Erst prüfen. Dann handeln.
Das Konto werde gesperrt. Für eine Paketlieferung fehle angeblich noch eine Zahlung. Ein wichtiges Dokument liege bereit, müsse aber sofort geöffnet werden.
Solche Nachrichten sollen uns zu einer schnellen Reaktion bewegen. Beim Phishing versuchen Kriminelle, über gefälschte Nachrichten, Anrufe oder Internetseiten an vertrauliche Informationen zu gelangen, Zahlungen auszulösen oder Schadsoftware zu verbreiten. Das britische National Cyber Security Centre beschreibt diese Vorgehensweisen in seinen für diesen Beitrag am 9. Oktober 2026 geprüften Verbraucherinformationen. [1]
Ich halte es für wenig hilfreich, Betroffenen hinterher zu erklären, sie hätten eben besser aufpassen müssen. Sinnvoller ist die Frage, welche Gewohnheiten, technischen Schutzmaßnahmen und klaren Abläufe verhindern können, dass aus einer glaubwürdigen Nachricht ein Schaden entsteht.
Der wichtigste Grundsatz lautet für mich: Eine Nachricht darf behaupten, dass etwas dringend ist. Ob ich daraufhin handle, entscheide ich erst nach einer unabhängigen Prüfung.
Nicht nur nach Rechtschreibfehlern suchen
Schlechtes Deutsch, merkwürdige Absender und unpassende Logos können auffallen. Ihr Fehlen ist aber keine Entwarnung.
Das Bundesamt für Sicherheit in der Informationstechnik weist in seinem am 9. Oktober 2026 geprüften Faktencheck zur E-Mail-Sicherheit darauf hin, dass Phishing-Nachrichten schwer zu erkennen sein können. Auch KI kann dabei helfen, überzeugende Texte zu erstellen. Eine gut formulierte Nachricht ist deshalb kein Nachweis für einen seriösen Absender. [2]
Ich würde vor allem auf die verlangte Handlung achten. Warum soll ich mich gerade jetzt erneut anmelden? Warum benötigt jemand einen Sicherheitscode? Weshalb soll eine Zahlung plötzlich außerhalb des üblichen Verfahrens erfolgen?
Diese beispielhaften Situationen verdienen eine zusätzliche Prüfung:
Eine Kontosperrung wird innerhalb weniger Stunden angedroht: Gibt es dazu eine entsprechende Mitteilung im selbst geöffneten Kundenkonto?
Eine Nachricht verlangt Passwort, Sicherheitscode oder eine unerwartete Freigabe: Habe ich den Vorgang überhaupt selbst begonnen?
Ein Dokument kommt unerwartet und verlangt eine zusätzliche Anmeldung: Hat die bekannte Kontaktperson tatsächlich etwas geschickt?
Eine Zahlung soll plötzlich auf ein anderes Konto gehen: Wurde die Änderung über einen bereits bekannten Kontaktweg bestätigt?
Eine Nachricht verlangt Geheimhaltung oder verbietet Rückfragen: Warum soll die übliche Kontrolle umgangen werden?
Zeitdruck, vorgetäuschte Autorität und ungewöhnliche Handlungsaufforderungen gehören zu den Warnzeichen, die auch das NCSC beschreibt. Sie sind Anlass zur Prüfung – nicht jeweils für sich allein ein abschließender Betrugsnachweis. [1]
Die zuverlässigere Prüfung findet außerhalb der Nachricht statt
Bei einer zweifelhaften Kontowarnung würde ich nicht den mitgeschickten Link verwenden. Ich würde die bereits installierte App öffnen oder die bekannte Internetadresse selbst aufrufen.
Damit lässt sich die Behauptung prüfen, ohne der Nachricht den Weg zur Anmeldung zu überlassen. Das BSI empfiehlt ausdrücklich, verdächtige Links zu meiden, die Browseradresse zu kontrollieren und keine vertraulichen Zugangsdaten über zweifelhafte Aufforderungen herauszugeben. Die Hinweise wurden am 9. Oktober 2026 für diesen Beitrag recherchiert. [3]
Ist ein Rückruf nötig, sollte die Telefonnummer aus einer unabhängigen Quelle stammen: beispielsweise aus bereits vorhandenen Vertragsunterlagen oder dem selbst geöffneten Kundenbereich. Die Verbraucherzentrale rät ebenfalls davon ab, zur Überprüfung ausgerechnet die Kontaktmöglichkeiten aus der verdächtigen Nachricht zu verwenden. [8]
Eine Antwort auf dieselbe E-Mail wäre für mich keine unabhängige Bestätigung. Ich würde damit nur den ursprünglichen Kommunikationsweg weiterverwenden.
Das bedeutet nicht, jede unerwartete Nachricht zu ignorieren. Eine echte Rechnung oder Sicherheitswarnung kann wichtig sein. Entscheidend ist, den Inhalt über einen anderen, vertrauenswürdigen Weg zu überprüfen.
Ein Schloss in der Browserzeile bestätigt nicht den Anbieter
Auch eine gefälschte Internetseite kann eine verschlüsselte Verbindung verwenden.
Das Kürzel HTTPS sagt etwas über die Verbindung zwischen Browser und Website aus. Es bestätigt nicht automatisch, dass die Website tatsächlich zu der Bank, dem Paketdienst oder dem Unternehmen gehört, dessen Gestaltung sie nachahmt. Das Chromium-Projekt erklärt diesen Unterschied ausdrücklich. Das dargestellte Browser-Symbol kann variieren; der Grundsatz bleibt gleich. [12]
Ich würde deshalb weder einem bekannten Logo noch einer vertraut wirkenden Gestaltung allein vertrauen. Bei einer unerwarteten Aufforderung zur Anmeldung ist der selbst gewählte Weg über die bekannte App oder Adresse die sinnvollere Kontrolle.
Phishing kommt auch per SMS, Brief oder QR-Code
Nicht jeder Betrugsversuch landet im E-Mail-Postfach. Auch SMS und Telefonanrufe können zur Täuschung genutzt werden. [1]
Bei QR-Codes entsteht ein zusätzliches Problem: Das Ziel ist im gedruckten Muster nicht unmittelbar lesbar. Die Verbraucherzentrale beschreibt in ihrem am 9. Oktober 2026 geprüften Beitrag zum sogenannten Quishing unter anderem gefälschte Bankbriefe sowie überklebte Codes an Ladesäulen und Parkautomaten. [4]
Ein gedruckter Brief ist also nicht allein deshalb glaubwürdiger, weil er mit der Post gekommen ist. Und ein QR-Code ist kein Sicherheitssiegel, sondern zunächst nur ein Weg, Informationen oder eine Adresse aufzurufen.
Vor dem Öffnen die Zieladresse in der Vorschau prüfen. Nicht jede Kamera oder jeder Scanner zeigt sie automatisch an. Öffnet die App Internetseiten sofort, einen seriösen Scanner mit Vorschau oder einen bekannten alternativen Zugangsweg verwenden. Bei einem zweifelhaften Code würde ich auf die bekannte Anbieter-App, eine vorhandene Karte oder einen anderen bestätigten Zahlungsweg ausweichen. Sichtbar überklebte oder manipulierte Codes sind ein zusätzlicher Grund, den Vorgang abzubrechen. [4]
Für mich gilt dieselbe Regel wie bei einer E-Mail: Nicht die bequemste Weiterleitung entscheidet, sondern die überprüfbare Herkunft.
Konten so absichern, dass ein Fehler nicht alles gefährdet
Aufmerksamkeit ist wichtig. Sie sollte aber nicht die einzige Schutzmaßnahme sein.
Für jedes Konto ein eigenes Passwort
Das BSI empfiehlt für jedes Onlinekonto ein eigenes, sicheres Passwort. Ein Passwortmanager kann bei der Verwaltung helfen. Damit lässt sich das Risiko begrenzen, dass ein an einer Stelle gestohlenes Passwort unmittelbar auch andere Konten öffnet. [5]
Ein starkes Passwort schützt allerdings nicht davor, es versehentlich auf einer gefälschten Seite einzugeben. Deshalb gehören sichere Anmeldung und bewusste Prüfung zusammen.
Zusätzliche Anmeldefaktoren nutzen
Mehrfaktor-Authentifizierung verlangt neben dem Passwort einen weiteren Nachweis. Sie erschwert unbefugte Anmeldungen, ist aber nicht in jeder Ausführung gleichermaßen gegen Phishing geschützt. Die US-Sicherheitsbehörde CISA unterscheidet deshalb ausdrücklich zwischen herkömmlichen und phishing-resistenten Verfahren. [6]
Eine unerwartete Freigabe würde ich nicht bestätigen, nur damit die Meldung verschwindet. Ebenso wenig würde ich einen Sicherheitscode an jemanden weitergeben, der sich unaufgefordert als Supportmitarbeiter meldet.
Passkeys berücksichtigen
Wo sie angeboten werden, sind Passkeys eine wichtige Alternative. Sie sind an den jeweiligen Dienst gebunden und geben auf einer nachgebauten fremden Website nicht einfach ein verwendbares Passwort preis. CISA beschreibt diesen Schutz für FIDO/WebAuthn-Verfahren; auch das BSI erläutert die Sicherheitsvorteile von Passkeys. [6]
Daraus folgt allerdings kein Schutz vor jeder Form von Betrug. Auch mit einem gut abgesicherten Konto würde ich eine ungewöhnliche Zahlungsaufforderung weiterhin unabhängig überprüfen.
Aktuelle Betriebssysteme, Browser und Schutzprogramme bleiben ebenfalls wichtig. Sie ergänzen den Schutz der Konten, ersetzen ihn aber nicht. [5]
Im Betrieb braucht es mehr als den Hinweis „Bitte vorsichtig sein“
Bei geschäftlichen Nachrichten treffen häufig Zeitdruck, Zuständigkeiten und finanzielle Entscheidungen zusammen. Deshalb würde ich wichtige Abläufe so gestalten, dass eine einzelne glaubwürdige E-Mail nicht genügt, um eine folgenreiche Änderung auszulösen.
Eine neue Bankverbindung eines Lieferanten würde ich beispielsweise erst nach einer Rückfrage über den bereits bekannten Kontaktweg übernehmen. Für ungewöhnliche Zahlungen würde ich eine zusätzliche Freigabe vorsehen.
Das NCSC empfiehlt in seinem am 9. Oktober 2026 geprüften Leitfaden für Organisationen, wichtige Anforderungen über einen zweiten Kommunikationsweg zu bestätigen. Außerdem warnt es davor, die gesamte Abwehr auf die Fähigkeit der Beschäftigten zu stützen, jede betrügerische Nachricht zu erkennen. [7]
Genauso wichtig ist ein einfacher Meldeweg. Jeder sollte wissen, wen er bei einer verdächtigen Nachricht erreicht.
Wer versehentlich geklickt hat, muss das sofort sagen können. Das NCSC weist darauf hin, dass Angst vor Vorwürfen die Meldung von Fehlern verzögern kann. [7]
Ich würde einen früh gemeldeten Fehlklick deshalb als Gelegenheit zur schnellen Reaktion behandeln – nicht als Anlass, jemanden bloßzustellen.
Was tun, wenn bereits etwas passiert ist?
Entscheidend ist, welche Handlung tatsächlich erfolgt ist. Ein geöffneter Link, ein eingegebenes Passwort und eine ausgeführte unbekannte Datei sind unterschiedliche Situationen.
Nur einen Link geöffnet
Keine weiteren Daten eingeben, keine Freigaben bestätigen und die verdächtige Seite schließen.
Ein Klick allein beweist noch keine Kontoübernahme. Ganz ausschließen lässt sich ein Schaden dadurch aber ebenfalls nicht. Die Verbraucherzentrale empfiehlt nach einem solchen Vorfall, Sicherheitssoftware und Updates zu prüfen und das Gerät auf Schadsoftware untersuchen zu lassen beziehungsweise eine entsprechende Prüfung durchzuführen. [8]
Bei einem Arbeitsgerät sollte zusätzlich die zuständige IT-Stelle informiert werden. [9]
Passwort oder Zugangsdaten eingegeben
Den echten Dienst über einen unabhängigen Weg öffnen und das betroffene Passwort umgehend ändern. Besteht zusätzlich Verdacht auf Schadsoftware, dafür ein anderes, vertrauenswürdiges Gerät verwenden. Wiederverwendete Passwörter müssen auch bei den übrigen betroffenen Konten ersetzt werden. [8][9]
Anschließend vorhandene Sitzungen und angemeldete Geräte prüfen und möglichst abmelden. Bei einem E-Mail-Konto gehören außerdem Weiterleitungsregeln und Filter zur Kontrolle: Angreifer können solche Regeln nutzen, um weiterhin Nachrichten mitzulesen. Das NCSC beschreibt diese Schritte in seiner am 9. Oktober 2026 geprüften Anleitung zur Wiederherstellung übernommener Konten. [9]
Ein Passwortwechsel allein sollte daher nicht als vollständiger Abschluss betrachtet werden.
Bankdaten eingegeben oder eine Zahlung freigegeben
Sofort die eigene Bank beziehungsweise den Zahlungsdienstleister über einen bekannten Kontaktweg informieren. Dort klären, welche Zugänge oder Karten gesperrt werden müssen und ob eine Zahlung noch gestoppt oder zurückgerufen werden kann. [8][10]
Eine erfolgreiche Rückholung lässt sich nicht versprechen. Umso wichtiger ist eine schnelle Meldung.
Nachrichten, Zahlungsbelege und vorhandene Screenshots sichern. Die Polizeiliche Kriminalprävention empfiehlt bei einem Betrugsfall außerdem eine Strafanzeige. Für die Beweissicherung müssen verdächtige Links nicht erneut geöffnet werden. [10]
Unbekannte Software ausgeführt oder Schadsoftware vermutet
Das betroffene Gerät nicht für weitere Anmeldungen oder Bankgeschäfte verwenden. Bei einem konkreten Infektionsverdacht sollte es vom Netzwerk getrennt und fachkundig untersucht werden. Das BSI nennt die Netzwerktrennung als Maßnahme beim Umgang mit Schadprogrammen. [11]
Bei einem Firmenrechner gehört die weitere Vorgehensweise in die Hände der zuständigen IT-Stelle. Ein Gerät nicht eigenmächtig zurückzusetzen, sondern zunächst den Vorfall zu melden, wäre für mich Teil eines geregelten Ablaufs.
Mein Fazit: Den Ablauf unterbrechen, bevor der Schaden entsteht
Ich möchte nicht jede Nachricht bis ins letzte technische Detail untersuchen müssen. Aber ich möchte Gewohnheiten haben, die auch dann helfen, wenn eine Fälschung überzeugend aussieht.
Dazu gehört, wichtige Konten selbst zu öffnen, ungewöhnliche Anforderungen unabhängig zu bestätigen und Zugänge mit geeigneten Verfahren abzusichern. Im Betrieb kommen klare Zuständigkeiten und ein verlässlicher Meldeweg hinzu.
Und falls doch etwas passiert, sollte die Frage nicht lauten, wie peinlich der Fehler ist. Entscheidend ist, was jetzt geschützt, gesperrt und überprüft werden muss.
Eine seriöse Angelegenheit lässt sich über einen unabhängigen Weg klären. Wer mich davon abhalten will, bekommt weder mein Passwort noch meine Freigabe.
Einordnung und Recherche
Recherchestand: 9. Oktober 2026. Die beschriebenen Maßnahmen dienen der allgemeinen Orientierung und ersetzen keine individuelle Untersuchung eines Sicherheitsvorfalls.
Quellen und weiterführende Informationen
Quellenprüfung am 09.10.2026. Das Abrufdatum ist nicht das Veröffentlichungsdatum einer Quelle. Einige BSI- und CISA-Seiten waren direkt nicht abrufbar; die verwendeten Empfehlungen wurden ergänzend über den Originalquellen-Suchindex geprüft. Statt der nicht abrufbaren BSI-Kryptografie-Seite ist der offizielle Passkey-Beitrag des BSI verlinkt.
[1] National Cyber Security Centre: „Phishing scams: how to spot and report them“
Quelle lesen ↗
[1] National Cyber Security Centre: „Phishing scams: how to spot and report them“
Quelle lesen ↗
[2] Bundesamt für Sicherheit in der Informationstechnik: „E-Mail-Sicherheit: Mythen im Faktencheck“
Quelle lesen ↗
[3] Bundesamt für Sicherheit in der Informationstechnik: „Wie schützt man sich gegen Phishing?“
Quelle lesen ↗
[4] Verbraucherzentrale: „Quishing: Falsche QR-Codes in Mails, Briefen, ÖPNV und Straßenverkehr“
Quelle lesen ↗
[5] Bundesamt für Sicherheit in der Informationstechnik: „Basistipps zur IT-Sicherheit“
Quelle lesen ↗
[6] BSI und CISA: Informationen zu Passkeys und Mehrfaktor-Authentifizierung
Quelle lesen ↗
[6] BSI und CISA: Informationen zu Passkeys und Mehrfaktor-Authentifizierung
Quelle lesen ↗
[7] National Cyber Security Centre: „Phishing attacks: defending your organisation“
Quelle lesen ↗
[8] Verbraucherzentrale: „Phishing-Mails: Woran Sie sie erkennen und worauf Sie achten müssen“
Quelle lesen ↗
[9] National Cyber Security Centre: Hilfe nach der Weitergabe vertraulicher Informationen und bei übernommenen Konten
Quelle lesen ↗
[9] National Cyber Security Centre: Hilfe nach der Weitergabe vertraulicher Informationen und bei übernommenen Konten
Quelle lesen ↗
[10] Polizeiliche Kriminalprävention: „Sicher Handeln – Weitere Informationen“
Quelle lesen ↗
[11] Bundesamt für Sicherheit in der Informationstechnik: „Schadprogramme“
Quelle lesen ↗
[12] Chromium-Projekt: An Update on the Lock Icon
Quelle lesen ↗