Fast jeder bekommt inzwischen Mails, die vorgeben, von der Bank, einem Paketdienst oder einem bekannten Online-Shop zu stammen, tatsächlich aber Zugangsdaten oder Geld abgreifen wollen. Phishing setzt gezielt auf Zeitdruck und Vertrauen, deshalb hilft es, die typischen Warnzeichen zu kennen, bevor eine solche Mail im Postfach landet.
Das häufigste Warnzeichen: Druck und Dringlichkeit
Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist eine E-Mail besonders dann verdächtig, wenn sie unter Druck setzt: Das Konto werde in 24 Stunden gesperrt, eine Zahlung sei überfällig, ein Paket könne nicht zugestellt werden, wenn nicht sofort gehandelt wird. Seriöse Unternehmen setzen Kunden in aller Regel keine derart kurzen Fristen für sensible Angaben.
Nach Zugangsdaten wird gefragt
Eine Bank, eine Behörde oder ein seriöser Anbieter fragt niemals per E-Mail nach Ihrem Passwort, Ihrer PIN oder Ihrer vollständigen Kartennummer. Wird in einer Mail genau das verlangt, meist über einen verlinkten „Bestätigungs" oder „Verifizierungs" Link, handelt es sich mit hoher Wahrscheinlichkeit um einen Betrugsversuch.
Die Absenderadresse genau prüfen
Der angezeigte Name einer Mail lässt sich beliebig fälschen. Entscheidend ist die tatsächliche Absenderadresse dahinter. Ein Klick auf den Absendernamen oder das Bewegen der Maus darüber, ohne zu klicken, zeigt die echte Adresse. Endet sie nicht auf die bekannte Domain des angeblichen Absenders, sondern auf eine Variante mit Zahlendrehern, zusätzlichen Wörtern oder einer fremden Endung, ist das ein klares Warnzeichen.
Links vor dem Klicken prüfen
Auch bei Links gilt: vor dem Klicken die Maus darüberhalten, ohne zu klicken, und die Zieladresse unten im Mailprogramm oder Browser ablesen. Weicht sie von der erwarteten Adresse ab, nicht klicken. Am sichersten ist es, bekannte Adressen wie die der eigenen Bank nie über einen Link in einer Mail aufzurufen, sondern von Hand in den Browser einzutippen oder ein gespeichertes Lesezeichen zu nutzen.
Unpersönliche Anrede, Rechtschreibfehler, ungewöhnliche Anhänge
Eine allgemeine Anrede wie „Sehr geehrter Kunde" statt des eigenen Namens, gehäufte Rechtschreib- oder Grammatikfehler und unerwartete Dateianhänge, besonders mit Endungen wie .zip oder .exe, sind weitere Anzeichen. Wird von diesem Absender keine Rechnung oder kein Dokument erwartet, sollte der Anhang nicht geöffnet werden.
Was tun, wenn eine Mail verdächtig wirkt?
Nichts anklicken, keine Anhänge öffnen, keine Daten eingeben. Im Zweifel prüfen Sie über einen zweiten, unabhängigen Weg, ob die Nachricht echt ist, zum Beispiel durch einen Anruf bei der Bank unter der Ihnen bekannten Telefonnummer, nicht der aus der Mail. Anschließend die Mail löschen oder, wenn das Mailprogramm es anbietet, als Phishing melden. Wurden bereits Daten eingegeben, ändern Sie umgehend das betroffene Passwort und beobachten Sie das jeweilige Konto in den folgenden Tagen genau.
Typische Maschen
Manche Varianten wiederholen sich immer wieder, nur mit anderem Absender. Eine gefälschte Paketbenachrichtigung fordert eine kleine Nachzahlung für die Zustellung. Eine angebliche Rechnung eines bekannten Anbieters verlangt eine sofortige Überweisung. Eine Warnung der vermeintlichen Bank verlangt eine "Sicherheitsbestätigung" der Zugangsdaten. Auch Anrufe gehören dazu: Am Telefon gibt sich jemand als Mitarbeiter der Bank, des Computerherstellers oder eines Amts aus und bittet um Fernzugriff auf den PC oder um eine TAN. Seriöse Stellen fragen am Telefon niemals nach einer TAN oder einem Passwort, und sie bitten nicht um Fernzugriffssoftware, um ein Problem zu beheben, das gerade erst am Telefon erwähnt wurde.
Nicht nur E-Mail: SMS und Messenger
Dieselben Maschen laufen zunehmend auch per SMS oder über Messenger-Dienste, oft als angebliche Paketbenachrichtigung mit einem Link zu einer gefälschten Zahlungsseite. Die Warnzeichen sind identisch: Zeitdruck, ein Link, der zu einer fremden Adresse führt, und die Aufforderung, Daten einzugeben. Auch hier gilt: Im Zweifel die Sendungsverfolgung direkt auf der bekannten Internetseite des Zustellers prüfen, statt dem Link in der Nachricht zu folgen.
Zwei-Faktor-Authentifizierung als zusätzlicher Schutz
Selbst wenn ein Passwort einmal in falsche Hände gerät, verhindert eine aktivierte Zwei-Faktor-Absicherung meist den eigentlichen Schaden, weil zusätzlich ein Code aus einer App oder eine Bestätigung auf dem Smartphone nötig ist. Für E-Mail-Konten, Online-Banking und soziale Netzwerke lohnt es sich, diese Absicherung, sofern verfügbar, in den Sicherheitseinstellungen zu aktivieren, statt sich allein auf ein starkes Passwort zu verlassen.
Für kleine Betriebe zählt derselbe Blick
In Firmen richten sich Phishing-Mails inzwischen häufig gezielt an die Buchhaltung oder Geschäftsführung, oft mit einer gefälschten Rechnung oder einer angeblichen Anweisung eines Vorgesetzten. Die gleichen Warnzeichen gelten hier, dazu kommt eine einfache Regel: Zahlungsanweisungen oder Kontoänderungen nie allein aufgrund einer E-Mail ausführen, sondern über einen zweiten Kanal gegenprüfen.
Wenn es nicht klappt
Ist eine Mail bereits angeklickt oder ein Anhang bereits geöffnet, zählt jede Minute: Passwörter ändern, betroffene Geräte prüfen, im Zweifel fachliche Hilfe holen. Auf der Seite für private IT-Hilfe steht, wie eine solche Prüfung abläuft, das Erstgespräch von 15 Minuten ist kostenlos.