine Rechnung ist überfällig.

Ein Paket konnte nicht zugestellt werden.

Ihre Zahlung wurde abgelehnt.

Sie wurden zu einem Dokument eingeladen.

Ihr Passwort läuft ab.

Ein Mitarbeiter benötigt dringend eine Überweisung.

FTC und andere Sicherheitsbehörden beschreiben genau dieses Muster: Eine unerwartete Nachricht erzeugt eine Situation, die den Empfänger zum Klicken, Öffnen eines Anhangs oder zur Herausgabe von Informationen bewegen soll. (Consumer Advice)

Gute Phishingnachrichten erzeugen Emotion

Der eigentliche Hebel ist häufig nicht Technik, sondern Psychologie.

Besonders wirksam sind:

Angst,

Zeitdruck,

Neugier,

Autorität,

Hilfsbereitschaft,

Gewinnversprechen.

Angst:
„Ihr Konto wird gesperrt.“

Zeitdruck:
„Bitte innerhalb von 15 Minuten reagieren.“

Autorität:
„Geschäftsführung: Bitte sofort überweisen.“

Neugier:
„Hier sind die vertraulichen Gehaltsdaten.“

Hilfsbereitschaft:
„Kannst du diese Rechnung schnell übernehmen?“

Das britische NCSC nennt beispielsweise Autorität und künstlichen Handlungsdruck als typische Merkmale betrügerischer Kommunikation. Gleichzeitig warnt es davor, sich ausschließlich auf sprachliche Fehler zu verlassen, weil moderne Betrugsnachrichten deutlich überzeugender sein können als frühere stereotype Phishingmails. (National Cyber Security Centre)

Schlechte Rechtschreibung ist kein zuverlässiges Erkennungsmerkmal mehr

Das alte Sicherheitswissen lautete oft:

Phishing erkennt man an Rechtschreibfehlern.

Manche Phishingmails enthalten tatsächlich schlechte Sprache.

Aber:

gute Rechtschreibung
≠
echte Nachricht

Eine professionelle, höfliche, fehlerfreie Nachricht kann genauso betrügerisch sein. Das NCSC weist ausdrücklich darauf hin, dass Scam-Nachrichten inzwischen deutlich schwerer zu erkennen sind und selbst Fachleute täuschen können. (National Cyber Security Centre)

Deshalb sollte die Prüfung stärker auf Situation, Herkunft und verlangte Handlung ausgerichtet sein.

Die wichtigste Frage lautet: Warum soll ich das gerade jetzt tun?

Du erhältst eine Nachricht deiner Bank.

Nicht zuerst fragen:

Sieht das Logo richtig aus?

Sondern:

Habe ich diese Nachricht erwartet?

Warum soll ich mich über diesen Link anmelden?

Warum muss ich plötzlich Daten bestätigen?

Warum entsteht Zeitdruck?

Kann ich den Vorgang unabhängig überprüfen?

FTC empfiehlt bei unerwarteten Nachrichten genau dieses Prinzip: Nicht den angebotenen Link oder die dort angegebene Telefonnummer verwenden, sondern den angeblichen Absender über eine bereits bekannte echte Website oder Telefonnummer kontaktieren. (Consumer Advice)

Der Absendername einer E-Mail beweist wenig

Eine Mail kann in deinem Posteingang beispielsweise erscheinen als:

Microsoft Support

Ihre Bank

Geschäftsführung

Der sichtbare Anzeigename ist jedoch nicht zwangsläufig identisch mit der tatsächlichen Absenderadresse.

Deshalb sollte bei verdächtigen Mails nicht nur auf den großen angezeigten Namen geachtet werden.

Das FBI empfiehlt insbesondere bei geschäftlichen Betrugsversuchen, die vollständige Absenderadresse zu kontrollieren und nicht nur den angezeigten Namen. (Internet Crime Complaint Center)

Selbst die korrekte Absenderadresse löst nicht jedes Problem

Hier wird Phishing interessanter.

Es gibt grundsätzlich mehrere Möglichkeiten:

gefälschter Absendername

ähnlich aussehende Domain

manipulierte Mailtechnik

tatsächlich kompromittiertes E-Mail-Konto

Im letzten Fall kann die Nachricht tatsächlich aus dem echten Postfach eines bekannten Geschäftspartners stammen.

Business Email Compromise nutzt unter anderem kompromittierte legitime E-Mail-Konten, Social Engineering und manipulierte Zahlungsanweisungen. (Internet Crime Complaint Center)

Darum reicht auch:

„Ich kenne den Absender.“

nicht als alleiniger Sicherheitsbeweis.

Was ist Spear Phishing?

Normales Massenphishing kann Tausende Empfänger gleichzeitig erreichen.

Spear Phishing ist stärker auf eine bestimmte Person oder Organisation zugeschnitten.

Der Angreifer kennt möglicherweise:

Name,

Firma,

Position,

Kollegen,

aktuelles Projekt,

Geschäftspartner.

Dann könnte eine Nachricht lauten:

Hallo Anna,

kannst du bitte die Rechnung
für das Projekt Müller freigeben?

Wir müssen sie heute noch buchen.

Danke
Martin

Wenn Anna tatsächlich mit Martin am Projekt Müller arbeitet, besitzt die Nachricht eine ganz andere Überzeugungskraft als generischer Spam.

Das NCSC weist darauf hin, dass Angreifer öffentlich verfügbare Informationen über Personen – etwa aus sozialen Netzwerken – verwenden können, um Betrugsnachrichten überzeugender zu gestalten. (National Cyber Security Centre)

Was ist Whaling?

Der Begriff wird für gezieltes Phishing gegen besonders interessante Personen verwendet.

Zum Beispiel:

Geschäftsführer,

Finanzleiter,

Administratoren,

Führungskräfte.

Warum gerade diese Personen?

Weil ihre Konten beziehungsweise Entscheidungen einen besonders hohen Wert besitzen.

Administrator
→ Zugriff auf Systeme

Finanzleitung
→ Zugriff auf Zahlungen

Geschäftsführung
→ hohe Autorität

Der Angreifer optimiert also nicht nur auf:

Wer klickt?

sondern:

Wessen Klick bringt besonders viel?

Business Email Compromise

Bei Business Email Compromise, kurz BEC, geht es häufig weniger darum, Schadsoftware zu installieren, sondern einen legitimen Geschäftsprozess zu manipulieren.

Das FBI beschreibt BEC als Betrugsform, bei der unter anderem kompromittierte geschäftliche E-Mail-Konten und Social Engineering genutzt werden, um beispielsweise unberechtigte Geldtransfers auszulösen. (Internet Crime Complaint Center)

Ein typisches Szenario:

Angreifer beobachtet Geschäftsbeziehung
↓
Imitiert Lieferanten
↓
„Unsere Bankverbindung hat sich geändert.“
↓
Buchhaltung überweist
↓
Geld landet beim Angreifer

Technisch muss dabei vielleicht überhaupt kein Firmenserver gehackt werden.

Die falsche Zahlungsinformation genügt.

Änderungen von Bankdaten immer separat bestätigen

Eine der wirkungsvollsten Schutzmaßnahmen gegen BEC ist überraschend banal:

Nutze einen zweiten, unabhängigen Kommunikationskanal.

E-Mail behauptet:

Unsere neue IBAN lautet …

Dann nicht auf dieselbe Mail antworten:

Stimmt das wirklich?

Denn wenn das E-Mail-Konto kompromittiert ist, antwortet möglicherweise wieder der Angreifer.

Besser:

bekannte Telefonnummer
↓
bekannten Ansprechpartner anrufen
↓
Änderung bestätigen

Das FBI empfiehlt bei Änderungen von Zahlungs- oder Kontoinformationen ausdrücklich eine unabhängige Verifikation über einen zweiten Kommunikationsweg. (Internet Crime Complaint Center)

Der Linktext muss nicht dem Linkziel entsprechen

Eine E-Mail kann anzeigen:

www.meinebank.at

Der tatsächlich hinterlegte Link könnte dennoch auf eine andere Website führen.

Das sichtbare Wort ist nur:

Text.

sichtbarer Text
↓
kann beliebig sein

tatsächliches Linkziel
↓
entscheidet, wohin Browser geht

Deshalb sollte ein Link nicht deshalb als echt gelten, weil sein Text vertrauenswürdig aussieht.

Buttons verstecken das Ziel noch besser

Besonders beliebt sind:

KONTO PRÜFEN

RECHNUNG ANZEIGEN

PASSWORT ZURÜCKSETZEN

DOKUMENT ÖFFNEN

Der Nutzer sieht überhaupt keine URL mehr.

Genau deshalb ist bei unerwarteten Aufforderungen ein besserer Weg:

Den Dienst unabhängig von der Nachricht öffnen.

FTC empfiehlt ausdrücklich, bei einer möglicherweise legitimen Nachricht eine bereits bekannte Website oder Telefonnummer zu verwenden und nicht die Angaben der Nachricht selbst. (Consumer Advice)

Öffne wichtige Dienste selbst

Du erhältst:

Bei Ihrem Bankkonto wurde eine ungewöhnliche Zahlung erkannt.

Dann:

Mail schließen
↓
Bank-App selbst öffnen

oder:

Browser öffnen
↓
bekannte Adresse selbst aufrufen

Wenn wirklich ein Problem existiert, sollte es sich häufig auch dort erkennen beziehungsweise unabhängig klären lassen.

Damit umgehst du die wichtigste Infrastruktur des Phishingangriffs:

den mitgelieferten Weg zum Angreifer.

Suchmaschinen können ebenfalls zum Phishingweg werden

Es reicht nicht immer, die E-Mail zu vermeiden und anschließend nach:

Firmenname Login

zu suchen.

Das FBI warnte 2025 ausdrücklich vor manipulierten Suchmaschinenanzeigen, die sich als legitime Mitarbeiterportale ausgaben. Die betrügerische URL erschien dabei prominent in den Suchergebnissen und führte zu einer nachgebauten Loginseite. (Internet Crime Complaint Center)

Für besonders sensible Dienste sind daher:

gespeicherte Bookmarks,

offizielle Apps,

bereits bekannte Adressen

oft zuverlässigere Ausgangspunkte als ein spontanes Suchergebnis.

Die Domain ist entscheidender als das Logo

Ein Angreifer kann:

Logo kopieren,

Farben kopieren,

Texte kopieren,

Loginmaske kopieren.

Was er nicht beliebig übernehmen kann, ist dieselbe Internetadresse eines Dienstes, solange er nicht dessen Domain oder Infrastruktur kontrolliert.

Deshalb lohnt der Blick auf die tatsächliche Domain.

Ein Angreifer könnte beispielsweise versuchen:

beispiel-bank-login.example

statt:

beispielbank.example

oder minimale Schreibunterschiede verwenden. Das FBI beschreibt Phishingseiten mit geringfügig veränderten URLs ausdrücklich als reale Angriffstechnik. (Internet Crime Complaint Center)

Subdomains können verwirren

Betrachten wir:

bank.example.com

Hier ist die relevante registrierbare Domain normalerweise:

example.com

„bank“ ist nur ein davorliegender Bestandteil.

Ein Phishinglink könnte dagegen aussehen wie:

bank.example.com.attacker.example

Der entscheidende Dienst wäre nun nicht:

example.com

sondern die Domain am rechten Ende des tatsächlichen Hostnamens.

Deshalb ist es gefährlich, URLs nur nach bekannten Wörtern abzusuchen.

HTTPS bedeutet nicht „diese Website ist seriös“

HTTPS löst ein wichtiges technisches Problem:

Die Verbindung zwischen Browser und dem angesprochenen Server kann authentifiziert und verschlüsselt werden.

Aber ein Betrüger kann ebenfalls eine Website über HTTPS betreiben.

HTTPS
→ verschlüsselte Verbindung

bedeutet nicht automatisch:

HTTPS
→ ehrlicher Betreiber

Das Schloss beziehungsweise HTTPS ist daher ein notwendiges Sicherheitsmerkmal moderner Websites, aber kein allgemeines Gütesiegel für den Inhalt. NIST fordert geschützte authentifizierte Kommunikationskanäle für Authentifizierung, behandelt Phishing-Resistenz jedoch ausdrücklich als zusätzliches Problem. (NIST Pages)

Die perfekte Kopie einer Loginseite ist technisch nicht außergewöhnlich

Eine Website besteht aus:

HTML,

CSS,

Bildern,

Schriften,

JavaScript.

Viele visuelle Elemente einer öffentlich erreichbaren Loginseite können analysiert und nachgebaut werden.

Deshalb kann eine Phishingseite äußerlich überzeugend sein.

Der sichere Grundsatz lautet nicht:

Sieht echt aus
→ ist echt.

Sondern:

Bin ich über einen vertrauenswürdigen Weg
beim richtigen Dienst gelandet?

Passwortmanager können ein Warnsignal liefern

Ein Passwortmanager speichert Zugangsdaten normalerweise in Verbindung mit einer bestimmten Website.

Du öffnest die echte Domain:

dienst.example

Der Manager bietet das gespeicherte Passwort an.

Auf:

dienst-login.attacker.example

passt diese Zuordnung möglicherweise nicht.

Das kann ein nützliches Warnsignal sein.

Es ist dennoch kein Grund, jede weitere Prüfung einzustellen. Passwörter selbst gelten nach NIST weiterhin nicht als phishing-resistent. (NIST Pages)

Phishing kann auch MFA-Codes abfangen

Du besitzt:

Passwort

plus:

Authenticator-App.

Das verbessert deine Sicherheit erheblich.

Doch eine moderne Phishingseite kann beide Werte nacheinander verlangen.

E-Mail-Adresse
↓
Passwort
↓
„Bitte Sicherheitscode eingeben“
↓
TOTP-Code

Der Angreifer kann die Daten in Echtzeit an den echten Dienst weiterreichen. FBI-Warnungen beschreiben Phishingseiten, die neben Zugangsdaten ausdrücklich auch MFA-Tokens beziehungsweise Einmalcodes abfragen. NIST klassifiziert manuell eingegebene OTP-Verfahren aus genau diesem Grund nicht als phishing-resistent. (Internet Crime Complaint Center)

„Der Code gilt nur 30 Sekunden“ löst das Problem nicht

Der Angreifer braucht ihn nicht morgen.

Er verwendet ihn:

jetzt.

Opfer gibt Code ein
↓
Angreifer erhält Code
↓
Angreifer sendet ihn sofort
an echten Dienst

Das ist ein Echtzeitangriff.

Deshalb schützt OTP-MFA zwar gegen viele Fälle eines bloß gestohlenen Passworts, aber nicht vollständig gegen überzeugendes Echtzeit-Phishing. (NIST Pages)

Phishing kann noch weiter gehen: Sitzung statt Passwort

Nach einer erfolgreichen Anmeldung muss eine Website den Benutzer nicht bei jedem Seitenaufruf erneut nach Passwort und MFA fragen.

Stattdessen erhält der Browser üblicherweise einen Sitzungsnachweis – häufig in Form eines Session-Cookies beziehungsweise Tokens.

Passwort + MFA
↓
Anmeldung erfolgreich
↓
Session-Token
↓
Browser bleibt angemeldet

MITRE ATT&CK beschreibt gestohlene Session-Cookies ausdrücklich als Authentifizierungsmaterial, das einem Angreifer Zugriff auf eine bereits authentifizierte Websitzung ermöglichen und damit bestimmte MFA-Hürden umgehen kann. (attack.mitre.org)

Adversary-in-the-Middle-Phishing

Fortgeschrittenes Phishing kann sich wie ein Vermittler zwischen Nutzer und echtem Dienst verhalten.

Vereinfacht:

Nutzer
↓
Phishing-Proxy
↓
echte Website

Der Nutzer sieht eine sehr realistische Anmeldung, weil Teile der Kommunikation tatsächlich mit dem echten Dienst stattfinden.

Passwort
↓
Phishing-System
↓
echter Dienst

OTP
↓
Phishing-System
↓
echter Dienst

Das System kann anschließend versuchen, auch das resultierende Sitzungstoken abzugreifen. MITRE dokumentiert solche Adversary-in-the-Middle-Phishingtechniken und deren Einsatz zum Abfangen von Anmeldedaten, Authentifizierungstokens und Session-Cookies. (attack.mitre.org)

Das erklärt, warum MFA nicht gleich MFA ist

Ein TOTP-Code ist:

eine Zahl,
die der Nutzer übertragen kann.

Ein phishing-resistenter WebAuthn-Nachweis funktioniert anders.

Er wird kryptografisch an den richtigen Dienst beziehungsweise dessen Domain gebunden. NIST nennt WebAuthn ausdrücklich als Beispiel für phishing-resistente Authentifizierung durch Verifier-Name-Binding. (NIST Pages)

Das ist der zentrale Unterschied aus unserem Artikel über 2FA, MFA und Passkeys.

Passkeys können das Phishingproblem grundlegend reduzieren

Bei einem Passkey wird nicht:

Passwort
↓
vom Nutzer an Website gesendet

und auch nicht:

OTP
↓
vom Nutzer an Website übertragen

Stattdessen wird ein kryptografischer Nachweis für den vorgesehenen Dienst erzeugt.

richtige Domain
↓
passender Credential-Kontext
↓
kryptografische Signatur

Eine Phishingwebsite auf einer anderen Domain kann nicht einfach denselben WebAuthn-Credentialkontext verwenden. Genau deshalb klassifiziert NIST entsprechend korrekt implementierte WebAuthn-Verfahren als phishing-resistent. (NIST Pages)

Phishing kann auch über das Telefon erfolgen

Der Angreifer muss nicht schreiben.

Er kann anrufen:

Guten Tag, hier ist die Sicherheitsabteilung Ihrer Bank. Wir haben gerade eine verdächtige Transaktion erkannt. Ich sende Ihnen jetzt einen Code – lesen Sie ihn mir bitte vor.

Der Nutzer erhält tatsächlich einen echten Sicherheitscode.

Aber nicht, weil die Bank ihn überprüfen möchte.

Der Angreifer versucht vielleicht gerade selbst, sich anzumelden.

Das FBI warnt ausdrücklich davor, Verifikations- und Zwei-Faktor-Codes gegenüber Personen herauszugeben, die sich über Telefon, E-Mail, SMS oder Messenger melden. (Internet Crime Complaint Center)

Ein Sicherheitscode ist wie ein Einmalschlüssel

Wenn eine fremde Person sagt:

Lesen Sie mir den Code vor, damit ich weiß, dass Sie wirklich Sie sind.

sollte die innere Alarmanlage anspringen.

Code erhalten
↓
Warum?
↓
Welchen Vorgang habe ICH selbst gestartet?

Wenn du keinen Login oder keine Wiederherstellung gestartet hast, ist der Code bereits ein Warnsignal.

Smishing

Phishing über SMS wird häufig als Smishing bezeichnet.

Typische Themen:

Paket,

Maut,

Bank,

Zahlung,

Behörde,

Accountproblem.

Der Vorteil für Angreifer:

Auf Smartphones ist weniger Platz für:

vollständige URLs,

Absenderinformationen,

Browserdetails.

Außerdem reagieren Nutzer unterwegs oft schneller und weniger sorgfältig.

FTC veröffentlicht regelmäßig Warnungen vor entsprechenden SMS- und Textbetrugsvarianten. (Consumer Advice)

Messenger-Phishing

Auch Messenger sind ein geeigneter Angriffsweg.

Ein kompromittiertes Konto kann beispielsweise Nachrichten an echte Kontakte senden.

bekannter Kontakt
↓
„Kannst du mir schnell helfen?“

Der Vertrauensvorsprung ist erheblich.

FBI und NCSC warnten 2026 ausdrücklich vor Angriffen auf Messaging-Konten, bei denen Nutzer zur Herausgabe von Verifikationscodes oder zum Scannen manipulierter QR-Codes bewegt wurden. (Internet Crime Complaint Center)

Der Angriff kann aus dem echten Konto eines Bekannten kommen

Das macht den klassischen Rat:

Öffne nur Links von Menschen, die du kennst.

unzureichend.

Besser:

Kenne ich die Person?
+
Passt die Nachricht zur Situation?
+
Ist die verlangte Handlung plausibel?

Ein kompromittierter Kontakt bleibt ein kompromittierter Kommunikationskanal.

QR-Phishing oder „Quishing“

Ein QR-Code enthält im Kern Daten, häufig eine URL.

Statt auf:

https://...

zu klicken, scannt der Nutzer ein Bild.

QR-Code
↓
Smartphone
↓
Website

Der entscheidende Nachteil aus Sicht des Nutzers:

Das eigentliche Linkziel ist vor dem Scan weniger offensichtlich.

NCSC und FBI warnen ausdrücklich vor QR-Codes in Phishingkampagnen. Das NCSC weist außerdem darauf hin, dass QR-Codes in E-Mails Sicherheitsfilter umgehen können, die Bildinhalte nicht entsprechend auswerten, und dass der Scan häufig vom geschäftlich geschützten Computer auf ein persönliches Smartphone wechselt. (National Cyber Security Centre)

QR-Codes sind nicht grundsätzlich gefährlich

Ein QR-Code ist zunächst nur ein Informationscontainer.

QR-Code
≠
Malware

Das Risiko entsteht durch:

Welche Information steckt darin?
↓
Wohin führt sie?
↓
Was soll ich danach tun?

Die gleiche Vorsicht, die bei einem unbekannten Link gilt, sollte deshalb auch bei unerwarteten QR-Codes gelten.

Besonders verdächtig: QR-Code plus Handlungsdruck

Zum Beispiel:

Parkstrafe sofort bezahlen

MFA neu registrieren

Konto entsperren

Rechnung ansehen

Die FTC berichtete 2026 etwa über betrügerische SMS mit angeblichen Verkehrsverstößen, bei denen ein QR-Code zu Zahlung beziehungsweise Datendiebstahl führen sollte. (Consumer Advice)

Ein QR-Code kann auch ein Gerät mit einem Konto verbinden

Bei Messengerangriffen kann ein QR-Code nicht nur auf eine Website führen.

Er kann unter Umständen Bestandteil eines legitimen Geräte-Verknüpfungsprozesses sein.

Wenn ein Angreifer den Nutzer dazu bringt, seinen Verknüpfungscode zu scannen, kann dadurch möglicherweise ein fremdes Gerät mit dem Konto verbunden werden. FBI-Warnungen aus 2026 beschreiben genau solche Angriffe auf Messaging-Anwendungen. (Internet Crime Complaint Center)

Der Nutzer glaubt:

Ich bestätige mein Konto.

Tatsächlich:

Ich autorisiere ein fremdes Gerät.

Anhänge sind ein zweiter großer Phishingweg

Nicht jedes Phishing will Zugangsdaten.

Eine Nachricht kann stattdessen einen Anhang enthalten:

Rechnung

Bewerbung

Mahnung

Versanddokument

Vertrag

Das Ziel kann sein, Schadsoftware auszuführen oder den Benutzer zu weiteren gefährlichen Aktionen zu bewegen. FTC warnt deshalb davor, unerwartete Links und Anhänge zu öffnen, da sie sowohl zu Datendiebstahl als auch zu Malware führen können. (Consumer Advice)

Dateiname ist kein Sicherheitsnachweis

Ein Dokument heißt:

Rechnung_August.pdf

Das bedeutet zunächst nur:

Die Datei trägt diesen Namen beziehungsweise erscheint so.

Entscheidend sind:

tatsächlicher Dateityp,

Inhalt,

Quelle,

verwendete Anwendung,

Sicherheitszustand des Systems.

Deshalb sollte eine unerwartete Datei nicht allein aufgrund ihres vertraut klingenden Namens geöffnet werden.

Phishing kann sogar dazu bringen, Malware selbst auszuführen

Ein besonders interessantes Beispiel sind falsche Sicherheits- oder CAPTCHA-Anweisungen.

Die FTC warnte 2026 vor gefälschten CAPTCHA-Seiten, die Nutzer aufforderten, Tastenkombinationen auszuführen und Befehle einzufügen. Der Benutzer glaubte, eine Sicherheitsprüfung zu absolvieren, startete aber tatsächlich selbst Schadcode. (Consumer Advice)

Das Muster lautet:

Angreifer
↓
gibt technische Anweisung
↓
Nutzer führt sie selbst aus
↓
Schadcode startet

Das ist Social Engineering in besonders reiner Form.

Ein echtes CAPTCHA verlangt nicht, dass du Betriebssystembefehle ausführst

Eine Website sagt:

Windows + R drücken

danach:

Ctrl + V

und:

Enter

Das sollte als massives Warnsignal behandelt werden. Die FTC warnt ausdrücklich vor dieser aktuellen Scam-Technik. (Consumer Advice)

Phishing muss nicht sofort nach Zugangsdaten fragen

Manchmal beginnt es harmloser.

Link öffnen
↓
Telefonnummer eingeben
↓
Anruf erhalten
↓
„Supportmitarbeiter“ übernimmt

Oder:

Rechnung prüfen
↓
Telefonnummer anrufen
↓
Fernzugriff installieren

Der eigentliche Angriff verteilt sich über mehrere Kommunikationskanäle.

Das macht einzelne Schritte plausibler.

Mehrkanal-Angriffe sind besonders überzeugend

Beispielsweise:

E-Mail
↓
Telefon
↓
SMS-Code
↓
Login

Jeder neue Kanal kann beim Opfer den Eindruck verstärken:

Das muss echt sein – jetzt ruft mich sogar jemand an.

Tatsächlich kann alles Teil desselben Angriffs sein.

Social Engineering nutzt legitime Funktionen

Ein wichtiger Gedanke:

Angreifer müssen nicht immer Sicherheitslücken ausnutzen.

Sie können legitime Funktionen missbrauchen.

Zum Beispiel:

Passwort-Reset,

MFA-Code,

Geräte-Verknüpfung,

Zahlungsänderung,

Dokumentenfreigabe.

legitime Funktion
+
falscher Anlass
=
Angriffsweg

Das macht Phishing so schwierig vollständig technisch zu blockieren.

KI verändert vor allem die Qualität und Skalierbarkeit der Täuschung

Die zuverlässige Erkennung von Phishing anhand schlechter Formulierungen wird ohnehin immer schwächer. Sicherheitsbehörden warnen vor zunehmend überzeugenden Scam-Nachrichten, und aktuelle Cyberwarnungen zeigen, dass KI auch in Angriffsketten unterstützend eingesetzt wird. (National Cyber Security Centre)

Für die Praxis bedeutet das:

„Die Mail klingt professionell.“

ist kein Sicherheitsmerkmal.

Ebenso wenig:

„Der Text verwendet meinen Namen.“

oder:

„Die Nachricht kennt mein Unternehmen.“

Personalisierung kann aus öffentlich zugänglichen Informationen entstehen.

Öffentliche Informationen erhöhen die Glaubwürdigkeit

Firmenwebsites und soziale Netzwerke verraten häufig:

Mitarbeiter,

Positionen,

Geschäftsführer,

Projekte,

Kunden,

Veranstaltungen.

Diese Informationen können einen Angriff präziser machen. Das NCSC empfiehlt deshalb, sich bewusst zu machen, welche persönlichen und beruflichen Informationen öffentlich sichtbar sind, weil Angreifer solche Daten für überzeugenderes Phishing verwenden können. (National Cyber Security Centre)

Ein Beispiel für gezieltes Unternehmensphishing

Öffentlich sichtbar:

Max Mustermann
Finanzleiter

Anna Beispiel
Geschäftsführerin

Firma eröffnet Standort Prag

Angreifer schreibt:

Von: Anna Beispiel

Hallo Max,

wegen der finalen Zahlung für Prag
brauche ich heute noch die Überweisung.

Ich sitze gerade im Termin,
bitte nicht anrufen.

IBAN: ...

Fast jede Information darin kann öffentlich recherchiert worden sein.

Das „Bitte nicht anrufen“ beseitigt gleichzeitig genau den Kontrollweg, der den Betrug aufdecken könnte.

Ungewöhnliche Geheimhaltung ist ein Warnsignal

Zum Beispiel:

„Behandle das vertraulich.“

„Bitte niemanden aus der Buchhaltung einbeziehen.“

„Ich bin im Meeting und nicht erreichbar.“

„Bitte sofort ausführen.“

Alle diese Elemente verhindern:

Rückfrage,

Vier-Augen-Prinzip,

Zeit zum Nachdenken.

Genau deshalb sind organisatorische Prozesse so wichtig.

Technik allein stoppt BEC nicht

Ein Unternehmen kann perfekte Spamfilter besitzen.

Wenn ein Mitarbeiter aufgrund einer glaubwürdigen Nachricht freiwillig:

eine Rechnung bezahlt

oder:

neue Bankdaten übernimmt,

kann technisch alles korrekt funktionieren.

Deshalb helfen Prozesse wie:

Bankdatenänderung
→ zweite Bestätigung

hohe Zahlung
→ Vier-Augen-Prinzip

ungewöhnliche Chef-Anweisung
→ Rückruf

Das FBI empfiehlt bei BEC ausdrücklich unabhängige Verifikation sensibler Änderungs- und Zahlungsanweisungen. (Internet Crime Complaint Center)

Phishing-Erkennung ist kein Fehlersuchspiel

Nicht sinnvoll:

Ich finde keinen Tippfehler.
↓
Also echt.

Besser ist ein mehrstufiges Modell.

Ebene 1: Kontext

Habe ich diese Nachricht erwartet?

Ebene 2: Identität

Wer ist der tatsächliche Absender?

Ebene 3: Handlung

Was soll ich tun?

Ebene 4: Ziel

Wohin führt der Vorgang?

Ebene 5: Unabhängige Prüfung

Kann ich den Sachverhalt außerhalb der Nachricht bestätigen?

Diese fünf Fragen sind wesentlich robuster als eine Checkliste einzelner optischer Fehler.

Ein einfaches Phishing-Prüfmodell

Unerwartete Nachricht
↓
Verlangt sie Handlung?
↓
ja
↓
nicht über Nachricht handeln
↓
unabhängigen Kanal öffnen
↓
Sachverhalt prüfen

Dieses Prinzip deckt sehr viele Angriffstypen ab.

Beispiel Bank

Nachricht:

Kreditkarte wurde gesperrt. Hier bestätigen.

Sicherer Weg:

Nachricht ignorieren
↓
Bank-App selbst öffnen
↓
Meldungen prüfen

Beispiel Paketdienst

Nachricht:

Paket kann wegen 1,99 Euro Zoll nicht zugestellt werden.

Sicherer Weg:

Trackingnummer unabhängig prüfen
↓
offizielle Paket-App / Website

Beispiel Mitarbeiter

Nachricht:

Bitte neue Lieferanten-IBAN hinterlegen.

Sicherer Weg:

bekannten Ansprechpartner
über bekannte Nummer kontaktieren
↓
Änderung bestätigen

Beispiel Microsoft- oder Cloud-Login

Nachricht:

Passwort läuft heute ab.

Sicherer Weg:

bekannte Cloud-Adresse
oder Bookmark öffnen
↓
Kontostatus dort prüfen

Beispiel Messenger

Bekannter Kontakt:

Ich brauche den Code, der gerade bei dir angekommen ist.

Sicherer Weg:

Code niemals weitergeben
↓
Kontakt über anderen Weg verifizieren

FBI und NCSC warnen ausdrücklich vor der Weitergabe von Verifikationscodes und unerwarteten Geräte-Verknüpfungsanfragen. (Internet Crime Complaint Center)

Was tun, wenn ich nur eine Phishingmail erhalten habe?

Wenn du:

nicht geklickt,

keinen Anhang geöffnet,

keine Daten eingegeben

und keine Software installiert hast,

ist normalerweise keine große technische Notfallmaßnahme erforderlich.

Du kannst die Nachricht als Phishing beziehungsweise Spam melden und löschen. FTC empfiehlt, verdächtige Nachrichten zu melden und anschließend zu entfernen. (Consumer Advice)

Wichtig ist vor allem:

Nicht aus Neugier testen, was hinter dem Link steckt.

Was tun, wenn ich auf einen Link geklickt habe?

Zunächst unterscheiden:

nur Seite geöffnet

oder:

Daten eingegeben

oder:

Datei geladen / Software ausgeführt

Das sind unterschiedliche Situationen.

Das NCSC weist darauf hin, dass ein bloßer Klick ohne Eingabe persönlicher Informationen, Download oder Softwareinstallation häufig keine weiteren Schritte erfordert, empfiehlt aber erhöhte Aufmerksamkeit auf verdächtige Kontoaktivitäten. Wenn Dateien oder Software involviert waren, sind zusätzliche Prüfmaßnahmen sinnvoll. (National Cyber Security Centre)

Nur geklickt und nichts eingegeben

Dann:

Seite schließen.

Keine weiteren Aufforderungen befolgen.

Downloads prüfen.

Kontoaktivitäten im Blick behalten.

Das Risiko ist wesentlich geringer als nach einer tatsächlichen Eingabe von Zugangsdaten. (National Cyber Security Centre)

Passwort auf Phishingseite eingegeben

Dann sollte das Passwort als kompromittiert betrachtet werden.

Nicht:

Vielleicht haben sie es
gar nicht gespeichert.

Sondern:

Passwort bekannt geworden
↓
sofort handeln

FTC empfiehlt in solchen Fällen, das betroffene Passwort unverzüglich zu ändern. (Consumer Advice)

Passwort von einem sauberen Weg aus ändern

Nicht auf der Phishingseite.

Sondern:

echte App / Website öffnen
↓
Passwort ändern

Wenn dasselbe Passwort noch bei anderen Diensten eingesetzt wurde:

alle Wiederverwendungen finden
↓
ebenfalls ändern

Genau deshalb ist Passwort-Wiederverwendung so gefährlich. NCSC empfiehlt bei preisgegebenen Passwörtern ausdrücklich, dasselbe Passwort auch bei anderen Konten sofort zu ersetzen. (National Cyber Security Centre)

Passwortmanager hilft bei der Schadensbegrenzung

Wenn jedes Konto ein eigenes Passwort besitzt:

Phishing von Konto A
↓
Passwort A kompromittiert

aber:

Passwort B
Passwort C
Passwort D

bleiben unterschiedlich.

Ein Angriff auf ein Konto wird nicht automatisch zu einem Angriff auf das gesamte digitale Leben.

MFA ebenfalls prüfen

Wenn Passwort und MFA-Code auf einer Phishingseite eingegeben wurden, sollte zusätzlich geprüft werden:

aktive Sitzungen,

registrierte Authenticatoren,

Recovery-Informationen,

unbekannte Geräte.

Denn der Angreifer könnte die Anmeldung bereits abgeschlossen haben.

Aktive Sitzungen beenden

Viele Dienste bieten Funktionen wie:

Von allen Geräten abmelden

beziehungsweise eine Liste aktiver Sitzungen.

Das kann wichtig sein, weil ein Angreifer nach erfolgreichem Login möglicherweise bereits ein Session-Token erhalten hat. Gestohlene Sitzungscookies können nach erfolgreicher Authentifizierung einen weiteren Zugang ermöglichen. (attack.mitre.org)

Nur das Passwort zu ändern beendet nicht bei jedem Dienst zwangsläufig jede bereits bestehende Sitzung.

Das konkrete Verhalten hängt vom jeweiligen System ab.

Unbekannte MFA-Methoden prüfen

Ein Angreifer mit Kontozugang könnte versuchen:

eigene Telefonnummer,

eigenen Authenticator,

neuen Passkey,

Recovery-Adresse

zu registrieren.

Nach einer vermuteten Kontoübernahme sollte deshalb nicht nur das Passwort betrachtet werden, sondern die gesamte Kontokonfiguration.

E-Mail-Regeln prüfen

Besonders bei kompromittierten E-Mail-Konten können Angreifer Regeln anlegen.

Zum Beispiel:

alle Sicherheitsmails
→ löschen

oder:

bestimmte Nachrichten
→ weiterleiten

Business Email Compromise kann auf kompromittierten legitimen E-Mail-Konten basieren. (Internet Crime Complaint Center)

Deshalb kann bei einer bestätigten Mailkonto-Übernahme eine Prüfung von:

Weiterleitungen,

Regeln,

Geräten,

Sitzungen,

Recovery-Daten

sinnvoll sein.

Wenn Zahlungsdaten eingegeben wurden

Dann geht es nicht mehr nur um IT-Sicherheit.

Bei kompromittierten:

Kreditkartendaten,

Bankdaten,

Überweisungen

sollte der betroffene Finanzdienstleister möglichst schnell über einen unabhängig verifizierten Kontaktweg informiert werden.

Das FBI empfiehlt bei BEC- und Zahlungsbetrug, Bank beziehungsweise Zahlungsorganisation möglichst schnell zu kontaktieren, weil zeitnahe Reaktionen die Chance auf Rückruf beziehungsweise Einfrieren betrügerischer Transaktionen verbessern können. (Internet Crime Complaint Center)

Wenn Software installiert oder ein verdächtiger Anhang ausgeführt wurde

Dann befinden wir uns möglicherweise bereits nicht mehr nur beim Phishing.

Nun besteht Malwareverdacht.

FTC empfiehlt bei Verdacht auf heruntergeladene Schadsoftware, sensible Logins vorerst zu vermeiden, Sicherheitssoftware zu aktualisieren und einen Scan durchzuführen; nach einer Bereinigung sollten wichtige Passwörter geändert und 2FA aktiviert beziehungsweise überprüft werden. (Consumer Advice)

Bei einem geschäftlichen Gerät sollte zusätzlich die zuständige IT beziehungsweise Sicherheitsstelle informiert werden. Das NCSC empfiehlt genau dies bei Phishingvorfällen auf Arbeitsgeräten. (National Cyber Security Centre)

Warum nicht sofort auf dem möglicherweise infizierten Gerät alle Passwörter ändern?

Wenn tatsächlich Malware oder ein Keylogger aktiv ist:

neues Passwort eingeben
↓
Malware liest es mit

Das kann die Situation verschlimmern.

Deshalb sollte bei ernsthaftem Malwareverdacht zuerst das Gerät gesichert beziehungsweise bereinigt und für kritische Kontomaßnahmen gegebenenfalls ein vertrauenswürdiges anderes Gerät verwendet werden. FTC rät bei möglicher Malware ausdrücklich davon ab, auf dem betroffenen Gerät weiter sensible Zugangsdaten einzugeben, bevor es geprüft wurde. (Consumer Advice)

Wenn ein Unternehmen betroffen ist

Dann sollte nicht jeder Mitarbeiter improvisieren.

Ein sinnvoller interner Prozess kann lauten:

verdächtige Nachricht
↓
Security / IT melden
↓
Nachricht untersuchen
↓
betroffene Konten prüfen
↓
weitere Empfänger warnen
↓
Sessions / Zugangsdaten sichern
↓
Folgeangriffe überwachen

Besonders wichtig ist Geschwindigkeit, weil derselbe Phishingköder möglicherweise an viele Mitarbeiter verteilt wurde.

Nicht einfach die Phishingmail an alle weiterleiten

Sonst verbreitet die interne Warnung möglicherweise selbst:

den gefährlichen Link,

den Anhang

oder:

QR-Code.

Besser ist eine kontrollierte Sicherheitsmeldung:

Betreff nennen
Absender nennen
Screenshot
Handlungsanweisung

ohne unnötig den gefährlichen Inhalt weiter anklickbar zu verbreiten.

Technische Schutzmaßnahmen gegen Phishing

Menschen müssen nicht alles allein erkennen.

Eine mehrschichtige Verteidigung kann beispielsweise enthalten:

Spam- und Phishingfilter,

Domain- und Mailauthentifizierung,

Browser-Schutz,

DNS-/Webfilter,

Endpoint-Security,

MFA,

phishing-resistente Passkeys,

Berechtigungskonzepte,

Zahlungsprozesse.

CISA betont bei Phishing ebenfalls einen mehrschichtigen Ansatz und verweist auf technische Schutzmaßnahmen sowie Schulung. (cisa.gov)

Spamfilter sind hilfreich, aber nicht perfekt

Ein Filter kann:

bekannte schädliche Domains erkennen,

verdächtige Anhänge analysieren,

gefälschte Absender bewerten.

Aber Spear Phishing kann aus:

neu registrierter Infrastruktur,

kompromittierten echten Konten

oder:

sehr individuellen Nachrichten

bestehen.

Deshalb bleibt der Empfänger Teil der Verteidigung.

E-Mail-Authentifizierung

Technologien wie SPF, DKIM und DMARC können helfen, bestimmte Formen der Absenderfälschung zu erschweren beziehungsweise besser zu bewerten.

Sie lösen jedoch nicht:

kompromittierte echte Mailkonten,

ähnlich aussehende Domains,

Betrug aus legitimen Systemen.

Phishingabwehr sollte deshalb nie auf einen einzelnen Mailmechanismus reduziert werden.

MFA ist wichtig, aber phishing-resistente MFA ist stärker

Wie im vorherigen Artikel erläutert:

Passwort
+
TOTP

ist wesentlich besser als ein Passwort allein.

Gegen Echtzeit-Phishing kann der TOTP-Code dennoch weitergeleitet werden. NIST stuft OTP-Verfahren daher nicht als phishing-resistent ein. (NIST Pages)

Dagegen:

Passkey / WebAuthn

bindet den Authentifizierungsnachweis an den richtigen Dienst und ist bei korrekter Implementierung phishing-resistent. (NIST Pages)

Der Mensch sollte möglichst nicht entscheiden müssen, ob die Domain „fast richtig“ aussieht

Das ist die eigentliche Stärke phishing-resistenter Authentifizierung.

Klassisches Modell:

Mensch
↓
muss falsche Website erkennen

Modernes kryptografisches Modell:

Protokoll
↓
verweigert passenden Nachweis
für falschen Dienst

NIST definiert Phishing-Resistenz ausdrücklich so, dass sie nicht von der Aufmerksamkeit des Benutzers abhängen soll. (NIST Computer Security Resource Center)

Trotzdem verschwindet Social Engineering nicht

Selbst mit Passkeys kann ein Angreifer versuchen:

eine Zahlung zu erschleichen,

Fernzugriff installieren zu lassen,

persönliche Daten zu bekommen,

ein Gerät verbinden zu lassen,

den Benutzer zu einer anderen legitimen Aktion zu bewegen.

Passkeys lösen ein bestimmtes sehr wichtiges Problem:

Phishing von Authentifizierungsnachweisen.

Sie lösen nicht jede denkbare Täuschung.

Organisatorische Schutzmaßnahmen sind deshalb genauso wichtig

Für Unternehmen beispielsweise:

Bankverbindungsänderung
→ Rückruf

große Zahlung
→ Vier-Augen-Prinzip

neuer Administrator
→ Freigabeprozess

Passwortreset
→ definierter Helpdesk-Prozess

So kann eine einzelne überzeugende Nachricht nicht sofort eine irreversible Aktion auslösen.

Sicherheitsbewusstsein bedeutet nicht permanentes Misstrauen

Das Ziel kann nicht sein, jede E-Mail als Angriff zu behandeln.

Das wäre im Arbeitsalltag unbrauchbar.

Besser ist eine einfache Schwelle:

Je ungewöhnlicher oder folgenreicher die verlangte Handlung, desto stärker muss die Verifikation sein.

Newsletter lesen
→ geringe Prüfung

neue IBAN übernehmen
→ starke Prüfung

Administratorzugang ändern
→ starke Prüfung

10.000 Euro überweisen
→ starke Prüfung

Sicherheit sollte sich am möglichen Schaden orientieren.

Eine Nachricht ist besonders verdächtig, wenn mehrere Merkmale zusammenkommen

Zum Beispiel:

unerwartet
+
dringend
+
Login erforderlich
+
Link in Nachricht

oder:

Chef
+
ungewöhnliche Zahlung
+
Geheimhaltung
+
nicht erreichbar

oder:

QR-Code
+
Kontoentsperrung
+
Zeitdruck

Ein einzelnes Merkmal beweist nichts.

Die Kombination verändert die Risikoeinschätzung.

Zehn Sekunden Verzögerung können viel wert sein

Phishing versucht oft:

denken
↓
durch
↓
reagieren

zu ersetzen.

Ein kleiner mentaler Prozess kann das umkehren:

Nachricht
↓
nicht sofort handeln
↓
Kontext prüfen
↓
unabhängigen Weg wählen

Das ist besonders bei:

Zahlungen,

Zugangsdaten,

Codes,

Softwareinstallation

wertvoll.

Häufige Irrtümer über Phishing

„Phishing kommt nur per E-Mail“

Nein. SMS, Messenger, Telefon, QR-Codes und manipulierte Websites können denselben Zweck erfüllen. (Consumer Advice)

„An Rechtschreibfehlern erkenne ich Phishing“

Nicht zuverlässig. Moderne Betrugsnachrichten können sprachlich sehr professionell wirken. (National Cyber Security Centre)

„Ich kenne den Absender, also ist die Nachricht echt“

Ein Konto kann kompromittiert beziehungsweise dessen Identität imitiert werden. BEC basiert teilweise gerade auf kompromittierten legitimen Geschäftskonten. (Internet Crime Complaint Center)

„HTTPS bedeutet, dass die Website vertrauenswürdig ist“

Nein. HTTPS schützt die Verbindung zum angesprochenen Server; Phishing-Resistenz ist ein zusätzliches Authentifizierungsproblem. (NIST Pages)

„Mit 2FA kann Phishing nichts mehr passieren“

Nicht jede MFA ist phishing-resistent. Manuell eingegebene OTP-Codes können in Echtzeit weitergeleitet werden. (NIST Pages)

„Authenticator-Codes kann niemand stehlen, weil sie schnell ablaufen“

Ein Angreifer kann einen noch gültigen Code sofort verwenden. NIST stuft OTP daher ausdrücklich nicht als phishing-resistent ein. (NIST Pages)

„QR-Codes sind sicherer als Links“

Nein. Sie können lediglich ein Linkziel anders darstellen beziehungsweise verbergen. Behörden warnen ausdrücklich vor sogenanntem Quishing. (National Cyber Security Centre)

„Wenn ich nur geklickt habe, ist mein Konto automatisch gehackt“

Nein. Wenn keine Informationen eingegeben, Dateien geladen oder Software installiert wurden, ist das Risiko typischerweise wesentlich geringer. (National Cyber Security Centre)

„Wenn ich mein Passwort nach Phishing ändere, ist alles erledigt“

Nicht zwangsläufig. Bereits bestehende Sitzungen, veränderte MFA-Einstellungen oder Recovery-Optionen können zusätzlich geprüft werden müssen. Gestohlene Sitzungscookies können unabhängig vom Passwort eine authentifizierte Sitzung repräsentieren. (attack.mitre.org)

„Passkeys sind nur bequemere Passwörter“

Nein. WebAuthn-basierte Passkeys verwenden dienstgebundene kryptografische Credentials und können dadurch phishing-resistent sein. (NIST Pages)

Ein praktischer Phishing-Check für den Alltag

Wenn eine Nachricht eine relevante Handlung verlangt, genügen zunächst fünf Fragen:

1. Habe ich diese Nachricht erwartet?

2. Passt die Forderung zum normalen Ablauf?

3. Soll ich über einen mitgelieferten Link,
   QR-Code oder eine Telefonnummer handeln?

4. Entsteht künstlicher Zeitdruck?

5. Kann ich die Sache unabhängig überprüfen?

Wenn etwas merkwürdig wirkt:

Nicht über die Nachricht selbst weiterarbeiten.

FTC empfiehlt genau diesen unabhängigen Kontaktweg über bekannte Websites beziehungsweise Telefonnummern. (Consumer Advice)

Ein sicherer Standardablauf

verdächtige Nachricht
↓
nicht klicken
↓
keine Codes weitergeben
↓
keinen Anhang öffnen
↓
offiziellen Dienst selbst öffnen
↓
Sachverhalt prüfen

Dieser Ablauf schützt überraschend gut gegen sehr unterschiedliche Phishingvarianten.

Für Unternehmen

Ein zusätzlicher Prozess:

Zahlungsänderung?
↓
zweiten Kanal verwenden

Administrationsänderung?
↓
Freigabeprozess

ungewöhnliche Chef-Anweisung?
↓
Rückruf

neue Bankverbindung?
↓
bekannten Kontakt bestätigen lassen

Das FBI empfiehlt solche unabhängigen Verifikationswege ausdrücklich zur Abwehr von BEC. (Internet Crime Complaint Center)

Wenn bereits etwas passiert ist

Die Reaktion hängt davon ab, was genau preisgegeben wurde.

nur geklickt
→ beobachten und prüfen

Passwort eingegeben
→ sofort ändern

Passwort mehrfach verwendet
→ alle Wiederverwendungen ändern

MFA ebenfalls eingegeben
→ Sitzungen und Konto prüfen

Zahlungsdaten preisgegeben
→ Finanzinstitut kontaktieren

Software ausgeführt
→ Malwareverdacht behandeln

FTC und NCSC empfehlen entsprechend unterschiedliche Maßnahmen je nachdem, ob nur geklickt, Zugangsdaten preisgegeben oder möglicherweise Malware installiert wurde. (Consumer Advice)

Was du dir über Phishing merken solltest

Phishing ist kein Synonym für:

schlecht geschriebene Spam-Mail

Es ist ein Angriff auf Vertrauen.

vertrauenswürdige Identität
↓
glaubwürdige Geschichte
↓
emotionale Reaktion
↓
gewünschte Handlung

Die Nachricht kann kommen über:

E-Mail,

SMS,

Messenger,

Telefon,

QR-Code,

Suchanzeige

oder eine Kombination davon. (Consumer Advice)

Entscheidend ist nicht, ob eine Nachricht professionell aussieht.

Entscheidend ist:

Wohin führt sie dich und was sollst du dort tun?

Eine gefälschte Loginseite kann visuell nahezu identisch mit dem Original sein. Eine manipulierte Suchanzeige kann über einer legitimen Suchantwort erscheinen. Ein kompromittiertes E-Mail-Konto kann tatsächlich von einer bekannten Adresse schreiben. (Internet Crime Complaint Center)

Deshalb lautet die robusteste Alltagstechnik:

Nachricht erzeugt Handlungsbedarf
↓
Handlungsweg aus Nachricht verlassen
↓
Dienst unabhängig öffnen
↓
Sachverhalt dort überprüfen

Bei besonders folgenreichen Entscheidungen sollte zusätzlich ein zweiter Kommunikationskanal verwendet werden.

E-Mail fordert Zahlung
↓
bekannte Telefonnummer
↓
Rückfrage

Das gilt besonders für Änderungen von Bankdaten und ungewöhnliche Zahlungsanforderungen. (Internet Crime Complaint Center)

Ein starkes Passwort hilft gegen Erraten.

Ein Passwortmanager hilft gegen Passwort-Wiederverwendung und kann bei falschen Domains ein zusätzliches Warnsignal liefern.

MFA verhindert viele Kontoübernahmen nach einem bloßen Passwortdiebstahl.

Aber klassische Passwörter und manuell eingegebene Einmalcodes bleiben nach NIST nicht phishing-resistent. (NIST Pages)

Der strukturell stärkere Schritt ist phishing-resistente Authentifizierung:

Passkey / WebAuthn
↓
Credential an richtigen Dienst gebunden
↓
falsche Website erhält
keinen wiederverwendbaren Nachweis

NIST nennt WebAuthn ausdrücklich als Beispiel für diesen Schutzmechanismus. (NIST Pages)

Doch selbst Passkeys verhindern nicht jede Form von Social Engineering.

Ein Angreifer kann weiterhin versuchen:

Geld zu bekommen,

Software installieren zu lassen,

ein Gerät verbinden zu lassen,

vertrauliche Informationen zu erhalten.

Deshalb bleibt die zentrale Fähigkeit:

ungewöhnliche Forderung
↓
unabhängig überprüfen

Wenn bereits Zugangsdaten auf einer falschen Seite eingegeben wurden, sollte nicht abgewartet werden.

Passwort kompromittiert
↓
echten Dienst öffnen
↓
Passwort ändern
↓
Wiederverwendung prüfen
↓
aktive Sitzungen prüfen
↓
MFA und Recovery prüfen

Wenn stattdessen Software ausgeführt oder ein verdächtiger Anhang geöffnet wurde, muss zusätzlich ein möglicher Malwarebefall betrachtet werden. FTC empfiehlt in diesem Fall insbesondere, sensible Logins auf dem möglicherweise kompromittierten Gerät zunächst zu vermeiden und das System sicherheitstechnisch zu prüfen. (Consumer Advice)

Damit führt Phishing direkt zum nächsten Themengebiet.

Denn Phishing ist häufig nicht das eigentliche Ende des Angriffs.

Es ist nur die Tür.

Hinter ihr kann warten:

Malware

Informationsdiebstahl

Fernzugriff

Ransomware

Der zentrale Merksatz lautet:

Phishing funktioniert nicht deshalb, weil Menschen dumm sind, sondern weil Angreifer normale Vertrauens-, Kommunikations- und Arbeitsprozesse nachbauen. Der beste Schutz besteht deshalb nicht darin, jede Nachricht anhand eines einzelnen Merkmals als echt oder falsch einzustufen. Sicherer ist ein Prozess: ungewöhnliche oder folgenreiche Aufforderungen nicht über den mitgelieferten Weg ausführen, sondern den angeblichen Absender beziehungsweise Dienst unabhängig erreichen und die Handlung dort bestätigen.