Phishing: So erkennen und vermeiden Sie Angriffe

Im Jahr 2024 blockierten die Lösungen von Kaspersky mehr als 893 Millionen Phishing-Versuche - das sind fast 2,4 Millionen pro Tag - und die Anti-Phishing Working Group verzeichnete allein im vierten Quartal knapp eine Million Vorfälle. Hinter diesen Zahlen steckt immer dieselbe Manipulationsmechanik, die man durchschauen lernen kann.

Was ist Phishing (oder Hameçonnage)?

Phishing, auch Hameçonnage genannt, ist eine Betrugsmethode, bei der sich Angreifer als vertrauenswürdige Organisationen ausgeben (Bank, Lieferdienst, Behörde), um persönliche Daten oder Zugangsdaten zu stehlen. Die Wirksamkeit dieser Methode beruht auf einem einzigen Prinzip: dem Anschein von Legitimität.

Eine Phishing-Nachricht übernimmt die Logos, Farben und den Ton einer offiziellen Kommunikation. Der Nutzer verlässt sich auf diesen visuellen Eindruck, um die Vertrauenswürdigkeit der Nachricht zu beurteilen - und genau diese Gewohnheit nutzen Angreifer aus. Ob per E-Mail oder über eine gefälschte Website: Die Mechanik bleibt dieselbe - einen glaubwürdigen Anschein erzeugen, um eine unbedachte Handlung auszulösen.

Woran erkennt man eine Phishing-E-Mail?

Eine Phishing-E-Mail kombiniert fast immer dieselben Merkmale: einen dringlichen Vorwand, einen Absender, der eine bekannte Marke imitiert, einen Link zu einer Website, auf der Zugangsdaten eingegeben werden sollen, und eine Anfrage nach Informationen, die ein seriöser Dienst niemals auf diese Weise stellen würde. Diese Merkmale zu erkennen erfordert nur wenige Grundreflexe.

• Ein dringlicher Vorwand: „Verdächtige Aktivität auf Ihrem Konto", „Paket wartet auf Abholung", „Zahlung abgelehnt". Das Ziel ist, Sie zum Handeln zu bringen, bevor Sie nachdenken.
• Ein Absender, der eine Marke imitiert: Der angezeigte Name wirkt legitim, doch die tatsächliche Absenderadresse stimmt nicht mit der offiziellen Domain überein.
• Ein Link oder Button zum Anklicken: Er führt zu einer gefälschten Website, die der echten optisch täuschend ähnlichsieht, wo Sie nach Ihren Zugangsdaten gefragt werden.
• Eine Anfrage nach sensiblen Informationen: Passwort, Kartennummer, Sicherheitscode. Ein seriöser Dienst fragt diese niemals per E-Mail ab.

Keines dieser Merkmale ist für sich allein ein Beweis, aber ihre Häufung sollte Misstrauen wecken. Das gemeinsame Merkmal aller solchen Nachrichten ist Druck: Sie sollen eine emotionale Reaktion auslösen, keine ruhige Analyse.

Wie erkennt man eine gefälschte URL?

Die zuverlässigste Methode, eine Phishing-Website zu identifizieren, besteht darin, die URL genau zu lesen - insbesondere den Domain-Namen. Die echte Domain ist das, was direkt vor dem ersten Schrägstrich steht, und alles links davon kann vom Angreifer frei gestaltet werden.

Nehmen wir example.com als legitime Domain:

• Subdomain-Missbrauch: example.another-dangerous-site.cam. Hier ist die echte Domain another-dangerous-site.cam, nicht example.
• Täuschender Bindestrich: example-secure-login.cam. Eine völlig andere Domain, die den Markennamen enthält.
• Andere Endung: example.site statt example.com.
• Typosquatting: examplle.com - ein verdoppelter Buchstabe, der beim schnellen Lesen leicht übersehen wird.

Die Regel zum Merken: Die echte Domain ist das Wort direkt vor der Endung (.com, .de, .org). Alles, was durch einen weiteren Punkt links davon getrennt ist, ist eine Subdomain, die jeder beliebig erstellen kann.

Wie überprüft man, ob eine E-Mail authentisch ist?

Man kann sich nicht allein auf den äußeren Anschein verlassen. Technische Mechanismen wie SPF und DKIM prüfen, ob eine E-Mail tatsächlich von einem autorisierten Server für die angezeigte Domain gesendet wurde - sie belegen jedoch nur den technischen Ursprung der Nachricht, nicht die Vertrauenswürdigkeit des Absenders.

SPF (Sender Policy Framework) listet die Server auf, die berechtigt sind, E-Mails für eine Domain zu versenden. DKIM (DomainKeys Identified Mail) fügt eine kryptografische Signatur hinzu, die der Empfänger überprüfen kann. Diese Informationen befinden sich in den technischen E-Mail-Headern.

Diese Mechanismen haben jedoch eine wichtige Einschränkung. Ein Angreifer kann SPF und DKIM für eine Domain, die ihm gehört - etwa support-sicherheit-amazon.com - einwandfrei konfigurieren. Das Ergebnis ist technisch korrekt, aber menschlich irreführend: Die Prüfung belegt lediglich, dass die Domain die Nachricht gesendet hat, nicht dass sie zur imitierten Marke gehört.

Ich habe auf einen Phishing-Link geklickt - was tun?

Ein Klick auf einen Link reicht in der Regel nicht aus, um ein Konto zu kompromittieren: Die Gefahr liegt in dem, was man danach tut. Wenn Sie nichts eingegeben oder heruntergeladen haben, schließen Sie die Seite einfach. Wenn Sie ein Passwort eingegeben haben, ändern Sie es unverzüglich.

• Geben Sie keine Informationen auf der geöffneten Seite ein und schließen Sie sie.
• Wenn Sie bereits ein Passwort eingegeben haben, ändern Sie es sofort beim betroffenen Dienst - indem Sie dessen offizielle Adresse selbst eingeben, anstatt den erhaltenen Link erneut zu verwenden.
• Ändern Sie dieses Passwort überall dort, wo Sie es wiederverwendet haben. Das ist der Grund, warum ein einzigartiges Passwort pro Website den Schaden erheblich begrenzt.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung für das Konto, falls noch nicht geschehen.
• Beobachten Sie in den folgenden Tagen Anmeldeversuche und Änderungen, die Sie nicht selbst vorgenommen haben.

Wenn Sie eine Bankkartennummer mitgeteilt haben, kontaktieren Sie Ihre Bank, um die Karte sperren zu lassen. Schnelles Handeln reduziert die Folgen eines versehentlichen Klicks erheblich.

Woran erkennt man, dass man Opfer eines Phishing-Angriffs geworden ist?

Mehrere Anzeichen deuten darauf hin, dass ein Phishing-Angriff erfolgreich war: Ein gewohntes Passwort funktioniert nicht mehr, Sie erhalten Zurücksetzungs-E-Mails, die Sie nicht angefordert haben, Nachrichten werden in Ihrem Namen versendet, oder Sie erhalten eine Anmeldebenachrichtigung von einem unbekannten Ort. Im geringsten Zweifel ist es besser, so zu reagieren, als ob das Konto kompromittiert wäre.

• Sie können sich nicht mehr mit Ihrem gewohnten Passwort anmelden.
• Sie erhalten Bestätigungen für Änderungen (Passwort, Wiederherstellungsadresse, Telefonnummer), die Sie nicht selbst veranlasst haben.
• Ihre Kontakte erhalten Nachrichten oder E-Mails, die nicht von Ihnen stammen.
• Der Dienst meldet eine Anmeldung von einem Gerät oder aus einem Land, das Sie nicht kennen.

Ändern Sie in diesem Fall das betroffene Passwort von einem sicheren Gerät aus, überprüfen Sie die Liste der verbundenen Geräte in den Kontoeinstellungen und widerrufen Sie Sitzungen, die Sie nicht erkennen.

Wie schützt ein Passwort-Manager vor Phishing?

Ein Passwort-Manager vergleicht die tatsächliche URL der Website mit der gespeicherten URL für jeden Datensatz. Stimmt die Domain nicht exakt überein, bietet er das automatische Ausfüllen der Felder nicht an. Das ist ein passiver Schutz, der vom Nutzer keinerlei besonderen Aufwand erfordert.

Während das menschliche Auge example.com und examplle.com verwechseln kann, führt der Passwort-Manager einen zeichengenauen Vergleich durch, unbeeindruckt von visuellen Tricks zur Domain-Verschleierung. Diese automatische Prüfung bildet im Alltag ein Sicherheitsnetz: Wenn der Passwort-Manager Ihre Zugangsdaten auf einer vermeintlich bekannten Website nicht anbietet, ist das ein unmittelbares Warnsignal.

Reicht 2FA gegen Phishing aus?

Nein, nicht gegen Angriffe, die in Echtzeit durchgeführt werden. Die Zwei-Faktor-Authentifizierung (2FA) ist eine echte Sicherheitsverbesserung, aber in einem sogenannten AiTM-Szenario (Adversary-in-the-Middle) fängt der Angreifer jeden Schritt des Anmeldevorgangs ab und leitet ihn weiter - einschließlich des Einmalcodes.

Der Ablauf ist folgender: Das Opfer gibt seine Zugangsdaten auf der gefälschten Website ein. Diese übermittelt sie sofort an die echte Website, die daraufhin einen 2FA-Code sendet. Das Opfer gibt diesen Code auf der gefälschten Website ein, die ihn ihrerseits weiterleitet. Der Angreifer ist mit einem gültigen Code angemeldet, bevor dieser abläuft.

2FA bleibt wirksam gegen zeitversetzte Angriffe: Eine gestohlene Passwortdatenbank wird nutzlos, wenn 2FA aktiv ist. Aber gegenüber einem Echtzeit-Relay reicht der Einmalcode nicht mehr aus.

Schützen Passkeys vor Phishing?

Ja. Eine Passkey ist kryptografisch an genau die Domain gebunden, für die sie erstellt wurde. Auf einer betrügerischen Website, selbst wenn sie optisch identisch aussieht, funktioniert sie schlicht nicht - denn es gibt kein gemeinsames Geheimnis, das eingegeben oder abgefangen werden könnte.

Die Authentifizierung basiert auf einem kryptografischen Austausch zwischen dem Gerät des Nutzers und dem legitimen Server: nichts, was wiederholt oder gestohlen werden könnte. Selbst ein AiTM-Relay in Echtzeit kann diesen Schutz nicht umgehen. Passkeys sind die strukturelle Antwort auf Phishing, da sie das schwache Glied eliminieren - nämlich das Geheimnis, das der Nutzer unwissentlich weitergeben kann.

Das Wichtigste im Überblick

• Phishing setzt auf den Anschein von Legitimität und das Gefühl von Dringlichkeit: Innehalten vor dem Klicken ist der erste wichtige Reflex.
• Die URL ist der zuverlässigste Indikator: Lernen Sie, den echten Domain-Namen zu lesen, bevor Sie irgendetwas eingeben.
• Wenn Sie ein Passwort auf einer gefälschten Website eingegeben haben, ändern Sie es sofort beim echten Dienst - und überall dort, wo Sie es wiederverwendet haben.
• Ein Passwort-Manager prüft die URL für Sie und lässt sich nicht durch eine gefälschte Domain täuschen.
• 2FA schützt gegen zeitversetzte Angriffe, aber nicht gegen Phishing in Echtzeit.
• Passkeys sind der einzige strukturelle Schutz, der Phishing technisch wirkungslos macht.

Über die richtigen individuellen Verhaltensweisen hinaus hängt der Schutz Ihrer Daten auch von der Plattform ab, die Sie wählen. Entdecken Sie unseren Ansatz zu Sicherheit und Datensouveränität.