Phishing: So erkennen und vermeiden Sie Angriffe

Täglich werden weltweit 3,4 Milliarden Phishing-E-Mails verschickt. Hinter diesen Nachrichten verbergen sich immer ausgefeiltere Manipulationstechniken. Wer versteht, wie sie funktionieren, kann sich am besten dagegen schützen.

Was ist Phishing – und warum funktioniert es?

Phishing ist eine Betrugsmethode, bei der sich Angreifer als vertrauenswürdige Stellen ausgeben (Banken, Lieferdienste, Behörden), um persönliche Daten zu stehlen. Die Wirksamkeit dieser Technik beruht auf einem einfachen Prinzip: dem Anschein von Legitimität.

Eine Phishing-E-Mail übernimmt Logos, Farben und Tonalität offizieller Nachrichten. Nutzer beurteilen die Vertrauenswürdigkeit einer Nachricht meist nach ihrem äußeren Erscheinungsbild – genau diese Gewohnheit machen sich Angreifer zunutze. Ob per E-Mail, SMS oder sogar per Post: Der Mechanismus ist immer derselbe – eine glaubwürdige Fassade aufbauen, um eine unbedachte Handlung auszulösen.

Wie erzeugen Angreifer ein Gefühl von Dringlichkeit?

Phishing-Nachrichten nutzen psychologischen Druck, um das Urteilsvermögen zu umgehen und zu schnellem Handeln ohne Nachdenken zu verleiten. Das Ziel ist eine emotionale Reaktion statt einer rationalen Analyse.

Die häufigsten Vorwände folgen einem wiederkehrenden Muster:

• „Verdächtige Aktivität auf Ihrem Konto festgestellt – ändern Sie sofort Ihr Passwort"
• „Zahlungsproblem – Ihr Abonnement wird gekündigt"
• „Paket wartet auf Sie – Zollgebühren innerhalb von 24 Stunden zu begleichen"
• „Sicherheitswarnung zu Ihrer Bankkarte"

Jede Nachricht enthält einen Link oder eine Schaltfläche, die zu einer gefälschten Website führt, die dem Original optisch täuschend ähnlich sieht. Auf dieser Seite gibt das Opfer seine Zugangsdaten ein, weil es glaubt, sich beim echten Dienst anzumelden.

Wie erkennt man einen gefälschten Domainnamen?

Die zuverlässigste Methode, eine Phishing-Website zu identifizieren, ist das genaue Lesen der URL – insbesondere des Domainnamens. Angreifer nutzen verschiedene Verschleierungstechniken, um das Auge zu täuschen.

Nehmen wir example.com als legitime Domain:

• Missbrauch von Subdomains: example.another-dangerous-site.cam – hier ist die echte Domain another-dangerous-site.cam, nicht example
• Täuschender Bindestrich: example-secure-login.cam – eine völlig andere Domain, die den Markennamen enthält
• Abweichende TLD: example.site statt example.com
• Typosquatting: examplle.com – ein verdoppelter Buchstabe, der beim schnellen Lesen leicht übersehen wird

Die wichtigste Regel: Die echte Domain ist das, was direkt vor der TLD steht (.com, .de, .org). Alles, was links von einem zusätzlichen Punkt steht, ist eine Subdomain – die kann jeder beliebig anlegen.

Lässt sich die Echtheit einer E-Mail überprüfen?

Ja – aber nicht allein anhand des äußeren Erscheinungsbilds. Spam-Filter erkennen einen Teil der betrügerischen E-Mails durch technische Mechanismen wie SPF und DKIM, die überprüfen, ob eine E-Mail tatsächlich von einem autorisierten Server für die angezeigte Domain gesendet wurde.

SPF (Sender Policy Framework) listet die Server auf, die E-Mails für eine Domain versenden dürfen. DKIM (DomainKeys Identified Mail) fügt eine kryptografische Signatur hinzu, die der Empfänger prüfen kann. Diese Informationen sind in den technischen Headern der Nachricht sichtbar.

Diese Mechanismen haben jedoch eine wichtige Einschränkung: Sie belegen die technische Herkunft der Domain, nicht die tatsächliche Identität des Absenders. Ein Angreifer kann für eine Domain wie support-sicherheit-amazon.com einwandfreie SPF- und DKIM-Einträge konfigurieren. Technisch korrekt – menschlich gesehen trotzdem täuschend.

Warum ist Phishing per SMS noch gefährlicher?

Smishing (Phishing per SMS) nutzt die Besonderheiten mobiler Geräte, um Wachsamkeitsreflexe zu umgehen. SMS werden oft als vertrauenswürdiger als E-Mails wahrgenommen – obwohl die Schutzmaßnahmen dort weniger wirksam sind.

Mehrere Eigenschaften machen SMS besonders riskant:

• Spam-Filter sind bei SMS weniger leistungsfähig als bei E-Mails
• Die mobile Benutzeroberfläche zeigt die vollständige URL vor dem Klick oft nicht an
• Die Absenderrufnummer kann durch einen alphanumerischen Namen ersetzt werden (DHL, ING), der leicht zu fälschen ist
• Die URL im mobilen Browser wird häufig abgeschnitten
• Die betrügerische Nachricht kann sich in denselben Gesprächsverlauf einfügen wie echte Nachrichten desselben Absenders

Die Vorwände ähneln denen beim E-Mail-Phishing: austehendes Paket, Bankalarm, ausstehende Rückerstattung, behördliche Vorladung.

Wie schützt ein Passwort-Manager vor Phishing?

Ein Passwort-Manager vergleicht die tatsächliche URL der Website mit der gespeicherten URL für jeden Eintrag. Stimmt die Domain nicht genau überein, werden die Felder nicht automatisch ausgefüllt. Das ist ein passiver Schutz, der keinerlei Aufwand vom Nutzer erfordert.

Wo das menschliche Auge example.com und examplle.com verwechseln kann, führt der Passwort-Manager einen zeichengenauen Vergleich durch. Er lässt sich durch visuelle Verschleierungstricks bei Domainnamen nicht täuschen. Diese automatische Prüfung ist ein zuverlässiges Sicherheitsnetz im Alltag: Wenn der Passwort-Manager Ihre Zugangsdaten auf einer Website nicht anbietet, ist das ein unmittelbares Warnsignal.

Warum reicht 2FA gegen Phishing nicht aus?

Die Zwei-Faktor-Authentifizierung (2FA) ist ein echter Sicherheitsgewinn – schützt jedoch nicht vor automatisierten Phishing-Angriffen in Echtzeit. Bei einem sogenannten AiTM-Angriff (Adversary-in-the-Middle) fängt der Angreifer jeden Schritt des Anmeldevorgangs ab und leitet ihn weiter.

Der Ablauf: Das Opfer gibt seine Zugangsdaten auf der gefälschten Website ein. Die Phishing-Website übermittelt diese sofort an die echte Website, die daraufhin einen 2FA-Code sendet. Das Opfer gibt diesen Code auf der gefälschten Website ein, die ihn wiederum weiterleitet. Der Angreifer ist damit in Echtzeit mit einem gültigen Code eingeloggt.

2FA bleibt wirksam gegen zeitversetzte Angriffe – eine gestohlene Passwortdatenbank wird nutzlos, wenn 2FA aktiv ist. Gegen einen Echtzeit-Proxy hingegen wird der Einmalcode abgefangen, bevor er abläuft.

Schützen Passkeys vor Phishing?

Ja. Anders als die Kombination aus Passwort und 2FA-Code ist ein Passkey kryptografisch an die genaue Domain gebunden, für die er erstellt wurde. Auf einer gefälschten Website – selbst einer optisch identischen – funktioniert der Passkey schlicht nicht.

Es gibt nichts abzufangen und nichts wiederzuverwenden: Die Authentifizierung basiert auf einem kryptografischen Austausch zwischen dem Gerät des Nutzers und dem legitimen Server. Selbst ein AiTM-Proxy in Echtzeit kann diesen Schutz nicht umgehen. Passkeys sind die strukturelle Antwort auf Phishing – sie beseitigen das schwache Glied, nämlich das gemeinsame Geheimnis, das Nutzer unwissentlich weitergeben können.

Sollte man bei Sicherheitsfragen lügen?

Sicherheitsfragen („Wie heißt Ihr Haustier?", „In welcher Stadt wurden Sie geboren?") beziehen sich oft auf halb-öffentliche Informationen. Ein Angreifer mit Zugang zu Ihren sozialen Netzwerken, einem Datenleck oder auch nur flüchtiger Bekanntschaft kann diese Fragen womöglich in Ihrem Namen beantworten.

Niemand verpflichtet Sie, die Wahrheit zu sagen. Auf „Was ist Ihr Lieblingstier?" kann die Antwort auch „der Planet Mars" lauten. Wichtig ist nur, diese falsche Antwort wiederfinden zu können – ein Passwort-Manager ist der naheliegende Speicherort dafür, genauso wie für ein Passwort.

Das Wichtigste auf einen Blick

• Phishing setzt auf den Anschein von Legitimität und ein Gefühl der Dringlichkeit: Innehalten, bevor man klickt, ist der erste Reflex, den man entwickeln sollte
• Die URL ist der einzige verlässliche Indikator: Lernen Sie, den echten Domainnamen zu lesen – besonders auf dem Mobilgerät
• Ein Passwort-Manager prüft die URL an Ihrer Stelle und lässt sich durch gefälschte Domains nicht täuschen
• 2FA schützt gegen zeitversetzte Angriffe, aber nicht gegen Phishing in Echtzeit
• Passkeys sind der einzige strukturelle Schutz, der Phishing technisch unmöglich macht
• Lügen Sie bei Sicherheitsfragen und speichern Sie Ihre falschen Antworten in einem Passwort-Manager

Über individuelle Schutzreflexe hinaus hängt die Sicherheit Ihrer Daten auch von der Plattform ab, die Sie wählen. Entdecken Sie unseren Ansatz zu Sicherheit und Datensouveränität.