Gefälschte Nachrichten von Bank, Paketdienst oder Streaming-Anbieter erkennen Sie an wiederkehrenden Mustern. So prüfen Sie Absender und Links, und so reagieren Sie richtig nach einem Klick.
"Ihr Konto wurde vorübergehend gesperrt", "Ihr Paket wartet, bitte Zollgebühr von 1,99 € zahlen", "Ihre Zahlungsmethode ist abgelaufen": Phishing-Nachrichten setzen auf Schreck und Zeitdruck. Ziel ist immer dasselbe, nämlich Ihre Zugangsdaten, Kartendaten oder TANs. Die Fälschungen sind sprachlich längst nicht mehr holprig; auch fehlerfreie, perfekt gestaltete Mails können Phishing sein. Zum Glück verraten sich fast alle Angriffe an denselben Stellen.
Phishing erkennen Sie weniger am Design als an drei Prüfpunkten: erstens die echte Absenderadresse (nicht der Anzeigename), zweitens das tatsächliche Link-Ziel (vor dem Klick anzeigen lassen), drittens der Inhalt: Zeitdruck plus Aufforderung, Daten einzugeben oder etwas zu "verifizieren". Merken Sie sich eine einzige Regel: keine Bank, keine Sparkasse und kein seriöser Zahlungsdienst fragt Sie jemals per Mail, SMS oder Telefon nach PIN, TAN oder Passwort. Haben Sie doch geklickt und Daten eingegeben: Passwörter sofort ändern, Bank informieren, Karten über den Sperr-Notruf 116 116 sperren lassen und den Fall dem Phishing-Radar der Verbraucherzentrale melden.
Allen gemeinsam: es gibt einen dringenden Grund, sofort zu klicken, zu zahlen oder Daten einzugeben, und es wird mit Konsequenzen gedroht (Sperrung, Löschung, Gebühren, Strafverfahren).
Der angezeigte Name ist frei wählbar und beweist nichts. Entscheidend ist die dahinterliegende Adresse. Tippen oder klicken Sie auf den Absendernamen, um sie vollständig anzuzeigen. "Sparkasse" als Name mit einer Adresse wie service@sparkasse-sicherheit-24.com oder einer wilden Zeichenkette bei einem Freemail-Dienst ist ein klarer Fall. Achten Sie auf kleine Abweichungen: zusätzliche Wörter (paypal-kundenservice.net), Buchstabendreher, fremde Endungen. Vorsicht: auch eine scheinbar korrekte Absenderadresse kann technisch gefälscht sein. Die Absenderprüfung entlarvt viele Fälschungen, eine echte Garantie ist sie nicht. Deshalb zählt vor allem Prüfpunkt 2.
Fahren Sie am Computer mit der Maus über den Link, ohne zu klicken: das echte Ziel erscheint unten in der Statusleiste. Am Smartphone halten Sie den Link lange gedrückt, bis eine Vorschau der URL erscheint. Entscheidend ist der Teil unmittelbar vor der ersten einzelnen Endung: bei sparkasse.de.sicherheit-check.com landen Sie nicht bei der Sparkasse, sondern bei sicherheit-check.com. Kurz-URLs und QR-Codes verschleiern das Ziel zusätzlich; QR-Codes in Mails oder auf aufgeklebten Zetteln (Parkautomaten, Ladesäulen) sind ein eigenes Einfallstor ("Quishing").
Die sicherste Gewohnheit: klicken Sie Links aus Mails und SMS zu Konten und Zahlungen grundsätzlich nicht an. Öffnen Sie die App oder tippen Sie die Adresse Ihrer Bank oder des Anbieters selbst in den Browser. Gibt es wirklich ein Problem, sehen Sie es nach dem normalen Login.
Seriöse Anbieter fordern Sie nie per Mail oder SMS auf, PIN, TAN, Passwörter oder vollständige Kartendaten einzugeben, "Sicherheits-Apps" von außerhalb der offiziellen Stores zu installieren oder eine Fernwartungssoftware zu starten. Auch am Telefon gilt: legen Sie auf, wenn ein angeblicher Bankmitarbeiter TANs "zur Stornierung einer Buchung" braucht. Genau so werden Echtzeitüberweisungen freigegeben. Rufen Sie im Zweifel selbst bei der Ihnen bekannten Nummer Ihrer Bank an, nie bei der Nummer aus der Nachricht.
Ein Klick allein ist selten die Katastrophe. Kritisch wird es, wenn Sie Daten eingegeben oder etwas installiert haben.
Die Maschen sind identisch. In Österreich warnt die Watchlist Internet laufend vor aktuellen Phishing-Wellen; Meldungen nimmt auch die Meldestelle des BKA (via Onlineanzeige) entgegen. In der Schweiz können Sie verdächtige Nachrichten dem Bundesamt für Cybersicherheit unter antiphishing.ch melden; bei Kartenmissbrauch gilt wie überall: sofort die eigene Bank kontaktieren und Karten sperren lassen.
Ich habe nur geklickt, aber nichts eingegeben. Bin ich sicher? Meist ja. Beobachten Sie trotzdem Ihre Konten und ändern Sie sicherheitshalber das Passwort des betroffenen Dienstes, vor allem am Smartphone, wenn Sie danach etwas heruntergeladen haben.
Woran erkenne ich eine gefälschte SMS vom Paketdienst? Echte Paketdienste kassieren keine Zollgebühren per SMS-Link. Prüfen Sie Sendungen nur in der offiziellen App oder direkt auf der Website des Dienstes.
Erstattet die Bank abgebuchtes Geld? Bei nicht autorisierten Zahlungen grundsätzlich ja (§ 675u BGB). Die Bank kann bei grob fahrlässigem Verhalten kürzen oder verweigern, etwa bei selbst freigegebenen TANs. Dokumentieren Sie den Hergang genau und lassen Sie sich beraten.
Wir sind eine unabhängige Bürgerinitiative und informieren allgemein. Dieser Text ist keine Rechtsberatung im Einzelfall. Bei Streit oder Unsicherheit wenden Sie sich an Ihre Verbraucherzentrale oder an eine Anwältin oder einen Anwalt.