Bewusst online unterwegs
Eine Information nachschlagen, eine Rechnung bezahlen oder ein Programm herunterladen: Dafür öffnen wir den Browser oft ganz selbstverständlich. Erst wenn eine Warnmeldung auftaucht oder eine Seite plötzlich nach ungewöhnlichen Berechtigungen fragt, kommt die Frage auf: Ist das hier eigentlich sicher?
Ich möchte nicht vor jedem Link Angst haben. Genauso wenig möchte ich darauf vertrauen, dass eine bekannte Suchmaschine, ein schön gestalteter Internetauftritt oder ein gekauftes Schutzprogramm schon alle Risiken abfangen werden.
Für mich beginnt sicheres Surfen deshalb mit einigen klaren Gewohnheiten: die eigenen Geräte pflegen, wichtige Konten vernünftig absichern und bei ungewöhnlichen Aufforderungen nicht einfach weiterklicken.
Es geht nicht darum, jede technische Einzelheit zu verstehen. Es geht darum, an den entscheidenden Stellen die Kontrolle zu behalten.
Der Browser braucht Pflege, nicht möglichst viele Zusatzprogramme
Ein aktueller Browser gehört zur Grundausstattung. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt, Sicherheitsupdates für Browser, Erweiterungen und Betriebssystem zeitnah einzuspielen. Die entsprechenden Hinweise wurden für diesen Beitrag am 9. Oktober 2026 recherchiert; einige Seiten waren nur über den amtlichen Suchindex zugänglich. [1]
Automatische Aktualisierungen sind dafür sinnvoll. Wird anschließend ein Neustart verlangt, sollte dieser nicht dauerhaft verschoben werden. Ebenso gehört gelegentlich die Prüfung dazu, ob Updates tatsächlich installiert wurden und das verwendete System weiterhin Sicherheitsaktualisierungen erhält.
Für die Auswahl eines Browsers wäre mir wichtiger, dass er gepflegt wird und seine Schutzfunktionen verständlich zugänglich sind, als die Frage, welcher gerade den höchsten Wert in einem Geschwindigkeitstest erreicht.
Auch Sicherheitswarnungen verdienen Aufmerksamkeit. Chrome unterscheidet beispielsweise zwischen Problemen mit der Verbindung und als gefährlich erkannten Seiten. Google rät bei entsprechenden Warnungen ausdrücklich davon ab, personenbezogene Informationen einzugeben. [2]
Eine Warnung muss nicht zwangsläufig einen Betrugsversuch bedeuten. Sie ist aber ein Grund, die Ursache zu klären – nicht eine Aufforderung, möglichst schnell eine Ausnahme einzurichten.
Eine verschlüsselte Verbindung macht noch keinen seriösen Anbieter
Das Kürzel HTTPS wird häufig mit einer vertrauenswürdigen Website verwechselt. Tatsächlich schützt es die Verbindung zwischen Browser und Website. Es beantwortet nicht die Frage, ob der Betreiber ehrlich ist.
Die US-Verbraucherschutzbehörde FTC erläutert im Februar 2023: Auch Betrüger betreiben verschlüsselte Webseiten. Geschützte Übertragung schützt Daten nicht vor einem betrügerischen Empfänger. [3]
„Sichere Verbindung“ bedeutet daher nicht automatisch „sicherer Einkauf“, „echte Bank“ oder „vertrauenswürdiger Download“.
Wichtiger ist zunächst die vollständige Internetadresse. Passt sie wirklich zu dem Anbieter, den ich besuchen wollte? Bin ich über einen selbst gewählten Weg dorthin gelangt oder über eine unerwartete Nachricht?
Bei Bankgeschäften, E-Mail und anderen wichtigen Konten würde ich die bekannte App, ein sorgfältig angelegtes Lesezeichen oder die selbst eingegebene Adresse verwenden. Auch das NCSC empfiehlt, Organisationen unabhängig aufzurufen, statt Kontaktwege aus einer verdächtigen Nachricht zu verwenden. [4]
Ein vertrautes Logo oder ein bekannter Firmenname irgendwo auf der Seite wäre für mich keine ausreichende Bestätigung.
Berechtigungen nicht aus Gewohnheit erteilen
Viele Internetseiten fragen nach dem Standort, nach Benachrichtigungen oder nach Zugriff auf Kamera und Mikrofon. Solche Berechtigungen lassen sich in den Website-Einstellungen des Browsers verwalten und wieder ändern. Google beschreibt diese Möglichkeiten in seiner am 9. Oktober 2026 geprüften Chrome-Dokumentation. [5]
Die entscheidende Frage lautet: Braucht die Seite diese Berechtigung für das, was ich gerade tun möchte?
Bei einer Videokonferenz ist der Zugriff auf Kamera und Mikrofon nachvollziehbar. Beim Lesen eines gewöhnlichen Artikels wäre für mich zunächst nicht erkennbar, warum beides erforderlich sein sollte. Standortdaten können bei einer gezielten Umkreissuche hilfreich sein. Manchmal genügt dafür aber auch die manuelle Eingabe eines Ortes.
Ich würde solche Anfragen nicht allein deshalb bestätigen, damit das Fenster verschwindet. Auch Benachrichtigungen sollten eine bewusste Entscheidung sein.
Browser-Erweiterungen können weitreichenden Zugriff erhalten
Bei Erweiterungen lohnt sich derselbe Blick. Mozilla erläutert, dass die Berechtigung zum Zugriff auf Daten aller Websites einer Erweiterung ermöglichen kann, Seiteninhalte und dort eingegebene Informationen zu lesen – einschließlich Benutzernamen und Passwörtern. [6]
Eine solche Berechtigung kann für bestimmte Funktionen erforderlich sein. Sie ist also nicht automatisch ein Zeichen für Schadsoftware. Trotzdem sollte klar sein, wem dieser Zugriff eingeräumt wird und weshalb.
Ein Passwortmanager erfüllt beispielsweise eine andere Aufgabe als eine Erweiterung, die lediglich die Farbe einer Startseite verändern soll.
Mein Maßstab wäre: wenige, nachvollziehbar benötigte Erweiterungen, bewusst geprüfte Berechtigungen und das Entfernen nicht mehr verwendeter Zusatzprogramme.
Konten schützen, bevor etwas passiert
Für verschiedene Konten sollten unterschiedliche, starke Passwörter verwendet werden. Ein Passwortmanager kann dabei helfen, diese zu erzeugen und verschlüsselt zu verwalten. Das BSI beschreibt dafür entsprechende Funktionen und Vorteile. [1][7]
Das begrenzt das Risiko, dass dasselbe gestohlene Passwort unmittelbar bei mehreren Diensten verwendbar ist. Ein starkes Passwort allein verhindert allerdings nicht, dass es auf einer gefälschten Seite eingegeben wird.
Wo verfügbar, gehören zusätzliche Anmeldefaktoren beziehungsweise geeignete passwortlose Verfahren zur Absicherung. Passkeys bieten einen besonderen Vorteil gegen klassische Phishing-Seiten: Das Anmeldeverfahren ist an den jeweiligen Dienst gebunden, statt ein wiederverwendbares Passwort an eine beliebige Eingabemaske zu übergeben. Das BSI erläutert die Sicherheitsvorteile dieses Verfahrens. [8]
Eine unerwartete Anmeldefreigabe würde ich trotzdem nicht bestätigen. Eine zusätzliche Sicherheitsabfrage soll eine von mir begonnene Handlung absichern, nicht irgendeinen fremden Vorgang nachträglich legitimieren.
Zur Einrichtung gehört für mich außerdem die Frage, wie ich bei Verlust des Smartphones oder eines Sicherheitsschlüssels wieder Zugang erhalte. Wiederherstellungswege sollten geklärt sein, bevor sie dringend benötigt werden.
Downloads: Die Herkunft ist wichtiger als der größte Knopf
Software sollte aus nachvollziehbaren Originalquellen stammen. Microsoft empfiehlt dafür die offiziellen Herstellerseiten oder den Microsoft Store und warnt vor veränderten Programmpaketen auf fremden Downloadseiten. [9]
Ein Suchergebnis wäre für mich zunächst nur ein Wegweiser. Vor dem Herunterladen würde ich prüfen, ob ich tatsächlich beim Hersteller oder beim offiziellen Projekt angekommen bin.
Besonders misstrauisch wäre ich, wenn eine Webseite plötzlich behauptet, zum Lesen eines Dokuments oder zum Anzeigen eines Videos müsse erst ein unbekanntes Hilfsprogramm installiert werden.
Dasselbe gilt für angebliche Browserupdates, die unerwartet innerhalb einer Webseite angeboten werden. Aktualisierungen würde ich über die dafür vorgesehene Funktion des Browsers oder eine selbst aufgerufene offizielle Bezugsquelle vornehmen.
Auch eine seriöse Bezugsquelle ersetzt nicht jede weitere Prüfung. Sie ist aber ein wesentlich besserer Ausgangspunkt als ein beliebiger Downloadknopf.
Gefälschte Sicherheitsmeldungen sollen zu falschen Handlungen verleiten
Eine Webseite kann so gestaltet sein, dass sie wie eine Warnung des Betriebssystems oder eines Schutzprogramms aussieht. Microsoft beschreibt entsprechende Betrugsversuche, bei denen Nutzer über angebliche Fehlermeldungen zu einem Anruf bei einer vermeintlichen Supportstelle gebracht werden sollen. Echte Microsoft-Fehlermeldungen enthalten nach Unternehmensangaben keine anzurufende Telefonnummer. [9]
Die Behauptung einer Webseite, der gesamte Rechner sei infiziert, ist deshalb keine verlässliche Diagnose.
In einer solchen Situation würde ich die angegebene Nummer nicht anrufen, keinen Fernzugriff erlauben und keine Zahlung leisten. Zur Prüfung würde ich das vorhandene Schutzprogramm selbst öffnen oder eine bereits bekannte IT-Ansprechperson kontaktieren.
Ein angeblicher Menschlichkeitscheck darf nicht zum Systemeingriff werden
Eine weitere Masche beschrieb Microsoft am 21. August 2025 unter dem Namen ClickFix. Dabei sollen Nutzer durch fingierte Prüfungen oder Fehlermeldungen dazu gebracht werden, selbst schädliche Befehle auf ihrem Gerät auszuführen. Als Vorwand kann unter anderem ein vermeintlicher CAPTCHA-Test dienen. [10]
Daraus lässt sich eine klare Alltagsregel ableiten: Wer zum Aufrufen einer Webseite unbekannte Befehle in ein Systemfenster, ein Terminal oder eine Eingabeaufforderung kopieren soll, sollte abbrechen.
Eine solche Aufforderung wird nicht harmloser, nur weil sie professionell gestaltet ist oder einen bekannten Namen verwendet.
Inkognito bedeutet nicht unsichtbar
Ein privates Browserfenster kann sinnvoll sein, um bestimmte lokale Surfspuren zu begrenzen. Es macht die Nutzung aber nicht anonym und schützt nicht vor Schadsoftware.
Mozilla erläutert außerdem, dass heruntergeladene Dateien und angelegte Lesezeichen auch nach dem Schließen privater Fenster erhalten bleiben können. Der private Modus ist daher kein vollständiger Aufräum- oder Sicherheitsmechanismus. [11]
Das ist vor allem bei gemeinsam benutzten oder fremden Geräten wichtig. Für vertrauliche Konten würde ich nach Möglichkeit ein eigenes, vertrauenswürdiges Gerät verwenden, statt mich auf ein privates Fenster zu verlassen.
Ein VPN löst eine andere Aufgabe
Ein Virtual Private Network, kurz VPN, stellt eine geschützte Verbindung zu einem VPN-Endpunkt her. Es kann beispielsweise für einen abgesicherten Fernzugriff oder zum zusätzlichen Schutz des Datenverkehrs im verwendeten Netz dienen. Das BSI erläutert diese Funktionsweise in seinen am 9. Oktober 2026 recherchierten Informationen. [12]
Ein VPN macht einen betrügerischen Empfänger nicht vertrauenswürdig. Der zusätzlich geschützte Weg verhindert nicht, dass der Betreiber einer Webseite die ihm übermittelten Daten missbraucht. [3]
Privater Modus, HTTPS und VPN erfüllen unterschiedliche Aufgaben. Keines davon ist ein allgemeines Versprechen, dass beim Surfen nichts passieren kann.
Öffentliches WLAN: Weder pauschale Panik noch blindes Vertrauen
Korrekt aufgebaute HTTPS-Verbindungen verschlüsseln die übertragenen Inhalte auch im öffentlichen WLAN. Die FTC erklärt, dass die verbreitete Verschlüsselung den Schutz gegenüber früher deutlich verbessert hat. [3]
Trotzdem würde ich zuerst klären, welches Netz tatsächlich zum Hotel, Café oder Veranstaltungsort gehört. Unerwartete Aufforderungen zur Installation von Software oder zum Abschalten von Sicherheitsfunktionen wären für mich ein Abbruchgrund.
Das BSI stellt ebenfalls gesonderte Sicherheitshinweise für öffentliche WLAN-Netze bereit. [12]
Bei besonders vertraulichen Aufgaben würde ich im Zweifel die eigene Mobilfunkverbindung verwenden oder warten, bis ein vertrauter Zugang verfügbar ist. Das ist eine Vorsichtsentscheidung, keine Behauptung, jeder öffentliche Hotspot sei unsicher.
Unabhängig vom verwendeten Netz gilt: Eine Zertifikatswarnung wird nicht dadurch unbedenklich, dass die Verbindung kostenlos ist.
Beim Onlinekauf den Anbieter prüfen, nicht nur den Preis
Ein gepflegter Shop und attraktive Angebote reichen nicht aus, um einen Kauf zu rechtfertigen.
Die Verbraucherzentrale nennt als auffälliges Muster beispielsweise Shops, die zunächst verschiedene Zahlungsarten anzeigen, beim Abschluss aber nur noch Vorkasse zulassen. Ein einzelnes Merkmal beweist zwar noch keinen Betrug. Mehrere Unstimmigkeiten sollten jedoch Anlass sein, die Bestellung zu unterbrechen. [13]
Ich würde prüfen, ob Anbieterangaben nachvollziehbar sind, die Bedingungen verständlich erscheinen und sich außerhalb des Shops belastbare Informationen finden lassen.
Für unbekannte Shops bietet die Verbraucherzentrale einen Fakeshop-Finder an. Dessen Ergebnis ist eine Hilfestellung, keine Garantie. Die Verbraucherzentrale weist ausdrücklich darauf hin, dass eine zusätzliche eigene Prüfung erforderlich sein kann. [13]
Ein herunterzählender Angebotszähler wäre für mich jedenfalls kein Grund, diese Prüfung auszulassen. Ein vermeintliches Schnäppchen ist nicht günstig, wenn am Ende weder die Ware noch das Geld wiederkommt.
Was tun, wenn bereits etwas schiefgegangen ist?
Die Reaktion sollte davon abhängen, was tatsächlich passiert ist. Eine eingeblendete Warnung, ein eingegebenes Passwort und ein ausgeführtes Programm sind unterschiedliche Situationen.
Bei einer verdächtigen Meldung: Nicht den darin angebotenen Support nutzen und keine weiteren Freigaben erteilen. Die Seite verlassen und eine notwendige Prüfung über selbst geöffnete Schutzfunktionen oder einen bekannten Kontakt veranlassen. [9]
Nach der Weitergabe von Zugangsdaten: Den echten Anbieter unabhängig aufrufen, den Zugang absichern und dessen Wiederherstellungsanleitung befolgen. Dazu gehören je nach Dienst ein Passwortwechsel, die Prüfung der Sicherheitseinstellungen und die Abmeldung anderer Sitzungen. Das NCSC stellt dafür einen Leitfaden zur Wiederherstellung übernommener Konten bereit. [14]
Nach der Installation unbekannter Software oder einer erteilten Fernsteuerung: Den Vorgang beenden und das Gerät fachkundig prüfen lassen. Bei Verdacht auf eine Kompromittierung sollten weitere vertrauliche Anmeldungen über ein anderes, vertrauenswürdiges Gerät erfolgen. Microsoft beschreibt entsprechende Maßnahmen nach Supportbetrug, einschließlich Sicherheitsprüfung und Änderung betroffener Passwörter. [9]
Nach einer verdächtigen Zahlung: Unverzüglich die Bank beziehungsweise den Zahlungsdienstleister über einen bekannten Kontaktweg informieren. Ob eine Zahlung gestoppt oder zurückgeholt werden kann, hängt vom Einzelfall ab. Auf die schnelle Kontaktaufnahme weist auch das NCSC hin. [14]
Bei einem Arbeitsgerät würde ich den Vorfall zusätzlich sofort der zuständigen IT-Stelle melden. Einen Fehler früh offenzulegen wäre mir wichtiger, als aus Sorge vor einer unangenehmen Rückfrage wertvolle Zeit verstreichen zu lassen.
Mein Fazit: Sicherheit entsteht vor dem nächsten Klick
Sicheres Surfen bedeutet für mich nicht, überall eine Gefahr zu vermuten. Es bedeutet, ein paar Entscheidungen nicht im Vorbeigehen zu treffen.
Ein Zugriff auf meine Kamera braucht einen Grund. Ein neues Programm braucht eine nachvollziehbare Herkunft. Eine Zahlung braucht einen überprüfbaren Empfänger. Und eine Sicherheitswarnung braucht eine Prüfung statt eines reflexhaften Klicks auf „Trotzdem fortfahren“.
Die technische Absicherung sollte dabei möglichst viel unterstützen. Sie darf aber nicht mit der Zusage verwechselt werden, dass jede Entscheidung bereits für mich geprüft wurde.
Ich muss nicht jeder Webseite misstrauen. Aber ich muss ihr auch nicht mehr Vertrauen geben, als für die jeweilige Aufgabe nötig ist.
Einordnung und Recherche
Recherchestand: 9. Oktober 2026. Die beschriebenen Maßnahmen dienen der allgemeinen Orientierung und ersetzen keine individuelle Untersuchung eines Sicherheitsvorfalls.
Quellen und weiterführende Informationen
Quellenprüfung am 09.10.2026. Abrufdatum und Veröffentlichungsdatum sind zu unterscheiden. Einige BSI-Seiten waren direkt nicht abrufbar; die verwendeten Grundempfehlungen wurden ergänzend über den amtlichen Suchindex geprüft. Nicht direkt abrufbare Detailquellen wurden durch passende Originalquellen zu Passkeys, Passwortmanagern, VPN, Phishing und Fakeshops ersetzt. Die verbleibende BSI-WLAN-Seite ist als weiterführende Information verlinkt; Aussagen zur öffentlichen WLAN-Nutzung stützen sich auf die direkt geprüfte FTC-Quelle.
[1] Bundesamt für Sicherheit in der Informationstechnik: Grundschutz beim Surfen und Aktualisierungen
Quelle lesen ↗
[1] Bundesamt für Sicherheit in der Informationstechnik: Grundschutz beim Surfen und Aktualisierungen
Quelle lesen ↗
[2] Google Chrome-Hilfe: „Sicherheit einer Websiteverbindung überprüfen“
Quelle lesen ↗
[3] Federal Trade Commission: „Are Public Wi-Fi Networks Safe? What You Need To Know“
Quelle lesen ↗
[4] NCSC: Phishing erkennen und Organisationen unabhängig kontaktieren
Quelle lesen ↗
[5] Google Chrome-Hilfe: „Berechtigungen für Website-Einstellungen ändern“
Quelle lesen ↗
[6] Mozilla: „Berechtigungsdialoge der Firefox-Erweiterungen“
Quelle lesen ↗
[7] BSI: Härtungsempfehlungen – Passwortmanager und verschlüsselte Speicherung
Quelle lesen ↗
[8] BSI: Sicherheitsvorteile von Passkeys
Quelle lesen ↗
[8] BSI: Sicherheitsvorteile von Passkeys
Quelle lesen ↗
[9] Microsoft: Schutz vor Supportbetrug und unsicheren Downloads
Quelle lesen ↗
[9] Microsoft: Schutz vor Supportbetrug und unsicheren Downloads
Quelle lesen ↗
[9] Microsoft: Schutz vor Supportbetrug und unsicheren Downloads
Quelle lesen ↗
[10] Microsoft Threat Intelligence: „Think before you Click(Fix): Analyzing the ClickFix social engineering technique“
Quelle lesen ↗
[11] Mozilla: Möglichkeiten und Grenzen des privaten Surfens
Quelle lesen ↗
[11] Mozilla: Möglichkeiten und Grenzen des privaten Surfens
Quelle lesen ↗
[12] Bundesamt für Sicherheit in der Informationstechnik: VPN und WLAN-Sicherheit
Quelle lesen ↗
[12] Bundesamt für Sicherheit in der Informationstechnik: VPN und WLAN-Sicherheit
Quelle lesen ↗
[13] Verbraucherzentrale: Fakeshops erkennen und Fakeshop-Finder
Quelle lesen ↗
[13] Verbraucherzentrale: Fakeshops erkennen und Fakeshop-Finder
Quelle lesen ↗
[14] National Cyber Security Centre: Hilfe nach Kontoübernahme und Onlinebetrug
Quelle lesen ↗
[14] National Cyber Security Centre: Hilfe nach Kontoübernahme und Onlinebetrug
Quelle lesen ↗