Phishing erkennen: 12 Warnzeichen und was nach einem Klick zu tun ist

Woran erkennt man Phishing? Die kurze Antwort

Phishing nutzt eine gefälschte Nachricht, um Sie zu einem Klick, einer Eingabe oder einer Zahlung zu bewegen. Die meisten Versuche verbinden drei Elemente: einen vertrauenswürdig wirkenden Absender, Druck oder Neugier und eine Handlung außerhalb des üblichen Ablaufs. Wer bei dieser Kombination innehält und über einen bekannten Weg nachfragt, wehrt die meisten Angriffe ab.

Rechtschreibfehler sind kein verlässliches Merkmal mehr. KI-Werkzeuge schreiben fehlerfreie Texte in vielen Sprachen, und manche Angriffe kommen aus echten, aber gehackten Postfächern von Geschäftspartnern. Die folgenden zwölf Warnzeichen helfen, auch gut gemachte Versuche zu erkennen.

Absender und Inhalt prüfen (Warnzeichen 1 bis 4)

1. Die Absenderadresse passt nicht zum Namen

Der angezeigte Name ist frei wählbar, entscheidend ist die Adresse dahinter. Achten Sie auf Domains, die der echten nur ähneln: ein vertauschter Buchstabe, rn statt m, ein Zusatz wie -service oder .com statt .at. Auch eine abweichende Antwortadresse ist ein Warnsignal.

2. Zeitdruck, Drohung oder Verlockung

Ihr Konto wird heute gesperrt, das Angebot endet in einer Stunde: Phishing will, dass Sie handeln, bevor Sie nachdenken. Dasselbe gilt für unerwartete Gewinne, Pakete oder Gutschriften. Je größer der Druck, desto wichtiger ist eine kurze Pause.

3. Eine ungewöhnliche Bitte

Gutscheinkarten kaufen, Zugangsdaten bestätigen, etwas ohne die übliche Unterschrift freigeben: Verlangt eine Nachricht, den gewohnten Ablauf zu umgehen, ist Vorsicht geboten. Das gilt besonders, wenn zusätzlich um Vertraulichkeit gebeten wird.

4. Der Zusammenhang stimmt nicht

Eine Rechnung eines unbekannten Lieferanten, eine Warnung zu einem Dienst, den Ihre Firma gar nicht nutzt: Passt eine Nachricht nicht zu Ihrem Arbeitsalltag, prüfen Sie sie, bevor Sie etwas öffnen.

Links, QR-Codes und Anhänge (Warnzeichen 5 bis 7)

5. Der Link führt woanders hin

Fahren Sie am Computer mit der Maus über den Link, ohne zu klicken. Am Smartphone halten Sie ihn gedrückt. Entscheidend ist die Domain direkt vor dem ersten Schrägstrich nach https://: Die Adresse ihrebank.at.example.net gehört zu example.net, nicht zu Ihrer Bank. Verkürzte Links verschleiern das Ziel zusätzlich.

6. Ein QR-Code statt eines Links (Quishing)

Immer öfter steckt der Link in einem QR-Code, etwa in einer angeblichen Aufforderung zur MFA-Einrichtung oder in einem PDF. Das Smartphone, mit dem gescannt wird, ist oft weniger geschützt als der Arbeitsrechner, und Filter erkennen einen Link im Bild nicht immer.

7. Ein unerwarteter Anhang

Vorsicht bei Anhängen, die Sie nicht erwartet haben, besonders bei passwortgeschützten ZIP-Dateien mit dem Passwort in der Mail: Verschlüsselte Archive kann der Virenscanner oft nicht prüfen. Fordert ein Dokument Sie auf, Inhalte oder Makros zu aktivieren, oder öffnet eine HTML-Datei eine Anmeldeseite, schließen Sie es und melden Sie die Nachricht.

Betrug rund um Zahlungen (Warnzeichen 8 und 9)

8. Die Bankverbindung hat sich angeblich geändert

Ein Lieferant kündigt an, dass Zahlungen künftig auf ein neues Konto gehen sollen. Solche Nachrichten kommen von täuschend ähnlichen Domains oder sogar aus dem echten, aber übernommenen Postfach des Lieferanten, mitten in einem laufenden Schriftverkehr. Bestätigen Sie jede Änderung von Bankdaten telefonisch über eine bereits bekannte Nummer, nie über Kontaktdaten aus der Nachricht.

9. Der angebliche Chef mit einem vertraulichen Auftrag

Beim sogenannten CEO-Fraud gibt sich jemand als Mitglied der Geschäftsführung aus und verlangt eine dringende, vertrauliche Überweisung, etwa für einen geheimen Firmenkauf. Oft soll das Gespräch auf WhatsApp oder ein privates Telefon wechseln. Auch Anrufe und Sprachnachrichten lassen sich heute überzeugend fälschen. Ein Vier-Augen-Prinzip für Zahlungen schützt hier wirksam.

Anmeldeseiten und MFA-Anfragen (Warnzeichen 10 bis 12)

10. Nach dem Klick folgt eine Anmeldeseite

Ein geteiltes Dokument, eine Sprachnachricht, ein volles Postfach: Viele Phishing-Mails führen zu einer täuschend echten Anmeldeseite, etwa für Microsoft 365. Prüfen Sie die Adresszeile, bevor Sie etwas eingeben. Füllt Ihr Passwortmanager die Zugangsdaten nicht automatisch aus, stimmt die Domain oft nicht.

11. Eine MFA-Anfrage, die Sie nicht ausgelöst haben

Erscheint auf Ihrem Smartphone eine Anmeldebestätigung, obwohl Sie sich gerade nicht anmelden, kennt vermutlich jemand Ihr Passwort. Angreifer wiederholen solche Anfragen manchmal, bis jemand genervt bestätigt (MFA-Fatigue). Lehnen Sie ab, melden Sie den Vorfall und ändern Sie Ihr Passwort. Der Nummernabgleich, bei dem Sie eine Zahl vom Anmeldebildschirm in die App eintippen, erschwert diesen Angriff.

12. Der angebliche IT-Support fragt nach Codes

Ein Anruf oder Chat vom angeblichen Helpdesk mit der Bitte, einen Code vorzulesen, eine Fernwartungssoftware zu installieren oder eine Anfrage zu bestätigen: Seriöser IT-Support fragt nie nach Ihrem Passwort oder einem Einmalcode. Legen Sie auf und rufen Sie Ihre IT unter der bekannten Nummer zurück.

Geklickt oder unsicher: Was jetzt zu tun ist

Ein Fehlklick kann jedem passieren. Entscheidend ist, was in den nächsten Minuten geschieht.

Sofortmaßnahmen nach einem Klick

1. Keine weiteren Daten eingeben und die Seite schließen.
2. Sofort die IT informieren, außerhalb der Bürozeiten über den vereinbarten Notfallkontakt.
3. Passwort eingegeben? Direkt auf der bekannten Website des Dienstes ändern, nicht über den Link, und überall dort, wo Sie es ebenfalls verwenden. Die IT sollte aktive Sitzungen beenden und das Postfach auf neue Weiterleitungsregeln prüfen.
4. Anhang geöffnet oder etwas installiert? Das Gerät vom Netzwerk trennen, aber eingeschaltet lassen, bis die IT entscheidet.
5. Geld überwiesen? Sofort die Bank kontaktieren und Anzeige bei der Polizei erstatten. Je schneller Sie handeln, desto eher lässt sich die Zahlung unter Umständen noch stoppen.

Verdächtige Nachrichten intern melden

Melden Sie auch dann, wenn Sie nicht geklickt haben: Oft erhalten mehrere Personen dieselbe Nachricht, und eine einzige Meldung kann alle warnen. Am einfachsten ist ein Melde-Button im Mailprogramm oder eine feste Adresse, an die Sie die Nachricht als Anhang weiterleiten. Wie Sie diese Meldekultur aufbauen, zeigt unser Beitrag zum Security-Awareness-Training.

Technischer Schutz: Filter, DMARC und starke MFA

Kein Team erkennt jede Nachricht. Technische Maßnahmen verringern, wie viel Phishing überhaupt ankommt, und begrenzen die Folgen eines Fehlklicks. SPF, DKIM und DMARC erschweren es zum Beispiel, Mails im Namen Ihrer eigenen Domain zu fälschen. Wie das funktioniert, erklärt unser Beitrag zu SPF, DKIM und DMARC.

Einfache MFA mit Push-Bestätigung oder SMS-Code ist deutlich besser als ein Passwort allein. Manche Phishing-Seiten leiten Eingaben aber in Echtzeit an die echte Seite weiter und übernehmen so auch den Code oder die Sitzung. FIDO2-Sicherheitsschlüssel und Passkeys funktionieren nur auf der echten Domain und widerstehen deshalb gefälschten Anmeldeseiten.

Fazit: Innehalten, prüfen, melden

Phishing lässt sich nicht ganz verhindern, aber deutlich entschärfen. Ein Team, das die Warnzeichen kennt, Zahlungen über einen zweiten Kanal bestätigt und Verdächtiges sofort meldet, nimmt Angreifern die meisten Chancen. Wenn Sie E-Mail-Schutz, MFA und Schulungen in Ihrem Unternehmen aufeinander abstimmen möchten, unterstützt Sie Q-entra im Bereich Cyber Security.